作者：Luciano Quarta – The Crypto Lawyer
在数字金融中存在一种与其他任何风险都不同的风险：它必然会发生，但没人知道何时发生。这就是量子技术对密码学的威胁。当天够强大的量子计算机投入运行之时（所谓“Q-day”），支撑整个数字金融的公钥密码体系——从电子签名到加密钱包——都将变得不可用。
银行危机、传统网络攻击、市场冲击都是可以发生的事件，人们可以尝试估计其发生概率。而 Q-day 则是一个必然到来的事件：争论的只是时间跨度。
不仅如此：这甚至不是一个未来风险，而是一个已经存在的风险。所谓harvest now, decrypt later（“现在收集，将来解密”）的策略，就是今天拦截并保存加密数据，等到量子能力成熟时再进行解密。对于所有需要在那个时间地平线之后仍保持机密的信息（金融通信、客户数据、托管密钥），其泄露并非迫在眉睫：泄露已经在进行中，只是尚未显现。
从这一前提可以推导出一个可能令人惊讶的论点：欧洲数字金融的经营者，包括加密资产服务提供者，今天在法律上已经有义务为此做准备。这并不是因为存在明文规定的条款，而是因为这一义务隐含在整个制度之中。下面来看原因。
Summary
Q-day 不是科幻小说
量子计算机并不只是更快的计算机，而是一种以完全不同方式进行计算的机器，它利用物质的某些特性，如态叠加和纠缠（entanglement），这些特性在经典计算机科学中没有对应物。
对于绝大多数问题，这种差异并不会带来显著优势。但对于某些特定问题，优势则是指数级的。这里相关的情形只有一个：大数分解和离散对数计算，这两个问题因 Peter Shor 在 1994 年提出的算法而变得可处理。
恰恰就是这两个数学问题构成了当代数字安全的基础：RSA 和椭圆曲线。也就是那些保护传输协议、数字签名以及（同样重要的）分布式账本上加密资产所有权的方案，它们建立在这样一个假设之上：对一个大数进行因数分解，对经典计算机而言需要的时间与任何攻击都不相容。Shor 算法打破了这一假设。
这会在什么时候发生？估计各不相同：从本十年末到下一个十年中期。但对法律人而言，确切日期并不重要。关键数据是 Michele Mosca 提出的不等式：如果数据必须保持机密的时间，加上系统迁移所需的时间，超过了量子计算机到来的时间，那么安全性从今天起就已经被破坏。
而大型金融系统的密码迁移，从历史上看大约需要十年时间。许多金融数据则受制于数十年的保密义务。因此，对该行业的广泛领域而言，这个不等式已经成立：在不暴露于风险的前提下采取行动的有效时间已经到期。
但需要注意的是：问题不在于缺乏技术补救措施。后量子密码学已经存在，NIST 已于 2024 年 8 月发布了前三个标准（ML-KEM、ML-DSA 和 SLH-DSA）。问题在于迁移：盘点所有使用脆弱密码的节点，在不中断业务的前提下进行替换，并在沿着对手方链条的不同迁移速度之间保证互操作性。这当然是一个组织问题，但同时——这正是关键——也是一个法律问题。
这一议题已然迫切，从体系核心本身就可见一斑：国际清算银行与法国央行、德国联邦银行一道，通过 Project Leap 启动了支付系统量子安全（quantum-safe）通信通道的试验，明确提出要使金融体系“对量子威胁免疫”。
欧洲监管拼图：义务已经存在，但无人点名
此时的问题是：欧洲法规是否已经要求数字金融主体为量子威胁做准备？答案是：没有任何具有约束力的规范明确提到量子风险，但几乎所有规范在实质上都涵盖了它。
这一拼图中最成熟的一块是 DORA 规章（欧盟法规 2022/2554），自 2025 年 1 月 17 日起适用于二十多类主体，从大型银行集团到加密资产服务提供者。第 9 条要求采用适当的安全政策和工具，以维护数据的可用性、真实性、完整性和机密性，并明确提及密码技术。
不过，真正有意思的是派生法。授权法规（欧盟）2024/1774 要求金融实体监测密码分析的发展，并据此更新或替换密码技术。无法做到这一点的主体必须采取缓解措施，并对其进行记录和说明理由。
而量子密码分析归根结底仍然是密码分析。如果某家金融实体今天在其监测中忽视 Shor 算法，这不仅仅是对规范的限缩适用，而是对规范的违反。而“更新，或说明为何无法更新”的机制，已经构成了迁移义务的第一个法律核心，只是尚未设定期限。
在个人数据方面，GDPR 第 32 条将安全措施与“技术发展水平”相挂钩，并明确提到加密。该条款从设计上就是动态的：当后量子密码学成为稳固的技术发展水平（而 2024 年的标准化正标志着这一转折）时，第 32 条将无需任何修改就会将其纳入。而对于寿命较长的数据，harvest now, decrypt later的逻辑颠倒了视角：要使今天的措施足够，就必须与明天的威胁相匹配，因为今天被窃取的数据将在明天遭到破坏。
