2026 后量子密码迁移时间表：NIST IR 8547 定稿、欧盟 2026 年底启动、英国 2028 盘点

直接答案：NIST 的后量子密码迁移方案已在 2026 年 10 月定稿（NIST IR 8547，CSRC 文档历史标注 2026-10-27）：NIST 将在 2030 年后弃用、2035 年后在 NIST 标准与指南中禁用量子易受攻击的公钥密码。美国联邦高价值/高影响系统更早：密钥建立 2030-12-31、数字签名 2031-12-31；联邦机构还需在 2030-01-02 前支持 TLS 1.3。欧盟要求成员国2026 年底前启动迁移、高风险用例不晚于 2030 年底；英国 NCSC 的节点是2028 盘点与计划、2031 最高优先级迁移、2035 完成。对企业来说，真正要现在做的是：密码资产盘点（CBOM）→ 按“先存后解”风险排密钥建立 → 按协调复杂度排签名 → 提前锁定 HSM/TPM/PKI 交期 → 用混合模式做过渡。

本文面向需要做技术选型、预算和迁移排期的企业架构、安全、运维与采购团队，尤其是向美国、欧盟、英国市场供货或采购其产品的中国厂商。资料截止 2026-11-07；依据 NIST IR 8547 定稿与 NIST PQC 项目页、欧盟委员会 PQC 政策页、英国 NCSC PQC 迁移时间表（均于 2026-11-07 访问）。本文把“官方事实”“编辑判断”和“待确认项”分开写。

三地时间表：同一年份，不同含义

NIST IR 8547 定稿给出的主线是：NIST 在 2030 年后弃用量子易受攻击的公钥密码，在 2035 年后禁用；2030–2035 的窗口是留给低风险系统和遗留约束的。与此同时，美国联邦政策通过 EO 14412 与 OMB M-26-15 把最敏感系统的节点提前：高价值资产和高影响系统在 2030-12-31 前完成密钥建立迁移、2031-12-31 前完成数字签名迁移，并在 2030-01-02 前支持 TLS 1.3。欧盟的节奏不同：2025 年 6 月通过的《后量子密码过渡协调实施路线图》要求所有成员国在 2026 年底前启动迁移，高风险用例不晚于 2030 年底。英国 NCSC 则给出2028 完成目标/发现/初版计划、2031 完成最高优先级迁移并形成完整路线图、2035 完成全部迁移的指示性时间表。

来源：NIST IR 8547（October 2026）、NIST PQC 项目页、欧盟委员会 Post-Quantum Cryptography 政策页（页面更新 2026-10-20）、英国 NCSC PQC 迁移时间表（访问 2026-11-07）。三地口径不同：欧盟的“启动”不等于“完成”，NIST 的 2035 也不是所有系统的唯一截止日；具体义务以各自文件原文和适用法律为准。

为什么现在就要动：不是等量子计算机

NIST 明确把“先存后解”（harvest now, decrypt later，HNDL）列为紧迫性来源：对手今天收集加密流量，等量子技术成熟后再解密；敏感数据往往要保密多年，所以等量子计算机出现再迁移就晚了。IR 8547 还引用了 Mosca 定理：如果数据需要保密 X 年、迁移需要 Y 年、密码学相关量子计算机预计 Z 年出现，那么必须在 X + Y 超过 Z 之前启动迁移。NIST 同时提醒，历史上密码迁移用了 10–20 年，这次范围更大，至少也要这么久；联邦最敏感系统的 2030/2031 节点“几乎没有余量”。

另一个常被忽略的区分是加密、签名与认证的风险不同：加密/密钥建立直接受 HNDL 威胁，应优先迁移；签名不受 HNDL 影响，但签名生态涉及证书、代码签名、文档、设备和多方协调，迁移周期更长，所以也要早启动；认证只在“认证发生的那一刻”需要安全，理论上可以晚一些，但认证依赖的 PKI、智能卡、令牌和终端同样有多年更换周期。把这三类混在一起排期，通常会导致“先做了最容易的、却漏掉最关键的”。

