ક્વોન્ટમ કમ્પ્યુટિંગ અને ડેટા સુરક્ષા: કયા કાનૂની નિયમો લાગુ પડે છે?

કોઈ ડચ કે યુરોપિયન કાયદો ક્વોન્ટમ કમ્પ્યુટિંગને આ રીતે નિયંત્રિત કરતો નથી. માહિતી સુરક્ષા પરનો હાલનો કાયદો શું લાગુ પડે છે, અને તે એક નક્કર પ્રશ્ન ઉઠાવે છે: શું આજે તમે જે સુરક્ષા પગલાં લો છો તે હજુ પણ પૂરતા હશે જ્યારે હાલમાં એન્ક્રિપ્ટેડ ડેટાને પછીથી ડિક્રિપ્ટ કરી શકાય છે? મુખ્ય અપવાદ નિકાસ નિયંત્રણ અને રોકાણ તપાસ છે, જેમાં ક્વોન્ટમ ટેકનોલોજી માટે ચોક્કસ નિયમો છે.

ત્રણ જવાબદારીઓ પહેલાથી જ લાગુ પડે છે. જનરલ ડેટા પ્રોટેક્શન રેગ્યુલેશન (GDPR, ડચ AVG માં ) ની કલમ 32 માં સુરક્ષા પગલાંની જરૂર છે જે અત્યાધુનિક સ્થિતિને ધ્યાનમાં લે છે. તે એક ગતિશીલ ધોરણ છે, નિશ્ચિત ધોરણ નથી, અને તે એવા ડેટાને પણ આવરી લે છે જે વર્ષો સુધી ગુપ્ત રહેવો જોઈએ, જેમ કે તબીબી રેકોર્ડ્સ, કર્મચારીઓની ફાઇલો અને કાનૂની આર્કાઇવ્સ. ડચ સાયબર સુરક્ષા અધિનિયમ ( Cyberbeveiligingswet ), જે EU NIS2 નિર્દેશ લાગુ કરે છે, તે નિયુક્ત આવશ્યક અને મહત્વપૂર્ણ ક્ષેત્રોમાં સંસ્થાઓને તેમના નેટવર્ક્સ અને માહિતી પ્રણાલીઓ માટેના જોખમોનું સંચાલન કરવાની જરૂર છે, અને તે પગલાંને મંજૂરી આપવા માટે મેનેજમેન્ટ બોડીને જવાબદાર બનાવે છે. નાણાકીય સંસ્થાઓ માટે, ડિજિટલ ઓપરેશનલ રેઝિલિયન્સ એક્ટ (DORA, રેગ્યુલેશન (EU) 2022/2554) ક્રિપ્ટોગ્રાફિક નિયંત્રણો અને તૃતીય-પક્ષ જોખમ પર તેની પોતાની આવશ્યકતાઓ ઉમેરે છે.

વ્યવહારુ જોખમ એ નથી કે કોઈ આજે તમારા ટ્રાફિકને ડિક્રિપ્ટ કરે છે. તે એ છે કે એન્ક્રિપ્ટેડ ડેટાને હવે અટકાવીને સંગ્રહિત કરવામાં આવે છે, ક્ષમતા અસ્તિત્વમાં આવ્યા પછી તેને ડિક્રિપ્ટ કરવામાં આવે છે. લાંબા ગુપ્તતા સમયગાળાવાળા ડેટા માટે, તે પોસ્ટ-ક્વોન્ટમ ક્રિપ્ટોગ્રાફીમાં સ્થળાંતરને ભવિષ્યના પ્રોજેક્ટને બદલે વર્તમાન કાર્ય બનાવે છે. આ અલ્ગોરિધમ્સ માટે આંતરરાષ્ટ્રીય ધોરણો પ્રકાશિત કરવામાં આવ્યા છે અને અપનાવવામાં આવી રહ્યા છે.

ક્વોન્ટમ ટેકનોલોજી નિકાસ નિયંત્રણ અને રોકાણ તપાસને પણ અમલમાં મૂકે છે. યુરોપિયન નિકાસ નિયંત્રણ નિયમો હેઠળ અમુક ક્વોન્ટમ વસ્તુઓ બેવડા ઉપયોગની વસ્તુઓ છે, અને ક્વોન્ટમ ટેકનોલોજીમાં સક્રિય ડચ કંપનીઓમાં રોકાણ સુરક્ષા તપાસને આધીન હોઈ શકે છે.

ક્વોન્ટમ કમ્પ્યુટિંગ ડેટા સુરક્ષા વિશે કાનૂની પ્રશ્નો કેમ ઉભા કરે છે?

કારણ કે પૂરતું શક્તિશાળી ક્વોન્ટમ કમ્પ્યુટર એ એન્ક્રિપ્શનને તોડી શકે છે જેના પર આજના ડેટા સુરક્ષાનો મોટો ભાગ આધાર રાખે છે. કાયદામાં ક્વોન્ટમ કમ્પ્યુટિંગનું નામ આપવામાં આવ્યું નથી, પરંતુ તેને જોખમો સાથે મેળ ખાતી સુરક્ષાની જરૂર છે.

આ જ શક્તિ સુરક્ષા સમસ્યા ઊભી કરે છે. પબ્લિક-કી એન્ક્રિપ્શન જે આપણા ડિજિટલ સંચારના મોટા ભાગને સુરક્ષિત રાખે છે, ઓનલાઇન બેંકિંગથી લઈને ડિજિટલ સિગ્નેચર સુધી, તે ગાણિતિક સમસ્યાઓ પર આધાર રાખે છે જેને સામાન્ય કમ્પ્યુટર્સ કોઈપણ વ્યવહારિક સમયમાં ઉકેલી શકતા નથી. પૂરતું મોટું અને સ્થિર ક્વોન્ટમ કમ્પ્યુટર તેમાંથી કેટલીક સમસ્યાઓ હલ કરી શકે છે. આવા કમ્પ્યુટર ક્યારે અસ્તિત્વમાં આવશે તે અનિશ્ચિત છે, પરંતુ સરકારો અને સુરક્ષા સેવાઓ દ્વારા જોખમને ગંભીરતાથી લેવામાં આવે છે.

મુખ્ય કાનૂની પડકાર શું છે?

