2026'da Kuantum Sonrası Bankacılık Dayanıklılık Endeksi: EO 14409, Küresel Son Tarihler ve Mütevelli Kriptografik Çeviklik

TL;DR. EO 14409, ANSSI'nin 2030 son tarihi ve DORA Madde 5, kuantum sonrası geçişi yönetim kuruluna hazır bir dayanıklılık endeksine dönüştürüyor — bankalar için 0–5 olgunluk karnesi.

Points clés

01. Küresel Defter Bütünlüğüne Yönelik Kuantum Tehdidi. Kuantum bilgisayarlar, modern dijital güvenliğin matematiksel temelini tehdit eder.
02. 2026 Kuantum Sonrası Bankacılık Dayanıklılık Endeksi. Endeks, geçişi beş ölçülebilir, denetlenebilir katmana yapılandırır.
03. Yönetim Kurulu El Kitabı: 24 Aylık Yol Haritası. Endeks, bir bankanın nerede durduğunu ölçer.
04. Platform Mühendisliği: Sınırlandırılmış Hibrit Mimariler. Denetlenmemiş PQC kodu riskinden kaçınmak için bankalar sınırlandırılmış hibrit kriptografik mimariler benimsiyor.

Yönetici Özeti. Banka kriptografisinin kuantum sonrası ilkellere geçişi, bir yol haritası slaytı olmaktan çıkıp tarihli bir yükümlülük haline geldi. Bu işi iki araç yaptı. 22 Haziran 2026'da imzalanan Executive Order 14409, ABD federal ve yüklenici geçişine katı tarihler koyuyor. ANSSI Avrupa sertifikasyon penceresini 2027'den itibaren kapatıyor. Hiçbiri yönetim kuruluna PQC'yi bir araştırma kalemi gibi ele alma seçeneğini bırakmıyor. Bu yazı, söz konusu baskıyı ölçülebilir bir endekse dönüştürür — her biri 0–5 puanlanan, tek bir bileşik puana ağırlıklandırılan ve yönetim kurulunun üç ayda bir izleyip bir denetçiye karşı savunabileceği beş katman.

Bir yıl önce bir banka, güvenlik incelemesinde FIPS 203 adını anabilir ve buna kuantum stratejisi diyebilirdi. EO 14409 ve ANSSI soruyu hangi algoritma sorusundan hangi raylar, hangi tarihe kadar, kimin imzasıyla sorusuna dönüştürdü. Aşağıdaki endeks, bu soruyu yanıtlayan araçtır — teknik ilkelleri, mütevelli sorumluluğunu ve bilanço riskini aynı sayfaya koymak için kurulmuştur.

01. Küresel Defter Bütünlüğüne Yönelik Kuantum Tehdidi

Kuantum bilgisayarlar, modern dijital güvenliğin matematiksel temelini tehdit eder. Bankacılık işlemlerini koruyan algoritmalar olan RSA ve ECC, yeterli kuantum ölçeği geldiğinde Shor algoritmasının saniyeler içinde çökerttiği problemlere dayanır. Finansal sistemin maruziyeti tekdüze değildir; gizlilik kuyrukları en uzun olduğu ve imzalı talimatların en uzun yaşadığı yerde yoğunlaşır.

SWIFT ve bankalararası takas. Oturum ele geçirme ve inkâr edilemezlik ihlali en akut risklerdir. Sahte veya yeniden oynatılabilir bir mutabakat talimatı, bir günlük kaydı olayı değil, bir bilanço olayıdır.
Saklama kayıt defterleri. Tehlikeye atılmış imza mekanizmaları, yetkisiz defter enjeksiyonlarına izin verebilir — her sonraki mutabakatın dayandığı bütünlük ihlali.
Store Now, Decrypt Later (SNDL). Finansal telemetri, gelecekteki şifre çözümü için bugünden toplanıyor. Taşıma katmanı şifrelemesinin önce taşınmasının nedeni budur: hâlihazırda aktarımda olan veri, hâlihazırda risk altında olan veridir.

Bir CRQC için beş yıllık planlama ufku, Tier-1 bankaların içindeki çalışma varsayımıdır. SNDL, saldırganların o makineye bugün ihtiyaç duymadığı anlamına gelir — ucuz depolamaya ve sabra ihtiyaçları vardır. 25 yıllık bir saklama veya ticaret finansmanı saklama yükümlülüğü için maruziyet penceresi çoktan açıldı.

