Empfehlung (EU) 2024/1101 der Kommission vom 11. April 2024 über einen Fahrplan für die koordinierte Umsetzung des Übergangs zur Post-Quanten-Kryptografie

Die Empfehlung (EU) 2024/1101 ist eine Empfehlung der Kommission auf Grundlage von Artikel 292 AEUV und damit ein unionsrechtlicher Soft-Law-Akt ohne unmittelbare verbindliche Rechtswirkung für Mitgliedstaaten oder private Akteure. Systematisch steht sie im Kontext des europäischen Cyber- und Binnenmarktrechts und knüpft insbesondere an die NIS-2-Richtlinie an, ohne diese zu ändern oder selbst technische Pflichten festzulegen. Inhaltlich zielt sie auf einen unionsweit koordinierten Übergang zur Post-Quanten-Kryptografie zum Schutz digitaler Infrastrukturen und Dienste öffentlicher Verwaltungen sowie anderer kritischer Infrastrukturen. Vorgesehen sind insbesondere ein gemeinsamer Fahrplan, eine Untergruppe im Rahmen der NIS-Kooperationsgruppe, die Abstimmung nationaler Pläne, die Unterstützung bei der Auswahl geeigneter Algorithmen und eine spätere Überprüfung der Fortschritte. • Der Anwendungsbereich erfasst in erster Linie die Mitgliedstaaten, die nationale Strategien, sachverständige Vertreter und spätere nationale Umstellungspläne entwickeln und auf Unionsebene koordinieren sollen. Mittelbar betroffen sind öffentliche Verwaltungen, nationale Sicherheits- und Cybersicherheitsbehörden, ENISA, Betreiber kritischer Infrastrukturen, Diensteanbieter, Branchenvertreter und beratende öffentliche Organisationen, soweit sie in die Planung, Abstimmung oder Umsetzung des Übergangs eingebunden werden. Die Empfehlung sieht keine unmittelbar geltenden Detailpflichten für private Marktteilnehmer vor, sondern adressiert vor allem staatliche Koordinierungs- und Vorbereitungshandlungen. Ausnahmen im Sinne ausdrücklich ausgenommener Sektoren oder Akteure werden nicht eigenständig geregelt; die Beteiligung weiterer Interessenträger ist vielmehr bedarfsabhängig ausgestaltet und erfolgt im Einklang mit Wettbewerbs- und Datenschutzrecht der Union. • In der Praxis bedeutet dies, dass zunächst keine sofort vollziehbaren Umrüstungspflichten entstehen, wohl aber ein erheblicher politischer und organisatorischer Erwartungsdruck zum frühzeitigen Aufbau von Umstellungsstrategien. Mitgliedstaaten sollen Fachstrukturen schaffen, Bestandsaufnahmen vorbereiten, Migrationspfade und Zeitpläne abstimmen und die künftige Auswahl unionsweit geeigneter Post-Quanten-Verfahren begleiten. Für öffentliche Stellen und kritische Infrastrukturen ist die Empfehlung damit ein Signal, bestehende kryptografische Abhängigkeiten frühzeitig zu prüfen und den Übergang planbar vorzubereiten, bevor später verbindlichere Unionsakte folgen.

Stand: 30.06.2026

Mitgliedstaaten: • Pflicht: Eine umfassende Strategie für die Einführung der Post-Quanten-Kryptografie vorbereiten und einen nationalen Übergang planerisch auf einen gemeinsamen unionsweiten Fahrplan ausrichten. • Pflicht: Zügig eine Untergruppe für Post-Quanten-Kryptografie im Rahmen der bestehenden Unionsstrukturen unterstützen und sachverständige Vertreter benennen. • Pflicht: Auf Anfrage der Kommission zweckdienliche Informationen zum Stand der Ausarbeitung, Koordinierung und Wirksamkeit der Maßnahmen übermitteln. • Empfehlung: Frühzeitig nationale Bestandsaufnahmen kryptografischer Abhängigkeiten, Prioritäten und Migrationspfade für öffentliche Dienste und kritische Infrastrukturen strukturieren. Kommission: • Pflicht: Die Arbeiten in Zusammenarbeit mit den sachverständigen Vertretern der Mitgliedstaaten regelmäßig überwachen und bewerten. • Pflicht: Den Informationsfluss zur Fortschrittsverfolgung organisieren und auf Grundlage der verfügbaren Informationen die Wirksamkeit der Maßnahmen beurteilen. • Pflicht: Spätestens nach dem vorgesehenen Bewertungszeitraum prüfen, ob zusätzliche Maßnahmen bis hin zu Vorschlägen für verbindliche Unionsrechtsakte erforderlich sind. • Empfehlung: Die Koordinierung so ausrichten, dass unionsweite Interoperabilität, Verhältnismäßigkeit und Anschlussfähigkeit an spätere Normungsprozesse gewahrt bleiben. Untergruppe für Post-Quanten-Kryptografie / sachverständige Vertreter: • Pflicht: Den Fahrplan für die koordinierte Umsetzung der Post-Quanten-Kryptografie ausarbeiten und die nationalen Bemühungen fachlich abstimmen. • Pflicht: Geeignete, wirksame und verhältnismäßige Maßnahmen für die Festlegung und Koordinierung des Übergangs erörtern. • Pflicht: Beiträge relevanter Interessenträger einholen und den Austausch über den Übergang in verschiedenen Sektoren fördern. • Empfehlung: Doppelarbeit durch Abstimmung mit anderen einschlägigen Einrichtungen vermeiden und sektorübergreifende Umsetzungshemmnisse früh adressieren. Nationale Sicherheitsbehörden, nationale Cybersicherheitsbehörden und ENISA: • Pflicht: Fachliche Expertise für die Ausarbeitung des Fahrplans sowie für die Bewertung und Auswahl geeigneter Post-Quanten-Algorithmen einbringen. • Pflicht: An der Koordinierung der Übergangsplanung und am Informationsaustausch über sektorale Umsetzungsfragen mitwirken. • Pflicht: Die harmonisierte Umsetzung unter Beachtung von Wettbewerbs- und Datenschutzrecht unterstützen. • Empfehlung: Technische Leitlinien, Priorisierungskriterien und interoperable Vorgehensweisen für hybride Übergangslösungen vorbereiten. Öffentliche Verwaltungen, Betreiber kritischer Infrastrukturen, Diensteanbieter und Branchenvertreter: • Pflicht: Unmittelbare Rechtspflichten werden durch die Empfehlung nicht direkt begründet; eine Mitwirkung kann jedoch im Rahmen der eingeladenen Beteiligung an Informationsaustausch und Beiträgen zum Fahrplan erfolgen. • Pflicht: Soweit eingebunden, Informationen zu Übergangsbedarfen, sektoralen Besonderheiten und technischen Abhängigkeiten bereitstellen. • Pflicht: Soweit beteiligt, an der Vorbereitung praktikabler Umstellungsansätze für bestehende Systeme und Dienste mitwirken. • Empfehlung: Bereits vor verbindlichen Vorgaben kryptografische Altverfahren, Austauschbedarfe und Anforderungen an hybride Systeme identifizieren.