આજે અસ્તિત્વમાં રહેલા કાનૂની સાધનોનો ઉપયોગ કરીને ભવિષ્યના ખતરા સામે સંવેદનશીલ ડેટાનું રક્ષણ કરવાનો પડકાર છે. તે સાધનો 'અત્યાધુનિક' અને 'યોગ્ય પગલાં' જેવા ખુલ્લા ધોરણો છે.

કોઈપણ કાનૂની અભિગમમાં અનેક ચિંતાઓનો સામનો કરવો પડે છે:

• હાલના ડેટાનું રક્ષણ: હુમલાખોરો આજે એન્ક્રિપ્ટેડ ડેટા એકત્રિત કરી શકે છે અને તેને ડિક્રિપ્ટ ન થાય ત્યાં સુધી સ્ટોર કરી શકે છે. આને 'હમણાં લણણી કરો, પછી ડિક્રિપ્ટ કરો' તરીકે ઓળખવામાં આવે છે.
• નવા ધોરણો: સંસ્થાઓએ પોસ્ટ-ક્વોન્ટમ ક્રિપ્ટોગ્રાફી (PQC) તરફ આગળ વધવું જોઈએ, જે સામાન્ય અને ક્વોન્ટમ કમ્પ્યુટર બંને દ્વારા હુમલાઓનો પ્રતિકાર કરવા માટે રચાયેલ નવી એન્ક્રિપ્શન પદ્ધતિઓ છે.
• જવાબદારી: જો ડેટા ભંગ થાય છે કારણ કે એન્ક્રિપ્શન જૂનું હતું, તો પ્રશ્ન એ છે કે જવાબદાર કોણ છે: સંસ્થા, તેના સપ્લાયર અથવા બંને.
• ઇનોવેશન: નિયમોએ ક્વોન્ટમ ટેકનોલોજીના સંશોધન અને ઉપયોગને બિનજરૂરી રીતે અવરોધિત ન કરવા જોઈએ.

ક્વોન્ટમ કમ્પ્યુટિંગ આધુનિક એન્ક્રિપ્શનને કેવી રીતે ખતરો આપે છે?

ક્વોન્ટમ કમ્પ્યુટર્સ ગાણિતિક સમસ્યાઓને અસરકારક રીતે હલ કરી શકે છે જેના પર પબ્લિક-કી એન્ક્રિપ્શન આધારિત છે. સપ્રમાણ એન્ક્રિપ્શન, જેમ કે લાંબી કી સાથે AES, ખૂબ ઓછા સંવેદનશીલ માનવામાં આવે છે.

પબ્લિક-કી ક્રિપ્ટોગ્રાફી કેમ સંવેદનશીલ છે?

પબ્લિક-કી ક્રિપ્ટોગ્રાફી ખૂબ મોટી સંખ્યાઓનું ફેક્ટરિંગ જેવી સમસ્યાઓ પર આધાર રાખે છે. ક્વોન્ટમ કમ્પ્યુટર વ્યવહારિક સમયમાં તે સમસ્યાઓનો ઉકેલ લાવી શકે છે.

આ સિસ્ટમ સુરક્ષિત વેબસાઇટ્સ (HTTPS), VPN કનેક્શન્સ, ઈ-મેલ એન્ક્રિપ્શન અને ડિજિટલ સિગ્નેચરનો આધાર છે. તેની તાકાત ચોક્કસ ગાણિતિક સમસ્યાઓની મુશ્કેલીમાં રહેલી છે, જેમ કે ખૂબ મોટી સંખ્યાઓને અવિભાજ્ય સંખ્યામાં ફેક્ટર કરવી અથવા ડિસ્ક્રીટ લોગરીધમ સમસ્યા. સામાન્ય કમ્પ્યુટર માટે, ઉપયોગમાં લેવાતા કી કદ માટે આ સમસ્યાઓ ઉકેલવામાં અવ્યવહારુ રીતે લાંબો સમય લાગશે.

પૂરતા પ્રમાણમાં શક્તિશાળી ક્વોન્ટમ કમ્પ્યુટર આ સમસ્યાઓને અસરકારક રીતે હલ કરી શકે છે. AES જેવા સપ્રમાણ એન્ક્રિપ્શનને ઓછી હદ સુધી અસર થાય છે: AES-256 જેવી લાંબી કીને સામાન્ય રીતે પર્યાપ્ત માનવામાં આવે છે. તેથી ડેટા સુરક્ષા માટેનું કાનૂની માળખું મુખ્યત્વે પબ્લિક-કી સિસ્ટમ્સ પર ધ્યાન કેન્દ્રિત કરવું જોઈએ.

શોરનું અલ્ગોરિધમ શું છે?

૧૯૯૪ માં પ્રકાશિત શોરનું અલ્ગોરિધમ, એક ક્વોન્ટમ અલ્ગોરિધમ છે જે મોટી સંખ્યાઓને કાર્યક્ષમ રીતે પરિબળિત કરી શકે છે. મોટા, સ્થિર ક્વોન્ટમ કમ્પ્યુટર પર તે RSA અને એલિપ્ટિક-કર્વ ક્રિપ્ટોગ્રાફી જેવી સૌથી વધુ ઉપયોગમાં લેવાતી પબ્લિક-કી સિસ્ટમોને તોડી નાખશે.

'હમણાં લણણી કરો, પછી ડિક્રિપ્ટ કરો' ધમકી શું છે?

હુમલાખોરો આજે એન્ક્રિપ્ટેડ ડેટા એકત્રિત કરી શકે છે અને ક્વોન્ટમ કમ્પ્યુટર્સ પૂરતા શક્તિશાળી થઈ જાય પછી તેને ડિક્રિપ્ટ કરી શકે છે. તેથી, જે ડેટા ઘણા વર્ષો સુધી ગુપ્ત રહેવો જોઈએ તે પહેલાથી જ જોખમમાં છે.

