Kvant hesablamaları və məlumat təhlükəsizliyi: hansı hüquqi qaydalar tətbiq olunur?

Heç bir Hollandiya və ya Avropa qanunu kvant hesablamasını bu cür tənzimləmir. Tətbiq olunan mövcud informasiya təhlükəsizliyi qanunudur və bu, bir konkret sual doğurur: indi şifrələnmiş məlumatlar sonradan deşifrə edilə bildikdə bu gün gördüyünüz təhlükəsizlik tədbirləri hələ də adekvat olacaqmı? Əsas istisna kvant texnologiyası üçün xüsusi qaydaları özündə əks etdirən ixrac nəzarəti və investisiyaların yoxlanılmasıdır.

Artıq üç öhdəlik tətbiq olunur. Ümumi Məlumatların Mühafizəsi Qaydalarının (GDPR, holland dilində) 32-ci maddəsi Orta) müasirliyin vəziyyətini nəzərə alan təhlükəsizlik tədbirləri tələb edir. Bu, sabit deyil, dəyişkən bir standartdır və həmçinin illərlə məxfi qalmalı olan tibbi qeydlər, şəxsi sənədlər və hüquqi arxivlər kimi məlumatları da əhatə edir. Hollandiyanın Kibertəhlükəsizlik Qanunu (Kiberbeveiligingswet), which implements the EU NIS2 Directive, requires organisations in the designated essential and important sectors to manage the risks to their networks and information systems, and makes the management body responsible for approving those measures. For financial entities, the Digital Operational Resilience Act (DORA, Regulation (EU) 2022/2554) adds its own requirements on cryptographic controls and third-party risk.

Praktik risk bu gün kiminsə trafikinizi deşifrə etməsində deyil. Məsələ ondadır ki, şifrələnmiş məlumatlar indi ələ keçirilir və saxlanılır və bu imkan mövcud olduqdan sonra deşifrə olunur. Uzun məxfilik müddəti olan məlumatlar üçün bu, post-kvant kriptoqrafiyasına keçidi gələcək layihədən daha çox hazırkı bir vəzifəyə çevirir. Bu alqoritmlər üçün beynəlxalq standartlar dərc edilib və qəbul edilir.

Kvant texnologiyası həmçinin ixrac nəzarəti və investisiya yoxlamasını da işə salır. Müəyyən kvant məhsulları Avropa ixrac nəzarəti qaydalarına əsasən ikili təyinatlı mallardır və kvant texnologiyasında fəaliyyət göstərən Hollandiya şirkətlərinə qoyulan investisiyalar təhlükəsizlik yoxlamasından keçirilə bilər.

Kvant hesablamaları məlumatların təhlükəsizliyi ilə bağlı hüquqi suallar doğurur.

Çünki kifayət qədər güclü bir kvant kompüteri, bugünkü məlumatların qorunmasının böyük bir hissəsinin əsaslandığı şifrələməni poza bilər. Qanun kvant hesablamasının adını çəkmir, lakin risklərə uyğun təhlükəsizlik tələb edir.

Eyni güc təhlükəsizlik problemi yaradır. Onlayn bankçılıqdan tutmuş rəqəmsal imzalara qədər rəqəmsal rabitəmizin böyük hissəsini qoruyan açıq açarlı şifrələmə, adi kompüterlərin heç bir praktik vaxtda həll edə bilmədiyi riyazi məsələlərə əsaslanır. Kifayət qədər böyük və sabit bir kvant kompüteri bu problemlərin bəzilərini həll edə bilər. Belə bir kompüterin nə vaxt mövcud olacağı qeyri-müəyyəndir, lakin hökumətlər və təhlükəsizlik xidmətləri riski ciddi qəbul edirlər.

Əsas hüquqi çətinlik nədir?

Çətinlik, bu gün mövcud olan hüquqi vasitələrlə həssas məlumatları gələcək təhlükələrdən qorumaqdır. Bu vasitələr "ən müasir səviyyə" və "müvafiq tədbirlər" kimi açıq standartlardır.

