Documento elaborado por agências de segurança dos dois países apresenta perguntas e critérios para avaliar fornecedores de software, hardware, serviços em nuvem e infraestrutura tecnológica, com foco em riscos, prazos, custos e capacidade de atualização.
A preparação para a criptografia pós-quântica deixou de ser uma questão restrita às equipes de segurança da informação. Empresas que dependem de fornecedores de tecnologia precisam identificar se os produtos e serviços contratados poderão acompanhar a substituição dos mecanismos criptográficos atualmente utilizados.
O alerta está no documento Post-quantum questions to ask your vendors: Evaluating third-party readiness for post-quantum cryptography, elaborado pelo Australian Cyber Security Centre (ACSC), vinculado ao Australian Signals Directorate (ASD), em parceria com duas agências dos Estados Unidos: a National Security Agency (NSA) e a Cybersecurity and Infrastructure Security Agency (CISA).
A publicação original australiana é de 16 de julho de 2026. Em 4 de novembro, a NSA anunciou a divulgação conjunta da orientação, e, em 5 de novembro, o ACSC comunicou sua atualização.
O documento estabelece um roteiro de perguntas para que empresas avaliem a preparação de fornecedores durante processos de contratação, renovação de contratos e acompanhamento dos serviços já utilizados.
A principal mensagem é que a preparação interna de uma organização pode não ser suficiente se os fornecedores responsáveis por seus sistemas, equipamentos e serviços não conseguirem realizar a transição.
A dependência tecnológica pode comprometer a segurança das empresas
Grande parte das organizações utiliza soluções nas quais os mecanismos criptográficos são definidos, implementados e mantidos pelos próprios fornecedores.
Isso acontece em aplicações corporativas, serviços em nuvem, plataformas de autenticação, sistemas de armazenamento, equipamentos de rede, dispositivos conectados e ambientes industriais.
Nesses casos, a empresa contratante nem sempre possui autonomia para substituir algoritmos, atualizar componentes ou modificar os protocolos de segurança utilizados.
A situação é particularmente relevante em equipamentos com longa vida útil, sistemas legados e ambientes de tecnologia operacional, nos quais determinadas funções criptográficas podem estar incorporadas ao hardware ou ao firmware.
A substituição desses mecanismos poderá exigir atualizações complexas e, em alguns casos, a troca de equipamentos.
As agências também chamam a atenção para o risco de dependências ocultas. Um fornecedor pode utilizar componentes desenvolvidos por outras empresas, criando uma cadeia de dependências que dificulta a identificação dos mecanismos criptográficos empregados.
Por isso, a avaliação deve alcançar não apenas o fornecedor contratado diretamente, mas também os componentes e serviços de terceiros dos quais sua solução depende.
O que as empresas devem exigir de seus fornecedores?
O documento organiza a avaliação em cinco etapas: identificação das dependências criptográficas, análise de riscos, priorização da migração, implementação dos novos algoritmos e comunicação com os clientes.
A tabela a seguir apresenta uma síntese editorial das principais perguntas e dos critérios de avaliação recomendados pelas agências.