在这一领域，欧盟法院已经给出了重要坐标。在 VB 案（C-340/21）判决中，法院明确指出，证明措施适当性的举证责任在于数据控制者，而且对被窃数据未来遭到滥用的有根据担忧本身就可以构成可获赔偿的非物质损害。将这一论断应用于harvest now, decrypt later，会得出一个明确后果：今天以加密形式被外流的数据，按定义就是暴露于未来滥用的数据。恐惧造成的损害无需等待 Q-day。
eIDAS 则为这一图景画上句号，经欧盟法规 2024/1183 修订后，合格信任服务的存在目的，就是为安全性依赖于会退化的算法的行为赋予持久的法律效力。而数字金融行为的效力取决于支撑它们的签名效力。
MiCA 与加密资产托管人的悖论
对于更关注加密世界的人而言，最具启发性的案例是 MiCA 规章（欧盟法规 2023/1114）。它之所以具有启发性，是因为它暴露了整个框架的结构性局限。
加密资产服务提供者属于 DORA 的适用范围，并与其他主体共同承担韧性义务。此外，提供托管服务者还需就因可归责于自身的事故导致的加密资产损失向客户承担责任，责任金额以所失资产的市场价值为限。
然而，量子脆弱性首先并不在服务提供者的系统中，而是在协议中。治理分布式账本上所有权的椭圆曲线签名方案（简单说，就是那些使得控制私钥者拥有比特币或以太币的方案）处于监管范围之外。MiCA 规制的是中介机构，而不是其下方的技术基础设施，后者并未由任何欧洲当局认证。
由此产生了一种注定会强烈显现的不对称：如果签名方案失效，托管人要为一种自己既无法规制、也无法单独缓解的风险承担责任。而对直接持有者而言，签名方案的失效等同于一种真正的技术性征收：谁能伪造签名，谁就能支配该资产。
目前唯一的防线是信息披露：白皮书必须描述底层技术及其相关风险。而要主张密码学过时不属于应披露风险，今天已经很难站得住脚。
对上述梳理的总结非常明确：具有约束力的渊源包含了所有必要内容，唯独缺少最关键的部分。缺少对风险的点名，缺少最后期限，缺少优先顺序。
设定日期的软法：2026、2030、2035
目前填补这一空白的是软法。转折点是欧盟委员会发布的建议（欧盟）2024/1101，其中将向后量子密码学的过渡确定为应“尽快”实施的目标，并指出采用将后量子算法与经典密码学相结合的混合方案之路。
下一步来自 NIS 合作小组，该小组于 2025 年 6 月通过了一份协调路线图，规定到 2026 年底前启动各国战略并完成密码清单；到 2030 年前，对高风险系统（包括关键金融基础设施）实现后量子保护；到 2035 年前，在技术可行的范围内完成迁移。
在行业层面，由 Europol 推动的 Quantum Safe Financial Forum 向该行业发出了正式行动呼吁，并于 2026 年 1 月发布联合报告，强调有必要在金融服务中优先推进迁移。同月，G7 网络专家小组发布了自身的协调路线图声明，但特意强调该文件“并不设定监管预期”。
这一说明似乎表明：来源越权威，就越需要声明自身不具约束力。而这正是法律上有趣的现象：这些文件在形式上不具约束力，却在实质上具有约束力。
二者的衔接通过解释实现。路线图为一般条款注入了内容：GDPR 的“技术发展水平”和 DORA 所要求的“适当性”并非自我指涉的概念。因此，协调路线图自然成为其衡量标准。监管机构会将这些期限视为监管预期。然而，当损害发生时，法官和监管机构将根据经营者已知或理应知晓的路线图来衡量其勤勉程度。
概括而言：软法提供日期，硬法提供制裁。二者单独都不足以构成义务，但合在一起就构建了义务。
即将到来的 Quantum Act：产业政策而非风险规制
那么 Quantum Act 呢？欧盟委员会宣布将于 2026 年提出的这一立法，似乎本应是解决这一难题的天然场所。然而，至少就目前的准备文件来看，其关注点在别处。
2025 年 7 月的 Quantum Europe Strategy 将在 2030 年前实现欧洲量子领先地位作为目标，并将行动分解为研究、基础设施、产业生态系统、双重用途维度和技能五个方面。所指明的法律基础颇为耐人寻味：工业（《欧盟运行条约》第 173 条）、研究（第 180 条）、补充性计划（第 184 条），而不是内部市场、产品安全或监管。
因此，Quantum Act 是在有意识选择下作为一项产业政策法案诞生的：它更像是量子版的 Chips Act，而不是 AI Act。