Hər hansı bir hüquqi yanaşma bir sıra məsələləri həll etməlidir:

• Mövcud məlumatların qorunması: Hücumçular bu gün şifrələnmiş məlumatları toplaya və deşifrə edə bilənə qədər saxlaya bilərlər. Bu, "indi yığ, sonra deşifrə et" kimi tanınır.
• Yeni standartlar: Təşkilatlar həm adi, həm də kvant kompüterlərinin hücumlarına qarşı durmaq üçün hazırlanmış yeni şifrələmə metodları olan postkvant kriptoqrafiyasına (PQC) keçməlidirlər.
• Məsuliyyət: Şifrələmənin köhnəlməsi səbəbindən məlumat sızması baş verərsə, sual budur ki, kimin məsuliyyət daşımasıdır: təşkilat, onun təchizatçısı və ya hər ikisi.
• İnnovasiya: qaydalar kvant texnologiyasının tədqiqatına və istifadəsinə lazımsız şəkildə mane olmamalıdır.

Kvant hesablamaları müasir şifrələməyi necə təhdid edir?

Kvant kompüterləri açıq açarlı şifrələmənin əsaslandığı riyazi məsələləri səmərəli şəkildə həll edə bilər. Uzun açarlı AES kimi simmetrik şifrələmə daha az həssas hesab olunur.

Niyə açıq açarlı kriptoqrafiya həssasdır?

Açıq açarlı kriptoqrafiya çox böyük ədədlərin faktorlaşdırılması kimi problemlərə əsaslanır. Kvant kompüteri bu problemləri praktik olaraq həll edə bilər.

Bu sistem təhlükəsiz veb saytların (HTTPS), VPN bağlantılarının, elektron poçt şifrələməsinin və rəqəmsal imzaların əsasını təşkil edir. Onun gücü müəyyən riyazi məsələlərin, məsələn, çox böyük ədədlərin sadə ədədlərə bölünməsi və ya diskret loqarifm məsələsinin çətinliyindədir. Adi bir kompüter üçün istifadədə olan açar ölçülər üçün bu məsələlərin həlli praktik olaraq çox vaxt aparacaqdı.

Kifayət qədər güclü bir kvant kompüteri bu problemləri səmərəli şəkildə həll edə bilər. AES kimi simmetrik şifrələmə daha az təsirlənir: AES-256 kimi daha uzun açarlar ümumiyyətlə adekvat hesab olunur. Buna görə də məlumatların təhlükəsizliyi üçün hüquqi çərçivə əsasən açıq açar sistemlərinə yönəlməlidir.

Şorun alqoritmi nədir?

1994-cü ildə nəşr olunan Şorun alqoritmi, böyük ədədləri səmərəli şəkildə faktorlaşdıra bilən kvant alqoritmidir. Böyük, sabit kvant kompüterində bu, RSA və elliptik əyri kriptoqrafiyası kimi ən çox istifadə edilən açıq açar sistemlərini pozacaq.

"İndi məhsul yığın, sonra deşifrə edin" təhdidi nədir?

Kvant kompüterləri kifayət qədər güclü olduqdan sonra hücum edənlər bu gün şifrələnmiş məlumatları toplaya və deşifrə edə bilərlər. Buna görə də, uzun illər məxfi qalmalı olan məlumatlar artıq təhlükə altındadır.

Bu, əsasən uzun müddət məxfi qalmalı olan məlumatları təhdid edir, məsələn:

• Dövlət və müdafiə sirləri onilliklər boyu davam edən məxfilik dövrləri ilə.
• Əqli mülkiyyət şirkətlərin, məsələn, ticarət sirləri və tədqiqat məlumatları.
• Həssas şəxsi məlumatlartibbi və biometrik məlumatlar kimi.
• Maliyyə və hüquqi qeydlər hüquqi və tənzimləyici səbəblərdən qorunmalıdır.

Niderland kvant texnologiyasına necə hazırlaşır?

Niderland milli proqram vasitəsilə kvant texnologiyasına investisiya qoyur və postkvant kriptoqrafiyasına keçid üçün praktiki təlimatlar dərc edib. Kvant hesablamaları ilə bağlı xüsusi Niderland qanunvericiliyi mövcud deyil.

Milli proqram Quantum Delta NL hökumətləri, universitetləri və şirkətləri bir araya gətirir. O, 2019-cu ilin Kvant Texnologiyaları üzrə Milli Gündəliyinə əsaslanır və digərləri ilə yanaşı, Milli İnkişaf Fondundan (MİF) maliyyə alır.Nationaal Groeifonds). The programme covers quantum computing, quantum networks and quantum sensing, and pays attention to the social and ethical aspects of the technology. These are policy choices, not rules of law that bind companies.

