TECHNOLOGY EXPLAINER
耐量子暗号への移行
― なぜ「今」準備するのか、何から手を付けるのか（暗号の棚卸しから）
暗号を新しい方式に替えるのは、鍵を替えるのとは違い、通信、証明書、装置のファームウェア、保存データなど、あちこちに埋め込まれた公開鍵暗号を、見つけ出し、順番に入れ替える仕事です。しかも、量子コンピュータがまだ実用の規模でなくても、「いま暗号化したデータを集めておき、あとで解く」ことが可能です。このため、各国の機関は、2030年代半ばまでの移行の時程を示し始めました。
この記事は、暗号の専門家でない人を前提に、①「今」準備が必要な理由（Mosca の考え方を、数字で）、②各国・機関が示した時程と、その性格の違い、③何から手を付けるか（暗号の棚卸し、優先度、依存関係）、④ハイブリッドか PQC 単独か、を説明します。期限は、公式文書で確認した範囲を、確認日（2026年10月16日）つきで書きます。
- 3行でわかる ／ 読む前に ／ シリーズの中での位置
- なぜ「今」準備が必要なのか
- 誰が、いつまでに ― 各国・機関の時程（確認日 2026年10月16日）
- 何から手を付けるか ― 暗号の棚卸し
- 優先度のつけ方
- ハイブリッドか、PQC 単独か ／ 暗号アジリティ
- 評価・標準の読み方
- 用語集
- 参考資料（一次情報）
- 主張と出典の対応表（監査）
事実＝公表資料に記載のある内容（出典リンクあり）
本稿の計算＝明示した前提をもとに本記事が算出した値
未確定／将来＝草案・計画・勧告など、まだ確定・義務化されていない事項
このほか、読み取りは「解説」として区別しています。推測は太字で示します。
期限には3つの性格があります：①義務（特定の組織に対する要求。例：NSA が国家安全保障システムに課す日付）、②推奨・指針（行程表、ガイダンス。例：EU、英国、カナダ）、③草案・計画（確定前。例：NIST IR 8547 の草案、日本の工程表）。性格の違う日付を、同じ重みで並べないでください。期限の日付は公式文書の記載で、改訂で変わりえます。この記事は、「量子コンピュータがいつ暗号を破るか」を断定せず、暗号を破る手順を説明せず、法的・投資の助言をしません。X・Y・Z の数値例は、仕組みを見せるための本稿の仮定です。
1. 3行でわかる ／ 読む前に ／ シリーズの中での位置
- 「あとで解く」ために、「今」集められる：量子コンピュータが実用の規模になる前でも、悪意ある者は、今の暗号化されたデータを集めて保存し、将来解く、という攻撃が可能です。この攻撃を Harvest Now, Decrypt Later（HNDL）と言います［参考資料17・12］
- 備えの目安は「X＋Y＞Z」：移行にかかる年数 X と、データを守りたい年数 Y の合計が、量子コンピュータまでの年数 Z より長ければ、危険が生じます（Mosca）［参考資料8・18］。Z は分からないので、自分たちで決められる X と Y を縮めるのが備えです
- 各国の時程は、2030年と2035年に集まる：米 NSA は国家安全保障システムに2027年から段階的な義務を課し、EU は高リスクの用途を2030年末まで、英国・カナダ・日本などは2035年までを目標にしています［参考資料11・12・13・14・15］。最初の一歩は、暗号の棚卸しです
前の記事「耐量子計算機暗号」を読むと分かりやすくなります。そこで、公開鍵暗号は量子コンピュータで脅かされ、共通鍵暗号は鍵長の調整で対応できる、NIST が2024年に ML-KEM・ML-DSA・SLH-DSA を標準にした、ことを説明しました。
この記事は、「量子鍵配送と量子通信」「量子ネットワークと量子中継」「耐量子計算機暗号」の続きで、量子と暗号の話の実務編です。国ごとの量子技術への投資や戦略は、次の記事「各国の量子戦略」で扱います。
2. なぜ「今」準備が必要なのか
(1) 盗んでおいて、あとで解く ― HNDL
暗号は、「いつ解かれても困らないように」作るものです。ところが、解く手段（量子コンピュータ）が将来できるなら、今の通信を記録して、とっておけば、そのときに解けます。日本の関係府省庁連絡会議の中間とりまとめ（案）は、HNDL を、「暗号化データを保存しておき、量子計算機での暗号解読が可能となった後に解読を行う攻撃」と説明しています［参考資料17］。EU の行程表も、10年以上先に漏れても大きな被害になる用途では、攻撃者に、暗号化された情報を今のうちに捕えて保存しておく強い動機がある、と述べています［参考資料12］。
「機器が今できるか」と「今の備えが必要か」は別です。守りたいデータの寿命が長いほど、解かれる日が将来でも、データを盗まれる日は今日になりえます。NSA の FAQ も、「NSA は、いつ CRQC（暗号に関係する量子コンピュータ）ができるかを知らない。専門家の評価は大きく割れている」と述べたうえで、国家安全保障システムは寿命が長く、そのデータは、システムの使用終了後も何十年も暗号による保護が要るため、今、要件を示す必要がある、としています［参考資料11］。
(2) 備えの目安 ― X＋Y＞Z（Mosca の考え方）
Mosca は2018年に、備えるかどうかの目安を、3つの年数で示しました［参考資料8］。Xは、暗号を新しい方式に移し終えるまでの年数、Yは、そのデータを守りたい年数、Zは、暗号を解ける量子コンピュータが現れるまでの年数です。X＋Y が Z より長いと、移行を終えたころにも、まだ古い暗号で守られたデータが残っていて、それが解かれてしまう、という考え方です。金融庁の検討会報告書は、この式を、HNDL に備える検討が必要になる条件として説明しています［参考資料18］。