由此产生了一个必须清晰指出的悖论：首部关于量子技术的综合性立法，规制了除唯一已经现实存在的量子风险——即密码风险——之外的一切。
与美国的对比使这一图景更加清晰。2022 年 12 月的 Quantum Computing Cybersecurity Preparedness Act 将密码清单和迁移准备提升为联邦机构的法定义务，并自 2027 年起设定操作性期限。美国立法者以务实态度约束本国行政机关，并将说服任务交给市场；而欧洲立法者迄今为止则是向所有人提出建议，却不对任何人设定约束。
一个已经存在的义务（以及谁将承担责任）
将三层结构——技术中立的硬法规范、带有日期的软法、公司法原则——拼合在一起，结论不言自明：金融部门的量子就绪（quantum readiness）今天已经是一项隐含的法律义务。
无需进化性解释或类推，只需归入适用即可。从 DORA 的技术标准到意大利民法典第 2086 条（要求企业家建立适当的组织架构，以便及时发现风险），这些适当性条款都是可变标准，会吸收特定历史时刻的最佳实践。而当基于欧盟公共文件的最佳实践已经包括密码清单和迁移计划时，缺乏这些要素的架构就不再适当。
在实践中，义务的最低内容围绕五项工作展开：盘点组织的密码资产；按风险对其分类，识别寿命较长的数据和功能；制定与 2030–2035 年期限相一致的迁移计划；在与供应商的合同中纳入密码敏捷性（crypto-agility）；将对该过程的监督责任分配给公司高层并予以记录。当前应履行的义务是准备，而非结果：这是一项行为义务，其内容会随着期限临近而逐步增强。
最敏感的显性化点将是董事责任。当风险得以实现时，问题将是回溯性的：谁知道？谁应当知道？谁应当行动？而商业判断规则（business judgment rule）提供的庇护比人们想象的要窄：该规则保护的是信息充分的经营决策，而不是无所作为，因为无所作为并非决策。
一种忽视由欧盟公共文件点名、标注日期并记录在案的风险的架构配置，无法通过勤勉调查的审查：这不是可争议的自由裁量选择，而是信息不足的选择。未曾在董事会提出该议题、未曾要求进行密码清单、未曾询问关键供应商计划的董事，很难主张该事件不可预见。
更不用说市场很可能会先于立法者行动：可以合理预期，密码清单和迁移计划将很快成为网络保险问卷中的可保性条件，以及重大交易尽职调查的标准之一。未做好准备者将支付更高保费、承受价格调整并收到审计意见。
欧洲立法者应当做什么
尽管如此，隐含义务因其结构所限，仍是一种脆弱的义务。它允许在辩护上站得住脚的极简解读，造成一种扭曲的竞争不对称（先行迁移者承担了迟行者得以规避的成本，而整体安全性仍取决于最薄弱环节），并主要在事后（ex post）通过责任裁判发挥效力。这无疑是治理系统性风险的最糟方式：它分配损失而非预防损失，并将本应由立法者承担的任务交给法官。
因此，建议可以用一句话概括：将隐含义务转化为明示义务，将后量子转型义务提升为数字金融法中的一项独立类别。
理想的承载载体正是 Quantum Act，可以通过一个专门针对密码风险管理的特别篇章（ad hoc）来实现。或者，作为替代方案，在 DORA 的修订中进行有针对性的干预。该义务应沿两个维度分级：职能的关键性和经营者的规模。期限应具有约束力，并应仿照已知的时间表（关键系统在 2030 年前完成，整体在 2035 年前完成）；认证应实现协调，并锚定在《网络安全法》的框架之上；最后，应设立一个安全港，将有据可查的勤勉行为转化为合规推定。监管可交由现有机构负责。
特别是对于加密资产，应当对获准提供服务的协议设定量子抗性要求，对持有人设定信息披露义务，并设计有序的迁移机制：只有这样，才能弥合托管人责任与基础设施治理之间的不对称。
对于成本方面的反对意见，回应并不困难：相关比较并非在义务与自由之间，而是在明示义务与隐含义务之间。后者无论如何都会施加成本，而且基于同样的义务，但以最糟方式分配成本：奖励迟行者，惩罚勤勉者，并将账单推迟到争议解决阶段。明示化并不会创造负担，而是使其确定、统一、可规划且可投保。
还有一个额外论据：监管确定性本身就是产业政策。一个知道何时以及如何必须迁移的市场，是一个在十年可见期内购买欧洲后量子技术的市场。一项由认证支持的欧洲转型义务，将使欧盟标准有望成为量子安全（quantum-safe）金融的全球标杆：“布鲁塞尔效应”这一次将依托于欧盟宣称要在本土生产的技术。
量子风险是数字金融中唯一在“是否发生”（an）上确定无疑、且在效果上已经现实存在的系统性风险。相关行为发生在今天；责任将在明天显现，当事件使已经发生的事情变得可见。法律人这一次提前知道自己将要治理的事件，如果届时仍然措手不及，将是不可原谅的。