Kvant sonrası kriptoqrafiya ilə bağlı nələr edilir?

Hollandiya hökuməti PQC miqrasiyası üzrə təlimat kitabçası nəşr edib və təşkilatlara indi hazırlığa başlamaları tövsiyə olunur. Keçid illər çəkir, ona görə də gözləmək riski artırır.

2023-cü ildə Baş Kəşfiyyat və Təhlükəsizlik Xidməti (AIVD), tədqiqat təşkilatı TNO və Centrum Wiskunde & Informatica (CWI) PQC miqrasiya təlimatını nəşr etdilər. Bu təlimat təşkilatlara istifadə etdikləri kriptoqrafiyanın inventarlaşdırılmasından başlayaraq keçidə hazırlaşmaq üçün praktik addımlar atmağa imkan verir.

Mesaj budur ki, PQC-yə keçid uzaq, nəzəri bir problem deyil, təşkilatların indi planlaşdırmalı olduğu bir vəzifədir, çünki bu, illər çəkir. Bu, vacib və vacib qurumlar üçün daha yüksək kibertəhlükəsizlik standartlarını tələb edən və Niderlandda Kibertəhlükəsizlik Qanunu ilə tətbiq edilən Avropa NIS2 Direktivinə uyğundur. Bu qanunun təsiri altına düşən təşkilatlar kriptoqrafiyalarına olan risklər də daxil olmaqla, risklərini qiymətləndirməlidirlər.

Kvant məlumatlarının təhlükəsizliyini hansı Avropa qaydaları formalaşdırır?

GDPR, NIS2 Direktivi, DORA və Kiber Davamlılıq Qanunu risklərə və müasirliyə uyğun təhlükəsizlik tələb edir. PQC üçün AB yol xəritəsi ilə birlikdə, təşkilatları kvant təhlükəsiz şifrələməyə doğru irəlilədirlər.

GDPR kvant dünyasında necə tətbiq olunur?

GDPR kvant hesablamasından bəhs etmir, lakin texnologiya baxımından neytraldır. Ən son texnologiyanı əks etdirən müvafiq təhlükəsizlik tədbirləri görmək vəzifəsi kvant riskini də əhatə edir.

İki müddəa əsasdır. GDPR-in 25-ci maddəsi məlumatların dizayn və standart olaraq qorunmasını tələb edir : təşkilatlar şəxsi məlumatlar üçün texniki təhlükəsizlik tədbirlərini əvvəldən yeni proseslərə daxil etməlidirlər. GDPR-in 32-ci maddəsi, texnikanın səviyyəsini, xərcləri və riskləri nəzərə alaraq müvafiq texniki və təşkilati tədbirlər tələb edir. Kvant sonrası standartlar yetkinləşdikcə, "texniki səviyyə" getdikcə uzun müddət məxfi qalmalı olan şəxsi məlumatlar üçün kvant təhlükəsiz şifrələmənin istifadəsi demək olacaq. Bu keçidi planlaşdırmayan bir təşkilat, təhlükəsizliyinin artıq adekvat hesab edilməməsi riski ilə üzləşir. Bu prinsiplər haqqında daha çox məlumatı Ümumi Məlumatların Mühafizəsi Qaydalarına dair təlimatımızda oxuya bilərsiniz.

Əgər kifayət qədər təhlükəsizlik təmin edilmədikdə məlumatların sızmasına səbəb olarsa, təşkilat bu barədə 72 saat ərzində Hollandiyanın Məlumatların Mühafizəsi Orqanına məlumat verməli ola bilər (GDPR-in 33-cü maddəsi). Orqan 20 milyon avroya qədər və ya dünya miqyasında illik dövriyyənin 4%-i miqdarında cərimələr tətbiq edə bilər və təsirlənən şəxslər GDPR-in 82-ci maddəsinə əsasən zərərin ödənilməsini tələb edə bilərlər.

Aİ-nin hansı yeni qaydaları təşkilatları kvant hazırlığına sövq edir?

NIS2 Direktivi, DORA və Kiber Dayanıqlılıq Qanunu daha geniş kibertəhlükəsizlik vəzifələri qoyur. Onların heç biri xüsusi kvant təhlükəsiz alqoritmlər təyin etmir, lakin hamısı müasir dövrü nəzərə alan risk əsaslı təhlükəsizlik tələb edir.