金融庁の報告書は、まさにこの数字の例を挙げています。「公開鍵暗号で守られた情報システムの暗号の移行に、少なくとも10年かかり、生成データを20年守る必要があるなら、今から移行を始めても、移行の完了は10年後で、完了の直前に作られたデータを、さらに20年守ることになる。特別な処理をしなければ、古い暗号による保護を30年間維持することになる」［参考資料18］。同じ考え方で、組み合わせを表にします。
| 例 | X＋Y（年） | Z＝10年なら | Z＝15年なら | Z＝20年なら |
|---|---|---|---|---|
| X＝3年、Y＝5年 | 8 | 余裕あり | 余裕あり | 余裕あり |
| X＝5年、Y＝10年 | 15 | 危険あり | 余裕あり | 余裕あり |
| X＝10年、Y＝10年 | 20 | 危険あり | 危険あり | 余裕あり |
| X＝10年、Y＝20年 | 30 | 危険あり | 危険あり | 危険あり |
本稿の計算。「危険あり」は X＋Y＞Z、「余裕あり」は X＋Y≦Z（Mosca の式の当てはめ）。X・Y・Z の値は説明用の仮定で、実在の組織・量子コンピュータの予測ではありません。X を縮める（棚卸しと準備を早く始める）、Y を縮める（守る期間を見直す）ことは、自分たちで決められます。
(3) 署名は事情が少し違う
HNDL が深刻なのは、主に秘密にしたい情報の保護（鍵共有）です。金融庁の報告書は、HNDL は TLS の鍵共有には効果的だが、認証にはほとんど影響しない、と注記しています［参考資料18］。署名（本物か・改ざんされていないかの確認）は、量子コンピュータが現れた時点から、偽造が問題になります。ただし、寿命の長い署名は別です。ファームウェアの署名の検証コードのように、装置が出荷されたあとに変えにくいものは、早く新しい方式にしておかないと、あとで差し替えられません。EU の行程表は、ソフトウェア更新を守る署名で、移行に8年を超える手間がかかる場合は、リスクを「高」とする例を挙げています［参考資料12］。
(4) 移行には、時間がかかる
もう1つの理由は、移行そのものの長さです。日本の中間とりまとめ（案）は、暗号方式の提案から社会に広く普及するまで、RSA などで20年ほどかかったことを挙げ、PQC でも相当の期間が必要と想定しています［参考資料17］。英国 NCSC は、移行が、多くの大きな組織で、複数の経営の任期にまたがる活動になる、費用も大きくなりうるため、予算を確保すべきだ、と述べています［参考資料13］。PQC では鍵・署名が大きいため、アプリケーション、インターフェース、データ形式、プロトコルに大きな変更が要る可能性が高く、開発費用や期間が従来以上に膨らむ恐れがある、とも記されています［参考資料17］（前の記事の大きさの比較を参照）。
Y（守りたい年数）は、データの種類ごとに違います。材料・プロセスの現場では、たとえば、①配合や成膜条件のような営業秘密（特許にせず、秘匿する場合、守りたい期間が非常に長い）、②装置の設計図・プロセスのレシピ（装置の寿命の間）、③出願前の研究データ（出願までの期間）、④顧客との契約情報、⑤個人情報、があります（本記事による解説。例示で、網羅ではない）。寿命の長いものほど Y が大きく、X＋Y＞Z になりやすいので、「何を、何年守りたいか」を、データの種類ごとに書き出す作業が、棚卸しの最初の質問になります。
3. 誰が、いつまでに ― 各国・機関の時程（確認日 2026年10月16日）
公式文書で確認できた時程を、性格（義務・推奨・草案）と一緒に並べます。
| 国・機関（文書、日付） | 示された時程（文書の記載） | 性格 | 注意 |
|---|---|---|---|
| 米国 NSA：CNSA 2.0（勧告 版1.0、2022年9月。FAQ 版2.1、2024年12月） | 国家安全保障システム（NSS）：2027年1月1日以降の新規調達は CNSA 2.0 適合。2030年12月31日までに、対応できない機器・サービスを段階的に廃止。2031年12月31日に CNSA 2.0 の使用を義務化。NSS 全体の量子耐性は2035年までという意図（NSM-10）。ソフトウェア・ファームウェアの署名は2025年に CNSA 2.0 を優先し、2030年に専用（2022年の勧告）［参考資料11・10］ | NSS への要求（CNSSP 15）事実 | 対象は NSS で、一般の民間には直接及ばない（本記事による解説） |
| 米国 NSM-10（2022年5月4日） | 量子リスクを2035年までに、実行可能な限り軽減する、という目標。連邦機関に、量子の脅威に弱い IT システムの目録を毎年提出することなどを命じる［参考資料9］ | 覚書（連邦政府の方針）事実 | 目標の年。個々の機関への日付は別の文書 |
| 米国 NIST IR 8547（初期公開草案、2024年11月12日） | RSA・ECDSA・DH・ECDH などで、112ビットの強度のものは2030年より後は非推奨、2035年より後は使用不可。128ビット以上のものは2035年より後は使用不可［参考資料2］ | 草案未確定／将来。確認日時点で最終版は見つからなかった | NIST の標準・指針の中での扱いを示す。民間への法的拘束力は、この文書だけでは生じない |
| EU：調整された実施行程表（NIS 協力グループ、2025年6月23日） | 2026年末までに「最初の一歩」と各国の移行行程表の策定。2030年末までに高リスクの用途の移行完了（以後、従来の公開鍵方式の単独使用は不可）、ソフトウェア・ファームウェアの更新を、標準で量子耐性に。2035年末までに中リスクの用途を完了、低リスクもできる限り［参考資料12］ | 加盟国への推奨未確定／将来 | 法令ではなく、行程表。「Should」の文書 |
