文章总结： 荷兰后量子密码迁移手册第二版提出量子脆弱性诊断框架，将组织按数据敏感度与系统寿命分为紧急、常规、密码专家三类角色，要求紧急者立即盘点密码与数据资产、评估量子风险并制定迁移优先级，常规者关注标准进展并预留敏捷性，专家组织需率先完成产品PQC适配并向客户提供迁移支撑，供应链角色继承机制确保风险传导可控，诊断输出0-4级风险评分直接指导资源投入与时间表，配套CBOM清单、政策修订及自动化工具实现资产持续治理，强调迁移是跨政策、合规、供应链的系统工程而非单纯技术升级。 综合评分： 92 文章分类： 政策法规,安全建设,技术标准,解决方案,网络安全

---

寰球密码简报（2026年乙本第1期）丨荷兰《后量子密码迁移手册（第二版）》中的迁移政策与实践指南（上）：量子脆弱性诊断框架

原创

祝媛 周青 祝媛 周青

苏州信息安全法学所

2026年1月16日 18:45 江苏

2024年12月，荷兰国家安全和情报局（AIVD）、荷兰国家数学和计算机科学研究所（CWI）、荷兰应用科学研究组织（TNO）联合发布《后量子密码迁移手册（第二版）》，是在荷兰国家安全体系支持下形成的一份系统性、操作导向极强的量子安全迁移指南。该手册在2023年3月第一版基础上，结合NIST后量子密码标准的最新进展与国际实践经验进行全面修订与扩展，定位为面向政府、关键基础设施运营方、企业及科研机构的通用参考文件，旨在帮助各类组织识别量子计算对现有加密体系构成的现实威胁，并规划向后量子密码迁移的可执行路径。

密码法治实践创新基地与江苏金服数字集团联合编译整理手册全文，相关成果在第十五届信息安全法律大会“后量子密码时代的密码法治创新”分论坛亮相。该手册共六章，现精选其中两章内容作为简报，以飨读者。本期简报聚焦第二章“量子脆弱性诊断”，系统拆解量子脆弱性诊断的实施框架、重要环节与操作要点，为启动PQC迁移提供前置指引，助力组织精准识别风险、明确方向。

一、PQC角色定位——量子脆弱性诊断的前提

量子脆弱性诊断的首要任务是明确组织的PQC角色定位，这一分类基于组织处理的数据类型、系统特性、威胁水平及供应链依赖关系，直接决定了诊断的紧迫性、范围与深度。手册将组织划分为三类主要角色，且角色定位需结合供应链传导效应综合判断。

（一）主要角色分类及特征

1.紧急采用者（Urgent Adopters）

紧急采用者是量子威胁的高暴露群体，因处理高敏感数据或提供关键/长寿命基础设施，需立即启动量子脆弱性诊断与迁移准备。手册进一步将其细分为四类子角色，各有明确的风险特征与适用场景：

（1）个人数据处理者（Personal Data Handlers）：处理需长期（20 年以上）保密的个人数据（如社会安全号码、健康数据、金融账户信息），面临“现在存储、未来解密”攻击的直接风险。典型组织包括政府机构、医院、银行、保险公司等，这类组织即便当前无明确法律强制要求采用PQC，但若未来数据因量子攻击泄露，仍需承担法律责任。需注意的是，普通零售商、体育俱乐部等处理短期敏感个人数据的组织不在此列。

（2）组织敏感数据处理者（Organisationally Sensitive Data Handlers）：处理国家秘密、商业机密、敏感技术资料等组织核心数据，数据泄露可能危及国家安全、丧失市场竞争力或扰乱经济秩序。典型组织包括军队、国家情报机构、科研院所、高科技企业等，数据的长期敏感性使其成为量子攻击的重点目标。

（3）关键基础设施提供者（Critical Infrastructure Providers）：提供支撑社会正常运转的核心系统（如能源供应、供水、交通、通信、医疗服务），系统故障可能导致大规模民生秩序混乱、财产损失甚至人员伤亡。这类组织的密码迁移需优先保障系统可用性，同时抵御量子攻击，典型代表包括电力公司、机场、电信运营商等。

（4）长寿命基础设施提供者（Long-lived Infrastructure Providers）：生产设计寿命超过10年的设备或系统（如卫星、支付终端、智能电表、工业4.0传感器网络），这类系统硬件更新困难，需在研发阶段就适配PQC的硬件要求，避免未来因无法升级陷入安全困境。

2.常规采用者（Regular Adopters）

常规采用者不涉及高敏感长期数据或关键/长寿命系统，量子攻击风险相对滞后。这类组织包括普通零售商、学校、体育俱乐部等，其数据保密周期短（通常不足10年），系统更新频率高，无需仓促启动PQC迁移。但手册强调，常规采用者需保持对PQC标准进展的关注，优先采用密码敏捷性解决方案，为未来迁移预留空间；若计划进行大规模基础设施投资、业务范围扩展或新增高敏感客户，应提前启动诊断准备。

