Двупартийният Quantum-GUARD Act поставя постквантовата криптография в центъра на защитата на електроенергийната инфраструктура и предвижда конкретни мерки за IT и OT системите.

Квантовите компютри все още не представляват непосредствена заплаха за електрическата мрежа, но американските законодатели вече разглеждат подготовката за тях като въпрос на национална сигурност. Двама американски сенатори – демократът Крис Куунс и републиканецът Майк Раундс – представиха Quantum Grid Utility Assurance and Resilient Defense Act of 2026 (Quantum-GUARD Act), насочен към укрепване на електроенергийната инфраструктура срещу бъдещи квантови кибератаки.

Причината е фундаментална: достатъчно мощен квантов компютър би могъл да компрометира широко използвани днес криптографски алгоритми, върху които разчитат комуникациите и защитата на критичните системи. При електрическата мрежа проблемът е още по-сложен, защото криптографската миграция трябва да обхване не само корпоративните IT среди, но и оперативните технологии (OT), които управляват реални физически процеси.

От изследвания към реална миграция

Quantum-GUARD Act предвижда Федералната комисия за енергийно регулиране (FERC) да започне да отчита квантовите киберрискове при работата си по стандартите за надеждност на електрическата мрежа.

Особено важна е ролята на Министерството на енергетиката на САЩ (DOE). Законопроектът предвижда в рамките на една година да бъде създадена специална постквантова криптографска тестова среда (PQC sandbox). В нея оператори, доставчици и държавни институции ще могат да изследват как постквантовата криптография може да бъде внедрена в реалистични IT и OT среди.

Това е съществена промяна във фокуса. Проблемът вече не се разглежда единствено като въпрос на разработване на нови криптографски алгоритми. Истинското предизвикателство е миграцията на огромен брой вече внедрени устройства и системи.

При електрическите мрежи част от оборудването има жизнен цикъл от десетилетия. Подмяната му само заради промяна в криптографските механизми може да бъде скъпа, бавна и технически рискована.

IT и OT трябва да бъдат разглеждани заедно

Законопроектът изрично изисква проучване на квантовите рискове както за информационните технологии, така и за оперативните технологии в електроенергийния сектор.

Това е особено важно, защото компрометирането на криптографията в OT среда не означава просто загуба на поверителност. В зависимост от системата последствията могат да включват манипулиране на команди, нарушаване на мониторинга или компрометиране на процеси, от които зависи физическата стабилност на електрическата мрежа.

Затова първата стъпка трябва да бъде криптографска инвентаризация – организациите да знаят къде, как и защо използват криптография, кои системи са критични и кои от тях могат да бъдат обновени без подмяна на цялото оборудване.

Квантовата заплаха започва много преди първия квантов компютър

Експертите, подкрепили законопроекта, подчертават именно този аспект. Според тях миграцията към PQC може да отнеме години и затова не трябва да започва едва когато бъде създаден криптографски релевантен квантов компютър.

Тук се появява и концепцията за „harvest now, decrypt later“ – нападателите могат да събират криптирани комуникации още днес с надеждата да ги декриптират в бъдеще, когато разполагат с необходимата изчислителна мощ.

За критичната инфраструктура това означава, че дългосрочно чувствителната информация и комуникации трябва да бъдат защитени още преди квантовата заплаха да стане технически реална.

Законопроектът поставя важен въпрос и за България

Quantum-GUARD Act е американска инициатива, но проблемът е глобален. Електроенергийните оператори, производителите на индустриално оборудване и организациите от критичната инфраструктура в Европа са изправени пред същия проблем.

Най-важният урок е, че постквантовата криптография не трябва да се превръща в пореден проект, започнат в последния момент. Необходим е постепенен процес – инвентаризация, оценка на риска, определяне на критичните системи, тестване на PQC решения и планиране на миграцията.

За OT средите това е особено важно. Криптографската промяна не може да бъде направена по начина, по който се обновява стандартен корпоративен софтуер. Всяка промяна трябва да отчита съвместимостта, непрекъсваемостта на процесите, безопасността и дългия жизнен цикъл на индустриалното оборудване.

Quantum-GUARD Act показва, че САЩ вече започват да превръщат този проблем от тема за бъдещето в конкретна политика за устойчивост на критичната инфраструктура.