di Luciano Quarta – The Crypto Lawyer
C’è un rischio, nella finanza digitale, che non assomiglia a nessun altro: è certo che accadrà, ma nessuno sa quando. È la minaccia quantistica alla crittografia. Il giorno in cui un computer quantistico sufficientemente potente diventerà operativo (il cosiddetto “Q-day”) la crittografia a chiave pubblica su cui poggia l’intera finanza digitale, dalle firme elettroniche ai wallet crypto, diventerà inservibile.
Le crisi bancarie, gli attacchi informatici convenzionali, gli shock di mercato sono eventi possibili, di cui si può tentare di stimare la probabilità. Il Q-day, invece, è un evento atteso: si discute soltanto dell’orizzonte temporale.
Non solo: si tratta di un rischio che non è nemmeno futuro. È già presente. La strategia nota come harvest now, decrypt later consiste nell’intercettare e conservare oggi dati cifrati, per decifrarli domani, quando la capacità quantistica sarà matura. Per tutte le informazioni destinate a restare riservate oltre quell’orizzonte (comunicazioni finanziarie, dati della clientela, chiavi di custodia) la violazione non è imminente: è già in corso. Semplicemente, non è ancora visibile.
Da questa premessa discende una tesi che può sorprendere: gli operatori della finanza digitale europea, inclusi i prestatori di servizi per le cripto-attività, sono già oggi giuridicamente obbligati a prepararsi. Non perché esista una norma che lo dica espressamente, ma perché l’obbligo è implicito nel sistema. Vediamo perché.
Summary
Il Q-day non è fantascienza
Un computer quantistico non è semplicemente un computer più veloce. È una macchina che calcola in modo completamente diverso, sfruttando proprietà della materia, come la sovrapposizione degli stati e l’entanglement, che sono prive di equivalenti nell’informatica classica.
Per la gran parte dei problemi, questa diversità non produce vantaggi apprezzabili. Per alcuni problemi specifici, invece, il vantaggio è esponenziale. Il caso che qui interessa è uno: la fattorizzazione dei grandi numeri e il calcolo dei logaritmi discreti, resi trattabili dall’algoritmo ideato da Peter Shor nel 1994.
Proprio questi due problemi matematici sono il fondamento della sicurezza digitale contemporanea: RSA e curve ellittiche. Cioè gli schemi che proteggono i protocolli di trasporto, le firme digitali e, non ultimo, la titolarità delle cripto-attività sui registri distribuiti, e che si reggono sull’assunto che fattorizzare un numero di grandi dimensioni richieda a un computer classico tempi incompatibili con qualsiasi attacco. L’algoritmo di Shor dissolve questo assunto.
Quando accadrà? Le stime divergono: tra la fine di questo decennio e la metà del prossimo. Ma per il giurista la data esatta è irrilevante. Il dato decisivo è la disuguaglianza formulata da Michele Mosca: se il tempo per cui i dati devono restare riservati, sommato al tempo necessario per la migrazione dei sistemi, eccede il tempo di arrivo del computer quantistico, la sicurezza è compromessa già oggi.
Ora, le migrazioni crittografiche dei grandi sistemi finanziari richiedono storicamente circa un decennio. E molti dati finanziari sono soggetti a obblighi di riservatezza pluridecennali. Per ampi comparti del settore, dunque, la disuguaglianza è già soddisfatta: il tempo utile per agire senza esposizione al rischio è già scaduto.
Attenzione, però: il problema non è l’assenza di rimedi tecnici. La crittografia post-quantistica esiste già e nell’agosto 2024 il NIST ha pubblicato i primi tre standard (ML-KEM, ML-DSA e SLH-DSA). Il problema è la migrazione: censire ogni punto in cui la crittografia vulnerabile è impiegata, sostituirla senza interrompere l’operatività, garantire l’interoperabilità lungo catene di controparti che non procedono alla stessa velocità. È un problema organizzativo, certo. Ma è anche – ed è questo il punto – un problema giuridico.
Che il tema sia ormai attuale lo dimostra il cuore stesso del sistema: la Banca dei regolamenti internazionali, con Banca di Francia e Bundesbank, ha avviato con il Project Leap la sperimentazione di canali di comunicazione quantum-safe per i sistemi di pagamento, dichiarando l’obiettivo di rendere il sistema finanziario “a prova di quantum”.
Il mosaico regolatorio europeo: l’obbligo c’è, ma nessuno lo nomina
La domanda a questo punto è: le norme europee obbligano già oggi i soggetti della finanza digitale a prepararsi alla minaccia quantistica? La risposta è che nessuna norma vincolante nomina esplicitamente il rischio quantistico. Quasi tutte, però, lo contengono in sostanza.