| 英国 NCSC：移行の時程（2025年3月20日） | 2028年までに、目標の設定、全体の洗い出し、最初の計画。2031年までに、最優先の移行と、詳細な行程表。2035年までに、すべての移行の完了（まれにしか使われない技術では難しい場合がある）［参考資料13］ | ガイダンス未確定／将来 | 主に大規模組織・重要インフラ・独自のITを持つ会社向け |
| カナダ：政府の移行行程表（ITSM.40.001、2025年6月23日施行） | 2026年4月までに各省庁の初期の移行計画、以後、毎年進捗を報告。2031年末までに優先度の高いシステムの移行を完了。2035年末までに残りを完了［参考資料14］ | 連邦政府機関向けの要求・指針 | 「完了」は、脆弱な方式を無効化・隔離・トンネル化し、量子リスクを軽減した状態 |
| 日本：内閣官房 国家サイバー統括室の中間とりまとめ（2025年11月20日） | 政府機関等の PQC への移行を、原則として2035年までに行うことを目指し、2026年度（2026年4月〜2027年3月）に工程表（ロードマップ）を策定する［参考資料15］ | 方針（中間とりまとめ）未確定／将来 | 確認日時点で、公表された工程表は確認できなかった。対象は政府機関等（原案は重要インフラ・民間への波及に言及） |
| 日本：金融庁の検討会報告書（2024年11月26日） | 優先度の高いシステムは、技術の進展や海外の規制動向を見ながら、2030年代半ばを目安に、PQC のアルゴリズムを利用可能な状態にすることが望ましい［参考資料18］ | 検討会の報告（望ましい、という整理）未確定／将来 | 預金取扱金融機関が対象。報告は「期限は固定でなく、見直す」としている |
事実／未確定／将来。日付・内容は、各機関の公式文書の記載（確認日 2026年10月16日）。性格（義務・推奨・草案）が違うため、日付の早い遅いで、国の姿勢の優劣は判断できません。
2035年は「完了」の目標で、始める時期ではありません。時程をよく見ると、最初の節目は、もう目の前です。EU は2026年末に「最初の一歩」、英国は2028年に洗い出しと計画、カナダは2026年4月に初期計画、NSA は2027年に新規調達の要件を示しています［参考資料12・13・14・11］。また、EU は、10年以上守る必要がある情報は、2030年末までに量子攻撃から守るべきだ、としています［参考資料12］。
4. 何から手を付けるか ― 暗号の棚卸し
どの機関の文書も、最初の一歩を同じところに置いています。自分たちが、どこで、どの暗号を使っているかを知ることです。EU の行程表は、「暗号の処理を行う資産と、暗号の処理を受ける資産の最新の一覧（インベントリ）を作り、保つことは、すべての組織にとって、後悔のない最初の一手」だとしています［参考資料12］。英国 NCSC は、2028年までに「全体の洗い出し（ディスカバリー）」を求め、扱うデータの想定する寿命と、攻撃者にとっての価値を記録すること、データがどう守られているかを確かめることを挙げます［参考資料13］。日本の中間とりまとめ（案）は、これを「クリプト・インベントリ」と呼びます［参考資料17］。
暗号は、どこに隠れているか
公開鍵暗号は、ウェブサイトの暗号化だけではありません。ソフトウェアやファームウェアの署名、証明書、VPN、装置の遠隔保守、バックアップの鍵の管理、ソフトウェア部品の中など、人が意識しない所で使われていることが多くあります。
棚卸しに書く項目 ― 例
棚卸しは、最初から完全でなくてかまいません。次の表は、本稿が作った架空の例で、どんな項目を書くかの見本です（実在の会社・製品ではありません）。
| 資産（架空の例） | 使っている公開鍵暗号 | 守っているもの・守りたい期間 | 更新のしやすさ | 優先度の目安（図6） |
|---|---|---|---|---|
| 社内とクラウドの間の通信 | TLS の鍵共有（楕円曲線） | 配合・プロセス条件。10年以上 | ソフトウェアの更新で可能 | 高（Q1） |
| 拠点間の VPN 装置 | RSA の鍵交換 | 設計データ。15年 | 機器の入れ替えが必要 | 高（Q1、Q2） |
| 製造装置のファームウェア署名 | RSA-2048 の署名検証 | 装置の安全・品質。装置寿命の15年 | 出荷後の変更が難しい | 高（Q3） |
| 社内の認証局（PKI） | RSA の証明書署名 | 証明書の有効期間（数年） | 移行に長期間 | 中以上（Q2） |
| メールの電子署名 | RSA の署名 | 数年 | ソフトウェアの更新で可能 | 低〜中（Q4） |
本稿の計算ではなく、本稿の解説（架空の例）です。実在の組織・製品の状況を示すものではなく、優先度は例示です。
情報システム部門の棚卸しは、サーバーやパソコンから始まりがちです。しかし、材料・プロセスの現場には、寿命が長く、更新しにくい機器（製造装置、計測器、制御盤、センサー）があり、その通信や更新の署名が、公開鍵暗号に頼っていることがあります（本記事による解説）。EU の行程表は、ソフトウェア更新を守る署名は、移行の手間が大きいとき「高」リスクだとし、2030年末までに、量子耐性のあるソフトウェア・ファームウェアの更新を、標準にする行程を示しています［参考資料12］。NSA も、ソフトウェア・ファームウェア署名を最も早い移行対象に置いています［参考資料10］。装置メーカーに、署名方式と更新の計画を尋ねること、自社で作る機器なら、将来の差し替えを見込んだ設計にしておくことが、棚卸しの具体的な作業になります。
