Crittografia post-quantum: per le banche il rischio è già nei dati di oggi

Con gli standard NIST e le roadmap di Unione europea e G7, la transizione alla crittografia post-quantum entra nella fase operativa. Le prime sperimentazioni su sistemi di pagamento, come Project Leap, evidenziano criticità che riguardano soprattutto architetture, prestazioni e fornitori. Un quadro per CISO e vertici aziendali

Tra i rischi che impegnano i responsabili della sicurezza nelle istituzioni finanziarie, uno è particolarmente insidioso: qualcuno potrebbe leggere tra dieci o quindici anni i dati intercettati oggi.

È il cosiddetto harvest now, decrypt later. Un avversario intercetta il traffico cifrato, lo conserva e aspetta. Quando un computer quantistico riuscirà a eseguire l’algoritmo di Shor su larga scala, RSA e la crittografia a curve ellittiche non proteggeranno più quei dati. Ma un contratto, un mutuo o una strategia d’investimento devono restare riservati per anni. Il rischio, quindi, non riguarda il futuro: esiste già oggi.

Per anni il tema è rimasto confinato alla ricerca. Negli ultimi due, però, lo scenario è cambiato. Nell’agosto 2024 il NIST ha pubblicato i primi tre standard post-quantum: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA)¹. Unione europea, G7 e autorità nazionali hanno poi fissato le scadenze, mentre i primi test su infrastrutture di pagamento reali hanno fornito dati concreti. Il messaggio è chiaro: la migrazione è possibile, ma non consiste in un semplice aggiornamento software. Coinvolge architetture, processi e catena di fornitura.

Crittografia post-quantum nelle banche: le scadenze di NIST, UE e G7

Partiamo dal calendario. Più di ogni altro elemento, detta i tempi della pianificazione industriale.

Negli Stati Uniti, la bozza NIST IR 8547 propone di abbandonare dopo il 2030 gli algoritmi a chiave pubblica vulnerabili con sicurezza a 112 bit, tra cui RSA-2048 ed ECC P-256, e di vietarli del tutto dopo il 2035². Il testo non è ancora definitivo. Fornitori e auditor, però, lo considerano già il riferimento di fatto.

L’Europa ha definito tre tappe nella roadmap coordinata pubblicata a giugno 2025 dal gruppo di lavoro PQC del NIS Cooperation Group³. La prima scade alla fine del 2026: entro quella data, gli Stati membri devono avviare l’analisi del rischio, preparare l’inventario e definire il piano di transizione. Entro la fine del 2030 dovranno migrare i casi d’uso ad alto rischio, nei quali gli algoritmi vulnerabili non potranno più essere usati da soli. Per tutti gli altri casi, la scadenza è il 2035.

A gennaio 2026 si è aggiunto il G7 Cyber Expert Group, con una roadmap dedicata al settore finanziario⁴. Non impone obblighi, ma fissa il 2035 come traguardo per l’intero comparto e invita ad anticipare tra il 2030 e il 2032 la migrazione dei sistemi critici. Probabilmente anche le autorità di vigilanza finiranno per usarla come riferimento.

In Italia, il punto di riferimento è l’Agenzia per la Cybersicurezza Nazionale. Dal 2024 le sue linee guida sulle funzioni crittografiche includono un volume dedicato alla crittografia post-quantum. A maggio 2026 l’Agenzia ha aggiornato il volume su TLS, che indica lo scambio di chiavi ibrido tra uno schema classico e ML-KEM come risposta all’harvest now, decrypt later, e ha pubblicato un nuovo volume sulle firme digitali⁵. Quest’ultimo raccomanda di sostituire «al più presto» gli schemi di firma classici con soluzioni post-quantum, di affiancare ML-DSA a uno schema classico e di adottare livelli di sicurezza di almeno 192 bit.

Per le banche conta anche DORA. Gli standard tecnici sulla gestione del rischio ICT chiedono che la politica sui controlli crittografici preveda l’aggiornamento della tecnologia crittografica in base agli sviluppi della crittanalisi⁶. La minaccia quantistica rientra pienamente in questo quadro.