3.密码专家（Cryptography Experts）

以提供密码标准、基础设施或专业知识为核心职能，包括标准制定机构（如NIST、ETSI、ISO/IEC）、密码基础设施供应商（如安全管理服务商、密码库开发者）及特殊密码应用提供者（如区块链、零知识证明技术服务商）。作为供应链的重要环节，这类组织需率先完成自身产品的PQC迁移，向客户明确产品量子安全性、PQC适配时间表及算法选型计划，为全行业迁移提供支撑。手册特别指出，这类组织需具备成熟的密码专业知识，其迁移进度直接影响下游组织的诊断与迁移效率。

（二）角色定位的确定方法

组织角色定位需综合考虑三个层面：自身密码基础设施、拥有的密码专业知识、供应链中的依赖关系。其中，供应链传导效应尤为关键，组织需继承其所有下游供应对象的角色定位，若为紧急采用者提供产品或服务，即便自身不属于紧急采用者，也需同步遵循紧急采用者的诊断与迁移要求，避免因供应链攻击导致下游组织面临风险。

手册提供了决策流程图辅助角色判断，主要逻辑为：先判断是否为密码专家组织，再依据数据敏感性、系统类型判断是否为紧急采用者，最后结合供应链关系确认角色继承情况。对于边界性组织（如介于紧急与常规采用者之间），建议采取保守策略，参考紧急采用者的诊断要求推进前期工作，避免因角色误判延误迁移时机。同时，角色定位并非一成不变，需随业务变化、技术发展定期重新评估。

二、量子脆弱性诊断实施环节

量子脆弱性诊断是组织启动PQC迁移的基础工程，目标是全面掌握自身密码体系现状、数据资产风险及供应链依赖，为后续迁移规划提供精准依据。手册明确了不同角色组织的诊断要求，并界定了诊断的四大任务。

（一）诊断的实施要求与优先级

1.紧急采用者：需立即启动量子脆弱性诊断，确保在量子计算机具备实用攻击能力前完成核心资产迁移准备。诊断结果需直接服务于迁移优先级划分、资源配置及供应商沟通，是后续规划与执行的核心依据。

2.常规采用者：无需立即开展全面诊断，但可提前启动部分“无悔行动”（如密码资产盘点、政策修订），待PQC标准进一步成熟后再推进完整诊断；若存在业务扩张、高敏感客户接入等情况，应同步启动针对性诊断。

3.密码专家：需率先完成自身诊断，并为客户提供诊断所需的技术支持（如产品量子安全性说明、迁移时间表），同时将客户的诊断需求纳入自身产品迭代规划。

（二）诊断任务

1.密码资产清单编制

这是诊断的基础，要求组织全面识别所有正在使用及即将接入的密码资产，包括软件、硬件中的密码算法、协议、密钥及相关设备，明确算法类型、密钥长度、使用场景、供应商信息等关键细节。手册强调，该清单不仅是PQC迁移的基础，也是识别当前密码漏洞、提升应急响应效率的重要工具，需避免因资产遗漏导致迁移不彻底，建立动态更新机制，并采取严格的安全保护措施防止泄露。

2.数据资产梳理

按数据类型（静态数据/传输中数据/使用中数据）、存储位置、价值等级（保密性/可用性要求）、分类标准及风险等级进行归类梳理。目标是明确哪些数据需长期保密、哪些数据与关键业务强绑定，为后续风险评估提供数据基础。

3.密码依赖关系盘点

聚焦供应链中的密码依赖，识别所有提供密码相关硬件、软件或服务的外部供应商，列出其供应产品、合同期限、沟通渠道等信息，尤其需关注证书颁发机构等关键第三方。同时，需明确自身密码决策对下游组织的影响，建立供应链协同沟通机制，确保迁移过程中的互操作性。供应商往往不会主动披露PQC支持情况，组织需在盘点后主动发起沟通，明确供应商的PQC迁移计划。

4.量子风险评估

结合上述三项任务的结果，量化评估组织面临的量子威胁。风险评估依据多个参数进行，包括信息的价值、系统的漏洞以及潜在威胁。有关量子风险评估的内容将在本文第四部分详细展开。

三、密码资产管理

密码资产管理不仅为量子脆弱性诊断提供全面的资产基础，也是提升组织整体密码安全治理能力的“无悔行动”。无论量子威胁发展节奏如何，完善的密码资产管理都能帮助组织识别和修复当前密码漏洞、提升应急响应效率。手册围绕政策、发现策略、执行、清单格式、工具五个维度，构建了完整的密码资产管理框架。