02. 2026 Kuantum Sonrası Bankacılık Dayanıklılık Endeksi

Endeks, geçişi beş ölçülebilir, denetlenebilir katmana yapılandırır. Her biri 0–5 puanlanır; ağırlıklı toplam, üç ayda bir izlenen ve yönetim kuruluna raporlanan Bileşik Kuantum Sonrası Dayanıklılık Puanı'dır.

Tablo 1: Dayanıklılık Endeksi Mimarisi

Endeks Katmanı	Hazırlık Metriği	Arıza Modu	Ağırlık
Envanter ve Keşif	Otomatik SBOM/CBOM içeren uygulamaların %	Keşfedilmemiş eski anahtarlar	%30
KEM / Taşıma	Hibrit ML-KEM kullanan kanalların %	Geriye dönük şifre çözme (SNDL)	%25
Dijital İmzalar	ML-DSA desteği olan hatların %	Sahte defter yetkilendirmeleri	%20
Kriptografik Çeviklik	Kriptografik ilkelleri değiştirmenin ortalama süresi	Savunmasız algoritmalara kilitlenme	%15
Düzenleyici Hizalama	Denetim hazırlığı; yönetim kurulu onayı	DORA denetim bulguları	%10

Ağırlıklandırma bilinçlidir. Envanter %30 ile başı çeker çünkü her diğer katman onsuz ölçülemez — bulamadığınız bir anahtarı taşıyamazsınız. Taşıma %25'tedir çünkü SNDL, saatin bugün yakalanan verilere karşı zaten işlemekte olduğu tek katman olmasını sağlar.

Tablo 2: Temel Kriptografik Standartlar (NIST/FIPS)

Standart	İlkel	Birincil Rol
ML-KEM (FIPS 203)	Kafes tabanlı KEM	Taşıma güvenliği (TLS 1.3)
ML-DSA (FIPS 204)	Kafes tabanlı imza	Kimlik ve işlem imzalama
SLH-DSA (FIPS 205)	Durumsuz karma imza	Uzun vadeli kök sertifikalar

Bu üç NIST PQC standardı, her güvenilir 2026 geçiş planının omurgasıdır. Kafes ikilisi günlük taşıma ve imzalamayı taşır; SLH-DSA'nın muhafazakâr karma tabanlı yapısı, tek bir kriptanalitik sürprizin en az tolere edileceği güven kökünde yerini hak eder.

03. Yönetim Kurulu El Kitabı: 24 Aylık Yol Haritası

Endeks, bir bankanın nerede durduğunu ölçer. Yol haritası, işin sırasını belirler. Her kilometre taşı, bir durum güncellemesi değil, yönetim kurulu düzeyinde bir teslimat üretir.

Zaman Çizelgesi	Odak Alanı	Yönetim Kurulu Düzeyinde Teslimat
0–6 Ay	Keşif	Kurumsal CBOM'u tamamla; yüksek hassasiyetli veri yaşam döngülerini belirle.
6–12 Ay	Pilot	İnternete açık taşıma için hibrit ML-KEM + ECDH dağıt.
12–18 Ay	Entegrasyon	İmzalama hatlarını ML-DSA'ya taşı; HSM ürün yazılımını güncelle.
18–24 Ay	Optimizasyon	Dayanıklılık puanlamasını Basel III / DORA panolarına entegre et.

Sıralama keyfi değildir. Önce keşif, çünkü endeksin en ağır katmanı aynı zamanda ön koşuludur. İnternete açık taşımada pilot, çünkü burası SNDL'nin ön cephesidir ve değiştirilmesi en az koordinasyon gerektiren yüzeydir. HSM ürün yazılımı entegrasyon aşamasına gelir çünkü üretim kripto yolu ticari modüllerden geçer — tek bir tedarikçinin PQC ürün yazılımı izi kaydığı anda geçiş de kayar.

