发布日期：2026-07-02 浏览次数：
2026年6月22日，白宫签署了第14409号行政命令，即《保护国家免受高级密码攻击》，同时还签署了一项关于量子技术的配套命令。这项政策一如既往地强调了其关键目标：关键基础设施必须在2030年12月31日前迁移到后量子密码技术，数字签名必须在2031年12月31日前完成。标题、倒计时、紧迫感，一切都围绕着这个主题展开。
这些日期很重要。但它们也是这份文件中最不引人注目的内容。
在同一份文件中，还隐藏着一项令所有安全负责人感到不安的要求。美国国家标准与技术研究院 (NIST)和网络安全与基础设施安全局 (CISA) 必须在 270 天内定义密码学物料清单的最低要素，即组织运行的算法、密钥、证书和库的完整清单，以及每项资源的存储位置。你不会强制要求对你已经了解的东西进行清点。联邦政府刚刚代表整个数字经济承认，我们已经失去了对自身密码学的掌控。
这才是这项行政命令的真正意义所在，而非最后期限本身。最后期限暴露出的盲点才是关键。在我们探讨这对你意味着什么之前，以下是该命令的全文。
该指令分为七个部分。第一部分和第二部分阐述了指令的原理和定义。第三部分至第六部分分配了实际工作，并附有严格的时间限制。第七部分是标准的法律条文。以下是完整内容。
该命令开篇便直截了当地指出威胁。大规模量子计算机，尤其是在敌对势力手中，将破解保护国家数据的加密技术。命令还直接提及近期面临的危险：敌对势力目前正在收集美国信息，并计划在大规模量子计算机出现后对其进行解密。作为应对措施，美国政府的既定政策包含两方面：一是将联邦信息系统过渡到经美国国家标准与技术研究院 (NIST) 批准的、适用于后量子加密技术的联邦信息处理标准 (FIPS)；二是协助关键基础设施的所有者和运营者进行自身系统的过渡。
定义是该命令悄然划定界限的地方，对于理解谁真正承担责任至关重要。该命令定义了诸多术语，其中包括：
高价值资产（HVA）：根据 OMB 备忘录 M-19-03 或其任何后续备忘录指定为 HVA 的联邦信息或系统。
高影响系统：信息系统中至少有一个安全目标（即机密性、完整性或可用性）具有 FIPS 199 高潜在影响值。
国家安全系统（NSS）：定义见《美国法典》第44篇第3552(b)(6)条。值得注意的是，这些系统在第4节中被排除在机构迁移要求之外，并在第5节中由国家安全局（NSA）单独监管。
后量子密码学（PQC）：旨在抵抗量子计算机和经典计算机攻击的密码算法或方法。
PQC 迁移负责人：向机构首席信息官汇报工作的机构雇员或借调人员，负责全机构的加密资产管理、制定优先的 PQC 迁移计划以及协调跨机构的 PQC 工作。
密钥建立、数字签名和加密模块验证程序：分别锚定于 FIPS 203、FIPS 186-5 和FIPS 140-3。
PQC迁移负责人的定义值得我们仔细斟酌。该指令并未要求设立兼职协调员，而是明确了其职责包括：负责库存管理、制定优先计划以及跨机构协调。这是一份正式工作，而非周五兼职。
该命令规定，国家PQC迁移的战略协调工作由OMB主任和国家网络安全主任负责，并与总统国家安全事务助理和OMB电子政务办公室协商。他们的职责是确保迁移工作与更广泛的网络安全目标保持一致。
在技术层面，商务部长必须通过国家标准与技术研究院 (NIST) 院长，并与国家安全局 (NSA) 和国土安全部 (DHS)（通过网络安全和基础设施安全局 (CISA)）协商，向各机构提供关于程序质量控制 (PQC) 实施的持续、全面的技术指导，包括最佳实施实践和风险管理策略。这是一项持续性义务，而非一次性出版物。