（一）密码政策修订与完善

密码政策是资产管理的顶层指引，需在诊断前完成修订优化，确保资产管理工作与法律要求、组织安全目标保持一致。密码政策需涵盖：密钥全生命周期管理（生成、分发、存储、轮换、销毁）流程；数据加密、完整性保障的算法及参数标准；身份认证与授权机制；允许及禁止使用的协议及版本；迁移路线图与截止日期；相关角色的职责分工。

同时，政策需充分考虑合规要求，不同行业和地区的具体规定对密码技术有明确要求，政策需确保与这些法规保持兼容，并预留对未来PQC标准的适配空间。此外，政策还应关联数据分类、ICT风险管理、第三方风险管理等相关领域，形成协同治理体系。

（二）密码资产发现策略制定

在政策指导下，需制定结构化的密码资产发现策略，明确发现的目标、范围、方法、数据分析标准、报告格式及更新周期。具体而言，目标需聚焦PQC迁移需求，重点识别量子脆弱型密码资产；范围需覆盖软件开发、运营系统、网络通信等所有密码应用场景；方法需结合自动化工具与人工核查，明确工具选型、系统排查范围及团队分工；数据分析需明确评估指标，包括算法脆弱性、合规性、风险等级等；报告格式需标准化，便于后续风险评估与迁移规划；更新周期需与组织业务变化、系统迭代保持同步，确保资产清单的时效性。

（三）密码资产发现的执行

执行阶段需全面覆盖三大场景，确保资产无遗漏：

1.软件开发生态：重点排查使用的密码库、导入的密码功能及相关凭证（密钥、令牌），建议将静态/动态分析工具集成到软件开发生命周期（SDLC），自动化识别密码资产。

2.运营系统与应用：涵盖VPN连接、双因素认证、数据库加密、操作系统安全启动等场景，识别可执行密码资产（软件、固件、硬件、库文件）与非可执行密码资产（个人访问令牌、PGP密钥、X.509证书）。

3.网络通信：通过监控网络流量来识别哪些IT组件在使用加密。使用开源端口和网络扫描工具对TLS流量进行扫描，确保覆盖内部网络、云环境及外部通信渠道。

（四）清单格式：加密物料清单（CBOM）

手册推荐采用加密物料清单（CBOM）作为标准化清单格式，该格式基于CycloneDX软件物料清单（SBOM）扩展而来，为机器可读格式，便于组织内部管理及与供应商、客户的协同。CBOM可详细记录密码协议、算法、密钥、证书等各类资产信息，同时支持追踪密码组件间的依赖关系，为风险传导分析提供支撑。

手册提醒，尽管CBOM格式功能全面，但扫描工具可能无法完全捕获所有依赖关系及关键要素，且对密钥管理流程的记录存在不足，需结合人工核查补充完善。

（五）密码清单编制工具

清单编制需结合自动化工具，工具功能应覆盖资产发现、分析、修复建议及清单管理。手册列举了常用工具类型，包括开源工具、商业安全扫描工具及NCCoE等机构推荐的专用工具。需注意的是，工具存在固有局限性，无法扫描硬件安全模块（HSM），难以建立数字证书与密钥对的关联，需通过人工核查弥补；同时，清单的解读与应用需依赖专业判断，不能完全依赖工具输出。

四、量子风险评估

量子风险评估是量子脆弱性诊断的收官环节，通过密码脆弱性、攻击影响、迁移难度等维度，形成量子风险评分，为组织制定迁移优先级、配置资源提供量化依据。手册构建了完整的评估方法论，确保评估结果科学、可落地。

（一）现实攻击者分析

评估的前提是明确潜在攻击者类型及动机。当前阶段量子攻击的主要潜在主体为国家行为体或高动机、高能力攻击者，其目标集中在关键基础设施、敏感数据处理机构等，动机主要是针对政治、军事、经济的间谍活动；随着量子计算云服务的发展，未来十年内，具有经济动机的攻击者可能具备量子攻击能力，大型跨国企业、高科技企业等高价值目标需提前防范。组织需结合自身行业特性、数据敏感性判断是否属于攻击者目标范围。

（二）评估维度与方法

1.量子脆弱性评估

聚焦应用层面的密码脆弱性，将算法及应用的脆弱性划分为三个等级：0级（量子安全，无需迁移）、1级（暂不面临量子攻击风险，但需未来关注）、2级（量子不安全，需立即规划替换）。