04. Platform Mühendisliği: Sınırlandırılmış Hibrit Mimariler

Denetlenmemiş PQC kodu riskinden kaçınmak için bankalar sınırlandırılmış hibrit kriptografik mimariler benimsiyor. Bu yaklaşım, klasik bir ECDH payını NIST tarafından standartlaştırılmış bir ML-KEM zarfının içine sarar; böylece bir algoritma sonradan kırılsa bile kanal güvende kalır. Banka tek bir ilkelin 25 yıl boyunca kriptanalize dayanacağına bahis oynamaz; her ikisini de çalıştırır, her şeyi günlüğe kaydeder ve PQC uygulamaları sahada saatlerce çalıştıktan sonra klasik ayağı bırakma seçeneğini elinde tutar.

Hibrit doğru karardır. Bedava değildir. Hibrit bir TLS 1.3 el sıkışması, klasik muadilinden yaklaşık bir kilobayt fazla taşır ve bir ML-DSA imzası, ECDSA'nın onlarca baytına karşı kilobaytlar çalıştırır. Mutabakat kararlarının tek haneli milisaniye pencereleri içinde yer aldığı toptan takas raylarında bu maliyet bir yuvarlama hatası değildir. Bunu kapasite planlamasına modelleyin ve SLA'da adlandırın — yönetim kurulu raporu, yalnızca algoritma seçimini değil, her kilometre taşında beklenen verim ve kuyruk gecikmesi etkisini de yayınlamalıdır.

05. Mütevelli Görevi ve Sermaye Yeterliliği

DORA Madde 5 kapsamında yönetim kurulu, BİT risk yönetiminden doğrudan ve devredilemez biçimde sorumludur. "Makul adımlar", bir niyeti değil, belgelenmiş ve denetlenebilir bir geçiş planını gerektirir. Envanteri çıkarılmamış, klasik olarak şifrelenmiş bir altyapıyı sürdürmek azaltılmamış bir operasyonel risktir ve denetçiler bunu doğrudan Basel III operasyonel risk sermaye çerçevesine daha yüksek bir çarpan olarak okuyabilir.

Bu, endeksi yalnızca bir mühendislik aracı değil, bir yönetişim aracı yapar. Bileşik puan, kıdemli bir bağımsız yöneticinin sorgulayabileceği eserdir: kriptografik envanter tam mı yoksa örneklenmiş mi; geçiş planı beş yıllık bir CRQC ufkuna karşı tarihlendirilmiş mi; uzun vadeli imzalı araçlar bugün çift imza şemasıyla kapsanıyor mu; ve sorumluluklar beyanında programın yanında kimin adı duruyor. Bu dört soruyu tek bir üç aylık puandan yanıtlayabilen bir banka, bir düzenleyici zorunluluğu yönetilen bir riske dönüştürmüştür.

Ek: Puanlama Cetveli (0–5)

Her endeks katmanı aynı olgunluk merdivenine karşı puanlanır; böylece bileşik puan katmanlar ve çeyrekler arasında karşılaştırılabilir olur.

0 — Uyumsuz. Envanter yok; kuantuma savunmasız sistemler izlenmiyor.
1 — Başlangıç. Manuel keşif sürüyor.
2 — Temel. Otomatik envanter (SBOM/CBOM) aktif.
3 — İleri. Üretim dışında hibrit PQC pilotları.
4 — Yönetilen. Dış trafik için üretimde hibrit PQC.
5 — Optimize. Tam entegrasyon; otomatik test; sürekli DORA uyumlu raporlama.

Sonuç

İlkeller mevcut. FIPS 203, 204 ve 205 yayımlandı; kütüphaneler üretimde; son tarihler artık iki kıtada yasa. Açık olan soru, bir bankanın DORA, EO 14409 ve ANSSI'nin sertifikasyon kesim tarihi altında çok yıllı, kriptografik çevikliğe sahip, CBOM güdümlü bir programı yürütüp yürütemeyeceği — ve bunu bir yönetim kurulunun savunabileceği bir sayıyla kanıtlayıp kanıtlayamayacağıdır. Endeksi 2026'da benimseyen ve hibrit yayılımı 2027'de başlatan bankalar, 2030'da temiz bir geçişi anlatacak. EO 14409'u başkasının son tarihi olarak görenler ise başka bir şey anlatacak.

Envanterle başlayın. Taşıma katmanını ağırlıklandırın. Üç ayda bir puanlayın. Altına adınızı yazın.