Per un intermediario finanziario, il 2030 è vicino. Lo stesso NIST ricorda che il percorso dalla standardizzazione di un algoritmo alla sua piena integrazione nei sistemi informativi può richiedere dai 10 ai 20 anni²: chi partirà nel 2027 avrà pochissimo margine.

Crypto-agility e approccio ibrido: come preparare la migrazione

Molti progetti partono da una logica che sembra semplice: sostituire RSA con ML-KEM ed ECDSA con ML-DSA. Sulla carta funziona. Nei sistemi reali, no: non basta.

Gli algoritmi post-quantum hanno ancora una storia breve. Nel 2022, per esempio, un attacco eseguibile in circa un’ora su un normale computer ha violato SIKE, uno dei candidati più studiati della competizione NIST⁷. Questo non rende fragili ML-KEM o ML-DSA. Dimostra, piuttosto, che bisogna poter sostituire rapidamente un algoritmo quando emerge una debolezza.

Quanto possiamo fidarci di algoritmi così giovani? Matthew Green, crittografo della Johns Hopkins University, ha cercato di quantificarlo in uno studio pubblicato in bozza a ottobre 2026⁸. Ha contato il lavoro pubblico di crittanalisi dedicato alle diverse famiglie matematiche. Secondo le sue stime, intorno al 2017 i reticoli su cui si basano ML-KEM e ML-DSA hanno superato le curve ellittiche per numero di pubblicazioni. Oggi, nel complesso, ne contano circa 1,8 volte tante, con valori compresi tra 1,3 e 2,6 a seconda del metodo di conteggio.

Green, però, invita alla cautela. L’analisi è stata condotta da modelli di intelligenza artificiale sotto la sua supervisione, ma nessuno ha ancora verificato sistematicamente a mano la classificazione degli articoli. Contare le pubblicazioni, inoltre, non equivale a misurare il tempo dedicato alla ricerca. Restano esclusi il lavoro riservato, i tentativi falliti e quelli mai pubblicati. Il punto è questo: le cifre descrivono la quantità dello sforzo, non la sicurezza degli algoritmi né la probabilità di un attacco.

Lo studio registra comunque un cambiamento concreto: l’intelligenza artificiale riduce il costo della crittanalisi. A luglio 2026, Anthropic ha comunicato che Claude Mythos Preview, uno dei suoi modelli, aveva individuato un attacco contro HAWK, uno schema di firma su reticoli in gara al NIST e poi ritirato dagli stessi autori. Di fatto, l’attacco dimezza la forza della chiave⁹. Il lavoro ha richiesto circa 60 ore e circa 100.000 dollari di costi di utilizzo del modello. Non si tratta di una compromissione completa, e Anthropic precisa che il risultato non riguarda gli altri candidati né la crittografia su reticoli in generale, e quindi nemmeno ML-KEM e ML-DSA.

Per chi prepara la migrazione, però, il segnale è rilevante: se trovare una debolezza costa meno, potrebbe emergere in meno tempo.

La crittanalisi classica manda lo stesso segnale. A settembre 2026, Stephen Weis, membro dello staff tecnico di Anthropic, ha annunciato la fattorizzazione di RSA-896, un numero di 270 cifre, ottenuta facendo adattare a Claude il software CADO-NFS per l’esecuzione su GPU: circa dieci giorni di calcolo su fino a 2.048 GPU¹⁰. RSA-2048 resta fuori dalla portata dei computer classici, ma il primato pubblico è avanzato. Ludovic Perret ha discusso entrambi i casi a FCiR26, il convegno sulla crittografia per il settore finanziario organizzato da Banca d’Italia e De Cifris il 6 ottobre 2026¹¹.

