Singapore fissa le scadenze quantum-safe e finanzia la migrazione OT

Il 16 ottobre 2026 la Cyber Security Agency of Singapore (CSA) ha pubblicato una nuova advisory sulla migrazione verso una crittografia resistente ai computer quantistici. Il documento è rivolto alle organizzazioni esposte al rischio informatico di origine quantistica e fissa date precise. Cita esplicitamente anche i sistemi OT e legacy tra i casi d'uso prioritari.

Le scadenze indicate

La CSA raccomanda alle organizzazioni esposte di rispettare queste tappe:

• entro il 2027: avere un piano di migrazione;
• entro il 2035: completare la transizione, in linea, secondo la fonte, con le indicazioni internazionali;
• entro il 2031: per i sistemi delle Critical Information Infrastructure (CII), traguardo derivato dalle linee guida che la CSA ha inviato ai proprietari di CII a giugno 2026.

Il Quantum-Safe Kickstarter Grant

Accanto alle scadenze arriva un incentivo: il Quantum-Safe Kickstarter Grant, un finanziamento iniziale a tempo per progetti pilota. Il programma va dal 1° novembre 2026 al 31 ottobre 2027 e ogni pilota può durare fino a sei mesi. È aperto a tutte le organizzazioni, con priorità ai proprietari di CII, e chi partecipa deve riportare i risultati ottenuti e l'impatto dimostrato.

I casi d'uso prioritari sono:

• migrazione end-to-end di applicazioni o sistemi;
• scoperta e inventario crittografico;
• migrazione di sistemi OT, legacy e ad alta intensità infrastrutturale.

La CSA ha inoltre aggiornato il Quantum Readiness Index e il Quantum-Safe Handbook dopo una consultazione pubblica.

Perché la crittografia è un problema di lungo periodo

Non è certo quando i computer quantistici saranno in grado di violare la crittografia oggi più diffusa. La CSA sottolinea però che la crittografia è inserita in applicazioni, reti e infrastrutture e coinvolge molti fornitori. Individuare le dipendenze e sostituirle senza interrompere le operazioni richiede tempo, in particolare per infrastrutture critiche e sistemi legacy.

La crittografia è ovunque: trovarla e cambiarla senza fermare le operazioni richiede anni, non settimane.

Primi passi suggeriti dall'handbook

L'handbook consiglia di non tentare un audit totale in un colpo solo, ma di partire dai sistemi più esposti:

• dati che devono restare riservati per anni;
• sistemi esposti a internet, come VPN, e-mail e servizi cloud;
• apparati a lunga vita utile, come building management system, sistemi di controllo industriale e macchinari di produzione, difficili da aggiornare rapidamente.

Seguono l'assegnazione di responsabilità chiare, per esempio con un modello RACI, l'individuazione, valutazione e test di soluzioni quantum-safe per i sistemi prioritari e il coinvolgimento di fornitori e partner tecnologici. Le fonti consultate non coprono gli ulteriori passaggi.

Cosa significa per i team OT

Gli impianti industriali sono citati tra gli asset longevi e difficili da aggiornare. Un punto di partenza pratico è un inventario crittografico di PLC, HMI, SCADA, accessi remoti e collegamenti VPN: quali protocolli e algoritmi usano, quali firmware li gestiscono, quale fornitore è responsabile dell'aggiornamento.

Il grant è un programma di Singapore e la fonte non indica se esistano misure equivalenti in altre regioni. Tuttavia le tappe del 2027, 2031 e 2035 offrono un calendario di riferimento anche per chi opera altrove, con cicli di vita degli impianti che spesso superano i dieci anni.

Un'indicazione pratica

Nei prossimi mesi conviene definire un responsabile, scegliere un perimetro limitato di sistemi esposti o a lunga vita e avviare l'inventario, per poi interpellare i fornitori sulle loro roadmap. Un piano di migrazione entro il 2027 è un obiettivo realistico se si comincia dalla visibilità su ciò che oggi è in campo.