આ મુખ્યત્વે એવી માહિતીને ધમકી આપે છે જે લાંબા સમય સુધી ગુપ્ત રહેવી જોઈએ, જેમ કે:

• રાજ્ય અને સંરક્ષણ રહસ્યો દાયકાઓના ગુપ્તતાના સમયગાળા સાથે.
• બૌદ્ધિક મિલકત કંપનીઓના, જેમ કે વેપાર રહસ્યો અને સંશોધન ડેટા.
• સંવેદનશીલ વ્યક્તિગત ડેટા, જેમ કે તબીબી અને બાયોમેટ્રિક ડેટા.
• નાણાકીય અને કાનૂની રેકોર્ડ્સ જે કાનૂની અને નિયમનકારી કારણોસર સુરક્ષિત રાખવા જોઈએ.

નેધરલેન્ડ્સ ક્વોન્ટમ ટેકનોલોજી માટે કેવી તૈયારી કરી રહ્યું છે?

નેધરલેન્ડ્સ રાષ્ટ્રીય કાર્યક્રમ દ્વારા ક્વોન્ટમ ટેકનોલોજીમાં રોકાણ કરે છે અને પોસ્ટ-ક્વોન્ટમ ક્રિપ્ટોગ્રાફી તરફ સ્થળાંતર માટે વ્યવહારુ માર્ગદર્શન પ્રકાશિત કર્યું છે. ક્વોન્ટમ કમ્પ્યુટિંગ પર ચોક્કસ ડચ કાયદો અસ્તિત્વમાં નથી.

રાષ્ટ્રીય કાર્યક્રમ ક્વોન્ટમ ડેલ્ટા એનએલ સરકાર, યુનિવર્સિટીઓ અને કંપનીઓને એકસાથે લાવે છે. તે 2019 ના ક્વોન્ટમ ટેકનોલોજી માટેના રાષ્ટ્રીય કાર્યસૂચિ પર નિર્માણ કરે છે અને રાષ્ટ્રીય વિકાસ ભંડોળ ( નેશનલ ગ્રોઇફોન્ડ્સ ) સહિત અન્ય લોકો પાસેથી ભંડોળ મેળવે છે. આ કાર્યક્રમ ક્વોન્ટમ કમ્પ્યુટિંગ, ક્વોન્ટમ નેટવર્ક્સ અને ક્વોન્ટમ સેન્સિંગને આવરી લે છે, અને ટેકનોલોજીના સામાજિક અને નૈતિક પાસાઓ પર ધ્યાન આપે છે. આ નીતિગત પસંદગીઓ છે, કાયદાના નિયમો નથી જે કંપનીઓને બાંધે છે.

પોસ્ટ-ક્વોન્ટમ ક્રિપ્ટોગ્રાફી વિશે શું કરવામાં આવી રહ્યું છે?

ડચ સરકારે PQC સ્થળાંતર માર્ગદર્શિકા પ્રકાશિત કરી છે, અને સંસ્થાઓને સલાહ આપવામાં આવે છે કે તેઓ હમણાંથી તૈયારી શરૂ કરે. સંક્રમણમાં વર્ષો લાગે છે, તેથી રાહ જોવાથી જોખમ વધે છે.

2023 માં જનરલ ઇન્ટેલિજન્સ એન્ડ સિક્યુરિટી સર્વિસ (AIVD), સંશોધન સંસ્થા TNO અને સેન્ટ્રમ વિસ્કુંડે એન્ડ ઇન્ફોર્મેટિકા (CWI) એ PQC સ્થળાંતર હેન્ડબુક પ્રકાશિત કરી. તે સંસ્થાઓને સંક્રમણ માટે તૈયારી કરવા માટે વ્યવહારુ પગલાં આપે છે, જે તેઓ જે ક્રિપ્ટોગ્રાફીનો ઉપયોગ કરે છે તેની યાદીથી શરૂ થાય છે.

સંદેશ એ છે કે PQC માં સ્થળાંતર એ કોઈ દૂરની, સૈદ્ધાંતિક સમસ્યા નથી, પરંતુ એક કાર્ય છે જે સંસ્થાઓએ હમણાં જ આયોજન કરવું જોઈએ કારણ કે તેમાં વર્ષો લાગે છે. આ યુરોપિયન NIS2 નિર્દેશ સાથે બંધબેસે છે, જેમાં આવશ્યક અને મહત્વપૂર્ણ સંસ્થાઓ માટે ઉચ્ચ સાયબર સુરક્ષા ધોરણોની જરૂર છે અને સાયબર સુરક્ષા કાયદા દ્વારા નેધરલેન્ડ્સમાં તેનો અમલ કરવામાં આવ્યો છે. તે કાયદા હેઠળ આવતી સંસ્થાઓએ તેમના જોખમોનું મૂલ્યાંકન કરવું જોઈએ, જેમાં તેમની ક્રિપ્ટોગ્રાફી માટેના જોખમોનો પણ સમાવેશ થાય છે.

કયા યુરોપિયન નિયમો ક્વોન્ટમ ડેટા સુરક્ષાને આકાર આપે છે?

GDPR, NIS2 ડાયરેક્ટિવ, DORA અને સાયબર રેઝિલિયન્સ એક્ટ, આ બધાને જોખમો અને અદ્યતન સ્થિતિ સાથે મેળ ખાતી સુરક્ષાની જરૂર છે. PQC માટે EU રોડમેપ સાથે, તેઓ સંસ્થાઓને ક્વોન્ટમ-સેફ એન્ક્રિપ્શન તરફ ધકેલે છે.

ક્વોન્ટમ વિશ્વમાં GDPR કેવી રીતે લાગુ પડે છે?

GDPR ક્વોન્ટમ કમ્પ્યુટિંગનો ઉલ્લેખ કરતું નથી, પરંતુ તે ટેકનોલોજી-તટસ્થ છે. અત્યાધુનિકતાને પ્રતિબિંબિત કરતા યોગ્ય સુરક્ષા પગલાં લેવાની ફરજ ક્વોન્ટમ જોખમને પણ આવરી લે છે.