Qui entra in gioco la crypto-agility. Significa separare la crittografia dal codice applicativo e gestirla in modo centralizzato, usando librerie e servizi sostituibili, politiche configurabili e regole chiare per la gestione delle chiavi, come quelle della NIST SP 800-57¹². Se si scrivono algoritmi e lunghezze delle chiavi direttamente nel codice, ogni modifica si propaga in molti punti. Se invece il sistema li astrae, può bastare cambiare una configurazione.

L’altro pilastro è l’approccio ibrido. Durante la transizione, un algoritmo classico lavora insieme a uno post-quantum: se uno cede, l’altro continua a proteggere i dati. Non è solo teoria. Lo scambio di chiavi ibrido X25519MLKEM768 è già attivo per impostazione predefinita nei principali browser e in molte reti di distribuzione dei contenuti. La versione finale della NIST SP 800-227, pubblicata a settembre 2025, indica come gestire i meccanismi di incapsulamento delle chiavi, compresi quelli ibridi¹³. L’ETSI tratta lo stesso tema nella TS 103 744¹⁴. Per le firme destinate a durare a lungo, come quelle del firmware, si possono invece usare schemi basati su hash quali LMS e XMSS, descritti nella NIST SP 800-208¹⁵.

Sull’ibrido non esiste ancora una posizione condivisa. Come ha ricordato Perret, Francia, Germania e le istituzioni europee raccomandano schemi ibridi nel breve e medio periodo; Regno Unito e Stati Uniti accettano anche soluzioni solo post-quantum¹¹. Un gruppo bancario attivo in più giurisdizioni deve tenerne conto nelle scelte architetturali.

Project Leap: cosa emerge dai test sui pagamenti

Per il settore finanziario europeo, soprattutto quello italiano, Project Leap è il caso più interessante. La seconda fase si è conclusa a dicembre 2025 e ha riunito BIS Innovation Hub Eurosystem Centre, Banca d’Italia, Banque de France, Deutsche Bundesbank, Nexi-Colt e Swift¹⁶.

L’esperimento ha sostituito le firme tradizionali con firme post-quantum nei trasferimenti di liquidità tra banche centrali, nell’ambiente di test di T2, il sistema di regolamento lordo dell’Eurosistema. Il risultato principale è incoraggiante: la sostituzione funziona. Ma costa. Per adottare le nuove librerie, il progetto ha dovuto modificare numerosi componenti, e i test hanno rilevato differenze di prestazioni significative rispetto agli algoritmi classici. Gli autori restano quindi prudenti: prima di estendere la migrazione all’intero sistema finanziario servono altre prove.

Perret ha sottolineato a FCiR26 un dettaglio importante: nella configurazione esistente non si poteva adottare uno schema ibrido, e il progetto ha gestito le chiavi in software anziché negli HSM¹¹. Questo mostra quanto l’hardware crittografico possa diventare il collo di bottiglia della migrazione.

Per chi guida un’istituzione finanziaria, il messaggio è netto. Gli standard indicano già quali algoritmi adottare. La vera difficoltà riguarda tutto ciò che li circonda: connettori, formati, prestazioni, dati di riferimento e coordinamento tra soggetti diversi.

Chiavi e firme post-quantum: l’impatto sulle prestazioni

Il primo effetto riguarda le dimensioni. Una firma ECDSA su P-256 occupa appena 64 byte; una ML-DSA-65 arriva a 3.309 byte e la relativa chiave pubblica ne richiede 1.952¹⁷. Anche nello scambio delle chiavi la differenza resta marcata: 32 byte per una chiave pubblica X25519 contro 1.184 per ML-KEM-768.

Nei sistemi reali, numeri simili hanno conseguenze concrete. Le catene di certificati crescono e gli handshake TLS possono superare la finestra iniziale di TCP, imponendo round trip aggiuntivi. Alcuni apparati di rete, inoltre, faticano a gestire pacchetti più grandi del previsto. I sistemi più vecchi presentano altri vincoli: campi a lunghezza fissa, buffer progettati per firme molto più piccole e colonne di database troppo strette. ISO 20022 aiuta, perché offre più flessibilità dei vecchi messaggi MT. Gateway, conversioni e archivi che lo circondano, però, spesso restano rigidi.