5. 優先度のつけ方
すべてを一度には移せません。EU の行程表は、リスクを「低・中・高」に分け、高リスクは2030年末まで、中リスクは2035年末まで、としています［参考資料12］。リスクは、①暗号の量子への弱さ、②破られたときの影響、③移行にかかる時間と手間、の3つで決まり、Mosca の式の考え方（X＋Y＞Z）の中で、組織が自分で決められる部分に注目したものだ、と説明されています［参考資料12］。
EU の文書の例示は、おおむね次のとおりです：機密を守る使い道は、リスクが中か高。機密を10年以上守る必要があり、10年後に漏れても大きな影響が出るなら高。移行の手間が大きい（8年超）なら、中か高。移行の手間が大きく、かつ影響も大きい（たとえばソフトウェアの更新の保護）なら高［参考資料12］。
移行は、1回で終わる作業ではありません。新しい方式にも、将来、弱点が見つかりえます（前の記事：2022年に2方式が破られた例、実装の穴の例）。英国 NCSC は、移行をきっかけに、より広いサイバー耐性を作り込むことを勧めています［参考資料13］。日本の中間とりまとめ（案）も、暗号の部分を素早く替えられる情報システム（クリプト・アジリティ）を挙げています［参考資料17］。EU の行程表は、暗号の構成要素を取り替えられる性質を、暗号アジリティと呼びますが、それは、通信のたびに暗号を交渉する要件とは別で、下手に交渉させるとダウングレード攻撃を招きうる、と注意しています［参考資料12］。
6. ハイブリッドか、PQC 単独か ／ 暗号アジリティ
前の記事で見たとおり、ハイブリッドは、従来の方式と PQC を併用して、片方が破られても守る方式です。では、移行で、ハイブリッドを使うべきか、PQC 単独にすべきか。これは、機関によって、見解が異なります。
| 機関 | ハイブリッドについての記載 | 文書 |
|---|---|---|
| 米国 NSA | CNSA 2.0 のアルゴリズムに自信があるため、NSS の開発者にハイブリッドの採用を要求しない。ただし、製品の入手可能性や相互運用の要請で、ハイブリッドを採用することがありうる。ハイブリッドは複雑さを増し、あとで、さらに移行（古い方式をやめる）が要る、とも述べる。IKEv2 のように、ML-KEM-1024 の大きな公開鍵を直接入れにくい場合は、IETF が標準化した方法（小さな鍵確立のあとに、大きな鍵確立を暗号化して行う）を使う見込み | CNSA 2.0 FAQ 版2.1（2024年12月）［参考資料11］事実 |
| EU（NIS 協力グループ） | PQC に移行するときは、標準化され試験されたハイブリッドを、可能で適切なら使うことを推奨。RSA や離散対数の方式が使われている所では、PQC を含む標準化されたハイブリッドへの置き換えを検討すべき | 調整された実施行程表（2025年6月）［参考資料12］未確定／将来 |
| 日本（政府機関等） | 利用環境によっては、PQC への完全な移行でなく、PQC と現在主流の暗号の併用を採用することも考えられる | 中間とりまとめ（案）（2025年11月）［参考資料17］未確定／将来 |
| IETF | TLS 1.3 のハイブリッド鍵合意（X25519MLKEM768 など）を、RFC 10024（標準化過程、2026年8月）で標準化 | RFC 10024［参考資料5］事実 |
事実／未確定／将来。どれが正しい、ではなく、守る対象・規制・相互運用で選びます。機関の見解は、その機関の対象（NSS、EU 加盟国、政府機関）への指針です。
量子コンピュータの影響が大きいのは公開鍵暗号で、共通鍵暗号は、鍵長を十分にとれば、量子耐性があると見られています。NSA の FAQ は、共通鍵暗号は「鍵のサイズが十分に大きければ安全と考えられる」とし、CNSA 2.0 の共通鍵暗号は CNSA 1.0 とほぼ同じ（AES は256ビット鍵）としています［参考資料11］。日本の中間とりまとめ（案）も、移行の主な対象は公開鍵暗号で、共通鍵暗号・ハッシュ関数は、より強い鍵長への変更を検討する、としています［参考資料17］。ただし、共通鍵暗号の鍵を公開鍵暗号で共有しているなら、その共有の部分が、移行の対象になります。
EU の行程表は、すべての組織が、製品やサービスの提供元との対話を始める必要がある、移行は提供元に依存するから、と述べています［参考資料12］。材料・プロセスの会社なら、装置メーカー、計測器メーカー、クラウド・サービス、取引先のシステムへの質問が、具体的な作業になります（本記事による解説）。たとえば、①公開鍵暗号を何に使っているか、②PQC の標準（FIPS 203・204・205 など）への対応予定と時期、③ファームウェアの署名の方式と、更新の方法、④暗号方式を差し替えるときの手順と費用、⑤対応済みの製品の検証（NIAP、CMVP など）の状況、です。答えが出ない相手は、それ自体が、リスクの情報です。
なお、量子鍵配送（QKD）を、この移行の代わりにする考えについては、前の記事「量子鍵配送と量子通信」で見たとおり、NSA は、国家安全保障システムを量子コンピュータから守る手段として、実用的とは見ておらず、NSS の所有者は NSA に相談せずに使ったり研究したりしないよう述べています［参考資料11］。日本の中間とりまとめ（案）は、利用環境によっては QKD の導入を視野に入れることも考えられる、と記しています［参考資料17］。
7. 評価・標準の読み方