બે જોગવાઈઓ કેન્દ્રિય છે. GDPR ની કલમ 25 માં ડિઝાઇન અને ડિફૉલ્ટ રૂપે ડેટા સુરક્ષાની જરૂર છે : સંસ્થાઓએ શરૂઆતથી જ નવી પ્રક્રિયાઓમાં વ્યક્તિગત ડેટા માટે તકનીકી સુરક્ષા બનાવવી આવશ્યક છે. GDPR ની કલમ 32 માં યોગ્ય તકનીકી અને સંગઠનાત્મક પગલાં લેવાની જરૂર છે, જેમાં અદ્યતન સ્થિતિ, ખર્ચ અને જોખમોને ધ્યાનમાં લેવામાં આવે છે. જેમ જેમ પોસ્ટ-ક્વોન્ટમ ધોરણો પરિપક્વ થાય છે, તેમ તેમ 'અદ્યતન સ્થિતિ' નો અર્થ વ્યક્તિગત ડેટા માટે ક્વોન્ટમ-સેફ એન્ક્રિપ્શનનો ઉપયોગ વધુને વધુ થશે જે લાંબા સમય સુધી ગુપ્ત રહેવો જોઈએ. જે સંસ્થા આ સંક્રમણ માટે યોજના બનાવતી નથી તે જોખમ ચલાવે છે કે તેની સુરક્ષા હવે પર્યાપ્ત માનવામાં આવશે નહીં. જનરલ ડેટા પ્રોટેક્શન રેગ્યુલેશન માટેની અમારી માર્ગદર્શિકામાં આ સિદ્ધાંતો વિશે વધુ વાંચો.

જો અપૂરતી સુરક્ષાને કારણે ડેટા ભંગ થાય છે, તો સંસ્થાએ 72 કલાકની અંદર ડચ ડેટા પ્રોટેક્શન ઓથોરિટીને તેની જાણ કરવી પડી શકે છે (GDPR ની કલમ 33). ઓથોરિટી €20 મિલિયન અથવા વિશ્વવ્યાપી વાર્ષિક ટર્નઓવરના 4% સુધીનો દંડ લાદી શકે છે, અને અસરગ્રસ્ત વ્યક્તિઓ GDPR ની કલમ 82 હેઠળ નુકસાનીનો દાવો કરી શકે છે.

EU ના કયા નવા નિયમો સંગઠનોને ક્વોન્ટમ તૈયારી તરફ ધકેલે છે?

NIS2 ડાયરેક્ટિવ, DORA અને સાયબર રેઝિલિયન્સ એક્ટ વ્યાપક સાયબર સુરક્ષા ફરજો લાદે છે. તેમાંથી કોઈ પણ ચોક્કસ ક્વોન્ટમ-સેફ અલ્ગોરિધમ્સ સૂચવતું નથી, પરંતુ બધાને જોખમ-આધારિત સુરક્ષાની જરૂર છે જે આધુનિકતાને ધ્યાનમાં લે છે.

GDPR ઉપરાંત, ત્રણ EU સાધનો ક્વોન્ટમ-સલામત ધોરણોનું નામ લીધા વિના સાયબર સુરક્ષા જવાબદારીઓને મજબૂત બનાવે છે:

• સાયબર રેઝિલિયન્સ એક્ટ (CRA, રેગ્યુલેશન (EU) 2024/2847): આ નિયમન ડિજિટલ તત્વો ધરાવતા ઉત્પાદનો માટે સાયબર સુરક્ષા આવશ્યકતાઓ નક્કી કરે છે, જેમ કે કનેક્ટેડ ઉપકરણો અને સોફ્ટવેર. ઉત્પાદકોએ તેમના ઉત્પાદનોમાં સુરક્ષા બનાવવી જોઈએ અને નબળાઈઓને સંભાળવી જોઈએ. રિપોર્ટિંગ જવાબદારીઓ 11 સપ્ટેમ્બર 2026 થી અને મોટાભાગની અન્ય જવાબદારીઓ 11 ડિસેમ્બર 2027 થી લાગુ થાય છે. CRA ક્વોન્ટમ-સેફ એન્ક્રિપ્શન સૂચવતું નથી, પરંતુ તેને જોખમોને અનુરૂપ સુરક્ષાની જરૂર છે.
• NIS2 નિર્દેશ: આ નિર્દેશ સાયબર સુરક્ષા ફરજોને ઊર્જા, આરોગ્ય સંભાળ અને ડિજિટલ માળખા જેવા આવશ્યક અને મહત્વપૂર્ણ એકમોની વિશાળ શ્રેણી સુધી વિસ્તૃત કરે છે. તેમાં જોખમ વ્યવસ્થાપનની જરૂર છે, જેમાં ક્રિપ્ટોગ્રાફી અને એન્ક્રિપ્શન પરની નીતિઓ (કલમ 21), અને મહત્વપૂર્ણ ઘટનાઓની રિપોર્ટિંગનો સમાવેશ થાય છે. નેધરલેન્ડ્સમાં તેનો અમલ સાયબર સુરક્ષા કાયદા દ્વારા કરવામાં આવે છે.
• ડોરા: ૧૭ જાન્યુઆરી ૨૦૨૫ થી, નાણાકીય સંસ્થાઓ પાસે એક ICT જોખમ વ્યવસ્થાપન માળખું હોવું આવશ્યક છે જેમાં એન્ક્રિપ્શન અને ક્રિપ્ટોગ્રાફિક નિયંત્રણો પરની નીતિઓ શામેલ હોય, અને તેમના ICT સપ્લાયર્સના જોખમોનું સંચાલન કરવું આવશ્યક છે.

આ નિયમો સ્પષ્ટ દિશા દર્શાવે છે. ક્વોન્ટમ-સેફ એન્ક્રિપ્શન તરફ આગળ વધવું હજુ સુધી સ્પષ્ટ કાનૂની આવશ્યકતા નથી, પરંતુ લાંબા ગાળાના ગુપ્ત ડેટા ધરાવતી સંસ્થાઓ માટે યોગ્ય, અત્યાધુનિક પગલાં લેવાની સામાન્ય ફરજથી વધુને વધુ અનુસરવામાં આવે છે.

વર્તમાન અને અપેક્ષિત પાલન ધોરણોની તુલના કેવી રીતે થાય છે?

કોષ્ટક વર્તમાન અભિગમની તુલના ક્વોન્ટમ પછીના ધોરણો સ્થાપિત થયા પછી શું અપેક્ષિત છે તેની સાથે કરે છે. જમણી બાજુનો સ્તંભ અપેક્ષિત વિકાસનું વર્ણન કરે છે, વર્તમાન કાયદાનું નહીં.

