Le recenti conversazioni con i CISO del settore dei servizi finanziari in tutta l’area EMEA hanno rafforzato una convinzione: il settore bancario si basa sulla crittografia.
La crittografia autentica clienti e dispositivi, protegge i pagamenti e le sessioni e dimostra, attraverso i certificati, che un’applicazione è legittima. Il quantum computing minaccia ciascuno di questi elementi fondamentali.
La preparazione all’era quantistica rappresenta una questione di resilienza che le banche devono affrontare fin da ora. Il traffico bancario cifrato, infatti, può essere sottratto oggi e decifrato in futuro.
Stati e gruppi criminali possono raccogliere questo traffico e conservarlo fino a quando un computer quantistico crittograficamente rilevante (Cryptographically Relevant Quantum Computer, CRQC) sarà in grado di violare RSA ed ECC, gli algoritmi a chiave pubblica da cui dipendono i servizi bancari. Questa strategia è nota come harvest now, decrypt later (HNDL), ovvero “raccogliere ora, decifrare in futuro”.
Perché proprio ora?
Alcuni fattori specifici rendono le banche particolarmente esposte. I loro dati devono rimanere riservati per decenni, mentre le architetture risultano complesse, essendosi sviluppate attraverso generazioni di interventi e aggiornamenti delle reti. Di conseguenza, qualsiasi modifica alla crittografia dei servizi bancari e di pagamento in produzione richiede tempi lunghi e comporta rischi operativi.
Un servizio bancario si basa su uno scambio costante di informazioni tra applicazioni, infrastrutture e soggetti terzi. Ogni scambio viaggia in forma cifrata attraverso collegamenti WAN e VPN, reti SD-WAN, connessioni cloud, API e traffico est-ovest all’interno del data center. I dati in transito rappresentano quindi una delle aree di esposizione a cui assegnare la massima priorità.
La preparazione all’era quantistica, però, non può essere gestita come un progetto isolato. Deve seguire un quadro normativo in rapida evoluzione ed essere integrata nei programmi a cui le banche europee già attribuiscono priorità: governance del rischio, trasformazione basata sull’intelligenza artificiale, modernizzazione dei pagamenti e resilienza operativa. In questo scenario, il dato riportato nel Fortinet European Banking Cybersecurity Report 2026 rileva che il 61% delle banche non dispone di una roadmap per la crittografia post-quantistica (Post-Quantum Cryptography, PQC).
Il percorso di migrazione
Per una banca di primo livello, la migrazione alla crittografia post-quantistica coinvolge l’intera infrastruttura, dai sistemi core fino alla catena di fornitura dei soggetti terzi.
“Semplicemente, non posso permettermi una migrazione che interrompa i servizi critici”, ha dichiarato un CISO il mese scorso. Ciò che questo CISO chiede è la crypto-agility, ovvero la capacità di sostituire gli algoritmi crittografici senza interrompere i sistemi in produzione.
La crypto-agility elimina la necessità di prevedere quando arriverà un CRQC, poiché consente alla banca di adattarsi all’evoluzione degli standard e delle scadenze normative. In pratica, significa realizzare una migrazione controllata basata sulla crittografia ibrida, in cui gli algoritmi classici e quelli post-quantistici operano in parallelo.
Il National Institute of Standards and Technology (NIST) ha standardizzato i suoi primi algoritmi post-quantistici, offrendo agli istituti finanziari una base più chiara su cui pianificare la transizione.
I cinque passi da compiere per le banche
Individuare i dati critici e i relativi flussi: Non tutti i dati presentano lo stesso livello di rischio. Occorre iniziare dai dati che combinano un elevato valore per il business con requisiti di riservatezza a lungo termine, per poi mappare ogni applicazione e percorso di rete attraverso cui transitano, partendo dalle applicazioni al centro della creazione di valore. Questa mappatura consente di individuare le aree maggiormente esposte e definire un criterio di prioritizzazione specifico per ciascuna banca.
Sviluppare la crypto-agility: La crypto-agility consente di sostituire gli algoritmi gradualmente, mantenendo attivi i servizi, e permette di evitare interruzioni quando gli algoritmi obsoleti vengono dismessi.
Preservare la fiducia: L’integrità delle transazioni dipende dalla certezza dell’identità di chi ha impartito un’istruzione. I certificati e le identità digitali non resteranno inviolabili. Le banche devono quindi proteggerli con meccanismi resistenti agli attacchi quantistici.
Estendere la preparazione: Le piattaforme cloud, le API per l’open banking, i dati in tempo reale e l’intelligenza artificiale aziendale fanno circolare una quantità crescente di dati sensibili attraverso un numero sempre maggiore di connessioni. Ogni nuovo programma introduce ulteriori dipendenze crittografiche. Integrare la preparazione all’era quantistica in questi programmi aiuta a evitare che le iniziative di trasformazione avviate oggi generino un debito tecnico crittografico in futuro.
Rendere il tema una priorità del consiglio di amministrazione: Il consiglio di amministrazione deve poter disporre di una visione chiara dell’esposizione al rischio quantistico, del potenziale impatto sui servizi e della strategia di migrazione. Una transizione di tale portata comporterà ostacoli che potranno essere superati soltanto grazie a un coinvolgimento attivo e a un sostegno concreto da parte del vertice aziendale.
La Bank of England ha sottolineato questo aspetto nel Financial Stability Report di luglio 2026: data la portata della transizione alla crittografia post-quantistica, le banche devono iniziare a pianificarla fin da ora e integrare la gestione del rischio quantistico nella propria strategia di resilienza operativa. Per i consigli di amministrazione, la domanda rilevante non è quindi quando arriverà il primo CRQC, ma se la banca sarà in grado di realizzare una transizione ordinata senza compromettere la riservatezza, la fiducia o la disponibilità dei servizi.