Oggi lo scambio di chiavi è la parte più avanzata della transizione. Secondo i dati di Cloudflare Radar consultati il 13 ottobre 2026, nei sette giorni precedenti il 75,4% delle richieste HTTPS provenienti dall’Europa e gestite dalla rete di Cloudflare usava già uno scambio di chiavi post-quantum¹⁸. Le firme dei certificati, invece, restano RSA o ECDSA. È lì che il problema delle dimensioni si farà sentire. Tra le soluzioni allo studio in ambito IETF figurano i Merkle Tree Certificates, che riducono i byte di autenticazione per ogni handshake da circa 14,7 a circa 4,5 kB¹¹.

Poi c’è il costo di calcolo. In un sistema di pagamenti in tempo reale, pochi millisecondi in più su ogni messaggio diventano rilevanti quando le operazioni sono milioni. Bisogna misurarli durante i test, non scoprirli in produzione.

HSM e fornitori: le dipendenze della crittografia bancaria

Gli HSM, i moduli hardware che custodiscono le chiavi, sono il cuore della crittografia bancaria. Proprio qui la migrazione dipende in larga misura dai fornitori. Servono firmware compatibili con gli algoritmi post-quantum, validazioni FIPS 140-3 che li comprendano e risorse adeguate di memoria e calcolo. Le linee guida ACN segnalano, per esempio, che le implementazioni hardware di ML-DSA richiedono un componente dedicato, oggi complesso da realizzare in modo corretto e affidabile⁵. Non tutti gli apparati oggi installati potranno essere aggiornati. Il ciclo di vita di un HSM, del resto, è lungo: Swift, per esempio, indicava per gli HSM in uso nella propria rete un’aspettativa di vita di 8-10 anni¹⁹.

La stessa dipendenza coinvolge sistemi di pagamento, middleware, dispositivi e servizi cloud. Una banca può completare il lavoro interno e bloccarsi comunque davanti a un fornitore in ritardo. Per questo la roadmap post-quantum deve entrare nei contratti, non soltanto nei documenti tecnici.

Inventario crittografico e priorità di intervento

I progetti pilota fanno emergere spesso lo stesso problema: molte organizzazioni non sanno con precisione dove e come usano la crittografia. Applicazioni scritte decenni fa richiamano librerie ormai dimenticate. Script che nessuno mantiene più continuano a generare certificati. Alcuni chiamano questo fenomeno dark crypto.

Si parte dall’inventario: analisi di codice e binari, scansione del traffico e dei certificati, censimento delle chiavi conservate negli HSM. Le informazioni possono confluire in un Cryptographic Bill of Materials (CBOM), formato supportato da CycloneDX dalla versione 1.6²⁰. Senza una mappa dell’esistente non si costruisce un piano. La roadmap europea, inoltre, chiede di completarla entro la fine del 2026. In parte, l’inventario è già un requisito: lo standard PCI DSS (requisito 12.3.3) chiede un inventario aggiornato dei protocolli e delle suite crittografiche in uso, mentre le norme tecniche DORA impongono un registro dei certificati e dei dispositivi che li custodiscono^{6, 11}.

Poi si stabiliscono le priorità in base al rischio. Michele Mosca le riassume con una disuguaglianza semplice: se la durata richiesta della riservatezza, sommata al tempo necessario per migrare, supera il tempo che ci separa da un computer quantistico rilevante, quel dato è già esposto²¹. Per questo hanno la precedenza i flussi interbancari, gli archivi dei clienti e le chiavi delle infrastrutture di firma.

Il settore, però, parte con una preparazione ancora limitata. Nella call to action del febbraio 2025, il Quantum Safe Financial Forum promosso da Europol ha ricordato che, in un’indagine del 2023 su 200 dirigenti del settore, l’86% delle organizzazioni finanziarie si dichiarava impreparato alla sicurezza post-quantum²².