ક્વોન્ટમ-સેફ સુરક્ષા માટે યુરોપિયન અભિગમ શું છે?

EU 11 એપ્રિલ 2024 ના કમિશન ભલામણ અને જૂન 2025 ના રોડમેપ સાથે PQC માં સંક્રમણનું સંકલન કરે છે. આ રોડમેપનો ઉદ્દેશ્ય 2030 સુધીમાં ઉચ્ચ-જોખમવાળી સિસ્ટમોનું રક્ષણ કરવાનો છે.

વિભાજિત અભિગમને રોકવા માટે, EU એક સંકલિત સંક્રમણ પર કામ કરે છે. 11 એપ્રિલ 2024 ના રોજ યુરોપિયન કમિશને પોસ્ટ-ક્વોન્ટમ ક્રિપ્ટોગ્રાફીમાં સંક્રમણ માટે સંકલિત અમલીકરણ રોડમેપ પર ભલામણ અપનાવી. તેના આધારે, કમિશન દ્વારા સમર્થિત સભ્ય દેશોએ 23 જૂન 2025 ના રોજ એક રોડમેપ પ્રકાશિત કર્યો. તે પ્રદાન કરે છે કે સભ્ય દેશો 2026 ના અંત સુધીમાં સંક્રમણ શરૂ કરે, ઉચ્ચ-જોખમ સિસ્ટમો, જેમ કે મહત્વપૂર્ણ માળખાગત સુવિધાઓ, 2030 ના અંત સુધીમાં PQC દ્વારા સુરક્ષિત હોય, અને 2035 સુધીમાં વ્યવહારિક રીતે શક્ય તેટલી સિસ્ટમો અનુસરે.

આ રોડમેપ એક રાજકીય પ્રતિબદ્ધતા છે, બંધનકર્તા કાયદો નથી. પરંતુ તે દર્શાવે છે કે નિયમનકારો અને દેખરેખ સત્તાવાળાઓ શું અપેક્ષા રાખશે, અને તે GDPR, NIS2 અને DORA માં ખુલ્લા ધોરણોનું અર્થઘટન કેવી રીતે કરવામાં આવે છે તેના પર અસર કરે તેવી શક્યતા છે.

જુલાઈ 2025 માં કમિશને ક્વોન્ટમ યુરોપ સ્ટ્રેટેજી પણ અપનાવી, અને 2026 માટેનો તેનો કાર્ય કાર્યક્રમ ક્વોન્ટમ એક્ટ માટે કાયદાકીય દરખાસ્તની જાહેરાત કરે છે. લેખન સમયે, આવો કાયદો EU કાયદો નથી; તેના પર આધાર રાખતા પહેલા વર્તમાન સ્થિતિ તપાસો.

ક્વોન્ટમ-સેફ પાલન માટે તમે કેવી રીતે તૈયારી કરો છો?

તમારી ક્રિપ્ટોગ્રાફીની ઇન્વેન્ટરીથી શરૂઆત કરો, પછી મૂલ્યાંકન કરો કે કયા ડેટા અને સિસ્ટમો સૌથી વધુ જોખમમાં છે, અને તબક્કાવાર સ્થાનાંતરિત કરો. ધ્યેય ક્રિપ્ટો-એજિલિટી છે: અલ્ગોરિધમ્સને ઝડપથી બદલવામાં સક્ષમ બનવું.

ધ્યેય ક્રિપ્ટો-એજિલિટી છે : જ્યારે નવા જોખમો અથવા ધોરણો ઉભરી આવે ત્યારે તમારી ક્રિપ્ટોગ્રાફિક પદ્ધતિઓને ઝડપથી બદલવાની ક્ષમતા. પ્રક્રિયા એક પ્રશ્નથી શરૂ થાય છે: તમે ક્યાં સૌથી વધુ સંવેદનશીલ છો? GDPR ની જરૂરિયાતોનો ઉપયોગ કરો અને જ્યાં લાગુ પડે, NIS2 અને DORA ને તમારા માળખા તરીકે ઉપયોગ કરો.

તબક્કો 1: તમે ક્રિપ્ટોગ્રાફિક ઇન્વેન્ટરી કેવી રીતે બનાવો છો?

તમે તમારી સંસ્થા દ્વારા ઉપયોગમાં લેવાતી બધી ક્રિપ્ટોગ્રાફીનો નકશો બનાવો છો, જેમાં સપ્લાયર્સના સોફ્ટવેર અને ઉપકરણોનો સમાવેશ થાય છે. તે ઝાંખી વિના, તમે પ્રાથમિકતાઓ નક્કી કરી શકતા નથી.

તમારા મુખ્ય સર્વર્સથી આગળ જુઓ. ઇન્વેન્ટરીમાં આનો સમાવેશ થવો જોઈએ:

• પરિવહનમાં ડેટા: તમારા ઈ-મેલ, VPN અને ક્લાઉડ કનેક્શન કેવી રીતે સુરક્ષિત છે?
• બાકી રહેલો ડેટા: કયું એન્ક્રિપ્શન તમારા ડેટાબેઝ, બેકઅપ અને લેપટોપને સુરક્ષિત રાખે છે?
• એમ્બેડેડ સિસ્ટમ્સ: તૃતીય-પક્ષ સોફ્ટવેર, કનેક્ટેડ ઉપકરણો અને નેટવર્ક સાધનોમાં ક્રિપ્ટોગ્રાફી.
• લેગસી સિસ્ટમ્સ: જૂની એપ્લિકેશનોમાં ઘણીવાર જૂની અને સંવેદનશીલ એન્ક્રિપ્શન હોય છે.

તમારા કરારો પણ તપાસો. IT સપ્લાયર્સ અને ક્લાઉડ પ્રોવાઇડર્સ સાથેના કરારોમાં તેમને તેઓ જે ક્રિપ્ટોગ્રાફીનો ઉપયોગ કરે છે તે વિશે માહિતી પ્રદાન કરવા, અપડેટ્સને સમર્થન આપવા અને સ્થળાંતરમાં સહકાર આપવા માટે ફરજ પાડવી જોઈએ. GDPR ના કલમ 28 હેઠળ, પ્રોસેસરે યોગ્ય સુરક્ષા માટે પૂરતી ગેરંટી પણ આપવી આવશ્યક છે.

