Il punto non è solo che il governo federale accelera il PQC. Il salto vero è che la migrazione smette di essere una guida tecnica e diventa un vincolo di acquisto, con scadenze che ricadono su agenzie, contractor e fornitori che vendono alla macchina federale.
EO 14409 impone alle agenzie di nominare un migration lead e di censire gli high-value assets e gli high-impact systems, con scadenze al 31 dicembre 2030 per il key establishment e al 31 dicembre 2031 per le digital signatures. L’ordine coinvolge anche il Federal Acquisition Regulatory Council, che dovrà portare i contractor verso i FIPS NIST per il PQC entro il 2030, mentre il Commerce Department dovrà chiudere un pilot entro il 2027.
Per chi vende a governo e infrastrutture critiche, il segnale è che la pressione arriverà prima dai capitolati e dai controlli di procurement che dai team IT interni. “Aspettare NIST” non basta più: inventari crittografici, scelte algoritmiche e documentazione di conformità entrano nel ciclo di vendita e di rinnovo dei contratti.