对于组合使用多种算法的应用，脆弱性评分遵循“短板原则”：若为可选算法组合，取最高脆弱性等级；若为混合组合（即多层算法叠加），取最低脆弱性等级。

2.攻击影响评估

评估密码被量子攻击破解后的后果，划分为三个等级：1级（无显著影响，如非敏感系统、无现实攻击者目标）、2级（中长期影响，如敏感数据但保密周期短）、3级（即时高影响，如需长期保密的国家秘密、商业机密、个人敏感信息，面临“现在存储、未来解密”风险）。

影响评估需结合数据类型、存储状态、攻击者可达性综合判断，手册提供了详细流程图，主要逻辑为：优先判断数据保密周期是否超过10年，再结合数据敏感性、拦截可能性确定影响等级。需注意的是，影响评估结果为动态值，需随数据敏感性、量子技术发展定期更新。

3.迁移难度评估

评估将量子脆弱型密码资产迁移至PQC的时间与资源投入，划分为三个等级：1级（迁移周期0-2年，无重大挑战）、2级（迁移周期5-8年，存在一定依赖但无重大障碍）、3级（迁移周期超过8年，面临多重依赖、硬件限制、技术瓶颈等难题）。

迁移难度主要受六大因素影响：组织密码管理成熟度、对标准与法规的依赖、供应链依赖、硬件兼容性、设备性能限制、内部技术专业知识。难度评估需结合历史迁移经验，充分考虑长寿命系统、嵌入式设备等特殊场景的迁移挑战。

（三）量子风险评分与应用

通过将脆弱性、影响、迁移难度三个维度的评分综合考虑，形成0-4级的量子风险评分，各等级含义为：0级（无风险，已充分防护）、1级（低风险，长期关注即可）、2级（中等风险，需制定迁移计划）、3级（高风险，短期内优先迁移）、4级（急性风险，需立即启动迁移）。

风险评分的应用是确定迁移优先级。紧急采用者需优先处理3-4级风险资产，2级风险资产需纳入短期迁移计划；常规采用者可重点关注3-4级风险资产，待标准成熟后启动迁移；密码专家组织需根据客户风险评分调整产品迁移优先级，优先支持高风险客户的需求。

五、小结

手册传递的共识是，PQC迁移不是单纯的技术升级，而是涉及政策、流程、合规、供应链等多维度的系统工程，需融入组织整体风险治理与合规管理体系。对于组织而言，量子脆弱性诊断是需持续迭代的动态过程，随着PQC标准的完善、量子技术的发展及业务的变化，应定期重新开展诊断，调整风险评分与迁移策略。当前，各国及行业的政策框架和实践正在逐步完善，组织需将PQC迁移纳入长期战略规划。下期简报将聚焦手册第五章“最新进展”，解析全球PQC标准制定、法规政策及实践案例，提供迁移规划与执行参考。

编译：祝媛 周青

报告翻译校对：方婷 洪璐

审核：原浩

完

作者编译观点仅代表个人

不代表密码法治实践创新基地

为方便排版，已略去脚注

如需转载或咨询，请联系谢老师13771998064（微信）

报告预售

市场售价：1999元

                (含发票)

转账备注：蓝皮书2025

购买报告（对公转账）

单位名称：西安交通大学苏州研究院

银行账号：325605000018010230038

开户银行：交通银行苏州科技支行

包含内容：报告纸质版精装+完整电子版

联系咨询：谢老师 13771998064（同微信）

已关注

关注

重播 分享 赞

关闭

观看更多

更多

退出全屏

切换到竖屏全屏退出全屏

苏州信息安全法学所已关注

分享视频

，时长01:21

0/0

00:00/01:21

切换到横屏模式

继续播放

[ ]

进度条，百分之0

播放

00:00

/

01:21

01:21

倍速

全屏

倍速播放中

0.5倍 0.75倍 1.0倍 1.5倍 2.0倍

流畅

继续观看

寰球密码简报（2026年乙本第1期）丨荷兰《后量子密码迁移手册（第二版）》中的迁移政策与实践指南（上）：量子脆弱性诊断框架

观看更多

原创

,

寰球密码简报（2026年乙本第1期）丨荷兰《后量子密码迁移手册（第二版）》中的迁移政策与实践指南（上）：量子脆弱性诊断框架

苏州信息安全法学所已关注

分享点赞在看

已同步到看一看写下你的评论

视频详情

征文启事

简报长期征稿，欢迎政府、科研、产业和学术同仁投稿，择优录用，以每千字100-300元标准支付稿酬。投稿请联系：谢老师13771998064（同微信）。

更多资讯 欢迎扫码关注

“苏州信息安全法学所”

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：苏州信息安全法学所 祝媛 周青 祝媛 周青《寰球密码简报（2026年乙本第1期）丨荷兰《后量子密码迁移手册（第二版）》中的迁移政策与实践指南（上）：量子脆弱性诊断框架》