Kvantsäker kryptering i Sverige och EU: regler, ansvar och val för verksamheter

Kvantsäker kryptering är normalt inte ett fristående lagkrav i Sverige, men befintliga regler kan göra frågan relevant beroende på data, sektor och system.

För många verksamheter handlar beslutet därför om att kunna visa en rimlig riskhantering, inte om att byta all kryptografi omedelbart. GDPR, NIS2, produktkrav och regler för betrodda tjänster kan påverka både teknikval och ansvarsfördelning.

En tidig inventering av certifikat, nycklar och information med lång sekretesslivslängd ger ofta bättre beslutsunderlag än ett snabbt produktval. Vid upphandling bör kostnaden för integration, drift, kompetens och leverantörsstöd vägas in tillsammans med licens- eller tjänstepriset.

Det kan vara klokt att jämföra intern implementation, managed kryptotjänst och extern säkerhetsgranskning utifrån samma kravlista.

Översikt

• Lagkrav: Kvantsäker kryptering har sällan en egen, heltäckande lag. Kraven följer i stället av användning, risk och sektor.
• Riskbaserad rekommendation: Inventera kryptografi och prioritera data som behöver vara skyddad under lång tid innan en migrering beslutas.
• Bevaka: NIS2, GDPR, produktkrav, eIDAS och utvecklingen kring certifiering samt sektorsspecifika krav kan påverka valen.

Alternativ	Kostnadsmodell	Huvudansvar	Integrationsbehov	Passar ofta när
Intern implementation	Egen planering, drift och kompetens	Verksamheten bär ett stort operativt ansvar	Kan beröra system, certifikat och nyckelhantering	Organisationen har tydliga interna säkerhetsresurser
Managed kryptotjänst	Löpande tjänste- och supportkostnader	Ansvar behöver delas och dokumenteras tydligt	Beror på gränssnitt, dataflöden och leverantörsmodell	Verksamheten vill minska egen driftbörda
Extern säkerhetsgranskning	Avgränsat konsult- eller granskningsuppdrag	Beslut och efterlevnad ligger fortsatt hos verksamheten	Fokuserar på kartläggning, kravbild och risker	Underlag saknas inför upphandling eller migrering

Det korta svaret: reglerna styrs av användning och risk

Det finns i regel ingen enskild svensk eller EU-rättslig lag som enbart reglerar kvantsäker kryptering. Bedömningen utgår i stället från vilken information som skyddas, vilken verksamhet som bedrivs och vilka system som påverkas. En organisation som behandlar känsliga personuppgifter, driver viktiga digitala tjänster eller använder elektroniska signaturer kan därför ha fler frågor att utreda än en verksamhet med begränsade interna dataflöden.

Kvantsäkerhet är främst en fråga om befintliga regelverk

Krypteringsmodernisering bör kopplas till befintliga krav på informationssäkerhet, riskhantering och dokumentation. Det innebär att det sällan räcker att hänvisa till att en produkt är “quantum safe”. Verksamheten behöver kunna förklara varför lösningen valts, vilka beroenden den har och hur den passar den egna riskbilden.

När krypteringsval blir en lednings- och compliancefråga

När NIS2 eller liknande krav blir relevanta hamnar ledningsansvar, incidenthantering och leverantörskedjan närmare själva teknikvalet. Ett byte av algoritm kan påverka certifikat, autentisering, backup, återställning och avtal med externa IT-leverantörer. Därför är en compliance-granskning eller säkerhetskonsulting ofta mest användbar tidigt, innan ett större inköp låser arkitekturen.

Tre frågor att besvara innan en migrering startar

• Vilka data, system, certifikat och nycklar behöver skyddas, och vilka har lång sekretesslivslängd?
• Vilka regelverk, kundkrav och interna säkerhetsmål är faktiskt tillämpliga?
• Vilket ansvar kan verksamheten behålla själv och vilket ansvar ska regleras med leverantörer?

Regelverk som kan påverka svenska verksamheter

Regelbilden består av flera delar. Det centrala är att skilja på bindande krav, myndighetsvägledning, avtalskrav från kunder och egna säkerhetsmål. De kan peka åt samma håll, men de är inte samma sak.

GDPR och skydd av personuppgifter över lång tid

GDPR kräver lämpliga tekniska och organisatoriska säkerhetsåtgärder när personuppgifter behandlas. Kryptering kan vara en relevant åtgärd, men lämpligheten bedöms utifrån risknivån. För data som kan behöva vara konfidentiell under lång tid bör organisationen undersöka om nuvarande kryptografi, nyckelhantering och lagringstid tillsammans ger ett rimligt skydd.

NIS2, riskhantering och krav på leverantörskedjan

NIS2 skärper fokus på cybersäkerhet för berörda verksamheter. Riskhantering, incidenthantering, ledningsansvar och leverantörskedjor blir då viktiga delar av underlaget. Vid val av postkvantkryptografi eller managed kryptotjänst bör avtal och dokumentation tydliggöra ansvar för drift, uppdateringar, incidenter, support och förändringar i beroenden.