Next to the GDPR, three EU instruments strengthen cybersecurity obligations without naming quantum-safe standards:

• Kiber Davamlılıq Qanunu (CRA, Tənzimləmə (EU) 2024/2847): Bu qayda, qoşulmuş cihazlar və proqram təminatı kimi rəqəmsal elementləri olan məhsullar üçün kibertəhlükəsizlik tələblərini müəyyən edir. İstehsalçılar məhsullarına təhlükəsizlik təmin etməli və zəiflikləri idarə etməlidirlər. Hesabat öhdəlikləri 11 sentyabr 2026-cı il tarixindən, digər öhdəliklərin əksəriyyəti isə 11 dekabr 2027-ci il tarixindən etibarən tətbiq olunur. Kvant təhlükəsiz şifrələməni təyin edən CRA, kvant təhlükəsiz şifrələməni təyin etmir, lakin risklərə uyğun təhlükəsizlik tələb edir.
• NIS2 Direktivi: Bu direktiv kibertəhlükəsizlik vəzifələrini enerji, səhiyyə və rəqəmsal infrastruktur kimi geniş çeşidli vacib və vacib qurumlara şamil edir. Bu direktiv kriptoqrafiya və şifrələmə siyasətləri (21-ci maddə) daxil olmaqla risklərin idarə edilməsini və əhəmiyyətli hadisələrin bildirilməsini tələb edir. Hollandiyada bu, Kibertəhlükəsizlik Qanunu ilə həyata keçirilir.
• DORA: 17 yanvar 2025-ci il tarixindən etibarən maliyyə qurumları şifrələmə və kriptoqrafik nəzarət siyasətlərini özündə birləşdirən İKT risklərinin idarə edilməsi çərçivəsinə malik olmalı və İKT təchizatçılarının risklərini idarə etməlidirlər.

Bu qaydalar aydın bir istiqamət göstərir. Kvant təhlükəsiz şifrələməyə keçid hələlik açıq bir hüquqi tələb deyil, lakin uzunmüddətli məxfi məlumatları olan təşkilatlar üçün bu, getdikcə daha çox müvafiq, ən müasir tədbirlər görmək kimi ümumi vəzifədən irəli gəlir.

Mövcud və gözlənilən uyğunluq standartları necə müqayisə olunur?

Cədvəl mövcud yanaşmanı kvant sonrası standartlar müəyyən edildikdən sonra gözlənilənlərlə müqayisə edir. Sağ sütunda mövcud qanunvericilik deyil, gözlənilən inkişaflar təsvir olunur.

Kvant təhlükəsizliyinə Avropa yanaşması nədir?

Aİ PQC-yə keçidi Komissiyanın 11 aprel 2024-cü il tarixli Tövsiyəsi və 2025-ci ilin iyun tarixli yol xəritəsi ilə əlaqələndirir. Yol xəritəsi yüksək riskli sistemləri ən geci 2030-cu ilə qədər qorumağı hədəfləyir.

Parçalanmış yanaşmanın qarşısını almaq üçün Aİ əlaqələndirilmiş keçid üzərində işləyir. 11 aprel 2024-cü ildə Avropa Komissiyası postkvant kriptoqrafiyasına keçid üçün əlaqələndirilmiş tətbiq yol xəritəsi haqqında Tövsiyə qəbul etdi. Bu əsasda, üzv dövlətlər Komissiyanın dəstəyi ilə 23 iyun 2025-ci ildə yol xəritəsi dərc etdilər. Orada üzv dövlətlərin keçidə 2026-cı ilin sonuna qədər başlaması, kritik infrastruktur kimi yüksək riskli sistemlərin ən geci 2030-cu ilin sonuna qədər PQC ilə qorunması və 2035-ci ilə qədər praktik olaraq mümkün qədər çox sistemin tətbiq edilməsi nəzərdə tutulur.

Yol xəritəsi məcburi qanun deyil, siyasi öhdəlikdir. Lakin o, tənzimləyicilərin və nəzarət orqanlarının nə gözlədiyini göstərir və GDPR, NIS2 və DORA-dakı açıq standartların necə şərh olunacağına təsir göstərə bilər.

2025-ci ilin iyul ayında Komissiya həmçinin Kvant Avropa Strategiyasını qəbul etdi və onun 2026-cı il üçün iş proqramı Kvant Aktı üçün qanunvericilik təklifini elan etdi. Yazı hazırlanarkən belə bir akt Aİ qanunu deyil; ona etibar etməzdən əvvəl mövcud vəziyyəti yoxlayın.

