A IA pode estar roubando os holofotes, mas a computação quântica também representa um risco imediato para nossos dados. Em 22 de junho de 2026, a Casa Branca fez um importante alerta, reforçando que a computação quântica não é apenas um problema futuro, mas uma ameaça à segurança que precisamos começar a enfrentar hoje.
A Ordem Executiva 14412 dos EUA (Protegendo a Nação contra Ataques Criptográficos Avançados) ressalta a urgência da migração para a criptografia pós-quântica (PQC), priorizando políticas de financiamento e aquisição para cumprir os prazos federais de conformidade com mais eficiência.
“A Ordem Executiva 14412 dos EUA muda o foco da discussão de um cenário distante de “e se” para uma realidade imediata de conformidade, obrigando as organizações a priorizar prazos concretos para proteger os sistemas críticos do país.”
Se você acha que isso é apenas uma dor de cabeça para os órgãos governamentais, pense novamente. A ordem desencadeia um enorme efeito cascata nos ciclos de compras, obrigando fornecedores de tecnologia e empresas a priorizar sistemas seguros contra ameaças quânticas em seus ciclos de aquisição atuais.
Além do “Dia Q”: os prazos operacionais
Durante anos, a suposição geral era de que a "ameaça quântica" — o momento em que os computadores quânticos poderiam quebrar facilmente sistemas de criptografia padrão, como o RSA — ainda estava muito distante. Acreditávamos que haveria tempo de sobra para nos prepararmos para o “Dia Q”.
Mas o hardware físico está avançando mais rápido do que os cálculos previam originalmente. Avanços recentes de pesquisadores da Harvard Quantum Initiative sugerem que sistemas quânticos estáveis e tolerantes a falhas estão progredindo muito além das expectativas, o que pode reduzir esse prazo para o fim desta década.
A Ordem Executiva 14412 traz uma forte dose de realismo a esse cenário. Ela muda o foco da discussão de uma hipótese distante — “e se?” — para uma realidade imediata de conformidade, obrigando as organizações a priorizar prazos concretos para proteger os sistemas críticos do país.
- Até 31 de dezembro de 2030: As agências federais precisam concluir a migração para algoritmos de criptografia pós-quântica (PQC) aprovados pelo Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) para o estabelecimento de chaves (criptografia). O objetivo é neutralizar ataques do tipo "coletar agora, descriptografar depois", nos quais agentes mal-intencionados roubam e armazenam hoje o tráfego criptografado, sabendo que a computação quântica acabará conseguindo descriptografá-lo.
- Até 31 de dezembro de 2031: a migração para a criptografia pós-quântica (PQC) em assinaturas digitais (autenticação) deverá ser concluída para oferecer proteção contra ataques de falsificação de identidade e spoofing.
Esses prazos podem parecer limitados em escopo, mas estão longe disso. Para colocar a ordem em prática, o Escritório de Gestão e Orçamento (OMB) publicou o Memorando M-26-15 em 24 de junho, dando às agências civis um prazo rigoroso de 120 dias para apresentar seus planos formais de migração, enquanto frentes paralelas de execução são implementadas pelo Departamento de Guerra (DoW).
A ordem também determina que o Conselho de Regulamentação de Aquisições Federais (FAR) dos EUA incorpore esses mesmos prazos aos requisitos dos contratos federais. Isso transforma uma determinação governamental em uma realidade comercial: toda a Base Industrial de Defesa e milhares de prestadores de serviços do governo federal terão de comprovar a conformidade com a criptografia pós-quântica (PQC) simplesmente para continuar fazendo negócios com o governo.
Além disso, a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) está orientando os órgãos públicos a dar forte preferência a fornecedores com capacidade de implementar criptografia pós-quântica (PQC) nos próximos ciclos de contratação. Esteja você diretamente inserido na cadeia de suprimentos militar ou atuando em outros setores altamente regulamentados, como finanças e saúde, a conclusão permanece a mesma: se os seus sistemas lidam com dados federais, estar preparado para a era quântica é um requisito inegociável para fazer negócios.
O ponto cego da cadeia de suprimentos: entra em cena a CBOM
Os dados não ficam restritos a um único lugar. Eles circulam constantemente por APIs de terceiros, plataformas SaaS externas, nuvens hospedadas por fornecedores e muito mais. Essas dependências criam vulnerabilidades fora do seu controle direto, tornando a preparação para a PQC muito mais complexa do que simplesmente proteger seus sistemas internos.
Em conformidade com a Ordem Executiva 14412, as diretrizes correspondentes da Casa Branca introduzem a Lista de Materiais Criptográficos (CBOM) para solucionar esse ponto cego, exigindo que os fornecedores divulguem informações detalhadas sobre seus sistemas criptográficos. Semelhante a uma Lista de Materiais de Software (SBOM), a CBOM concentra-se na transparência da criptografia, revelando quais algoritmos, bibliotecas e certificados estão incorporados aos produtos desses fornecedores.
O desafio? A maior parte da infraestrutura empresarial não está pronta para atender a esses padrões de transparência, e a falta de preparo dos fornecedores para a PQC torna essa dependência ainda mais crítica. Por exemplo, dados da F5 Labs mostram que, embora 57% do tráfego global de navegadores da web esteja tecnicamente preparado para a PQC graças às atualizações automáticas, os sistemas de back-end empresariais estão muito atrás. Entre os 1 milhão de sites mais acessados, apenas 8,6% oferecem suporte à troca híbrida de chaves com PQC, e, nos sites de bancos, esse percentual é de impressionantes 3%.