Digitala produkter, identiteter och betrodda tjänster

EU:s Cyber Resilience Act kan vara relevant för cybersäkerhetsegenskaper hos vissa produkter med digitala delar, särskilt för tillverkare och leverantörer av säkerhetsprodukter. När krypteringen berör elektroniska identiteter, elektroniska signaturer, certifikat eller betrodda tjänster kan även eIDAS-ramverket få betydelse. Exakt tillämplighet behöver bedömas för den aktuella produkten och verksamheten.

Jämför tekniska vägar och affärsmässig konsekvens

Teknikvalet bör inte börja med en allmän fråga om vilken metod som är “bäst”. Postkvantkryptografi, kvantnyckeldistribution och klassisk kryptografi i hybridläge har olika förutsättningar för drift, integration, upphandling och leverantörsberoende.

Postkvantkryptografi: mjukvarunära migrering och kompatibilitet

Postkvantkryptografi kan ofta bedömas som en migreringsfråga nära programvara, protokoll, certifikat och nyckelhantering. Den praktiska frågan är inte bara om en algoritm kan användas, utan om den fungerar med befintliga system, externa motparter och återställningsrutiner. En offert för kryptografiska lösningar bör därför omfatta integrationsstöd, versionshantering, dokumentation och testmöjligheter.

Kvantnyckeldistribution: infrastruktur, drift och användningsfall

Kvantnyckeldistribution är ett annat tekniskt angreppssätt än postkvantkryptografi. Det kan innebära andra krav på infrastruktur, drift och leverantörsberoende. Bedöm därför hela lösningen: var den kan användas, vilka anslutningar som krävs, hur nycklar hanteras och hur tjänsten passar i den befintliga säkerhetsarkitekturen.

Hybridlösningar och varför övergången ofta sker stegvis

Europeiska rekommendationer om övergång till postkvantkryptografi pekar på inventering, planering och stegvis migrering snarare än ett omedelbart totalbyte. Ett hybridläge kan vara relevant under övergången, men behöver granskas för kompatibilitet och ansvar. Undvik att anta att ett stegvis införande automatiskt löser alla risker; även mellanläget behöver övervakas och dokumenteras.

Praktisk arbetsgång och vanliga fallgropar

En genomförbar plan börjar med överblick. Det minskar risken att organisationen köper en lösning för ett avgränsat problem men missar beroenden i exempelvis autentisering, integrationer eller arkiverad information.

Kartlägg kryptografi, certifikat, nycklar och beroenden

Gör en strukturerad inventering av var kryptografi används. Omfatta system, API:er, certifikat, nycklar, externa anslutningar, backup och molntjänster. Skriv också ned vem som äger varje beroende och vem som kan ändra det. Detta är ett användbart underlag för både säkerhetsgranskning och upphandling.

Prioritera information med lång sekretesslivslängd

Alla system behöver inte hanteras samtidigt. Prioritera information som har högt skyddsvärde och kan behöva hållas konfidentiell under lång tid. Det hjälper verksamheten att koppla teknisk modernisering till konkret risk, i stället för att göra ett brett byte utan tydlig prioritering.

Testa interoperabilitet, prestanda och återställningsrutiner

Testa hur lösningen samverkar med interna system, partners och befintliga certifikatflöden. Kontrollera även prestanda, loggning, incidenthantering och återställning. En teknik som fungerar i ett isolerat test kan få andra konsekvenser i produktion, särskilt när flera leverantörer ansvarar för olika delar.

Undvik att förväxla marknadsföringspåståenden med verifierade säkerhetskrav

Begrepp som “kvantsäker” beskriver inte i sig vilka krav en produkt uppfyller. Be om tydlig dokumentation om användningsområde, integrationer, driftansvar och hur förändringar hanteras. Fråga också vad som är en produktfunktion, vad som kräver extern konfiguration och vad som fortfarande måste kontrolleras av den egna organisationen.

Situationsanpassade råd för olika verksamheter

Rimligt nästa steg varierar med verksamhetens uppdrag, data och interna förmåga. Samma teknikval passar inte alltid en kommun, en vårdgivare, ett finansbolag och ett mindre tjänsteföretag.

Offentlig sektor och upphandling med tydliga kravspecifikationer

Offentliga verksamheter vinner på att dela upp kraven i regelefterlevnad, informationssäkerhet, teknisk kompatibilitet, dokumentation och support. En tydlig kravspecifikation minskar risken att jämföra erbjudanden som använder samma ord men täcker olika ansvar. Ställ krav på transparent ansvarsfördelning mellan organisation, systemintegratör och säkerhetsleverantör.

Finans, vård och andra verksamheter med känsliga eller långlivade data

För verksamheter med känsliga eller långlivade data bör prioriteringen knytas till informationsklassning och sekretessbehov. Här kan extern säkerhetsgranskning ge stöd för att bedöma kryptografiska beroenden och leverantörskedjor. Det är dock organisationens egen situation som avgör vilka krav som faktiskt gäller.