Kvant təhlükəsiz uyğunluğa necə hazırlaşırsınız?

Kriptoqrafiyanızın inventarlaşdırılması ilə başlayın, sonra hansı məlumatların və sistemlərin ən çox risk altında olduğunu qiymətləndirin və mərhələlərlə köç edin. Məqsəd kripto-çeviklikdir: alqoritmləri tez bir zamanda əvəz edə bilmək.

Məqsəd kripto-çeviklikdir : yeni təhdidlər və ya standartlar ortaya çıxdıqda kriptoqrafik metodlarınızı tez bir zamanda əvəz etmək bacarığı. Proses bir sualla başlayır: ən həssas olduğunuz yer haradadır? Çərçivəniz kimi GDPR tələblərindən və tətbiq olunduğu hallarda NIS2 və DORA-dan istifadə edin.

Mərhələ 1: Kriptoqrafik inventar necə hazırlanır?

Təşkilatınızın istifadə etdiyi bütün kriptoqrafiyanı, o cümlədən təchizatçıların proqram təminatı və cihazlarını xəritələşdirirsiniz. Bu ümumi məlumat olmadan prioritetləri müəyyən edə bilməzsiniz.

Əsas serverlərinizdən kənara baxın. İnventarlaşdırma aşağıdakıları əhatə etməlidir:

• Tranzitdə olan məlumatlar: E-poçt, VPN və bulud bağlantılarınız necə təhlükəsizdir?
• İstirahətdə olan məlumatlar: Verilənlər bazalarınızı, ehtiyat nüsxələrinizi və noutbuklarınızı hansı şifrələmə qoruyur?
• Quraşdırılmış sistemlər: üçüncü tərəf proqram təminatında, qoşulmuş cihazlarda və şəbəkə avadanlıqlarında kriptoqrafiya.
• Köhnə sistemlər: Köhnə tətbiqlər tez-tez köhnəlmiş və həssas şifrələmə ehtiva edir.

Müqavilələrinizi də yoxlayın. İT təchizatçıları və bulud provayderləri ilə bağlanmış müqavilələr onları istifadə etdikləri kriptoqrafiya haqqında məlumat verməyə, yeniləmələri dəstəkləməyə və miqrasiya ilə əməkdaşlıq etməyə məcbur etməlidir. GDPR-in 28-ci maddəsinə əsasən, prosessor müvafiq təhlükəsizlik üçün kifayət qədər zəmanətlər də təqdim etməlidir.

Mərhələ 2: Riskləri necə qiymətləndirirsiniz və prioritetləri necə müəyyən edirsiniz?

Sistemlərinizi məlumatların həssaslığına və nə qədər müddətə məxfi qalmalı olduğuna görə qiymətləndirin. On ildən çox müddətə qorunmalı olan məlumatlar birinci yerdədir.

Prioritetləri müəyyən etmək üçün bu suallardan istifadə edin:

1. Hansı məlumatlar on ildən çox müddətə məxfi saxlanılmalıdır? Əqli mülkiyyət, uzunmüddətli maliyyə qeydləri və həssas şəxsi məlumatlar haqqında düşünün. Bu, "indi yığ, sonra deşifrə et" hücumlarının əsas hədəfidir.
2. Xarici təhdidlərə ən çox hansı sistemlər məruz qalır? İctimaiyyətə açıq tətbiqlər və məlumat ötürmə protokolları ön cəbhədədir.
3. Hüquqi və müqavilə vəzifələriniz nələrdir? GDPR, sektor qaydaları və müştəri müqavilələri müəyyən məlumatlar üçün hansı təhlükəsizlik səviyyəsinə cavab verməli olduğunuzu və onları nə qədər müddət saxlamalı olduğunuzu müəyyən edir.

Mərhələ 3: post-kvant kriptoqrafiyasına necə keçid edilir?

Ən yüksək risklərdən başlayaraq həssas alqoritmləri mərhələlərlə əvəz edir və diqqətlə sınaqdan keçirirsiniz. Mümkün olduqda, keçid zamanı klassik və postkvant metodlarını birləşdirin.