正是本部分列出了重要的截止日期，而且比大多数报道所暗示的要具体得多。
30 天内，各机构负责人必须确定其 PQC 迁移负责人，并将该负责人的姓名和联系方式发送给 OMB 主任和国家网络安全主任。
在 90 天内，OMB 主任必须咨询 CISA 和国家网络安全主任，发布指导意见，要求每个机构做四件事：审查其 HVA 和高影响系统清单（不包括国家安全系统）；在 2030 年 12 月 31 日之前将所有 HVA 和高影响系统过渡到 PQC 以进行关键设置；在 2031 年 12 月 31 日之前将所有 HVA 和高影响系统过渡到 PQC 以进行数字签名；并制定和提交完成所有这些的计划。
在180天内，NIST主任必须在NIST自身系统的适当子集上启动PQC迁移试点项目，该项目最迟应于2027年12月31日完成。实际上，政府是自愿率先行动，展示其工作成果。
第5部分是大多数企业读者都会跳过的部分，而正是这一部分将私营部门拉入了该秩序的引力之中。
作为行业风险管理机构的各部门必须与网络安全和基础设施安全局 (CISA) 合作，帮助关键基础设施的所有者和运营者制定其 PQC 迁移计划。如果您运营关键基础设施，您的行业机构现在有联邦授权与您就此进行沟通。
国务卿必须与美国国家标准与技术研究院 (NIST)、国土安全部 (DHS)、国家网络安全总监、陆军部长和国家情报总监合作，与关键国家的政府和行业团体接洽，鼓励他们采用 NIST 已标准化的 PQC 算法。这一转变旨在将其定位为国际标准，而不仅仅是国内标准。
在迁移完成前的180天内，以及此后每年，国家安全局局长（兼任国家安全系统国家主管）必须通过国家安全系统委员会向总统报告拥有或运营国家安全系统的机构的迁移情况。这就是第四条所排除的国家安全系统的实际管理方式。
在270天内，国土安全部部长必须通过网络安全和基础设施安全局（CISA）并与国家标准与技术研究院（NIST）协调，发布公开指南，阐明密码学物料清单的最低要素。至关重要的是，该命令明确规定，这些要素必须能够自动评估硬件或软件组件所使用的密码资产。该命令所指的并非每年需要人工组装一次的密码学物料清单。
第6部分规定了该命令进入商业市场的部分，其中包含对供应商和承包商而言最重要的条款。
首先，关于成本。OMB主任、战争部长、NASA局长和GSA局长必须与DHS、DNI和NIST协商，协调寻找迁移过程中的节约成本的机会，例如迁移基于云的技术、共享PQC工具采购、联合培训和集中技术支持。
其次，关于验证。美国国家标准与技术研究院 (NIST) 院长必须在 180 天内修订密码模块验证计划的流程，以加快密码模块的验证速度。这解决了一个实际的瓶颈：后量子模块在通过验证之前对联邦采购人员来说毫无用处，而目前的验证速度非常缓慢。
第三，关于承包商合规性。联邦采购监管委员会必须在180天内，咨询网络安全和基础设施安全局（CISA）和国家标准与技术研究院（NIST），发布一项拟议规则，修订《联邦采购条例》，要求受监管的承包商在2030年12月31日之前遵守NIST的FIPS标准，包括所有包含符合PQC标准的算法的适用FIPS标准。
第四，关于漏洞披露。联邦采购条例委员会必须在270天内发布第二项拟议规则，该规则将修订联邦采购条例中关于承包商漏洞披露计划的要求和合同条款。这些计划必须符合美国国家标准与技术研究院 (NIST) 的指导方针，并且必须明确纳入加密漏洞报告，包括测试是否存在加密缺失以及是否使用了未经联邦信息处理标准 (FIPS) 批准的算法。换句话说，承包商不仅需要迁移到符合标准的加密系统，而且还需要主动发现并报告加密方面的薄弱环节或缺失环节。
