Prontidão pós-quântica em números: 9% com roadmap contra relógios de 8 a 15 anos de migração

Estes números sustentam uma afirmação específica: a migração para criptografia pós-quântica (PQC — algoritmos resistentes a computadores quânticos) é uma corrida contra dois relógios simultâneos — o tempo de vida útil do sigilo dos dados e a duração real da migração — e, pelos indicadores disponíveis, o mundo corporativo está atrasado nos dois. O conjunto, reunido pelo relatório The Global 50 (2026), da Dubai Future Foundation, e por análises setoriais: apenas 9% dos líderes de tecnologia possuem um roadmap de criptografia pós-quântica; as empresas levam em média três a quatro anos apenas para transitar da conscientização para um plano estratégico; o risco quântico à criptografia vigente é estimado em três a cinco anos; e migrações criptográficas de baseline — medidas por estudos revisados por pares a partir de aposentadorias anteriores de algoritmos — duram de 8 a 12 anos em empresas médias e de 12 a 15 em grandes organizações, o que estoura o prazo regulatório americano de 2030 mesmo para quem começar hoje. O precedente histórico é eloquente: entre a primeira fraqueza publicada do algoritmo SHA-1 e sua rejeição efetiva pelos navegadores decorreram quase vinte anos. Do lado do custo, a Casa Branca estimou US$ 7,1 bilhões apenas para a migração dos sistemas do governo federal americano entre 2025 e 2035. Do lado do prazo, as datas agora são obrigações, não metas: chaves migradas até 31 de dezembro de 2030 e assinaturas até 31 de dezembro de 2031 nos ativos federais de alto valor dos EUA; infraestruturas críticas da União Europeia até 2030; inventário criptográfico completo no Reino Unido até 2028.

A leitura cruzada dos números revela onde está o risco sistêmico: não na data em que um computador quântico quebrará o RSA — evento ainda inexistente —, mas na multiplicação de "dívidas criptográficas" acumuladas por organizações que descobrirão, ao fazer o inventário, que suas dependências (fornecedores, bibliotecas, hardware de segurança, sistemas legados) não estão no seu controle. Para conselhos e investidores, o 9% de prontidão é o indicador acionável: ele transforma PQC de tema de laboratório em métrica de governança e due diligence, na linha do que ocorreu com a preparação para o bug do milênio — com a diferença crucial de que aqui não há data fixa de colapso, há uma janela probabilística e tráfego já interceptado. Ressalva metodológica: o dado de 9% vem de pesquisa setorial citada pelo relatório, sem amostra detalhada publicada; as estimativas de duração de migração são projeções por analogia, não medições diretas.

De: criptografia como ativo estável, atualizado em ciclos de décadas e fora do radar de governança → Para: criptografia como passivo mensurável e auditável, com inventário, cronograma e custo de migração tratados como itens de risco corporativo. Estágio atual: acelerando no plano regulatório e de procurement; nascente na execução efetiva das organizações.