La PQC richiede responsabilità. Non solo tecnologia.

Gestire in modo tracciabile decisioni ed eccezioni

Per algoritmi, prodotti e soluzioni transitorie vengono documentati la decisione, la motivazione e l'ambito di validità. Un'eccezione a termine richiede un responsabile e un evento che ne faccia scattare il riesame. Senza queste indicazioni, i punti tecnici in sospeso restano spesso aperti a tempo indeterminato.

Colleghiamo inventario, valutazione del rischio e misure, invece di creare elenchi indipendenti senza un riferimento comune. Questo permette di spiegare perché un sistema è stato considerato prioritario, quali test sono disponibili e quale presupposto blocca la fase successiva. Responsabilità di business e attuazione tecnica vengono indicate separatamente.

Integrare approvvigionamento e modifiche nel processo

I nuovi prodotti devono fornire indicazioni rilevanti su funzioni crittografiche, capacità di aggiornamento e percorsi di migrazione. Formuliamo domande concrete per i fornitori, che vanno oltre lo slogan «PQC-ready». Le evidenze si riferiscono alle versioni e all'utilizzo previsto, non solo a una presentazione generica del produttore.

Verifiche periodiche confrontano la roadmap con l'avanzamento effettivo. In caso di modifiche rilevanti all'architettura o ai prodotti, l'inventario viene aggiornato. La documentazione supporta i controlli interni e gli audit, ma non sostituisce una certificazione esterna né una valutazione vincolante da parte degli organismi competenti.