La tessera più matura del mosaico è il regolamento DORA (Reg. UE 2022/2554), applicabile dal 17 gennaio 2025 a oltre venti categorie di soggetti, dai grandi gruppi bancari fino ai prestatori di servizi per le cripto-attività. L’art. 9 richiede politiche e strumenti di sicurezza idonei a preservare disponibilità, autenticità, integrità e riservatezza dei dati, con espresso riferimento alle tecniche crittografiche.
È nel diritto derivato, però, che il discorso si fa interessante. Il regolamento delegato (UE) 2024/1774 obbliga le entità finanziarie a monitorare gli sviluppi della crittoanalisi e ad aggiornare o sostituire di conseguenza la tecnologia crittografica. Chi non è in grado di farlo deve adottare misure di mitigazione, documentarle e motivarle.
Ora, la crittoanalisi quantistica è comunque pur sempre crittoanalisi. Se un’entità finanziaria oggi dovesse ignorare l’algoritmo di Shor nel suo monitoraggio non starebbe semplicemente applicando la norma in modo restrittivo: la starebbe violando. E il meccanismo “aggiorna, o motiva perché non puoi” è già oggi un primo nucleo giuridico di un obbligo di migrazione. Ciò che manca è soltanto il termine.
Sul versante dei dati personali, l’art. 32 GDPR ancora le misure di sicurezza allo “stato dell’arte” e menziona esplicitamente la cifratura. La clausola è dinamica per costruzione: quando la crittografia post-quantistica diverrà stato dell’arte consolidato (e la standardizzazione del 2024 segna precisamente quel passaggio) l’art. 32 la incorporerà senza bisogno di alcuna modifica. E per i dati a lunga vita utile la logica harvest now, decrypt later rovescia la prospettiva: la misura, per essere adeguata oggi, va commisurata alla minaccia di domani, perché è domani che il dato sottratto oggi verrà violato.
Su questo terreno la Corte di giustizia ha già fornito coordinate pesanti. Nella sentenza VB (C-340/21) ha chiarito che l’onere di provare l’adeguatezza delle misure grava sul titolare del trattamento, e che il timore fondato di un uso abusivo futuro dei dati sottratti può costituire, di per sé, danno immateriale risarcibile. Applicata all’harvest now, decrypt later, questa affermazione ha una conseguenza precisa: i dati esfiltrati oggi in forma cifrata sono, per definizione, dati esposti a un uso abusivo futuro. Il danno da timore non ha bisogno di attendere il Q-day.
Chiude il quadro eIDAS, come rivisto dal regolamento (UE) 2024/1183: i servizi fiduciari qualificati esistono per dare valore giuridico durevole ad atti la cui sicurezza dipende da algoritmi deperibili. E gli atti della finanza digitale valgono quanto vale la firma che li sorregge.
MiCA e il paradosso per i custodi di cripto-attività
Per chi ha maggior interesse per il mondo crypto, il caso più istruttivo è quello del regolamento MiCA (Reg. UE 2023/1114). Ed è istruttivo perché espone il limite strutturale dell’intero impianto.
I prestatori di servizi per le cripto-attività rientrano nel perimetro DORA e ne condividono gli obblighi di resilienza. Chi presta il servizio di custodia, inoltre, risponde verso i clienti della perdita delle cripto-attività per incidenti a lui imputabili, entro il valore di mercato dell’attività perduta.
Sennonché la vulnerabilità quantistica non risiede, in prima battuta, nei sistemi del prestatore: risiede nel protocollo. Gli schemi di firma a curva ellittica che governano la titolarità sui registri distribuiti (per intenderci, quelli che fanno sì che chi controlla la chiave privata disponga dei bitcoin o degli ether) stanno fuori dal perimetro regolatorio. MiCA disciplina gli intermediari, non le infrastrutture tecnologiche sottostanti, che nessuna autorità europea omologa.
Ne deriva un’asimmetria destinata a emergere con forza: se lo schema di firma cade, il custode risponde di un rischio che non poteva né regolare né, da solo, mitigare. E per il detentore diretto, la compromissione dello schema di firma equivale a una vera e propria espropriazione tecnologica: chi può falsificare la firma, dispone dell’attività.
L’unico argine attuale è informativo: i white paper devono descrivere la tecnologia sottostante e i relativi rischi. E sarebbe già oggi difficile sostenere che l’obsolescenza crittografica non rientri tra i rischi da dichiarare.
Il bilancio della ricognizione è netto: le fonti vincolanti contengono tutto il necessario, tranne l’essenziale. Manca il nome del rischio, manca una scadenza, manca un ordine di priorità.
La soft law che detta le date: 2026, 2030, 2035
A colmare il vuoto è intervenuta, per ora, la soft law. Il punto di svolta è la Raccomandazione (UE) 2024/1101, con cui la Commissione ha individuato la transizione alla crittografia post-quantistica come obiettivo da attuare “il più rapidamente possibile”, indicando la via degli schemi ibridi che combinano algoritmi post-quantistici e crittografia classica.