તબક્કો 2: તમે જોખમોનું મૂલ્યાંકન કેવી રીતે કરો છો અને પ્રાથમિકતાઓ કેવી રીતે નક્કી કરો છો?

ડેટાની સંવેદનશીલતા અને તે કેટલા સમય સુધી ગુપ્ત રહેવો જોઈએ તેના આધારે તમારી સિસ્ટમનું મૂલ્યાંકન કરો. દસ વર્ષથી વધુ સમય માટે સુરક્ષિત રહેલો ડેટા પ્રથમ આવે છે.

પ્રાથમિકતાઓ નક્કી કરવા માટે આ પ્રશ્નોનો ઉપયોગ કરો:

1. કયો ડેટા દસ વર્ષથી વધુ સમય માટે ગુપ્ત રાખવો જોઈએ? બૌદ્ધિક સંપત્તિ, લાંબા ગાળાના નાણાકીય રેકોર્ડ અને સંવેદનશીલ વ્યક્તિગત ડેટા વિશે વિચારો. 'હમણાં લણણી કરો, પછી ડિક્રિપ્ટ કરો' હુમલાઓનું મુખ્ય લક્ષ્ય આ છે.
2. કઈ સિસ્ટમો બાહ્ય જોખમો માટે સૌથી વધુ સંવેદનશીલ હોય છે? જાહેર-મુખી એપ્લિકેશનો અને ડેટા ટ્રાન્સફર પ્રોટોકોલ આગળની હરોળમાં છે.
3. તમારી કાનૂની અને કરારગત ફરજો શું છે? GDPR, સેક્ટર નિયમો અને ક્લાયન્ટ કરારો નક્કી કરે છે કે તમારે ચોક્કસ ડેટા માટે કયા સુરક્ષા સ્તરનું પાલન કરવું જોઈએ અને તમારે તેને કેટલા સમય સુધી રાખવું જોઈએ.

તબક્કો 3: તમે પોસ્ટ-ક્વોન્ટમ ક્રિપ્ટોગ્રાફીમાં કેવી રીતે સ્થાનાંતરિત થશો?

તમે સૌથી વધુ જોખમોથી શરૂ કરીને, તબક્કાવાર નબળા અલ્ગોરિધમ્સને બદલો છો, અને કાળજીપૂર્વક પરીક્ષણ કરો છો. જ્યાં શક્ય હોય ત્યાં, સંક્રમણ દરમિયાન શાસ્ત્રીય અને પોસ્ટ-ક્વોન્ટમ પદ્ધતિઓને જોડો.

સ્પષ્ટ પ્રાથમિકતાઓ સાથે, તમે પોસ્ટ-ક્વોન્ટમ ક્રિપ્ટોગ્રાફી (PQC) માં તબક્કાવાર સ્થળાંતર શરૂ કરી શકો છો . આ કોઈ સરળ રિપ્લેસમેન્ટ નથી. તેને આયોજન, પરીક્ષણ અને કાળજીપૂર્વક અમલીકરણની જરૂર છે, જેથી વ્યવસાયિક કામગીરી વિક્ષેપિત ન થાય. સંક્રમણ દરમિયાન એક સામાન્ય અભિગમ એક હાઇબ્રિડ સોલ્યુશન છે જેમાં ક્લાસિકલ અને પોસ્ટ-ક્વોન્ટમ પદ્ધતિઓનો એકસાથે ઉપયોગ થાય છે.

તમારી પસંદગીઓ, જોખમ મૂલ્યાંકન અને આયોજન રેકોર્ડ કરો. જો કોઈ નિયમનકાર અથવા કોર્ટ પછીથી પૂછે કે તમારી સુરક્ષા પૂરતી હતી કે નહીં, તો તે દસ્તાવેજીકરણ તમારા પુરાવા છે.

કયા કાનૂની પ્રશ્નો ખુલ્લા રહે છે?

એન્ક્રિપ્શન ઉપરાંત, ક્વોન્ટમ ટેકનોલોજી જવાબદારી, બૌદ્ધિક સંપદા, ગોપનીયતા અને નિકાસ નિયંત્રણ વિશે પ્રશ્નો ઉભા કરે છે. આમાંથી કેટલાકના જવાબ હાલના કાયદા હેઠળ આપી શકાય છે; અન્ય કોર્ટ અને ધારાસભ્ય માટે હશે.

મુખ્ય પ્રશ્નોમાંનો એક જવાબદારી છે. જો કોઈ કંપની ડેટા ભંગનો ભોગ બને છે કારણ કે તેનું એન્ક્રિપ્શન જૂનું હતું, તો જવાબદાર કોણ છે? ડચ કાયદા હેઠળ, જવાબ હાલના નિયમોથી શરૂ થાય છે. જે વ્યક્તિઓના ડેટાને અસર થઈ હતી તેમના પ્રત્યે, સંસ્થા GDPR હેઠળ જવાબદાર છે અને તેને નુકસાન ચૂકવવું પડી શકે છે (GDPR ની કલમ 82). ગ્રાહકો પ્રત્યે, તે કરાર પૂર્ણ કરવામાં નિષ્ફળતા માટે જવાબદાર હોઈ શકે છે (ડચ નાગરિક સંહિતાના કલમ 6:74). શું તે સોફ્ટવેર સપ્લાયર પાસેથી નુકસાન વસૂલ કરી શકે છે કે જેણે ક્વોન્ટમ-સેફ અપડેટ્સ પ્રદાન કર્યા નથી તે કરાર પર અને તે સમયે વાજબી રીતે શું અપેક્ષા રાખી શકાય તેના પર આધાર રાખે છે. અદાલતોએ સમય જતાં 'આર્ટની સ્થિતિ' કેવી રીતે વિકસિત થાય છે તે શોધવાનું રહેશે.

ક્વોન્ટમ કોમ્પ્યુટર વડે થયેલી શોધો કોની માલિકીની છે?