Governance post-quantum: le decisioni per CISO e vertici aziendali

Per i vertici aziendali, la migrazione post-quantum non riguarda soltanto gli specialisti. Coinvolge continuità operativa, conformità e reputazione. Proteggere nel tempo i dati dei clienti è un impegno che, una volta violato, non si può ripristinare. La direzione deve assegnare un mandato preciso, nominare un responsabile, garantire un budget pluriennale e chiedere aggiornamenti regolari sui progressi.

C’è anche il fattore economico. Secondo una stima del Boston Consulting Group, ripresa anche da Perret a FCiR26, la transizione può assorbire tra il 2,5 e il 5% del budget IT annuo; rinviarla rischia di raddoppiarne il costo²³.

Il CISO deve pianificare in base alle scadenze già note, non a una data del Q-Day che nessuno può prevedere. Nei prossimi dodici mesi, cinque azioni possono indicare una direzione concreta:

• completare l’inventario crittografico, organizzarlo come CBOM e mantenerlo aggiornato;
• classificare sistemi e dati in base al periodo di riservatezza richiesto;
• inserire nei contratti con i fornitori, partendo da quelli degli HSM, impegni precisi sulla roadmap post-quantum e sulla crypto-agility;
• avviare un progetto pilota ibrido su un canale esterno, per esempio TLS verso clienti o controparti;
• misurare sui flussi di pagamento reali l’impatto di firme e chiavi post-quantum, prima che la questione diventi urgente.

Chi parte adesso può procedere con metodo e per gradi. Chi rinvia rischia di affrontare la stessa transizione più avanti, con meno tempo e sotto la pressione di supervisori e fornitori. La governance pesa quanto la tecnologia. Le migrazioni crittografiche del passato hanno richiesto da dieci a vent’anni. Questa, come ha osservato Perret, ha invece una scadenza.

Note e riferimenti

J.-F. Bobier et al., Boston Consulting Group, How Quantum Computing Will Upend Cybersecurity, ottobre 2025. https://www.bcg.com/publications/2025/how-quantum-computing-will-upend-cybersecurity ↩

NIST, FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA), agosto 2024. https://csrc.nist.gov/projects/post-quantum-cryptography ↩

NIST IR 8547 (Initial Public Draft), Transition to Post-Quantum Cryptography Standards, novembre 2024. https://csrc.nist.gov/pubs/ir/8547/ipd ↩1 ↩2

NIS Cooperation Group, EU PQC Workstream, A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography, giugno 2025. https://digital-strategy.ec.europa.eu/en/library/coordinated-implementation-roadmap-transition-post-quantum-cryptography ↩

G7 Cyber Expert Group, Statement on Advancing a Coordinated Roadmap for the Transition to Post-Quantum Cryptography in the Financial Sector, gennaio 2026. https://home.treasury.gov/system/files/136/G7-CEG-Quantum-Roadmap.pdf ↩

Agenzia per la Cybersicurezza Nazionale, Linee Guida Funzioni Crittografiche: volume «Crittografia post-quantum e quantistica» (2024); «Transport Layer Security (TLS)», versione 2.0, 12 maggio 2026; «Firme Digitali», versione 1.0, 12 maggio 2026. https://www.acn.gov.it/portale/crittografia/linee-guida-funzioni-crittografiche ↩1 ↩2

Regolamento delegato (UE) 2024/1774 (RTS sul quadro di gestione del rischio ICT ai sensi del Regolamento (UE) 2022/2554, DORA), art. 6 “Cifratura e controlli crittografici” (par. 4) e art. 7 “Gestione delle chiavi crittografiche” (par. 4, registro dei certificati). ↩1 ↩2