第7条是通常的结尾条款。该命令不损害现有机构或管理和预算办公室（OMB）的权力，必须按照适用法律并在可用拨款范围内执行，且不创设任何新的可强制执行的法律权利。商务部承担发布该命令的费用。
| 时间 | 最后期限 | 要求 | 负责任的 |
| 30天 | 2026年7月22日左右 | 确定负责机构 PQC 迁移的负责人、报告名称以及与 OMB 和国家网络安全总监的联系人。 | 各机构负责人 |
| 90天 | 2026年9月20日左右 | 发布指导意见，要求各机构清点高价值资产和高影响系统，按时完成 2030 年和 2031 年的最后期限，并提交迁移计划。 | OMB主任，与CISA和NCD合作 |
| 180天 | 2026年12月19日左右 | 启动 NIST PQC 迁移试点项目 | 美国国家标准与技术研究院院长 |
| 180天 | 2026年12月19日左右 | 修订密码模块验证程序，以加快模块验证速度 | 美国国家标准与技术研究院院长 |
| 180天 | 2026年12月19日左右 | 发布拟议的联邦采购条例 (FAR) 规则，要求受该条例约束的承包商在 2030 年底前满足 NIST FIPS 标准，包括 PQC 算法。 | 美国联邦采购条例委员会（FAR Council）与网络安全和基础设施安全局（CISA）和国家标准与技术研究院（NIST）合作。 |
| 180天，然后每年 | 2026年12月19日 | 向总统报告国家安全系统 PQC 迁移状况 | 美国国家安全局局长 |
| 270天 | 2027年3月19日 | 发布关于CBOM最低要素的公开指南，以实现自动化评估。 | CISA 与 NIST 合作 |
| 270天 | 2027年3月19日 | 发布一项关于承包商漏洞披露计划的拟议联邦采购条例规则，该规则涵盖密码学漏洞。 | 美国联邦采购条例委员会（FAR Council）与网络安全和基础设施安全局（CISA）和国家标准与技术研究院（NIST）合作。 |
| 2027年底 | 2027年12月31日 | 完成 NIST PQC 迁移试点项目 | 美国国家标准与技术研究院院长 |
| 2030年底 | 2030年12月31日 | 将所有高可用性设备和高影响系统迁移到 PQC，以确保关键设施的安全运行；相关承包商须遵守 NIST FIPS 标准。 | 联邦机构；受监管承包商 |
| 2031年底 | 2031年12月31日 | 将所有高价值资产和高影响力系统迁移到 PQC 以实现数字签名 | 联邦机构 |
大致的日历日期是根据该命令的签署日期 2026 年 6 月 22 日推算出来的。
从路线图上看，四年半的时间似乎足以完成首次迁移。但对企业而言，这却远远不够。正如时间表的其他部分所表明的那样，实际的需求会在几周内而非几年内接踵而至。
三十年来，密码学在企业系统中的普及就像管道系统在不断翻修的建筑中蔓延一样。这里用RSA，那里用ECC，厂商产品里捆绑了TLS库，还有为某个2014年发布后就一直没停过的项目生成的签名密钥。没人画过地图，因为根本没必要。算法运行良好，而运行良好的密码学就是隐形的。
第14409号行政命令并非引入了这种风险，而是为一场迟早会到来的清算设定了日期。量子威胁是触发因素，但其根本原因是数十年来积累的加密债务，而这些债务从未被强制追究责任。抛开“量子”一词，该命令实际上要求的是一项更为根本的要求：各组织最终必须了解自身所拥有的资产。
如今大多数人都无法回答这个问题。而那些自认为可以回答的人，通常只关注那显而易见的10%的人。
如果把 2030 年视为风险开始的时刻，那就完全误判了威胁。
