DDL Quantum e settore finanziario: perché banche e fintech devono muoversi già oggi

Mentre il disegno di legge italiano sulle tecnologie quantistiche e l'EU Quantum Act restano iniziative di politica industriale, gran parte degli obblighi di sicurezza crittografica per banche e fintech è già in vigore con DORA. Una lettura operativa per CFO e Compliance officer.

2026-06-04 — Studio LX20 Law Firm

La minaccia che i computer quantistici pongono agli attuali sistemi di cifratura non è uno scenario futuribile: è un rischio che le autorità di vigilanza europee e nazionali stanno già prezzando. Per banche, istituti di pagamento e fornitori di servizi su cripto-attività, gran parte degli obblighi rilevanti non dipende dall'approvazione di nuove leggi quantistiche, ma è già in vigore con DORA.

Perché il quantum è una questione regolamentare oggi

La capacità dei computer quantistici di compromettere la cifratura a chiave pubblica non è teorica nel senso di irrilevante. L'algoritmo di Shor, su hardware sufficientemente potente, è in grado di fattorizzare gli interi su cui si reggono RSA ed ECC, oggi diffusi nel settore bancario e finanziario. La finestra entro cui questa capacità potrebbe diventare operativa — stimata da più fonti tecniche tra i cinque e i quindici anni — è sufficiente a giustificare un'azione preventiva, soprattutto per i dati a lunga vita utile («harvest now, decrypt later»).

Alla traiettoria tecnologica corrisponde una risposta istituzionale già avviata: gli standard di crittografia post-quantistica del NIST, la Raccomandazione della Commissione europea per una roadmap coordinata di transizione (aprile 2024) e i lavori dell'Agenzia per la Cybersicurezza Nazionale (ACN) sul quantum-safe.

Sul piano degli standard, nell'agosto 2024 il NIST ha pubblicato le prime tre norme post-quantistiche, rilasciate il 13 agosto 2024 ed efficaci dal giorno successivo:

• FIPS 203 (ML-KEM) — meccanismo di incapsulamento delle chiavi;
• FIPS 204 (ML-DSA) — firma digitale basata su reticoli;
• FIPS 205 (SLH-DSA) — firma digitale basata su funzioni hash.

Sono il riferimento tecnico oggi disponibile per pianificare la migrazione, insieme agli standard equivalenti che l'Unione europea andrà a riconoscere.

Le leggi quantistiche, nazionale ed europea: politica industriale, non compliance crittografica

Va chiarito subito un equivoco ricorrente. Gli interventi legislativi dedicati al «quantum» — il disegno di legge italiano e la futura normativa europea — hanno baricentro di politica industriale, non di obblighi di sicurezza crittografica a carico degli operatori finanziari. Confondere i due piani porta a leggere come «nuovi obblighi» ciò che è invece sostegno a ricerca, infrastrutture e filiera.

Sul piano europeo, la Commissione ha adottato nel luglio 2025 una *Strategia per l'Europa quantistica*, articolata in cinque aree di azione: ricerca e innovazione; infrastrutture; rafforzamento dell'ecosistema e delle catene di approvvigionamento; tecnologie a duplice uso per spazio e difesa; competenze. È inoltre in preparazione un EU Quantum Act, con consultazione aperta e adozione prevista nel 2026, costruito intorno a tre obiettivi: promuovere ricerca e innovazione; aumentare la capacità industriale (incluse linee pilota e un impianto di progettazione); rafforzare resilienza e governance della catena di approvvigionamento. Nessuno dei due strumenti introduce, allo stato, un regime di inventario crittografico, piani di migrazione vincolanti o sanzioni per banche e fintech.

Sul piano nazionale, il principale disegno di legge presentato in Senato in materia di tecnologie quantistiche ha analoga impostazione promozionale: sostegno alla ricerca, finanziamento delle start-up, formazione, risorse per rendere «quantum-safe» le infrastrutture strategiche. Il testo è in evoluzione e il suo contenuto regolatorio non è consolidato; qualunque ipotesi di inventario obbligatorio, piani vincolanti o sanzioni proporzionate al fatturato va trattata come direzione di marcia, non come diritto vigente.

La conseguenza pratica è netta: gli obblighi di sicurezza crittografica già azionabili per il settore finanziario non discendono dalle leggi quantistiche, ma dal quadro su cybersicurezza e resilienza operativa — DORA, NIS 2 e la Raccomandazione della Commissione (aprile 2024). È lì che si gioca la compliance, oggi.

L'intersezione con il quadro europeo: DORA, MiCA, NIS 2

La domanda rilevante non è quando entrerà in vigore una nuova legge quantistica, ma quali obblighi siano già azionabili.