Il passo successivo è venuto dal NIS Cooperation Group, che nel giugno 2025 ha adottato una tabella di marcia coordinata che prevede entro la fine del 2026 l’avvio delle strategie nazionali e il completamento dell’inventario crittografico; entro il 2030, la protezione post-quantistica dei sistemi ad alto rischio, incluse le infrastrutture finanziarie critiche; entro il 2035, il completamento della migrazione per quanto tecnicamente praticabile.
Sul piano settoriale, il Quantum Safe Financial Forum promosso da Europol, poi, ha rivolto al settore un invito formale all’azione, seguito nel gennaio 2026 da un rapporto congiunto sulla necessità di dare priorità alla migrazione nei servizi finanziari. Nello stesso mese il G7 Cyber Expert Group ha pubblicato la propria dichiarazione su una tabella di marcia coordinata, tuttavia avendo cura di precisare che il documento “non detta aspettative regolamentari”.
Questa precisazione sembra dirci che più la fonte è autorevole, più sente il bisogno di dichiararsi non vincolante. Ed è qui il fenomeno giuridicamente interessante: questi atti formalmente non vincolano; eppure nella sostanza vincolano.
La saldatura avviene per via interpretativa. Le tabelle di marcia riempiono di contenuto le clausole generali: lo “stato dell’arte” del GDPR e l’“adeguatezza” prevista per i presidi DORA non sono nozioni autoreferenziali. Per questa ragione la roadmap coordinata ne diviene il parametro naturale. Le autorità di vigilanza assumono le scadenze come aspettative di controllo. Tuttavia, quando il danno si sarà prodotto, giudici e autorità misureranno la diligenza dell’operatore sulle tabelle di marcia che questi conosceva o avrebbe dovuto conoscere.
In sintesi: la soft law fornisce le date, il diritto vincolante fornisce la sanzione. Nessuno dei due, da solo, fonda l’obbligo; insieme, lo costruiscono.
Il Quantum Act che verrà: politica industriale senza regolazione del rischio
E il Quantum Act? L’atto legislativo annunciato dalla Commissione per il 2026 sembrerebbe la sede naturale per sciogliere questo nodo. Gli atti preparatori, tuttavia, almeno allo stato, guardano altrove.
La Quantum Europe Strategy del luglio 2025 fissa l’obiettivo della leadership quantistica europea entro il 2030 e articola l’azione su ricerca, infrastrutture, ecosistema industriale, dimensione duale e competenze. La base giuridica indicata è eloquente: industria (art. 173 TFUE), ricerca (art. 180), programmi complementari (art. 184). Non il mercato interno, non la sicurezza dei prodotti, non la vigilanza.
Il Quantum Act nasce, quindi, per scelta consapevole, come atto di politica industriale: è un po’ il corrispettivo quantistico del Chips Act, non dell’AI Act.
Ne discende un paradosso che va messo a fuoco con chiarezza: il primo atto legislativo organico sulle tecnologie quantistiche disciplina tutto, salvo l’unico rischio quantistico già attuale, ossia quello crittografico.
Il confronto con gli Stati Uniti rende il quadro ancora più nitido. Il Quantum Computing Cybersecurity Preparedness Act del dicembre 2022 ha elevato a obbligo di legge l’inventario crittografico e la preparazione della migrazione per le agenzie federali, con scadenze operative a partire dal 2027. Il legislatore americano, pragmaticamente, vincola la propria amministrazione e affida al mercato la persuasione; quello europeo, finora, raccomanda a tutti e non vincola nessuno.
Un obbligo che esiste già (e chi ne risponderà)
Componendo i tre strati – norme vincolanti tecnologicamente neutre, soft law con le date, principi di diritto societario – la conclusione è obbligata: la quantum readiness del settore finanziario è già oggi un obbligo giuridico implicito.
Non serve interpretazione evolutiva né analogia: basta la sussunzione. Le clausole di adeguatezza – dagli standard tecnici DORA fino all’art. 2086 del codice civile, che impone all’imprenditore assetti organizzativi adeguati anche in funzione della rilevazione tempestiva dei rischi – sono standard mobili, che incorporano le migliori pratiche del momento storico. E quando le migliori pratiche includono, sulla base di atti pubblici europei, l’inventario crittografico e il piano di migrazione, l’assetto che ne è privo non è più adeguato.
In concreto, il contenuto minimo dell’obbligo ruota intorno a cinque prestazioni: censire il patrimonio crittografico dell’organizzazione; classificarlo secondo il rischio, isolando dati e funzioni a lunga vita utile; adottare un piano di migrazione coerente con le scadenze 2030-2035; incorporare la crypto-agility nei contratti con i fornitori; assegnare la vigilanza sul processo al vertice aziendale, documentandola. La prestazione dovuta oggi è la preparazione, non il risultato: un’obbligazione di condotta a contenuto progressivo, che cresce con l’avvicinarsi delle scadenze.
Il punto di emersione più delicato sarà la responsabilità degli amministratori. Quando il rischio si materializzerà, le domande saranno retrospettive: chi sapeva? Chi doveva sapere? Chi doveva agire? E la business judgment rule offrirà un riparo più stretto di quanto si creda: la regola protegge le scelte imprenditoriali informate, non l’inerzia, che scelta non è.
Una configurazione dell’assetto che ignori un rischio nominato, datato e documentato da atti pubblici europei non supera il vaglio dell’istruttoria diligente: non è una scelta discrezionale opinabile, è una scelta non informata. L’amministratore che non abbia portato il tema in consiglio, che non abbia preteso l’inventario crittografico, che non abbia interrogato i piani dei fornitori critici, difficilmente potrà invocare l’imprevedibilità dell’evento.
Senza contare che il mercato arriverà probabilmente prima del legislatore: è ragionevole attendersi che inventario crittografico e piano di migrazione facciano presto ingresso nei questionari delle assicurazioni cyber come condizioni di assicurabilità, e negli standard di due diligence delle operazioni straordinarie. Chi non è pronto pagherà premi più alti, sconterà aggiustamenti di prezzo, riceverà rilievi di audit.
Cosa dovrebbe fare il legislatore europeo
Detto questo, resta il fatto che un obbligo implicito, per sua stessa struttura, è un obbligo fragile. Ammette letture minimali difendibili, genera un’asimmetria competitiva perversa (chi migra per primo sopporta costi che il ritardatario evita, mentre la sicurezza complessiva resta quella dell’anello più debole) e produce i propri effetti soprattutto ex post, nel giudizio di responsabilità. Il che è senza dubbio il modo peggiore di governare un rischio sistemico: distribuisce perdite anziché prevenirle, e affida ai giudici ciò che spetterebbe al legislatore.
La proposta, dunque, si può racchiudere in una riga: trasformare l’obbligo implicito in obbligo esplicito, elevando il dovere di transizione post-quantistica a categoria autonoma del diritto della finanza digitale.
La collocazione ideale sarebbe proprio il Quantum Act, eventualmente con un titolo ad hoc dedicato alla gestione del rischio crittografico. Oppure, in alternativa, un intervento mirato in sede di revisione di DORA. L’obbligo dovrebbe essere graduato lungo due assi: la criticità della funzione e la dimensione dell’operatore. I termini dovrebbero essere vincolanti e dovrebbero ricalcare le scadenze già note (2030 per i sistemi critici, 2035 per il completamento), la certificazione dovrebbe essere armonizzata, ancorata al quadro del Cybersecurity Act, e infine si dovrebbe prevedere un porto sicuro che converta la diligenza documentata in presunzione di conformità. La vigilanza può essere affidata alle autorità già esistenti.
Per le cripto-attività, in particolare, servirebbero requisiti di resistenza quantistica per i protocolli ammessi alla prestazione di servizi, doveri informativi verso i detentori e meccanismi ordinati di migrazione: solo così si ricompone l’asimmetria tra la responsabilità del custode e il governo dell’infrastruttura.
All’obiezione dei costi si risponde facilmente: il confronto pertinente non è tra obbligo e libertà, ma tra obbligo esplicito e obbligo implicito. Quest’ultimo i costi li impone comunque, e sulla base degli stessi obblighi, ma li distribuisce nel modo peggiore: premiando il ritardatario, penalizzando il diligente e rinviando il conto al contenzioso. L’esplicitazione non crea l’onere: lo rende certo, uguale per tutti, pianificabile e assicurabile.
E c’è un argomento in più: la certezza regolatoria è essa stessa politica industriale. Un mercato che sa quando e come dovrà migrare è un mercato che compra tecnologia post-quantistica europea con un decennio di visibilità. Un obbligo europeo di transizione, assistito da certificazione, candiderebbe gli standard dell’Unione a parametro globale della finanza quantum-safe: un effetto Bruxelles che, per una volta, camminerebbe sulle gambe di una tecnologia che l’Unione dichiara di voler produrre in casa.
Il rischio quantistico è l’unico rischio sistemico della finanza digitale certo nell’an e già attuale negli effetti. La condotta rilevante si consuma oggi; la responsabilità si manifesterà domani, quando l’evento renderà osservabile ciò che era già accaduto. Per una volta il giurista conosce in anticipo l’evento che dovrà governare. Sarebbe imperdonabile farsi trovare impreparati.