算法怎么换：RSA/ECC 退场，ML-KEM/ML-DSA 接棒

NIST 的替换关系很清楚：量子易受攻击的是 RSA、ECDSA、EdDSA、有限域 DH/MQV、椭圆曲线 DH/MQV 等公钥算法；替代品是 ML-KEM（FIPS 203，密钥建立）、ML-DSA（FIPS 204，签名）、SLH-DSA（FIPS 205，无状态哈希签名），以及 SP 800-208 的 LMS/HSS、XMSS/XMSSMT（有状态哈希签名，适合软件/固件签名等场景）。对称密码基本不用换：NIST 认为 ≥128-bit 的对称原语至少达到 Category 1；需要处理的是 SHA-1 和少数 112-bit 对称标准，它们在 2030 年后被禁用。

来源：NIST IR 8547 表 2–表 8（October 2026）。参数集方面：ML-KEM-512/768/1024 分别对应 Category 1/3/5，NIST 明确推荐 ML-KEM-768 作为默认；ML-DSA-44/65/87 分别对应 Category 2/3/5，其中 ML-DSA-44 在使用不足 192-bit 安全强度的随机位发生器时会降为 Category 1。表中为编辑整理，具体参数与适用条件以 FIPS 203/204/205 原文为准。

迁移对象：不止“换一个算法”

PQC 迁移不是一个开关，而是一整条链路：协议要能协商新算法，密码库要实现新算法，HSM/TPM 要能执行新算法，PKI 要能签发和吊销新证书，应用要改代码和配置，代码签名/固件更新链要能被设备验证。NIST 特别提醒：如果设备在出厂后无法更新“验证签名的代码”，就必须在设计阶段要求它能验证后量子签名，否则这些设备在量子计算机可用后无法通过升级补救。硬件（HSM、TPM、智能卡、令牌）的交期最长，应最早启动。

来源：NIST IR 8547 第 2.2 节与第 3.1 节（October 2026）。表中为编辑整理的迁移对象清单，不是官方检查表；具体组件是否支持 PQC，需以供应商文档和实测为准。

优先级：先救“存得久”和“换不掉”的

一个可执行的排序原则是：先看数据要保密多久，再看系统能不能升级，最后看协调方有多少。长期机密数据（医疗、政务、研发、金融记录）最先受 HNDL 影响，应优先把密钥建立迁到 ML-KEM 或混合模式；无法远程升级、验证器写死在固件里的设备，必须在采购和设计阶段解决，否则只能替换或退役；高价值/高影响系统和 PKI/身份基础设施按联邦或行业节点排；一般签名和低风险短周期系统可以跟随供应商节奏，但不要把 2035 当成“还有九年”的宽限期。NIST 与 OMB M-26-15 都明确：无法支持 PQC 的系统应被识别并优先替换或退役。

来源：NIST IR 8547 第 3–4 节、EO 14412、OMB M-26-15（访问 2026-11-07）。优先级为编辑整理的方法，不是官方分级；企业应结合自身数据分类、威胁模型和监管要求调整。

混合模式：过渡桥怎么搭

NIST 允许在过渡期使用“PQC + 经典算法”的混合方案：密钥建立可用 SP 800-56C 的通用组合方式（共享秘密 Z 与 T 组合，再做密钥派生），组合器可参考 SP 800-227；数字签名可用双签名（同一消息上同时有 ML-DSA 与 ECDSA/RSA 等）。只要组合中至少一个组件是 NIST 批准的方案，组合仍可做 FIPS 140 验证。但 NIST 也明确：混合会增加实现与架构复杂度，可能带来新的安全风险和成本，通常应视为临时措施，之后还要再迁到纯 PQC。协议层要固定共享秘密的顺序，避免两端理解不一致。

来源：NIST IR 8547 第 3.2 节（October 2026）。NIST 未规定企业必须使用混合模式；是否采用取决于应用、供应商支持、性能与安全评审结果。