• DORA — Regolamento (UE) 2022/2554. Applicabile dal 17 gennaio 2025, impone agli enti finanziari un quadro di gestione del rischio ICT che ricomprende identificazione e protezione degli asset informativi. Le relative norme tecniche di regolamentazione (Regolamento delegato (UE) 2024/1774) dettagliano i controlli su crittografia e gestione delle chiavi, inclusa la valutazione periodica dell'adeguatezza degli algoritmi. La ricognizione dei sistemi crittografici è quindi parte di un obbligo attuale, non futuro.
• MiCA — Regolamento (UE) 2023/1114. I fornitori di servizi su cripto-attività (CASP) sono soggetti a obblighi di custodia e salvaguardia delle cripto-attività e dei fondi della clientela (artt. 70 e 75), che presuppongono sistemi di sicurezza robusti per la protezione delle chiavi crittografiche. La minaccia quantistica è precisamente il tipo di rischio prospettico che tali presidi devono fronteggiare.
• NIS 2. Per i soggetti nell'ambito della Direttiva NIS 2, recepita in Italia con il D.lgs. 138/2024 (a seguito del D.lgs. 65/2018 di attuazione della prima Direttiva NIS), gli obblighi di gestione del rischio cyber e di misure tecniche adeguate costituiscono l'ulteriore cornice in cui la preparazione post-quantistica si colloca.
• DAC8 — Direttiva (UE) 2023/2226. Non impone obblighi crittografici diretti, ma l'integrità e la riservatezza dei dati trasmessi alle autorità fiscali dipendono dalla solidità dei canali di comunicazione, esposti anch'essi alla logica «harvest now, decrypt later».
• Antiriciclaggio. Le segnalazioni di operazioni sospette alla UIF (art. 35 e ss. del D.lgs. 231/2007) transitano su infrastrutture per cui riservatezza e integrità sono presupposti impliciti: anch'esse rientrano, prospetticamente, nel perimetro di una valutazione quantum-safe.

Implicazioni operative: perché muoversi adesso

Attendere l'esito degli iter legislativi prima di agire sarebbe un errore gestionale, per tre ragioni.

1. DORA è già vigente. L'obbligo di valutare il rischio crittografico nell'ambito del quadro di gestione del rischio ICT è attuale: un intermediario che non abbia ricognito i propri sistemi è già potenzialmente esposto in sede ispettiva.
2. I tempi tecnici della migrazione sono lunghi. Sostituire gli algoritmi in un'infrastruttura bancaria o fintech di media complessità richiede in genere tra i diciotto e i trentasei mesi. Chi inizia oggi sarà allineato a qualsiasi scadenza futura; chi attende rischia di doversi adeguare in emergenza.
3. Il rischio reputazionale precede quello regolamentare. Clienti istituzionali, family office e controparti internazionali inseriscono già nelle due diligence verifiche sulla robustezza crittografica. Non poter esibire una roadmap post-quantistica può diventare un ostacolo commerciale prima che sanzionatorio.

Checklist per CFO e Compliance officer

• Mappatura. Avviare l'inventario dei sistemi che utilizzano RSA, ECC o Diffie-Hellman, con indicazione dei dati trattati e del loro ciclo di vita.
• Rischio «harvest now, decrypt later». Identificare i dati che, se esfiltrati oggi e decifrati in futuro, genererebbero danni significativi: dati di clientela, chiavi di firma, comunicazioni riservate.
• Fornitori. Verificare le roadmap dei principali fornitori tecnologici (core banking, custody, gateway di pagamento) sull'aggiornamento post-quantistico.
• Governance. Portare il tema all'organo amministrativo con nota informativa dedicata, tracciando la presa di consapevolezza dell'organo di supervisione strategica.
• Legal. Riesaminare i contratti con i fornitori ICT critici per individuare clausole sugli aggiornamenti di sicurezza e valutare se la transizione post-quantistica vi rientri.

Conclusione

La transizione alla crittografia post-quantistica non è un progetto tecnico di nicchia, ma una componente del programma di conformità corrente. Letta insieme a DORA, MiCA e alla normativa NIS 2, rivela un quadro di obblighi già oggi azionabili, indipendentemente dai tempi e dai contenuti delle leggi quantistiche, nazionale ed europea, in arrivo. Per CFO, General Counsel e Compliance officer, l'approccio prudente è trattare la preparazione post-quantistica come adempimento attuale, non come scadenza futura.

*Il presente contributo ha finalità informativa e non costituisce parere legale. I riferimenti al disegno di legge italiano sulle tecnologie quantistiche e all'EU Quantum Act sono relativi a iniziative in corso di esame, il cui contenuto può variare: si raccomanda la verifica dei testi vigenti al momento di ogni decisione operativa.*