Aydın prioritetlərlə, post-kvant kriptoqrafiyasına (PQC) mərhələli miqrasiyaya başlaya bilərsiniz . Bu, sadə bir əvəzetmə deyil. Biznes əməliyyatlarının pozulmasının qarşısını almaq üçün planlaşdırma, sınaq və diqqətli tətbiq tələb olunur. Keçid zamanı ümumi bir yanaşma, klassik və post-kvant metodlarının birlikdə istifadə edildiyi hibrid bir həlldir.

Seçimlərinizi, risk qiymətləndirməsini və planlaşdırmanı qeyd edin. Əgər tənzimləyici orqan və ya məhkəmə sonradan təhlükəsizliyinizin kifayət qədər olub-olmadığını soruşarsa, həmin sənəd sizin sübutunuzdur.

Hansı hüquqi suallar açıq qalır?

Şifrələmə ilə yanaşı, kvant texnologiyası məsuliyyət, əqli mülkiyyət, məxfilik və ixrac nəzarəti ilə bağlı suallar doğurur. Bunlardan bəzilərinə mövcud qanunvericilik çərçivəsində cavab verilə bilər; digərlərinə isə məhkəmələr və qanunverici orqan cavab verəcək.

Əsas suallardan biri məsuliyyətdir. Əgər bir şirkət şifrələməsinin köhnəlməsi səbəbindən məlumat sızması ilə üzləşirsə, kim məsuliyyət daşıyır? Hollandiya qanunvericiliyinə görə, cavab mövcud qaydalardan başlayır. Məlumatları təsirlənən şəxslərə qarşı təşkilat GDPR-ə əsasən məsuliyyət daşıyır və zərəri ödəməli ola bilər (GDPR-in 82-ci maddəsi). Müştərilərə qarşı isə müqaviləni yerinə yetirməməyə görə məsuliyyət daşıya bilər (Hollandiya Mülki Məcəlləsinin 6:74-cü maddəsi). Kvant təhlükəsiz yeniləmələri təmin etməyən proqram təminatı təchizatçısından zərəri geri ala bilib-bilməyəcəyi müqavilədən və o zaman ağlabatan şəkildə nə gözlənilə biləcəyindən asılıdır. Məhkəmələr "incəsənət səviyyəsinin" zamanla necə inkişaf etdiyini araşdırmalıdırlar.

Kvant kompüterləri ilə hazırlanmış ixtiralara kim sahibdir?

Mövcud patent qanunvericiliyinə əsasən, yalnız fiziki şəxs ixtiraçı adlandırıla bilər. Kvant kompüterinin köməyi ilə hazırlanmış ixtira patentləşdirilə bilər, lakin ixtiraçı insan olmalıdır.

Kvant kompüterləri bu gün dizayn edilə bilməyən molekulların, materialların və alqoritmlərin dizaynına kömək edə bilər. Bu, bu cür ixtiraların kimə məxsus olduğu sualını doğurur. Avropa Patent İdarəsinin Hüquqi Apelyasiya Şurası 2021-ci ildə (J 8/20 işi) patent ərizəsində adı çəkilən ixtiraçının maşın deyil, fiziki şəxs olması qərarına gəldi. Kompüter alətləri ilə hazırlanmış ixtiralar hələ də patentləşdirilə bilər və işə rəhbərlik edən şəxs ixtiraçı kimi çıxış edir. Müqavilələr, xüsusən də üçüncü tərəfin hesablama qabiliyyətindən istifadə edərkən, kvant hesablama xidmətləri ilə yaradılan nəticələrin kimə məxsus olduğunu aydın şəkildə göstərməlidir.

Kvant hesablamaları həmçinin böyük həcmdə məlumatları təhlil etmək qabiliyyətini artıra bilər. Məqsəd məhdudiyyəti, məlumatların minimuma endirilməsi və mütənasiblik kimi GDPR prinsipləri bu cür təhlillərə tam tətbiq olunur və məlumatların emalının fərdlər üçün yüksək risk yarada biləcəyi hallarda məlumatların qorunmasına təsirin qiymətləndirilməsi (GDPR-ın 35-ci maddəsi) tələb olunur.

Kvant texnologiyasına hansı ixrac və investisiya qaydaları tətbiq olunur?

Aİ ixrac nəzarəti qaydalarına əsasən müəyyən kvant məhsulları ikili təyinatlı mallardır. Kvant texnologiyasında fəaliyyət göstərən Hollandiya şirkətlərinə qoyulan investisiyalar Wet Vifo çərçivəsində təhlükəsizlik yoxlamasından keçirilə bilər.