Små och medelstora företag: när managed tjänst eller extern expertis kan vara rimlig

Små och medelstora företag har inte alltid egen specialistkompetens för kryptografisk migrering. En managed kryptotjänst eller avgränsad konsultinsats kan då vara rimlig, men endast om ansvar, support och integrationer är begripliga. Jämför inte bara månadskostnaden utan också kostnader för införande, kompetens, uppgraderingar och beroende av leverantören.

Val- och jämförelseguide inför nästa beslut

Bedöm lösningen utifrån tillämpliga regelverk, dokumenterat ansvar, integrationsförmåga, total kostnad och möjlighet att förändra lösningen över tid. Kontrollera särskilt vilka system som påverkas, hur data med lång sekretesslivslängd prioriteras, vem som ansvarar för nycklar och certifikat samt vilket stöd som erbjuds vid incidenter och uppgraderingar. Jämför intern drift, managed tjänst och extern säkerhetsgranskning med samma kravlista. Begär jämförbara underlag från leverantörer och säkerhetskonsulter utifrån samma kravlista.

Krav på regelefterlevnad, dokumentation och ansvarsfördelning

Efterfråga dokumentation som visar vad leverantören ansvarar för och vad kunden ansvarar för. Detta omfattar bland annat drift, konfigurering, uppdateringar, loggning, incidenthantering och stöd vid förändrade krav. För verksamheter med flera IT-partner är gränsdragningen ofta viktigare än enskilda produktfunktioner.

Jämför total kostnad: implementation, drift, support och uppgraderingar

En kostnadsbedömning bör inkludera systeminventering, integrationer, certifikat, nyckelhantering, kompetens, drift och leverantörsstöd. Faktisk kostnad i svenska kronor beror på organisationens miljö och kan inte avgöras utan ett avgränsat underlag. Ett lågt licenspris kan exempelvis ge en högre intern arbetsbelastning.

Frågor att ställa till leverantörer och säkerhetskonsulter

• Vilka system och protokoll påverkas av lösningen?
• Hur dokumenteras ansvar för nycklar, certifikat, uppdateringar och incidenter?
• Vilket integrations- och teststöd ingår?
• Hur hanteras kompatibilitet med externa parter och befintliga tjänster?
• Vilka delar bygger på antaganden som verksamheten själv måste verifiera?

När det är rimligt att avvakta, pilotera eller skala upp

Det kan vara rimligt att avvakta med ett brett införande när inventering saknas eller när beroenden inte är kända. En pilot kan vara lämplig när en prioriterad tjänst behöver testas i verkliga integrationsflöden. Uppskalning blir mer relevant när kravbild, ansvar, driftmodell och återställningsrutiner är tydligt dokumenterade.

Avslutningsvis

Kvantsäker kryptering är främst en strategisk fråga om risk, beroenden och långsiktig informationssäkerhet. För svenska organisationer bör regelbedömningen utgå från den faktiska behandlingen av data, sektorn och systemens funktion. En välgjord inventering ger bättre underlag för både compliance, upphandling och tekniskt val. Stegvis migrering kan vara mer hanterbar än ett omfattande byte utan prioritering.

Praktisk information att ha med sig

1. Skilj alltid mellan lagkrav, myndighetsvägledning, kundavtal och interna säkerhetsmål.
2. Kartlägg kryptografi även i äldre system, integrationer och backupflöden.
3. Bedöm total kostnad, inte enbart licens eller abonnemang.
4. Dokumentera ansvar i leverantörskedjan innan en tjänst tas i drift.

Viktiga begränsningar och kontrollpunkter

Exakta svenska regler, tillsynskrav och tidsfrister kan variera mellan organisationer och sektorer. Det behöver också kontrolleras om en viss produkt, algoritm eller tjänst uppfyller framtida certifieringskrav eller särskilda sektorskrav. När praktiskt relevanta kvantdatorer kan påverka en viss krypteringslösning är inte fastställt här. Juridisk bedömning och teknisk validering bör därför göras utifrån den egna verksamhetens förutsättningar.

Vanliga frågor

Q1. Är kvantsäker kryptering ett lagkrav i Sverige?

A1. Normalt finns inget enskilt, heltäckande lagkrav som enbart säger att verksamheter måste använda kvantsäker kryptering. Däremot kan GDPR, NIS2, eIDAS, produktkrav och sektorsspecifika regler göra kryptografisk riskhantering relevant. Vad som gäller behöver bedömas utifrån användning, data och verksamhet.

Q2. Vad kostar en övergång till postkvantkryptografi för ett företag?

A2. Kostnaden beror på bland annat systeminventering, integrationer, certifikat, nyckelhantering, intern kompetens, drift och extern granskning. Det går därför inte att ange en generell kostnad i kronor. Be om jämförbara underlag där både implementation, support och framtida uppgraderingar framgår.

Q3. Är postkvantkryptografi eller kvantnyckeldistribution bäst för vår verksamhet?

A3. Det beror på användningsfall, befintlig infrastruktur, integrationskrav, driftsmodell och leverantörsberoende. Postkvantkryptografi och kvantnyckeldistribution är olika tekniska angreppssätt. Börja med att kartlägga data, system och ansvar innan ni väljer väg eller beslutar om en hybridlösning.