વર્તમાન પેટન્ટ કાયદા હેઠળ, ફક્ત કુદરતી વ્યક્તિને જ શોધક તરીકે નામ આપી શકાય છે. ક્વોન્ટમ કોમ્પ્યુટરની મદદથી વિકસાવવામાં આવેલી શોધને પેટન્ટ કરાવી શકાય છે, પરંતુ શોધક માનવ હોવો જોઈએ.

ક્વોન્ટમ કોમ્પ્યુટર્સ એવા પરમાણુઓ, સામગ્રીઓ અને અલ્ગોરિધમ્સ ડિઝાઇન કરવામાં મદદ કરી શકે છે જે આજે ડિઝાઇન કરી શકાતા નથી. તેનાથી પ્રશ્ન ઉભો થાય છે કે આવી શોધો કોની માલિકીની છે. યુરોપિયન પેટન્ટ ઓફિસના લીગલ બોર્ડ ઓફ અપીલે 2021 માં નિર્ણય લીધો (કેસ J 8/20) કે પેટન્ટ અરજીમાં નામ આપવામાં આવેલ શોધક એક કુદરતી વ્યક્તિ હોવો જોઈએ, મશીન નહીં. કોમ્પ્યુટર ટૂલ્સથી કરવામાં આવેલી શોધો હજુ પણ પેટન્ટ કરાવી શકાય છે, જેમાં કામનું નિર્દેશન કરનાર માનવી શોધક તરીકે હોય છે. કરારોમાં સ્પષ્ટપણે જણાવવું જોઈએ કે ક્વોન્ટમ કમ્પ્યુટિંગ સેવાઓથી બનાવેલા પરિણામો કોની માલિકીની છે, ખાસ કરીને જ્યારે તમે તૃતીય પક્ષની કમ્પ્યુટિંગ ક્ષમતાનો ઉપયોગ કરો છો.

ક્વોન્ટમ કમ્પ્યુટિંગ મોટા પ્રમાણમાં ડેટાનું વિશ્લેષણ કરવાની ક્ષમતામાં પણ વધારો કરી શકે છે. હેતુ મર્યાદા, ડેટા ન્યૂનતમકરણ અને પ્રમાણસરતાના GDPR સિદ્ધાંતો આવા વિશ્લેષણ પર સંપૂર્ણપણે લાગુ પડે છે, અને જ્યાં પ્રક્રિયા કરવાથી વ્યક્તિઓ માટે ઉચ્ચ જોખમ હોવાની શક્યતા હોય ત્યાં ડેટા સુરક્ષા અસર મૂલ્યાંકન (કલમ 35 GDPR) જરૂરી છે.

ક્વોન્ટમ ટેકનોલોજી પર કયા નિકાસ અને રોકાણ નિયમો લાગુ પડે છે?

EU નિકાસ નિયંત્રણ નિયમો હેઠળ અમુક ક્વોન્ટમ વસ્તુઓ બેવડા ઉપયોગની વસ્તુઓ છે. ક્વોન્ટમ ટેકનોલોજીમાં સક્રિય ડચ કંપનીઓમાં રોકાણ વેટ વિફો હેઠળ સુરક્ષા તપાસને આધીન હોઈ શકે છે.

ક્વોન્ટમ ટેકનોલોજી વ્યૂહાત્મક રીતે સંવેદનશીલ છે. EU ડ્યુઅલ-યુઝ રેગ્યુલેશન (રેગ્યુલેશન (EU) 2021/821) અને રાષ્ટ્રીય પગલાં માટે ચોક્કસ ક્વોન્ટમ કમ્પ્યુટર્સ, ઘટકો અને સંબંધિત સોફ્ટવેર અને ટેકનોલોજીના નિકાસ માટે લાયસન્સની જરૂર પડી શકે છે. યાદીઓ નિયમિતપણે બદલાતી રહે છે, તેથી EU બહારના પક્ષો સાથે ટેકનોલોજી નિકાસ અથવા શેર કરતા પહેલા વર્તમાન સંસ્કરણ તપાસો.

નેધરલેન્ડ્સમાં, રોકાણો, વિલીનીકરણ અને સંપાદન સુરક્ષા સ્ક્રિનિંગ એક્ટ ( વેટ વેઇલીઘીડસ્ટોટ્સ ઇન્વેસ્ટરિંગેન, ફ્યુઝીઝ એન ઓવરનેમ્સ , વેટ વિફો) 1 જૂન 2023 થી લાગુ થયો છે. સંવેદનશીલ ટેકનોલોજીમાં સક્રિય કંપનીઓના સંપાદન અને ચોક્કસ રોકાણો, જેમાં ડ્યુઅલ-યુઝ લિસ્ટમાં ક્વોન્ટમ વસ્તુઓ શામેલ હોઈ શકે છે, તે ઇન્વેસ્ટમેન્ટ સ્ક્રીનિંગ બ્યુરો ( બ્યુરો ટોટ્સિંગ ઇન્વેસ્ટરિંગેન , BTI) ને સૂચિત કરવા આવશ્યક છે અને મંજૂરી પહેલાં પૂર્ણ કરી શકાતી નથી. તેથી, ક્વોન્ટમ ટેકનોલોજીમાં સ્ટાર્ટ-અપ્સ અને રોકાણકારોએ પ્રારંભિક તબક્કે તપાસ કરવી જોઈએ કે શું વ્યવહાર સૂચનાને પાત્ર છે.

સંવેદનશીલ ડેટા રાખતી સંસ્થા તરીકે તમારે શું તપાસવું જોઈએ?

