Post-Quantum Cryptography Migration Readiness in Global Capability Centres: A Governance Framework for Enterprise Transition

Technische Zusammenfassung: Bereitschaft zur Migration auf Post-Quanten-Kryptographie in Global Capability Centres

Problemstellung
Die Finalisierung der Post-Quanten-Kryptographie-Standards (PQC) von NIST (FIPS 203, 204 und 205) hat eine kritische kryptographische Migration eingeleitet. Die Unternehmensadaption bleibt jedoch gering, was eine erhebliche Schwachstelle für Global Capability Centres (GCCs) schafft. GCCs sind offshore-strategische Hubs, die sensible grenzüberschreitende Daten über mehrere regulatorische Gerichtsbarkeiten hinweg verarbeiten. Sie stehen vor einem einzigartigen „Governance-Defizit“, das durch Folgendes gekennzeichnet ist:

• Grenzüberschreitende Abhängigkeiten: In einer Gerichtsbarkeit verschlüsselte Daten, die in eine andere übertragen werden.
• Governance-Asymmetrie: Migrationsstrategien werden im Hauptquartier festgelegt, aber von GCC-Teams unter anderen regulatorischen Rahmenbedingungen implementiert.
• Regulatorische Duplikation: Allein indische GCCs müssen über 500 unterschiedliche rechtliche Verpflichtungen bewältigen.
• Konzentriertes Risiko: Als Zentren für Cybersicherheitsleistungen (SOCs, Cyber Fusion Centres) gefährdet ein kryptographischer Ausfall in einem GCC die globale Sicherheitslage.

Aktuelle Frameworks versäumen es, die Schnittmenge aus Algorithmus-Leistungsabhängigkeiten, grenzüberschreitender Compliance und der Abstimmung zwischen Muttergesellschaft und Tochtergesellschaft zu adressieren. Darüber hinaus impliziert das „Harvest Now, Decrypt Later“ (HNDL)-Bedrohungsszenario, dass unter aktuellen Standards gesicherte Daten bereits gefährdet sind, was „Moscas Ungleichung“ verletzt (wo die Zeit für die Migration die Zeit bis zur Existenz eines kryptographisch relevanten Quantencomputers überschreitet).

Methodik
Die Studie verwendet ein literaturbasiertes qualitatives Forschungsdesign, bestehend aus zwei Primärkomponenten:

1. Integrative Literaturrecherche (ILR): Eine systematische Sammlung und Synthese von 72 Quellen (38 Fachartikel, 18 Standards und 16 Branchenberichte) ab dem Jahr 2018. Die Quellen wurden aus Scopus, IEEE Xplore, ACM Digital Library, Web of Science, SpringerLink und Regulierungsbehörden (NIST, NSA, CISA usw.) bezogen.
2. Thematische Analyse: Unter Verwendung des sechsphasigen Protokolls von Braun und Clarke wurden die Daten in vier Domänen (PQC-Migrationsherausforderungen, Governance-Mechanismen, GCC-Charakteristika, Leistungsabhängigkeiten) kodiert, um 147 initiale Codes zu identifizieren. Diese wurden zu fünf distinkten Governance-Themen synthetisiert.

Die Studie verzichtet explizit auf empirische Feldtests und stützt sich stattdessen auf die konzeptionelle Integration bestehender Literatur, um die fragmentierte Natur der PQC-Governance-Forschung zu adressieren.

Zentrale Beiträge
Die Arbeit bringt die Cybersecurity-Governance-Forschung voran, indem sie das Narrativ der PQC-Migration von einem rein technischen Übergang zu einer Enterprise-Governance-Herausforderung verschiebt. Ihre primären Beiträge umfassen:

1. Identifizierung von fünf Governance-Themen: Abgeleitet aus der thematischen Analyse von 72 Quellen.
2. Entwicklung des PQC-GCC-Governance-Frameworks (PGGF): Ein neuartiges 5-Schichten- × 6-Phasen-Modell, das speziell für verteilte, multijurisdiktionelle GCC-Umgebungen entwickelt wurde.
3. Integration von Leistungsnachweisen: Das Framework integriert einzigartig empirische Multi-Layer-Leistungsdaten und behandelt die Algorithmusselektion als eine Governance-Entscheidung mit messbaren operativen Konsequenzen.
4. Analytische Evaluierung: Das Framework wird gegenüber bestehenden Modellen, Designprinzipien und der NIST CSF 2.0-Abdeckung evaluiert.