移行の「進み具合」は、①期限（誰の、どの性格の期限か）、②使える標準（FIPS・RFC など）、③対応製品の確認（検証制度）、④棚卸しと優先づけの4つで測ります。①は第3章の表、②は前の記事を参照。確認日は2026年10月16日です。
| 評価項目 | 代表的なベンチマーク・評価手法（名称・出典） | 標準・指針（NIST・NSA・EU・IETF など） | 読み方の注意 |
|---|---|---|---|
| 移行の期限 | Mosca の X＋Y＞Z（2018）［参考資料8］事実。金融庁の報告書が数字の例で説明［参考資料18］ | NSA CNSA 2.0（義務、NSS）、NIST IR 8547（草案）、EU 行程表（推奨）、英国 NCSC・カナダ（指針）、日本の中間とりまとめ（方針）（第3章の表）［参考資料11・2・12・13・14・15］事実未確定／将来 | 期限の性格（義務・推奨・草案）と対象を確認。日付だけで比べない |
| 量子の脅威の時期の見積もり | Global Risk Institute の専門家調査（2025年版、2026年3月9日公開。26人）［参考資料6］事実 | 確認できなかった（時期を定めた標準はない）。NSA：「いつ CRQC ができるかは分からず、専門家の評価は大きく割れる」［参考資料11］事実 | 意見の調査は予測ではない。Z は分からないので、X と Y を縮める |
| 使える標準 | — | NIST FIPS 203・204・205、SP 800-208（前の記事）、IETF RFC 10024 ほか、ETSI TS 103 744［参考資料3・4・5・7］事実 | 標準が出来たことと、製品が対応したことは別 |
| 対応製品の確認 | — | NSA は、NSS の商用製品は NIAP の検証が必要で、検証は一般に CNSA 2.0 への適合を要する、と述べる。NIST は暗号モジュール検証制度（CMVP）を運営。日本では、CRYPTREC が FIPS 203・204・205 の安全性・実装性能の評価を順次実施中（中間とりまとめ（案）の記述）［参考資料11・1・17］事実 | 検証制度の件数・進み具合は確認できなかった |
| 棚卸しと優先づけ | —（共通のベンチマークは確認できなかった） | EU 行程表の「最初の一歩」（暗号資産の管理、依存関係の地図、量子リスクの分析など）、英国 NCSC のディスカバリー、日本のクリプト・インベントリ（第4章）［参考資料12・13・17］事実 | 「何%終えたら十分」という共通の基準は確認できなかった。自社の優先度は自社で決める |
表の整理は本稿の計算（整理）。番号・日付・状態は、各機関の公式文書で確認（確認日 2026年10月16日）。
読み方の注意（素材技術者向け）
- 期限の「性格」を見る：義務（NSA の NSS 向け）か、推奨・指針（EU、英国、カナダ）か、草案（NIST IR 8547）か。民間の会社に直接の法的な義務があるかは、自社の業種と取引先の要求によります（本記事による解説。法的助言ではない）。
- 日付は更新される：NIST IR 8547 は草案のままで、日本の工程表は2026年度に策定予定です。確認日以降の改訂に注意してください。
- 「Z」を当てようとしない：専門家の意見調査（GRI）も、NSA も、時期は分からないと述べます。X と Y を縮める行動が、Z の予測より確実です［参考資料6・11］。
- 標準の存在と、自社の準備は別：FIPS が出来ても、自社の装置・取引先が対応するまで、移行は終わりません。
8. 用語集
- PQC（耐量子計算機暗号）
- 量子コンピュータでも解きにくいと考えられる問題に基づく暗号。
- CRQC
- 暗号を実際に破れる規模の量子コンピュータ（cryptographically relevant quantum computer）。
- HNDL（Harvest Now, Decrypt Later）
- 暗号化データを今のうちに保存し、将来、量子コンピュータで解く攻撃。
- Mosca の式（X＋Y＞Z）
- 移行年数 X と保護年数 Y の合計が、量子コンピュータまでの年数 Z を超えると危険、という目安。
- 暗号の棚卸し（クリプト・インベントリ）
- どこで、どの暗号を使っているかの一覧。
- 暗号アジリティ
- 暗号の部品を、あとから取り替えやすい性質・設計。
- ハイブリッド方式
- 従来の方式と PQC を併用して、片方が破られても守る方式。
- CNSA 2.0
- NSA が国家安全保障システムに定める、量子耐性のある暗号アルゴリズムの集合。
- NSS（国家安全保障システム）
- 米国の、国家の安全保障に関わる情報システム。
- NSM-10
- 2022年5月4日の米国の国家安全保障覚書。量子リスクを2035年までに軽減する目標。
- NIST IR 8547
- NIST の量子に弱い暗号の移行の方針の草案。2030年に非推奨、2035年に使用不可という案。
- NIAP・CSfC
- NSA が関わる、製品の検証・承認の制度。
- CMVP
- NIST の暗号モジュール検証制度。
- CRYPTREC
- 日本の電子政府推奨暗号の安全性を評価・監視するプロジェクト。
- 高・中・低リスク（EU）
- 量子への弱さ、被害、移行の手間で決める、EU の行程表の3段階。
- ファームウェア署名
- 装置の組込みソフトの更新が本物であることを署名で確認する仕組み。
- サプライチェーン
- 装置・部品・サービスの提供元のつながり。移行は提供元に依存する。
- QKD（量子鍵配送）
- 光の量子的な性質で鍵を共有する方法。専用の光回線が要る。
- FIPS