Kvant texnologiyası strateji cəhətdən həssasdır. AB İkili İstifadə Qaydaları (Tənzimləmə (EU) 2021/821) və milli tədbirlər müəyyən kvant kompüterlərinin, komponentlərinin və əlaqəli proqram təminatının və texnologiyasının ixracı üçün lisenziya tələb edə bilər. Siyahılar müntəzəm olaraq dəyişir, buna görə də texnologiyanı ixrac etməzdən və ya Aİ xaricindəki tərəflərlə paylaşmadan əvvəl mövcud versiyanı yoxlayın.

Niderlandda İnvestisiyalar, Birləşmələr və Satınalmalar üzrə Təhlükəsizlik Yoxlama Qanunu (Yaş örtüklər investeringen, fusies və overnames, Wet Vifo) has applied since 1 June 2023. Acquisitions of, and certain investments in, companies active in sensitive technology, which can include quantum items on the dual-use lists, must be notified to the Investment Screening Bureau (Bureau Toetsing Investeringen, BTI) və təsdiqlənməzdən əvvəl tamamlanmaya bilər. Buna görə də, startaplar və kvant texnologiyasına investorlar əməliyyatın bildirişə tabe olub-olmadığını erkən mərhələdə yoxlamalıdırlar.

What should you check as an organisation that holds sensitive data?

Under Article 32 GDPR and, where it applies, the Cybersecurity Act, you remain responsible for the security of your data, also when suppliers run your systems. Check these points:

• Identify data that must remain confidential for more than ten years, such as personnel files, medical data and trade secrets.
• Check whether your organisation falls under the Cybersecurity Act or DORA, and whether the management body has approved the risk measures.
• Ask your IT and cloud suppliers in writing which cryptography they use and when they will support post-quantum methods.
• Check that your data processing agreements under Article 28 GDPR oblige processors to update their security to the state of the art.
• Record your inventory, risk assessment and migration planning, so you can show a regulator or court what you did.

What should you check as a supplier of software or devices?

Your clients will pass their security duties on to you by contract, and the Cyber Resilience Act adds direct product duties from 11 September 2026. Check these points:

• Check whether your products with digital elements fall under the CRA and which obligations apply from 11 September 2026 and 11 December 2027.
• Review the security, update and liability clauses in your client contracts and general terms.
• Define the support period during which you deliver security updates, including cryptographic updates.
• Check whether your quantum hardware, software or technology requires an export licence under Regulation (EU) 2021/821.
• Check whether an investment in your company must be notified to the BTI under the Wet Vifo.

What can we do for you with quantum-related data security?

Bizim İT hüquqşünasları advise businesses on data protection, cybersecurity obligations and contracts with IT suppliers:

• We assess whether your organisation falls under the Cybersecurity Act, DORA or the CRA, and what that requires of you.
• We review and draft security, update and liability clauses in IT, cloud and data processing agreements.
• We help you document your risk assessment and migration plan so that it stands up to a regulator.
• We advise on the data breach notification to the Dutch Data Protection Authority within the 72-hour deadline.
• We check whether a transaction must be notified under the Wet Vifo or an export requires a licence.

xülasə

• Kvant hesablamasını heç bir qanun tənzimləmir; GDPR, Kibertəhlükəsizlik Qanunu (NIS2) və DORA müasir səviyyəyə və risklərə uyğun təhlükəsizlik tələb edir.
• "İndi yığ, sonra deşifrə et" ifadəsi uzun məxfilik müddəti olan məlumatların artıq risk altında olduğunu bildirir.
• 2025-ci ilin iyun ayındakı Aİ yol xəritəsində yüksək riskli sistemlərin ən geci 2030-cu ilin sonuna qədər post-kvant kriptoqrafiyasından istifadə etməsi gözlənilir; bu, məcburi qanun deyil, siyasi bir öhdəlikdir.
• Kriptoqrafik inventarlaşdırma ilə başlayın, həssaslığa və saxlama müddətinə görə prioritetləşdirin və kripto-çevikliyi hədəf olaraq mərhələlərlə köçürün.
• Quantum technology is also subject to export control and, for investments in Dutch companies, possibly to screening under the Wet Vifo.

Tez-tez soruşulan suallar