W. Castryck, T. Decru, An efficient key recovery attack on SIDH, Eurocrypt 2023 (IACR ePrint 2022/975). ↩

M. Green, How Hard Have We Looked? Measuring Public Cryptanalytic Effort, working draft, dati al 9 ottobre 2026. Analisi condotta con modelli AI sotto la supervisione dell’autore; l’autore avverte che i dati sono stime di ordine di grandezza, non ancora validate da revisione umana, e non misurano la sicurezza degli algoritmi. https://bitsofwork.org ↩

Anthropic, Frontier Red Team, Discovering cryptographic weaknesses, 28 luglio 2026. https://www.anthropic.com/research/discovering-cryptographic-weaknesses. HAWK è uno dei nove candidati ammessi a maggio 2026 al terzo round del processo NIST sulle firme aggiuntive. Il 29 luglio 2026, L. Ducas, a nome del team HAWK, ha annunciato il ritiro della candidatura dal processo NIST; NIST ha aggiornato lo stato del terzo round lo stesso giorno (NIST pqc-forum, thread «HAWK-n Key Recovery Reduces to SVP in Dimension n/2 + 1», aperto il 28 luglio 2026). https://groups.google.com/a/list.nist.gov/g/pqc-forum/c/2r2u6SbHun4/m/S-ZUsHNICQAJ ↩

S. A. Weis, annuncio della fattorizzazione di RSA-896, settembre 2026; si veda M. Ivezic, «RSA-896 Factored With Claude on Spare GPUs, 16 Days After RSA-260», PostQuantum.com, 19 settembre 2026. https://postquantum.com/security-pqc/rsa-896-factored-claude-gpus/ ↩

L. Perret (SecuSys/LRE/EPITA; LIP6 – Sorbonne Université), Post-Quantum Migration in the Financial Sector, intervento a FCiR26 – Financial Cryptography in Rome, Banca d’Italia e De Cifris, Roma, 6 ottobre 2026. Slide: https://bit.ly/4zuOSzp; pagina dell’evento: https://www.decifris.it/fcir26 ↩1 ↩2 ↩3 ↩4 ↩5

NIST SP 800-57 Part 1 Rev. 5, Recommendation for Key Management, 2020. ↩

NIST SP 800-227, Recommendations for Key-Encapsulation Mechanisms, settembre 2025. https://csrc.nist.gov/pubs/sp/800/227/final ↩

ETSI TS 103 744 V1.2.1, CYBER; Quantum-Safe Cryptography (QSC); Quantum-safe Hybrid Key Establishment, marzo 2025. ↩

NIST SP 800-208, Recommendation for Stateful Hash-Based Signature Schemes, 2020. ↩

BIS Innovation Hub, Project Leap Phase 2: quantum-proofing payment systems, dicembre 2025. https://www.bis.org/publ/othp107.htm; Banca d’Italia, comunicato su Project Leap Phase 2. ↩

Dimensioni per i parametri ML-DSA-65 e ML-KEM-768 come da FIPS 204 e FIPS 203. ↩

Cloudflare Radar, Post-Quantum Encryption – Europe, quota di richieste HTTPS con scambio di chiavi post-quantum sulla rete Cloudflare: 75,4% (ultimi 7 giorni, consultato il 13 ottobre 2026). Il dato misura il traffico verso Cloudflare, non l’intero web. https://radar.cloudflare.com/post-quantum/europe ↩

Swift, Hardware Security Module, pagina prodotto: gli HSM Thales Luna introdotti nel 2013 avevano un’aspettativa di vita di 8-10 anni, con fine vita nel 2025 e programma di sostituzione 2023-2025. https://swift.com/products/hardware-security-module ↩

OWASP CycloneDX, specifica 1.6, Cryptographic Bill of Materials (CBOM). https://cyclonedx.org/capabilities/cbom/ ↩

M. Mosca, Cybersecurity in an Era with Quantum Computers: Will We Be Ready?, IEEE Security & Privacy, 16(5), 2018. ↩

Europol, Quantum Safe Financial Forum, A Call to Action, febbraio 2025. https://www.europol.europa.eu/publications-events/publications/quantum-safe-financial-forum-call-to-action ↩