Ergebnisse und Framework-Architektur
Die Studie synthetisiert die fünf identifizierten Themen zum PGGF, welches aus besteht:

• Fünf Governance-Schichten:

  • Schicht 1 (Strategische Governance): Adressiert Quantum-Risiken auf Board-Ebene, die Abstimmung zwischen Muttergesellschaft und GCC sowie „Time-to-React“-KPIs.
  • Schicht 2 (Kryptographische Asset-Governance): Konzentriert sich auf das Cryptographic Bill of Materials (CBOM), Mosca-Risikoklassifizierung und grenzüberschreitende HNDL-Bewertung.
  • Schicht 3 (Technische Migrations-Governance): Integriert leistungsbasierte Algorithmusselektion. Entscheidend ist hierbei, dass sich die Algorithmus-Rankings über Protokollschichten hinweg verschieben (z. B. performen ML-KEM/ML-DSA auf x86 auf der Primitiv-Ebene schneller, aber ARM-Architekturen zeigen eine geringere End-to-End-Latenz auf TLS/VPN-Ebene; HQC weist bis zu 100-mal höhere Ausführungszeiten auf).
  • Schicht 4 (Compliance-Governance): Kartiert regulatorische Anforderungen in den USA (CNSA 2.0), der EU (NIS2/DORA), dem UK (NCSC) und Indien (DPDP Act 2023).
  • Schicht 5 (Talent-Governance): Etabliert PQC Centres of Excellence (CoE), Wissenstransfer und Kommunikation von Quantenbedrohungen.

• Sechs Migrationsphasen:

  1. Initiieren: Executive Sponsorship und Risikobewertung.
  2. Entdecken: CBOM-Erstellung und HNDL-Evaluierung.
  3. Strategisieren: Leistungsbasierte Algorithmusselektion.
  4. Pilotieren: Multi-Layer Proof of Concept (PoC) Benchmarking.
  5. Migrieren: Phasierte Rollout-Strategie.
  6. Aufrechterhalten: Kontinuierliche Wartung der Krypto-Agilität.

Evaluierung und Signifikanzansprüche
Das Paper behauptet, dass das PGGF das einzige Framework ist, das acht kritische Kriterien erfüllt: PQC-Abdeckung, GCC-Spezifität, multijurisdiktionelle Unterstützung, Krypto-Agilität, Reifegradmodellierung, Leistungsbewusstsein, Hardware-Bewusstsein und phasenweise Progression.

• NIST CSF 2.0 Alignment: Das Framework bietet vollständige Abdeckung aller NIST CSF 2.0 Funktionen (Govern, Identify, Protect, Detect, Respond, Recover).
• Designprinzipien: Es hält sich an sechs Prinzipien, einschließlich geschichteter Abstraktion, Evidenzfundierung und Kontextsensitivität.

Zentrales Ergebnis
Die Studie kommt zu dem Schluss, dass die Governance-Bereitschaft und nicht die technische Fähigkeit, die primäre Barriere für die PQC-Migration in verteilten Enterprise-Umgebungen darstellt. Das PGGF bietet die notwendige Architektur, um die Lücke zwischen theoretischen kryptographischen Fortschritten und der ingenieurtechnischen Machbarkeit zu schließen.

Limitierungen und zukünftige Arbeiten
Die Autoren räumen ein, dass es sich hierbei um ein literaturbasiertes Framework handelt und nicht um eine feldbasierte Studie. Die Ergebnisse basieren auf veröffentlichten Quellen statt auf Interviews oder Fallstudien, und der geografische Fokus auf indische GCCs kann die Generalisierbarkeit einschränken. Zukünftige Arbeiten sehen Experten-Panel-Evaluierungen, Pilot-Fallstudien in 2–3 GCCs sowie sektorspezifische Anpassungen für BFSI (Banken, Finanzdienstleistungen und Versicherungen) und das Gesundheitswesen vor.