Sıkça Sorulan Sorular

Executive Order 14409 gerçekte ne gerektiriyor? 22 Haziran 2026'da imzalanan EO 14409, federal kurumlara hassas sistemleri 31 Aralık 2030'a kadar PQC şifrelemesine, 31 Aralık 2031'e kadar kimlik doğrulamasına taşımalarını talimatlandırır. Federal yükleniciler 2030 sonuna kadar NIST FIPS standartlarına uymalıdır. Bankalar için işleyen baskı tedarik zincirindedir: ABD federal kuruluşlarına satış yapan veya onlar için takas eden her kurum bu zaman çizelgesini devralır.

ANSSI'nin 2027 tarihi neden 2030'dan daha önemli? Çünkü tedarik 2027'de kopar. ANSSI 2027'den itibaren kuantuma dayanıklı şifrelemeden yoksun güvenlik ürünlerini sertifikalandırmayı durdurur; bu nedenle o tarihten sonra PQC olmayan donanım veya yazılım satın alan bir banka, kritik altyapı için sertifikalandıramayacağı bir şey satın alıyordur. 2030 son tarihi varış noktasıdır; 2027 ise oraya giden yolun kapandığı tarihtir.

"Store Now, Decrypt Later" nedir ve neden taşımaya öncelik verilir? SNDL, şifrelenmiş trafiği bugün ele geçirip arşivleyerek bir CRQC ortaya çıktığında şifresini çözme uygulamasıdır. Yalnızca RSA veya ECC ile korunan herhangi bir TLS oturumu veya bankalararası transfer, geriye dönük şifre çözme adayıdır. KEM / Taşıma katmanının %25 ağırlık taşımasının ve imzalardan önce taşınmasının nedeni budur — bugün aktarımdaki veri zaten açıkta.

Bileşik Kuantum Sonrası Dayanıklılık Puanı nasıl hesaplanır? Beş katmanın her birini ek cetveline karşı 0–5 puanlayın, katman ağırlığıyla çarpın (Envanter %30, Taşıma %25, İmzalar %20, Kriptografik Çeviklik %15, Düzenleyici %10) ve toplayın. Sonuç, doğrudan DORA raporlamasına ve Basel III operasyonel risk panolarına eşlenen tek bir üç aylık rakamdır.

Hibrit kriptografi benimsemek kendi riskini yaratır mı? Sınırlandırılmış hibrit deseni algoritmik riski azaltır — kanal, ayaklardan biri kırılsa bile hayatta kalır — ancak ölçülebilir ek yük getirir: daha büyük el sıkışmaları, daha büyük imzalar, işlem başına kabaca iki katına çıkan CPU. Gecikmeye duyarlı takas raylarında bu, bir olay incelemesi sırasında keşfedilmek yerine kapasite planlamasına modellenmeli ve SLA'da adlandırılmalıdır.

Kaynaklar

Son incelenme 2026-06-26.

Son inceleme 2026-06-26.

Bu makaleyi yeniden yayınla

2026'da Kuantum Sonrası Bankacılık Dayanıklılık Endeksi: EO 14409, Küresel Son Tarihler ve Mütevelli Kriptografik Çeviklik — Sebastien Rousseau

EO 14409, ANSSI'nin 2030 son tarihi ve DORA Madde 5, kuantum sonrası geçişi yönetim kuruluna hazır bir dayanıklılık endeksine dönüştürüyor — bankalar için 0–5 olgunluk karnesi.

Bu makale şu lisans altında yayınlanmıştır Creative Commons Attribution 4.0 International. Yeniden yayın, kanonik URL'ye atıfta bulunulmasını gerektirir.

2026'da Kuantum Sonrası Bankacılık Dayanıklılık Endeksi: EO 14409, Küresel Son Tarihler ve Mütevelli Kriptografik Çeviklik — Sebastien Rousseau

EO 14409, ANSSI'nin 2030 son tarihi ve DORA Madde 5, kuantum sonrası geçişi yönetim kuruluna hazır bir dayanıklılık endeksine dönüştürüyor — bankalar için 0–5 olgunluk karnesi.

Originally published at https://sebastienrousseau.com/tr/2026-06-26-post-quantum-banking-resilience-index-eo-14409-fiduciary-crypto-agility-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER