Criptografia Pós-Quântica: Organizações Buscam Implementação, Mas Enfrentam Desafios na Execução

Embora 87% das organizações estejam engajadas no planejamento ou teste de Criptografia Pós-Quântica (PQC), a execução é o verdadeiro gargalo. Apenas 7% efetivamente implantaram certificados quânticos ou híbridos em larga escala. O estudo da DigiCert revela que desafios como a complexidade de sistemas legados, o impacto no desempenho e as restrições orçamentárias superam a falta de conscientização.

A ameaça não se resume apenas a ataques de "Harvest Now, Decrypt Later" (HNDL), onde dados criptografados hoje são vulneráveis a futuros computadores quânticos. A vulnerabilidade "Trust Now, Forge Later" (TNFL) é ainda mais crítica, pois pode comprometer a confiança digital, a integridade de assinaturas digitais, atualizações de software e toda a infraestrutura de PKI. Com padrões FIPS já estabelecidos para algoritmos como ML-KEM, ML-DSA e SLH-DSA, o foco agora é a implementação prática.

A cobertura anterior do CEVIU News já apontava para a urgência da migração e para a adoção de criptografia híbrida por grandes players. A matéria "Empresas e protocolos avançam rumo à segurança pós-quântica com adoção real de criptografia híbrida", de 19 de junho de 2026, e "Signal e Cloudflare adotam criptografia pós-quântica contra futuras ameaças", de 5 de julho de 2026, mostravam movimentos concretos. Nessas ocasiões, vimos protocolos como o OpenSSH já utilizando `mlkem768x25519-sha256` e a migração coordenada de Signal e Cloudflare.

O relatório atual da DigiCert, porém, destaca que essa evolução real está concentrada em poucos players. Em 2025, o problema era a conscientização (69% reconheciam a ameaça, 5% implementavam). Em 2026, o desafio mudou: 87% planejam, mas apenas 7% implementam, com um crescimento de menos de dois pontos percentuais em um ano. Isso mostra que, enquanto alguns avançam de fato, a grande maioria ainda trava na fase de execução, confirmando uma transição de um problema de persuasão para um de implementação.

A baixa taxa de implementação da PQC é um sinal de alerta para toda a infraestrutura digital. Prazos institucionais, como os estabelecidos pela Ordem Executiva 14412 nos EUA (2030 para troca de chaves, 2031 para assinaturas digitais) e as metas do NCSC do Reino Unido, não dependem da chegada do "Q-Day". Eles criam um relógio regulatório que força a transição.

Para as empresas, a procrastinação significa risco elevado de desconfiança e perdas financeiras. A PQC não é mais uma iniciativa de nicho ou um item discricionário do orçamento de TI. É um programa de capital de vários anos, essencial para a continuidade dos negócios, a proteção de dados sensíveis e a integridade das operações digitais em um futuro próximo.