PQC na União Europeia: o roteiro começou, mas não criou um prazo geral para empresas

O calendário existe, mas é necessário identificar o seu destinatário

A Comissão adotou em abril de 2024 uma recomendação para que os Estados-Membros desenvolvessem uma estratégia coordenada. O primeiro roteiro do NIS Cooperation Group foi publicado em junho de 2025 como documento de alto nível dirigido aos Estados-Membros.

A comunicação oficial pede que todos os Estados-Membros iniciem a transição até ao fim de 2026 e que a proteção das infraestruturas críticas transite tão cedo quanto possível, no máximo até ao fim de 2030.

Essas datas informam planeamento público, prioridades críticas e futuras decisões nacionais. Não demonstram, sem outra base legal ou contratual, que uma empresa portuguesa comum tenha um prazo vinculativo em 2026 ou 2030.

Separar política pública, standard técnico e obrigação aplicável

Três camadas aparecem frequentemente misturadas: o roteiro europeu define direção política; os standards técnicos definem mecanismos implementáveis; uma obrigação empresarial define quem deve fazer o quê e em que prazo.

A empresa deve citar cada camada pelo nome. Dizer que o roteiro torna PQC prioritário é correto. Dizer que a União Europeia obrigou todas as empresas a concluir a migração até 2026 não é suportado pelas fontes.

Fornecedores de infraestrutura crítica podem receber exigências mais cedo por regras nacionais, supervisão, contratos ou requisitos dos clientes. Essa aplicabilidade deve ser demonstrada para a entidade e o serviço concretos.

Começar pela criptografia que a organização não sabe que utiliza

O projeto NCCoE separa a migração em descoberta de criptografia e testes de interoperabilidade. O inventário suporta decisões de risco e ajuda a localizar onde os novos standards terão de ser integrados.

O âmbito inicial é criptografia assimétrica: estabelecimento de chaves, certificados, assinaturas e protocolos que dependem dessas funções. O registo precisa de ligar cada uso ao dado protegido, tempo de confidencialidade, ciclo de vida do sistema, fornecedor e proprietário.

Uma lista de bibliotecas instaladas é insuficiente. Certificados geridos por CDN, HSM, equipamentos de rede, firmware, identidades de dispositivos e serviços SaaS podem esconder decisões criptográficas fora do código da empresa.

Priorizar pela vida do dado e pela dificuldade de mudança

O risco não depende apenas de quando poderá existir um computador quântico relevante. Depende também de quanto tempo os dados precisam de permanecer confidenciais e de quanto tempo a organização demora a alterar sistemas, dispositivos, PKI e relações de confiança.

Standards de algoritmo não completam a migração. ENISA destaca o trabalho de integrar PQC em protocolos existentes; o NCCoE testa implementações para encontrar incompatibilidades num ambiente controlado antes da produção.

Pilotos devem medir tamanhos de mensagens e certificados, latência, CPU, memória, limites de equipamentos, comportamento de clientes antigos, observabilidade, rotação, revogação e rollback.

Um programa de 90 dias para sair do PowerPoint

O objetivo dos primeiros 90 dias não é migrar toda a organização. É criar governo, descobrir a exposição, selecionar casos prioritários e produzir pelo menos um resultado de interoperabilidade reproduzível.

A sequência abaixo é uma proposta editorial da Velqory, não um prazo oficial europeu. O roteiro europeu fornece direção e marcos para Estados-Membros; a cadência empresarial deve seguir criticidade, ciclos de vida e obrigações realmente aplicáveis.

Cada decisão deve conservar evidência: fonte técnica, dono, sistema, dados protegidos, hipótese testada, métricas, falhas, rollback e próxima revisão.

• Mandato e proprietário executivo para a transição criptográfica.
• Inventário inicial com cobertura, confiança e lacunas declaradas.
• Lista priorizada de casos com vida do dado e esforço de mudança.
• Questionário a fornecedores com produto, versão, protocolo, standard, disponibilidade e limitações.
• Relatório de piloto com interoperabilidade, desempenho, segurança, rollback e decisão de continuidade.