量子技术如今的危险之处在于其“先捕获后解密”的机制，而该指令在其开篇部分就明确指出了这一点。攻击者今天就能捕获加密的流量和数据，并将其存储起来，等待能够破解它的量子计算机出现。无需任何实际运行的量子计算机，只需耐心和存储即可造成数据泄露。
这就改变了问题。问题不再是量子计算机何时会破解RSA，而是这些数据需要保密多久。对于会话令牌来说，答案是几分钟。而对于外交电报、医疗记录、知识产权、财务记录、诉讼文件或关键基础设施设计，答案则是几年甚至几十年。在这些情况下，泄露窗口并非未来才会出现，而是现在就已开启。
因此，指导您规划的截止日期并非2030年。对于您最敏感、需要长期保存的数据而言，真正重要的截止日期是几年前。每拖延一个月，就意味着更多的数据会留在别人的存档中，等待着最终会出现的密钥。
大多数后量子时代迁移计划在开始之前就已经悄然失败了。
如果你问安全团队他们的加密技术部署在哪里，通常会得到一个诚实而自信的答案：公共TLS 证书。这是可见层，也是最简单的部分。真正危险的是其下层的一切：私有PKI、内部服务证书、应用程序内部的嵌入式加密、代码签名依赖项、SSH 密钥、机器和工作负载身份，以及由供应商控制的证书——而这些供应商可能并没有自己的发展路线图。
一份只涵盖可见的 10% 而忽略其余部分的清单，并不能生成一个完整的计划。它只会生成一个看似自信实则错误的计划：一份宣布迁移成功的计划，却对环境中风险最高的加密技术视而不见。这正是加密技术物料清单 (CBOM) 必须列入订单而非脚注的原因，也是订单必须确保这些 CBOM 元素支持自动化评估的原因。文档中的所有其他截止日期都暗含着对这种可见性的依赖。你无法确定迁移的优先级、顺序或证明迁移的有效性，因为你无法看到迁移的全貌。
PKI团队将承担大部分转型工作，但任何将其定义为证书替换的观点都过于狭隘。后量子迁移涉及应用程序架构、身份系统、HSM、DevOps流水线、API、服务网格、内部证书颁发机构，以及您无法控制的大量供应商软件。
而且，这并非孤例。根据CA/B论坛的预测，到2029年，公共TLS证书的有效期将缩短至47天。这意味着，那些正在为后量子算法做准备的团队，同时也要应对续期频率、自动化需求以及机器身份蔓延等方面的巨大变革。此外，如今在云和SaaS环境中部署的自主AI代理也需要身份、密钥和治理，因此，加密攻击面正从多个方向同时扩展。
那些苦苦挣扎的组织会将这些挑战视为各自独立的危机。而那些最终胜出的组织则会意识到，它们其实是同一场危机。
这是区分准备充分者和仅仅服从者的关键所在。
后量子时代项目会在截止日期前更换算法，宣布成功，然后让组织对之前的情况一无所知，这使得组织在下一次密码学转型时，很可能再次经历同样的痛苦过程。而下一次转型肯定会发生。算法会被弃用，证书规则会越来越严格，标准也会不断演进。密码学问题并非一劳永逸。
无论是否明说，该指令真正推动的是加密敏捷性：即在不破坏安全性和运行的前提下，跨软件、硬件、固件和基础设施调整和替换加密算法的能力。NIST 在 CSWP 39 中对此进行了阐述，而实际上，它依赖于五项能力：加密资产清单、策略执行、自动化、预生产验证和治理报告。
这就是后量子项目和密码学现代化项目的区别。前者旨在赶在截止日期前完成，而后者则构建运行模型来应对此次迁移以及后续的每一次迁移。前者是成本，后者是资产。
那些在 2030 年看起来准备充分的球队现在正在采取四项举措，趁着还有冷静的时间做出这些举措。