成本怎么估：没有官方统一报价，只有成本驱动

NIST、欧盟委员会和英国 NCSC 都没有给出统一的 PQC 迁移费用；NCSC 明确提醒总成本可能很高，预算要覆盖准备阶段和实际迁移。可行的做法不是找一个“每系统单价”，而是按成本驱动分科目估算：发现与盘点、产品与许可、硬件更换、PKI 改造、性能余量、测试与双跑、人力与合规。硬件和 PKI 往往不是“花钱就能立刻到位”，交期和证书链兼容性才是排期的硬约束。把 PQC 塞进正常更换周期，通常比一次性“大爆炸改造”更可控。

来源：编辑整理；成本驱动参考 NIST IR 8547 第 2.2、3.2 节与英国 NCSC 时间表说明（访问 2026-11-07）。表中不含任何报价或单价，也不构成预算承诺；实际费用需按企业资产规模、供应商报价和项目范围测算。

90 天行动清单

如果现在还没有 PQC 项目，建议先用 90 天把“看不见的密码资产”变成可排期的清单，而不是急着全量替换。顺序是：定范围 → 建 CBOM → 打风险标签 → 选两个试点 → 问供应商 → 定预算与策略 → 做一次回滚演练。

1. 定范围（第 1–2 周）：列出对外和对内依赖公钥密码的系统、协议、证书、设备与供应链接口。
2. 建 CBOM（第 3–5 周）：记录算法、库与版本、证书、密钥长度、签发者、到期时间、所属系统与责任人。
3. 打标签（第 5–6 周）：标注 HNDL 风险、系统生命周期、能否远程升级、供应商是否支持 PQC。
4. 选试点（第 6–9 周）：选一个 TLS 入口和一个代码签名链，用混合 ML-KEM + ECDH 做互操作与性能测试。
5. 问供应商（第 6–10 周）：要 PQC 路线图、FIPS 140 验证计划、HSM/TPM 交期、证书链与吊销支持。
6. 定预算（第 9–11 周）：按发现/试点/规模迁移/退役四阶段入账，硬件与 PKI 单独列。
7. 写策略（第 10–12 周）：明确密码敏捷性要求、量子易受攻击算法的禁用时点、例外审批与供应商合同条款。
8. 演练（第 12 周）：做回滚、性能、监控和证书轮换演练，把结果写进下一阶段计划。

常见问题

NIST IR 8547 是强制标准吗？

不是。IR 8547 是 NIST 内部报告，描述 NIST 的迁移方案与时间表；真正的算法标准是 FIPS 203/204/205。它对美国联邦机构通过 EO 14412、OMB M-26-15 等政策产生约束，对私营企业不是直接法律义务，但会通过采购、合同、供应链和行业监管传导。

2030 和 2035 到底哪个是截止日？

两个都是，但含义不同：2030 年后 NIST 弃用量子易受攻击的公钥密码，2035 年后在 NIST 标准与指南中禁用。美国联邦高价值/高影响系统另有更早节点：密钥建立 2030-12-31、数字签名 2031-12-31。企业若向这些客户供货，实际截止日往往由合同而不是 NIST 决定。

现在有能破解 RSA 的量子计算机吗？

没有已知的密码学相关量子计算机。紧迫性来自“先存后解”和迁移周期：今天被收集的长周期敏感数据，可能在量子计算机成熟后被解密；而 NIST 指出历史密码迁移需要 10–20 年，这次范围更大。

应该先迁加密还是先迁签名？

先迁密钥建立/加密，因为它直接受“先存后解”威胁；但签名也要尽早启动，因为证书、代码签名、设备和多方协调的周期更长。认证本身可以稍晚，但认证依赖的 PKI、令牌和终端要提前排期。

混合模式会被 NIST 接受吗？

会。NIST 允许 PQC 与经典算法组合：密钥建立可用 SP 800-56C 的通用组合方式，签名可用双签名；只要至少一个组件是 NIST 批准方案，组合仍可做 FIPS 140 验证。但 NIST 把混合视为过渡措施，会增加复杂度和成本，之后仍需迁到纯 PQC。