- 米国の連邦情報処理標準。NIST が定める。
- RFC
- インターネット技術の文書。標準化過程のものと、情報提供のものがある。
9. 参考資料（一次情報）
- NIST NIST CSRC の "Post-Quantum Cryptography" プロジェクトのページ（2026年10月16日確認） — csrc.nist.gov/projects/post-quantum-cryptography
- NIST NIST IR 8547（初期公開草案）"Transition to Post-Quantum Cryptography Standards"（2024年11月12日。意見募集は2025年1月10日に終了。確認日時点で最終版は見つからなかった） — csrc.nist.gov/pubs/ir/8547/ipd
- NIST FIPS 203 "Module-Lattice-Based Key-Encapsulation Mechanism Standard"（2024年8月13日公開）、DOI 10.6028/NIST.FIPS.203 — csrc.nist.gov/pubs/fips/203/final
- NIST SP 800-208 "Recommendation for Stateful Hash-Based Signature Schemes"（2020年10月）、DOI 10.6028/NIST.SP.800-208 — csrc.nist.gov/pubs/sp/800/208/final
- Kwiatkowski K., Kampanakis P., Westerbaan B. E., Stebila D. (IETF) RFC 10024 "Post-Quantum Traditional (PQ/T) Hybrid Key Agreement Mechanisms for TLS 1.3"（標準化過程、2026年8月） — rfc-editor.org/rfc/rfc10024.html
- Mosca M., Piani M. (Global Risk Institute and evolutionQ) "Quantum Threat Timeline Report 2025"（2026年3月9日公開。専門家26人への調査） — globalriskinstitute.org/publication/quantum-threat-timeline-report-2025b/
- ETSI TS 103 744 V1.2.2 (2026-02) "CYBER; Quantum-Safe Cryptography (QSC); Quantum-safe Hybrid Key Establishment" — etsi.org/deliver/etsi_ts/103700_103799/103744/01.02.02_60/ts_103744v010202p.pdf
- Mosca M. "Cybersecurity in an Era with Quantum Computers: Will We Be Ready?", IEEE Security & Privacy 16 (5), 38–41 (2018), DOI 10.1109/MSP.2018.3761723 — doi.org/10.1109/MSP.2018.3761723
- The White House 国家安全保障覚書 10（NSM-10）"Promoting United States Leadership in Quantum Computing While Mitigating Risks to Vulnerable Cryptographic Systems"（2022年5月4日。ホワイトハウスの保存ページ） — bidenwhitehouse.archives.gov/briefing-room/statements-releases/2022/05/04/nation
- NSA "Announcing the Commercial National Security Algorithm Suite 2.0"、サイバーセキュリティ勧告 PP-22-1338、版1.0（2022年9月）。公式の media.defense.gov の複製には本稿の環境から接続できず、インターネットアーカイブの保存版を読んだ — web.archive.org/web/2026/https://media.defense.gov/2025/May/30/2003728741/-1/-1/
- NSA "The Commercial National Security Algorithm Suite 2.0 and Quantum Computing FAQ"、サイバーセキュリティ情報シート PP-24-4014、版2.1（2024年12月）。公式の media.defense.gov のファイルを、インターネットアーカイブの保存版で読んだ — web.archive.org/web/2026/https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/
- NIS Cooperation Group (EU Member States, supported by the European Commission) "A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography"（2025年6月23日公開。17ページの文書）と欧州委員会のページ — digital-strategy.ec.europa.eu/en/library/coordinated-implementation-roadmap-tran