他们正在明确责任归属：指定一位具有高层影响力和预算的负责人，而不是将一项琐碎的任务埋没在公钥基础设施 (PKI) 的待办事项清单中，这与该订单本身要求的机构级 PQC 迁移负责人相呼应。他们优先资助数据探索，因为每个下游决策都依赖于数据清单，而每拖延一周都会加剧数据泄露的风险。他们向供应商提出尖锐的问题，例如他们将支持哪些后量子算法、何时支持以及对混合模型和数据清单透明度的支持程度，并将闪烁其词的回答视为风险信号。他们还根据数据敏感性进行排序，首先从保护长期机密信息或位于受监管且面向联邦政府的供应链中的系统入手。
这一切都不需要等待OMB的最终指南或标准化的CBOM要素。那些选择等待的机构最终还是会完成所有这些工作，只不过时间会更晚，压力更大，可选择的方案更少，而且采购团队已经开始要求提供证明材料了。
第14409号行政命令并非恐慌的理由。它只是允许启动并涵盖安全团队多年来一直希望资助的项目。联邦政府已确定具体日期，这些日期将首先影响各机构，其次是承包商，随后将影响更广泛的技术生态系统。
但截止日期并非考验。考验在于你是否能够清晰地审视自身的加密技术，从而在压力下保持冷静，而非被动应对。从迁移、合规、取证到敏捷性，该命令要求的一切，都取决于这一能力。
这就引出了行政命令一直以来真正提出的问题：你们目前的加密资产状况究竟如何？
什么是第14409号行政命令？
第 14409 号行政命令《保护国家免受高级密码攻击》于 2026 年 6 月 22 日签署。该命令分为七个部分，指示联邦机构按固定时间表迁移到 NIST 后量子密码标准，清点其密码资产，协助关键基础设施运营商，并制定采购规则，将合规要求扩展到政府承包商。
联邦政府何时会设定后量子密码技术的最后期限？
各机构必须在2030年12月31日前将所有高价值资产和高影响力系统迁移至PQC，用于关键建立；并在2031年12月31日前完成数字签名迁移。此前的各项检查点进展迅速：PQC迁移牵头工作将在30天内完成；具有约束力的OMB指南将在90天内发布；NIST迁移试点项目和首个拟议的承包商FAR规则将在180天内完成；CBOM最低要素指南将在270天内发布。NIST试点项目必须在2027年12月31日前完成。
什么是密码学物料清单（CBOM）？
密码学物料清单 (CBOM) 是一份机器可读的清单，列出了您环境中所有密码资产：算法、密钥、证书、库和协议，以及每项资产的运行位置。它相当于软件物料清单 (SBM)。该命令第 5 条指示 CISA 和 NIST 在 270 天内发布 CBOM 的最低要素，并要求这些要素支持对密码资产进行自动化评估。
该行政命令是否会影响私营公司和承包商？
是的。第6条指示联邦采购条例委员会发布一项拟议规则，要求受监管的承包商在2030年12月31日之前遵守NIST FIPS标准，包括后量子算法；此外，还发布另一项规则，要求建立漏洞披露程序，以发现加密漏洞。第5条还责成各行业风险管理机构（通过网络安全和基础设施安全局CISA）协助关键基础设施运营商制定迁移计划。联邦市场的供应商、云服务提供商和软件供应商应预料到这些要求会传达给他们。
国家安全系统方面呢？
国家安全系统不受第四条机构迁移要求的约束，需单独处理。根据第5部分规定，国家安全局局长作为国家安全系统的国家主管，必须在180天内向总统报告国家安全系统迁移的进展情况，并每年报告一次，直至迁移完成。
揽阁信息是Thales的重要合作伙伴，我们提供的Thales Luna HSM已经在固件层面支持PQC算法，我们还可以根据您的项目实际情况提供定制化解决方案，欢迎联系我们获取更多资料。
揽阁信息 · 值得您信赖的信息安全顾问！
沪公网安备31011202021337号 网站地图
友情链接： Thales官网 芯片产品网站 服务热线