ML-KEM 应该选哪个参数集？

NIST 推荐 ML-KEM-768 作为默认，理由是它在安全余量与性能之间有较好平衡。ML-KEM-512 对应 Category 1、ML-KEM-1024 对应 Category 5；若性能受限或需要更高安全等级，再选其他参数集，并以实测为准。

对称算法需要换吗？

基本不需要。NIST 认为 ≥128-bit 的对称原语至少达到 Category 1，AES、SHA-2、SHA-3 可继续使用；需要处理的是 SHA-1（2030 后在 FIPS 模块中禁用）和少数 112-bit 对称标准（2030 年禁用）。

预算有限，最先做什么？

先做发现与 CBOM，再做一个小范围混合模式试点；同时把“无法升级且生命周期长”的设备列为替换/退役候选。把 PQC 纳入正常更换周期，比一次性全量改造更可控；不要等到 2034 年才开始。

研究方法与局限

本文把“官方事实”和“编辑判断”分开：FIPS 203/204/205 的发布日期、NIST IR 8547 的 2030/2035 节点、EO 14412 与 OMB M-26-15 的 2030/2031/TLS 1.3 日期、欧盟 2026 年底启动与 2030 年底高风险节点、英国 2028/2031/2035 节点，分别来自 NIST、欧盟委员会和英国 NCSC 的官方页面与 PDF（访问 2026-11-07）。优先级矩阵、90 天清单和成本科目是编辑整理的实施建议，不是官方模板。

局限有八个：① 三地文件的适用对象不同（美国联邦、欧盟成员国、英国组织），不能简单互换；② NIST IR 8547 是美国联邦视角，企业义务还取决于合同、行业监管和客户要求；③ 欧盟路线图是面向成员国的高层次文件，具体落地看各国国家路线图；④ 英国 NCSC 的时间表是指示性的，不是法律截止日；⑤ 官方文件没有给出统一迁移费用，本文只列成本驱动；⑥ 算法与标准仍在演进（HQC 的 FIPS、Falcon 的 FIPS、额外签名方案），发布后应复核；⑦ 本文未覆盖行业特定法规（如金融、医疗、能源）的交叉要求；⑧ 性能与互操作必须按自身环境实测，本文不提供通用性能结论。本文不构成法律或合规意见。

数据来源与口径

• NIST, Transition to Post-Quantum Cryptography Standards, NIST IR 8547（October 2026）：csrc.nist.gov/pubs/ir/8547/final；PDF：nvlpubs.nist.gov/nistpubs/ir/2026/NIST.IR.8547.pdf。2030 后弃用、2035 后禁用；EO 14412/OMB M-26-15 的 2030/2031 节点；TLS 1.3 2030-01-02；算法表 2–8；混合模式与 HNDL。访问 2026-11-07。
• NIST CSRC, Post-Quantum Cryptography 项目页：csrc.nist.gov/projects/post-quantum-cryptography。FIPS 203/204/205 于 2024-08-13 发布；HQC 于 2025-03-11 被选为标准化的备选 KEM；NIST 将在 2035 前从标准中移除量子易受攻击算法。访问 2026-11-07。
• European Commission, Post-Quantum Cryptography 政策页：digital-strategy.ec.europa.eu/en/policies/post-quantum-cryptography。2024-04 建议；2025-06 协调实施路线图；成员国 2026 年底前启动、高风险用例不晚于 2030 年底；2025 年问卷与 FAQ。页面更新 2026-10-20，访问 2026-11-07。
• UK National Cyber Security Centre, Timelines for migration to post-quantum cryptography：ncsc.gov.uk/guidance/pqc-migration-timelines。2028 目标/发现/初版计划；2031 最高优先级迁移与完整路线图；2035 完成；成本可能较高，预算需覆盖准备与迁移。访问 2026-11-07。

资料截止 2026-11-07；本文依据官方页面与 PDF 整理，不构成法律或合规意见；具体义务以适用法律、合同和监管要求为准。