કલમ 32 GDPR અને જ્યાં તે લાગુ પડે છે, સાયબર સુરક્ષા કાયદા હેઠળ, તમે તમારા ડેટાની સુરક્ષા માટે જવાબદાર રહેશો, જ્યારે સપ્લાયર્સ તમારી સિસ્ટમ ચલાવે છે ત્યારે પણ. આ મુદ્દાઓ તપાસો:

• દસ વર્ષથી વધુ સમય માટે ગુપ્ત રહે તેવો ડેટા ઓળખો, જેમ કે કર્મચારીઓની ફાઇલો, તબીબી ડેટા અને વેપાર રહસ્યો.
• તપાસો કે તમારી સંસ્થા સાયબર સુરક્ષા કાયદા અથવા DORA હેઠળ આવે છે કે નહીં, અને મેનેજમેન્ટ બોડીએ જોખમ પગલાંને મંજૂરી આપી છે કે નહીં.
• તમારા IT અને ક્લાઉડ સપ્લાયર્સને લેખિતમાં પૂછો કે તેઓ કઈ ક્રિપ્ટોગ્રાફીનો ઉપયોગ કરે છે અને તેઓ ક્યારે પોસ્ટ-ક્વોન્ટમ પદ્ધતિઓને સમર્થન આપશે.
• ખાતરી કરો કે કલમ 28 GDPR હેઠળના તમારા ડેટા પ્રોસેસિંગ કરારો પ્રોસેસર્સને તેમની સુરક્ષાને અદ્યતન બનાવવા માટે ફરજ પાડે છે.
• તમારી ઇન્વેન્ટરી, જોખમ મૂલ્યાંકન અને સ્થળાંતર આયોજન રેકોર્ડ કરો, જેથી તમે નિયમનકાર અથવા કોર્ટને બતાવી શકો કે તમે શું કર્યું.

સોફ્ટવેર અથવા ઉપકરણોના સપ્લાયર તરીકે તમારે શું તપાસવું જોઈએ?

તમારા ગ્રાહકો કરાર દ્વારા તેમની સુરક્ષા ફરજો તમારા પર સોંપશે, અને સાયબર રેઝિલિયન્સ એક્ટ 11 સપ્ટેમ્બર 2026 થી સીધી ઉત્પાદન ફરજો ઉમેરશે. આ મુદ્દાઓ તપાસો:

• ડિજિટલ તત્વો ધરાવતા તમારા ઉત્પાદનો CRA હેઠળ આવે છે કે કેમ અને 11 સપ્ટેમ્બર 2026 અને 11 ડિસેમ્બર 2027 થી કઈ જવાબદારીઓ લાગુ થાય છે તે તપાસો.
• તમારા ક્લાયન્ટ કરારો અને સામાન્ય શરતોમાં સુરક્ષા, અપડેટ અને જવાબદારી કલમોની સમીક્ષા કરો.
• ક્રિપ્ટોગ્રાફિક અપડેટ્સ સહિત, સુરક્ષા અપડેટ્સ પહોંચાડવા માટે સપોર્ટ સમયગાળો વ્યાખ્યાયિત કરો.
• તમારા ક્વોન્ટમ હાર્ડવેર, સોફ્ટવેર અથવા ટેકનોલોજીને રેગ્યુલેશન (EU) 2021/821 હેઠળ નિકાસ લાયસન્સની જરૂર છે કે કેમ તે તપાસો.
• વેટ વિફો હેઠળ તમારી કંપનીમાં રોકાણની જાણ BTI ને કરવી જોઈએ કે નહીં તે તપાસો.

ક્વોન્ટમ-સંબંધિત ડેટા સુરક્ષામાં અમે તમારા માટે શું કરી શકીએ છીએ?

અમારા આઇટી વકીલો વ્યવસાયોને ડેટા સુરક્ષા, સાયબર સુરક્ષા જવાબદારીઓ અને આઇટી સપ્લાયર્સ સાથેના કરારો અંગે સલાહ આપે છે:

• અમે મૂલ્યાંકન કરીએ છીએ કે તમારી સંસ્થા સાયબર સુરક્ષા કાયદા, DORA કે CRA હેઠળ આવે છે, અને તે તમારા માટે શું જરૂરી છે.
• અમે IT, ક્લાઉડ અને ડેટા પ્રોસેસિંગ કરારોમાં સુરક્ષા, અપડેટ અને જવાબદારી કલમોની સમીક્ષા અને મુસદ્દો તૈયાર કરીએ છીએ.
• અમે તમારા જોખમ મૂલ્યાંકન અને સ્થળાંતર યોજનાનું દસ્તાવેજીકરણ કરવામાં મદદ કરીએ છીએ જેથી તે નિયમનકાર સમક્ષ ટકી રહે.
• અમે 72 કલાકની સમયમર્યાદામાં ડચ ડેટા પ્રોટેક્શન ઓથોરિટીને ડેટા ભંગની સૂચના આપવાની સલાહ આપીએ છીએ.
• અમે તપાસ કરીએ છીએ કે વેટ વિફો હેઠળ વ્યવહારને સૂચિત કરવો જોઈએ કે નિકાસ માટે લાયસન્સની જરૂર છે.

સારાંશ

• કોઈ કાયદો ક્વોન્ટમ કમ્પ્યુટિંગને આ રીતે નિયંત્રિત કરતો નથી; GDPR, સાયબર સિક્યુરિટી એક્ટ (NIS2) અને DORA ને એવી સુરક્ષાની જરૂર છે જે આધુનિક અને જોખમો સાથે મેળ ખાય.
• 'હમણાં કાપણી કરો, પછી ડિક્રિપ્ટ કરો' એટલે કે લાંબા ગુપ્તતા સમયગાળા સાથેનો ડેટા પહેલાથી જ જોખમમાં છે.
• જૂન 2025 ના EU રોડમેપમાં અપેક્ષા રાખવામાં આવી છે કે ઉચ્ચ-જોખમવાળી સિસ્ટમો 2030 ના અંત સુધીમાં પોસ્ટ-ક્વોન્ટમ ક્રિપ્ટોગ્રાફીનો ઉપયોગ કરશે; તે એક રાજકીય પ્રતિબદ્ધતા છે, બંધનકર્તા કાયદો નથી.
• ક્રિપ્ટોગ્રાફિક ઇન્વેન્ટરીથી શરૂઆત કરો, સંવેદનશીલતા અને રીટેન્શન સમયગાળા દ્વારા પ્રાથમિકતા આપો, અને ક્રિપ્ટો-એજિલિટીને ધ્યેય તરીકે રાખીને તબક્કાવાર સ્થાનાંતરિત કરો.
• ક્વોન્ટમ ટેકનોલોજી નિકાસ નિયંત્રણને પણ આધીન છે અને ડચ કંપનીઓમાં રોકાણ માટે, કદાચ વેટ વિફો હેઠળ સ્ક્રીનીંગને પણ આધીન છે.

વારંવાર પૂછાતા પ્રશ્નો