- NCSC (UK) "PQC migration timelines"（ガイダンス、版1.0、2025年3月20日公開） — ncsc.gov.uk/guidance/pqc-migration-timelines
- Canadian Centre for Cyber Security "Roadmap for the migration to post-quantum cryptography for the Government of Canada (ITSM.40.001)"（2025年6月23日施行） — cyber.gc.ca/en/guidance/roadmap-migration-post-quantum-cryptography-government-c
- 内閣官房 国家サイバー統括室 「政府機関等における耐量子計算機暗号（PQC）への移行について（中間とりまとめ）」の公表について（2025年11月20日） — cyber.go.jp/pdf/press/20251120_PQC_chukantorimatome.pdf
- 内閣官房 「政府機関等における耐量子計算機暗号（PQC）利用に関する関係府省庁連絡会議」のページ（中間とりまとめと開催状況。2026年10月16日確認） — cas.go.jp/jp/seisaku/pqc/index.html
- 内閣官房 中間とりまとめ（案）（2025年11月。第2回会議の資料1） — cas.go.jp/jp/seisaku/pqc/dai2/shiryo1.pdf
- 金融庁 「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会 報告書」（2024年11月26日） — fsa.go.jp/singi/pqc/houkokusyo.pdf
10. 主張と出典の対応表（監査）
| 本文の主張 | 根拠 | 区分 |
|---|---|---|
| HNDL の定義（暗号化データを保存し、解読が可能になってから解読する攻撃）と、移行・クリプト・インベントリ・クリプト・アジリティ・QKD の導入を視野に入れうるという記述、RSA 等で提案から普及まで20年ほどという記述、2035年を目標とする方向性 | 内閣官房の中間とりまとめ（案）（2025年11月） 出典17 https://www.cas.go.jp/jp/seisaku/pqc/dai2/shiryo1.pdf | 事実 |
| 日本政府機関等の PQC 移行を原則2035年までに行うことを目指し、2026年度に工程表を策定する方針 | 国家サイバー統括室の公表資料（2025年11月20日）、連絡会議のページ（確認日 2026年10月16日） 出典15 https://www.cyber.go.jp/pdf/press/20251120_PQC_chukantorimatome.pdf 出典16 https://www.cas.go.jp/jp/seisaku/pqc/index.html | 事実未確定／将来 |
| 金融庁の検討会報告書：X＋Y＞Z、移行10年・保護20年で30年の例、HNDL は鍵共有に効果的で認証にはほとんど影響しない、優先度の高いシステムは2030年代半ばを目安、期限は固定でない | 金融庁の報告書（2024年11月26日） 出典18 https://www.fsa.go.jp/singi/pqc/houkokusyo.pdf | 事実未確定／将来 |
| Mosca（2018）の題名・書誌（量子コンピュータの時代に備えられるか） | 論文の書誌（Crossref で確認） 出典8 https://doi.org/10.1109/MSP.2018.3761723 | 事実 |
| NSM-10（2022年5月4日）：量子リスクを2035年までに実行可能な限り軽減する目標。連邦機関による IT システムの目録の毎年の提出 | ホワイトハウスの保存ページ 出典9 https://bidenwhitehouse.archives.gov/briefing-room/statements-releases/2022/05/04/national-security-memorandum-on-promoting-united-states-leadership-in-quantum-computing-while-mitigating-risks-to-vulnerable-cryptographic-systems/ | 事実 |
| NSA の CNSA 2.0（版1.0、2022年9月）：ソフトウェア・ファームウェア署名は2025年に優先、2030年に専用、ほかの用途の時程、LMS・XMSS の使用 | NSA の勧告（インターネットアーカイブの保存版） 出典10 https://web.archive.org/web/2026/https://media.defense.gov/2025/May/30/2003728741/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS.PDF | 事実 |
| NSA の FAQ（版2.1、2024年12月）：2027年1月1日以降の新規調達、2030年12月31日までの段階的廃止、2031年12月31日の義務化、2035年の目標、ハイブリッドを要求しない立場と IKEv2 の例、共通鍵暗号の扱い、CRQC の時期は不明で専門家の評価が割れること、QKD を実用的な手段とみなさないこと、NIAP の検証 | NSA の FAQ（インターネットアーカイブの保存版） 出典11 https://web.archive.org/web/2026/https://media.defense.gov/2022/Sep/07/2003071836/-1/-1/0/CSI_CNSA_2.0_FAQ_.PDF | 事実 |