Tabela: perguntas essenciais para avaliar fornecedores
| O que a empresa deve perguntar | O que o fornecedor precisa demonstrar |
|---|---|
| 1. Vocês possuem um inventário dos mecanismos criptográficos utilizados? | Inventário atualizado de algoritmos, bibliotecas, protocolos, configurações e componentes, incluindo dependências de terceiros. Pode ser apresentado por meio de um CBOM, inventário de componentes criptográficos, ou documento equivalente. |
| 2. Em quais sistemas e componentes a criptografia está implementada? | Mapeamento das funções criptográficas em aplicações, sistemas operacionais, equipamentos, firmware e serviços contratados. |
| 3. Existem algoritmos fixos ou incorporados ao hardware? | Identificação das limitações técnicas e das alternativas de atualização, correção ou substituição dos componentes afetados. |
| 4. Como os mecanismos criptográficos serão atualizados? | Procedimentos documentados de atualização, manutenção e suporte, com identificação das situações que exigirão substituição de equipamentos. |
| 5. Quais riscos quânticos foram identificados nos produtos e serviços? | Avaliação documentada dos riscos específicos de cada solução, incluindo hipóteses, sistemas afetados e medidas de mitigação. |
| 6. Quais dados e operações ainda dependem da criptografia assimétrica tradicional? | Mapeamento dos fluxos de dados e dos mecanismos utilizados para autenticação, troca de chaves, assinaturas e proteção das informações. |
| 7. Como serão protegidas informações que precisam permanecer confidenciais por muitos anos? | Avaliação do tempo de sensibilidade dos dados, das políticas de retenção e dos riscos de captura atual para descriptografia futura. |
| 8. Quando cada produto ou serviço estará preparado para PQC? | Cronograma por produto, serviço e versão, com datas previstas para testes, disponibilização e implantação em produção. |
| 9. Quais componentes precisarão ser substituídos ou redesenhados? | Identificação de equipamentos, sistemas e arquiteturas afetados, com justificativas técnicas e impactos sobre custos e prazos. |
| 10. Quais algoritmos pós-quânticos serão utilizados? | Compromisso com algoritmos padronizados e adequados às orientações das autoridades competentes, acompanhado de cronograma de implementação. |
| 11. A solução pós-quântica já está pronta para produção? | Versão efetivamente disponível aos clientes, documentação técnica, condições de suporte e orientações para implantação. |
| 12. Como será comprovada a segurança das bibliotecas criptográficas? | Utilização de bibliotecas reconhecidas, mantidas e submetidas a processos de validação ou avaliação independente. |
| 13. Quais impactos são esperados no desempenho e na compatibilidade? | Explicação das mudanças relacionadas ao tamanho de chaves, estruturas criptográficas, processos operacionais e integração com sistemas existentes. |
| 14. A funcionalidade pós-quântica estará incluída no contrato atual? | Esclarecimento sobre licenciamento, eventuais custos adicionais e necessidade de contratação de módulos específicos. |
| 15. Como os clientes serão informados sobre as mudanças? | Procedimentos formais de comunicação, avisos de segurança, documentação de novas versões e orientações de atualização. |
| 16. Quando os algoritmos tradicionais deixarão de ser utilizados? | Plano de descontinuação, com prazos, períodos de suporte e estratégia para encerramento de soluções transitórias ou híbridas. |
| 17. As equipes de suporte estão preparadas para a transição? | Evidências de treinamento, procedimentos operacionais atualizados e capacidade de atendimento a problemas relacionados à PQC. |
| 18. Quem é responsável pela transição dentro da empresa fornecedora? | Estrutura de governança definida, responsáveis identificados e processos periódicos de acompanhamento das atividades. |
Fonte: síntese editorial do Crypto ID, elaborada com base nas cinco tabelas do documento conjunto do ACSC, NSA e CISA. As perguntas foram traduzidas, agrupadas e adaptadas para facilitar sua aplicação pelas empresas. Não constituem reprodução literal integral do documento.
Não basta o fornecedor afirmar que está preparado
Um dos pontos mais importantes da orientação é a necessidade de avaliar a qualidade das respostas apresentadas.
As agências identificam situações que merecem atenção especial durante a análise dos fornecedores.
Entre elas estão a ausência de inventários criptográficos, respostas genéricas sobre segurança, cronogramas indefinidos, utilização de soluções criptográficas proprietárias sem transparência suficiente e falta de responsáveis pela transição.
Outro sinal de atenção é a apresentação da criptografia pós-quântica como funcionalidade premium, sujeita a licenciamento adicional.
O documento recomenda verificar se a funcionalidade estará incluída no licenciamento básico. A preocupação é que custos adicionais possam retardar a adoção de mecanismos de segurança e produzir diferentes níveis de proteção entre clientes.
As agências também alertam que medidas compensatórias, como o aumento do tamanho das chaves dos algoritmos tradicionais, não substituem a migração para a criptografia pós-quântica.
Entretanto, uma resposta incompleta não significa automaticamente que o fornecedor represente um risco inaceitável.
A avaliação deve considerar a criticidade do serviço, a sensibilidade das informações protegidas, o estágio de preparação e a disposição do fornecedor para apresentar limitações e demonstrar avanços.
Contratos de tecnologia precisam considerar a transição
A orientação pode ser aplicada tanto aos contratos existentes quanto às novas contratações.
Na prática, isso significa incorporar a preparação pós-quântica aos processos de compras, gestão de fornecedores, renovação contratual e avaliação de riscos tecnológicos.
