O relógio dos reguladores: onde o Brasil está no mapa da transição pós-quântica

De onde vêm os números

O IEQ é o índice com que a GWK mede, organização por organização, quanto da informação cifrada continua exposta ao computador quântico e por quanto tempo isso importa. A coleta observa só o que cada organização já expõe na internet: conecta ao domínio principal como qualquer visitante, lê a criptografia negociada no handshake e não usa agente, credencial nem acesso a sistema interno. A edição de outubro de 2026, com coleta de 2 de setembro, cobre 80.182 organizações de vários países; esta análise usa as 74.831 de setor reconhecido.

O resultado combina três dimensões: a vulnerabilidade da criptografia em uso, a exposição observável da superfície e o horizonte de sigilo do setor. A metodologia é pública, com a base formal em preprint no arXiv, e o catálogo público mostra uma amostra anonimizada dos sinais de cada organização. A análise olha países e setores, nunca empresas. Nenhuma organização é citada.

Dois números para o mundo

Quase todos os cronogramas publicados convergem para dois anos: 2030 para o que é crítico e 2035 para o restante. A União Europeia pede que os casos de alto risco estejam migrados até o fim de 2030 e o resto até o fim de 2035. O Reino Unido e o Canadá usam 2031 para as prioridades e 2035 para o fim. A Austrália tem o prazo mais curto: recomenda abandonar a criptografia clássica vulnerável até o fim de 2030.

A maior parte desses marcos é recomendação. A obrigação com data, por enquanto, vale para as agências federais dos Estados Unidos, que precisam migrar a troca de chaves dos sistemas críticos até 31 de dezembro de 2030 e as assinaturas em 2031. O par 2030 e 2035 do NIST, citado com frequência como prazo legal, continua em rascunho desde novembro de 2024. Para o setor financeiro, o G7 publicou em janeiro de 2026 uma referência de 2030 a 2032 para os sistemas críticos.

O Brasil no mapa

Em 30 de janeiro de 2026, a Instrução Normativa ITI nº 35 incluiu os algoritmos pós-quânticos padronizados internacionalmente, ML-DSA e ML-KEM, entre os padrões da ICP-Brasil. A infraestrutura de chaves públicas do país passou a admitir criptografia pós-quântica. A norma, porém, não fixa prazo para migrar, nem na ICP-Brasil nem em qualquer setor.

O Banco Central tratou o tema em março como “um assunto emergente” que está “estudando”. Se seguir o G7, o sistema financeiro brasileiro terá 2030 a 2032 como referência para os sistemas críticos. Até lá, entre as jurisdições deste mapa, só Brasil e China não fixaram prazo.

O que a base mostra

A diferença aparece na rede. Na base do IEQ, Austrália, EUA, Canadá e Reino Unido lideram a troca de chaves híbrida. Ter cronograma, porém, não basta: França, Alemanha, Itália, Espanha e Países Baixos, cobertos pelo roteiro europeu, ficam abaixo do Brasil. Uma hipótese é que a adoção dependa mais da configuração padrão de CDNs e provedores de hospedagem do que da regulação. O Brasil fica abaixo da média da base, de 19,4%.

A outra face é a criptografia clássica ainda em uso. Entre as organizações brasileiras com leitura, 2.902 (89,8%) aceitam troca de chaves que um computador quântico suficientemente capaz poderia quebrar. É a maior proporção entre os países com mais organizações na base do IEQ, contra 84,0% no conjunto. Os dois números descrevem coisas diferentes e coexistem no mesmo servidor: aceitar troca clássica é o que o servidor ainda permite, e negociar troca híbrida é o que ele escolhe quando o visitante oferece essa opção.

Setor a setor

O recorte por setor mostra onde o atraso pesa mais. O governo brasileiro tem a menor adoção do país: 45 de 415 organizações com leitura (10,8%), contra 14,8% no resto da base. Saúde, energia e varejo também ficam abaixo. Finanças (22,6% contra 19,9%), Imobiliário (28,8% contra 23,7%) e Jurídico (33,7% contra 25,0%) ficam acima do resto da base.

O relógio do dado

É aqui que entra a terceira dimensão do IEQ. A ameaça tem nome, colher agora e decifrar depois, e só pesa enquanto o dado ainda vale alguma coisa. Por isso o índice atribui a cada setor um horizonte de sigilo, TD: por quantos anos a informação representativa daquele setor continua valiosa para quem a capturar. Saúde, governo, defesa e imobiliário trabalham com 20 anos, ancorados na guarda legal do prontuário e dos registros públicos. Indústria crítica, com 15. Finanças, pagamentos e energia, com 10. O varejo, com 5, o prazo do cadastro de consumidor pela LGPD e pelo CDC.

Somado ao ano da captura, esse horizonte diz até quando o dado colhido continua útil a quem o guardou. Uma organização que cumpra a meta de 2030 ainda terá trafegado, até a véspera da migração, informação que vale por mais 5 a 20 anos.

O próprio roteiro europeu usa esse critério para medir risco: dá a nota de impacto 3 ao dado cuja confidencialidade precisa durar além de 2035, o que leva o risco ao nível “alto”. Pela régua dos horizontes setoriais do IEQ, 47.484 organizações da base (63,5%) já produzem hoje informação nessa faixa. Considerando a migração em 2030, elas são 59.329 (79,3%). No cenário de migração no fim de 2030, só jurídico e varejo terminam a janela dentro de 2035.

Um mapa que o Brasil ainda pode desenhar

O prazo brasileiro ainda vai ser escrito, e quem escrever vai precisar de evidência do próprio setor. A GWK produz recortes da base do IEQ por setor e por país, com o mesmo método desta análise, para associações setoriais, reguladores e grupos de pesquisa que queiram medir onde o seu setor está antes de marcar data. Para uma organização, o caminho é o Relatório de Exposição, que lê o próprio domínio contra o setor, ou uma avaliação autorizada dentro do ambiente, onde passa a informação que a superfície pública não mostra. Os produtos estão em gwksecurity.com/produtos.