| NIST IR 8547 初期公開草案（2024年11月12日）：RSA・ECDSA・DH・ECDH などの2030年より後の非推奨、2035年より後の使用不可。確認日時点で最終版は見つからなかったこと。NIST の PQC ページの2035年の記述と暗号モジュール検証制度の運営 | NIST のページと草案の本文 出典2 https://csrc.nist.gov/pubs/ir/8547/ipd 出典1 https://csrc.nist.gov/projects/post-quantum-cryptography | 事実未確定／将来 |
| EU の行程表：2026年末の最初の一歩、2030年末の高リスク、2035年末の中・低リスク、リスク区分の例（10年以上の機密、移行8年超、更新の署名）、10年以上守る情報は2030年末までに保護、ハイブリッドの推奨、暗号アジリティとダウングレード攻撃の注意、棚卸し・依存関係・サプライチェーン | 欧州委員会のページと行程表の本文（2025年6月23日） 出典12 https://digital-strategy.ec.europa.eu/en/library/coordinated-implementation-roadmap-transition-post-quantum-cryptography | 事実未確定／将来 |
| 英国 NCSC：2028年・2031年・2035年の目標、ディスカバリー、データの寿命と価値の記録、複数の経営の任期にまたがり費用が大きいこと | NCSC のガイダンス（2025年3月20日） 出典13 https://www.ncsc.gov.uk/guidance/pqc-migration-timelines | 事実未確定／将来 |
| カナダ政府の行程表：2026年4月の初期計画と毎年の報告、2031年末、2035年末、完了の意味 | カナダのサイバーセキュリティセンターの文書（2025年6月23日施行） 出典14 https://www.cyber.gc.ca/en/guidance/roadmap-migration-post-quantum-cryptography-government-canada-itsm40001 | 事実未確定／将来 |
| GRI の2025年版報告（2026年3月9日公開）：専門家26人の調査 | GRI のページ 出典6 https://globalriskinstitute.org/publication/quantum-threat-timeline-report-2025b/ | 事実 |
| RFC 10024（標準化過程、2026年8月）、FIPS 203、SP 800-208、ETSI TS 103 744 V1.2.2（2026年2月）が、PQC・ハイブリッドの標準であること | 各文書（前の記事で確認） 出典5 https://www.rfc-editor.org/rfc/rfc10024.html 出典3 https://csrc.nist.gov/pubs/fips/203/final 出典4 https://csrc.nist.gov/pubs/sp/800/208/final 出典7 https://www.etsi.org/deliver/etsi_ts/103700_103799/103744/01.02.02_60/ts_103744v010202p.pdf | 事実 |
| 図2・表の X・Y・Z の例（X＝10、Y＝20、Z＝10・15・20 など）と、X＋Y の判定 | 本稿の計算（Mosca の式の当てはめ。値は説明用の仮定） | 本稿の計算 |
| 棚卸し表の例（架空）、暗号が隠れている場所の例、優先度の図、素材技術者の視点（Y の見積もり、装置・ファームウェアの死角、取引先への質問票）、期限の性格（義務・推奨・草案）の整理、各機関の見解の並べ方 | 公表内容にもとづく本記事の整理・解説。各機関が表明した見解ではない | 解説 |
| 日本の工程表の内容、民間企業への法的義務の有無、検証制度の件数、「量子コンピュータがいつ暗号を破るか」の予測、暗号を破る手順、法的・投資の助言 | 本記事は述べていない（確認できなかった、または本記事の範囲外） | 解説 |
| 図2〜6が実データの観察ではなく説明のための作図であること。図1がImageGen生成の概念画像であること | 本記事による注記 | 解説 |
最終更新：2026年10月16日／出典は一次情報（NIST・NSA・欧州委員会・英国 NCSC・カナダのサイバーセキュリティセンター・内閣官房・金融庁の公式文書、IETF の RFC、査読論文、Global Risk Institute の報告）に限定しています。NSA の公式ファイルには本稿の環境から接続できず、インターネットアーカイブの保存版を読みました。期限の日付は各文書の記載で、確認日時点のものです。日本の工程表の内容、民間企業への法的義務の有無、検証制度の件数、「量子コンピュータがいつ暗号を破るか」の予測は、確認できなかった、または断定できないため記載していません。図はすべて説明用の概念図または本稿の計算を含む作図で、図1はImageGen生成の概念画像です。本記事は、法的・投資の助言ではなく、暗号を破る手順の解説でもありません。