Uma empresa que pretende contratar um serviço de longo prazo, por exemplo, poderá solicitar informações sobre a possibilidade de atualização dos mecanismos criptográficos sem substituição da solução.
Também poderá avaliar se o fornecedor possui cronograma compatível com suas próprias necessidades de segurança e continuidade operacional.
No caso de equipamentos e sistemas com vida útil prolongada, a ausência de uma estratégia de atualização pode representar custos futuros não previstos no momento da contratação.
O documento destaca ainda a importância de identificar antecipadamente componentes que exigirão mudanças de arquitetura ou substituição física.
Essa informação permite que as organizações considerem investimentos, disponibilidade de equipamentos, testes e eventuais interrupções operacionais antes de estabelecer seus cronogramas de migração.
O prazo de 2030 entra na avaliação dos fornecedores
O documento utiliza o final de 2030 como referência para o planejamento da transição pós-quântica, em alinhamento às orientações australianas.
As perguntas recomendam verificar quais produtos e serviços estarão preparados com antecedência suficiente para permitir testes, implantação gradual e utilização em produção antes desse marco.
Isso não significa que todas as empresas do mundo estejam sujeitas a uma obrigação legal de concluir a transição até 2030.
O prazo reflete os objetivos de planejamento das autoridades australianas e deve ser interpretado conforme as orientações aplicáveis à jurisdição, ao setor e ao ambiente de risco de cada organização.
Para empresas brasileiras, o documento pode servir como referência técnica de avaliação de fornecedores, sem substituir as normas nacionais e os requisitos regulatórios específicos de cada atividade.
A orientação também recomenda que eventuais mecanismos híbridos, que combinem criptografia tradicional e pós-quântica, sejam tratados como soluções transitórias, acompanhadas de planos para adoção futura de mecanismos exclusivamente pós-quânticos.
O risco de armazenar hoje informações para descriptografar no futuro
Outro aspecto destacado pelas agências é a necessidade de considerar o período durante o qual as informações precisam permanecer protegidas.
Dados capturados atualmente podem ser armazenados por agentes maliciosos com a expectativa de descriptografia futura, caso computadores quânticos suficientemente capazes se tornem disponíveis.
Essa estratégia é conhecida como harvest now, decrypt later, ou capturar agora para descriptografar depois.
O risco é especialmente relevante para informações que precisam manter sua confidencialidade durante muitos anos.
Por isso, as empresas devem perguntar aos fornecedores quais mecanismos criptográficos protegem seus dados, por quanto tempo essas informações permanecem armazenadas e como os riscos associados à computação quântica foram considerados no desenvolvimento das soluções.
A avaliação também precisa diferenciar os riscos relacionados à confidencialidade, autenticação e integridade, pois cada função pode exigir prioridades e estratégias de migração distintas.
A transição pós-quântica também é uma questão de governança
A preparação para a criptografia pós-quântica envolve decisões que ultrapassam a substituição de algoritmos.
As empresas precisam conhecer suas dependências tecnológicas, avaliar riscos, estabelecer prioridades e identificar quais fornecedores terão condições de acompanhar a evolução dos padrões criptográficos.
Para os fornecedores, isso significa demonstrar capacidade técnica, transparência, planejamento e compromisso com a manutenção das soluções oferecidas.
Para as organizações contratantes, significa transformar a preparação pós-quântica em um critério verificável de contratação e acompanhamento dos serviços.
O documento conjunto dos Estados Unidos e da Austrália não cria uma obrigação regulatória geral, mas oferece uma referência prática para que as empresas deixem de depender exclusivamente de declarações comerciais sobre preparação tecnológica.
A questão que passa a orientar a avaliação dos fornecedores não é apenas se eles pretendem adotar criptografia pós-quântica, mas quando, como, com quais limitações e mediante quais evidências essa transição será realizada.
É essa informação que permitirá às empresas avaliar se sua cadeia de fornecedores estará preparada para sustentar a segurança de seus sistemas e informações nos próximos anos.
Fontes oficiais verificadas:
ACSC: documento integral, incluindo as cinco tabelas originais
NSA: comunicado oficial de 4 de novembro de 2026
ACSC: anúncio da atualização de 5 de novembro de 2026