A prontidão para a era quântica não depende apenas de quão bem você se prepara — ela também depende de seus parceiros, e a dependência mais vulnerável pode comprometer tudo. A transparência proporcionada pelo CBOM será essencial para avaliar fornecedores e garantir que sua organização consiga gerenciar a transição quântica sem dificuldades.
Checklist de preparação para PQC em três etapas
A migração para algoritmos seguros contra ameaças quânticas não é algo que se resolva com uma simples atualização de software. É um processo de vários anos que exige um planejamento cuidadoso. Neste momento, a Casa Branca concedeu às agências federais apenas 30 dias para nomear um responsável dedicado à migração para a PQC. As empresas devem acompanhar esse ritmo.
Veja três medidas imediatas para começar hoje mesmo:
- Atribua responsabilidades e mapeie as dependências: prioridade imediata. Designe um responsável pela preparação para a computação quântica em toda a organização. Sua primeira prioridade deve ser mapear onde algoritmos de criptografia clássica, como RSA e ECC, são usados atualmente — tanto na infraestrutura interna quanto em APIs de terceiros, plataformas SaaS e ecossistemas de fornecedores.
- Prepare-se para a exigência da CBOM: próximos três a seis meses. Atualize suas diretrizes de compras. Exija que os futuros fornecedores de hardware, software e serviços em nuvem apresentem um roteiro claro para oferecer suporte à PQC em conformidade com o NIST e pergunte como eles pretendem fornecer uma CBOM transparente. Identificar essas lacunas de dependência com antecedência é muito melhor do que esperar pelos prazos de conformidade.
- Teste modelos de implantação híbrida: próximos seis a 12 meses. Adote o TLS 1.3 e comece a testar trocas de chaves híbridas em ambientes que não sejam de produção para avaliar como as chaves pós-quânticas afetam a latência real da sua rede e o desempenho das aplicações. Testar hoje evita grandes interrupções operacionais no futuro.
Navegando pela transição com a F5
A migração bem-sucedida para a criptografia resistente à computação quântica exige agilidade criptográfica — a capacidade de substituir algoritmos de criptografia de forma transparente à medida que os padrões evoluem, sem interromper os sistemas nem causar indisponibilidade.
Reescrever milhares de aplicações legadas pode levar anos — um esforço enorme e dispendioso para a maioria das equipes. É por isso que a F5 aderiu ao projeto “Migração para PQC” do National Cybersecurity Center of Excellence (NCCoE) do NIST, um consórcio dedicado à criação de estruturas práticas para orientar as organizações durante essa transição.
A F5 simplifica essa migração com uma arquitetura de plataforma de gateway que reduz significativamente o risco de implantação. Em vez de exigir que os desenvolvedores refaçam manualmente a arquitetura dos aplicativos — em ambientes híbridos, multicloud ou legados —, a F5 integra suporte nativo a cifras PQC híbridas (nos lados do servidor e do cliente) diretamente à sua F5 Application Delivery and Security Platform (ADSP). Isso ajuda a proteger hoje as trocas de dados críticos, ao mesmo tempo que dá à sua equipe o tempo necessário para uma transição tranquila, e de longo prazo.
Preparação para a era quântica
A Ordem Executiva 14412 deixa uma coisa clara: o momento de preparar as bases é agora. Essa transição não é mais um item distante em um roteiro futuro.
As organizações que agirem hoje — reformulando as regras de aquisição, exigindo transparência dos fornecedores e testando modelos híbridos de implantação — estarão mais bem preparadas para conduzir a transição para a PQC muito antes da chegada dos prazos de conformidade.
Sobre o autor
Publicações relacionadas no blog
IA agêntica em cibersegurança: promessas e riscos
Saiba por que o uso de IA agêntica na cibersegurança é essencial para combater ameaças impulsionadas por IA e por que os agentes também criam novos riscos para as empresas.
Como os clientes da F5 no setor financeiro lidam com a soberania digital sem desacelerar a inovação
Como é a soberania digital na prática? Dois projetos recentes da F5 com clientes mostram como diferentes empresas estão enfrentando esses desafios.
Soberania operacional: construindo resiliência em um mundo imprevisível
Para muitas organizações, a questão já não se resume apenas a controlar os dados. Trata-se de manter a capacidade de operar, adaptar-se e se recuperar à medida que as leis e as condições evoluem.
Segurança de IA com evidências: o que levaremos ao Gartner SRM
Antes de sua sessão no Gartner SRM, o vice-presidente sênior de Marketing de Produtos da F5 explica como a F5 ajuda as organizações a proteger a IA em três etapas práticas.
Gestão de riscos de IA: como as proteções podem ajudar a mitigá-los
O risco da IA é impulsionado por comportamentos probabilísticos e pela explicabilidade limitada, não apenas por falhas de segurança. Uma gestão eficaz exige controle operacional contínuo.
Lei de IA do Colorado (SB 205): o que as empresas precisam saber antes de 2026
A SB 205 do Colorado, a lei pioneira do estado sobre inteligência artificial, foi sancionada pelo governador Jared Polis em 17 de maio de 2024. O projeto de lei estabelece requisitos para que as empresas que utilizam IA implementem controles destinados a proteger os cidadãos do Colorado.