論壇·原創 | 關鍵信息基礎設施后量子密碼遷移安全風險與責任重構研究

趙麗莉

文 | 山東科技大學數字法治研究院研究員 趙麗莉；山東科技大學知識產權學院 徐冉

量子計算技術的突破性發展正在動搖經典密碼體系的安全根基，嚴重威脅承載國家安全和公共利益的關鍵信息基礎設施（CII）安全。向后量子密碼（PQC）遷移是實現CII對量子攻擊主動免疫、筑牢國家安全壓艙石的關鍵著力點。然而，PQC遷移全流程在技術選型、系統兼容等方面面臨多重安全風險，而現行法律規制存在主體權責不明晰等困境。本文系統梳理CIIPQC遷移全流程安全風險，剖析責任規制困境成因，并從責任清單、歸責規則與機制框架等維度提出責任規制方案，以期為CII量子安全防護提供法治支撐。

一、CII PQC遷移安全風險與挑戰

PQC遷移的核心是公鑰密碼算法的安全替換，涉及多重風險挑戰。根據漸進式遷移流程，CIIPQC碼遷移工作主要包含技術選型、系統改造、運維升級等環節，可分為遷移前、遷移中、遷移后三個階段。精準識別每個遷移階段CII面臨的風險挑戰，有助于后續制定科學的遷移策略，推動PQC技術與CII深度融合，筑牢CII高質量發展的安全基石。

（一）遷移前：風險評估缺失與技術選型不當風險

CII與能源、公共管理、電子通信等領域相關聯。不同領域的數據生命周期差異明顯，如石油和天然氣行業依賴的運營技術（OT）系統具有長期運行與低維護頻率的特點，而金融行業防控風險高度依賴實時數據，需要始終走在密鑰管理技術應用前沿。加密要求往往由特定行業的安全需求決定。缺乏針對不同行業的精準風險評估，就會導致遷移方案脫離實際需求。由于量子威脅發生時間的不確定性，部分CII運營者對量子計算攻擊威脅的緊迫性認知不足，未將量子風險納入整體安全戰略。同時，CII保護需依托有效工具識別實體，若缺少對密碼保障系統期間的持續性、常態化、動態監控，將難以實現全天候、全方位的風險評估，直接威脅CII安全生產和穩定運行。

近年來，美國國家標準與技術研究院（NIST）公布了一系列PQC標準，我國也自主研發了一些PQC算法。各國技術路線各有其優缺點，適用于不同的應用場景。在選擇PQC算法時，應當綜合考慮安全性、應用需求等因素。若CII運營者未緊密結合業務場景與需求，未充分考量技術特性與算法性能及適用范圍，盲目跟風選擇國際算法，則可能面臨算法與現有系統硬件不兼容、技術支持與維護困難等問題。反之，盲目選擇尚未成熟的自主算法，則可能會因技術穩定性不足引發關鍵數據泄露等風險。

（二）遷移中：系統兼容性沖突與數據泄露風險

PQC遷移是多重迭代漸進式過程。從傳統密碼算法向PQC算法遷移，并非簡單的算法替換，而是完整的信息安全工程和軟件迭代工作，需嚴謹推進各環節實施。在遷移過程中，由于新舊算法在算法處理邏輯、運算效率等方面存在很大差異，因此，新舊密碼算法的迭代在接口適配等環節難免會出現兼容性沖突。這種兼容性沖突會直接沖擊CII安全，加之 CII的關聯性特征，甚至會引發公共安全風險。

在遷移過程中，PQC算法會逐步替換傳統加密算法。在過渡階段，難免會出現采用新舊算法并行混合方案的情況。如果缺乏有效的防護措施，敏感數據可能被非法截取，甚至可能危及公共利益與國家安全。

（三）遷移后：運維漏洞與技術迭代適配風險

對CII安全風險的識別高度依賴CII運營者IT運維部門人員的工作經驗。遷移后的CII系統新增了PQC板塊，而這要求運維人員具備扎實的密碼學知識。實際上，運維人員掌握的知識往往局限于信息系統安全防護，缺乏風險動態管控思維，對新型算法的密鑰管理、漏洞排查、應急響應等能力不足。未來，運維漏洞可能成為遷移后CII系統安全的關鍵薄弱點。

保護CII安全需注重技術創新與風險管控相結合。即使過渡到PQC算法，仍需隨著量子計算攻擊模式的更新進行后量子加密技術的迭代升級。同時，密碼技術的安全性依賴密碼算法的安全性。在PQC遷移之后，若后量子加密技術快速發展，而PQC算法沒有同步切換更新，將導致遷移后的CII系統再次陷入安全困境。因此，在遷移之后需注意CII系統應用的PQC算法與加密技術的動態適配問題。

綜上，若遷移全流程出現以上安全風險，不僅會直接威脅CII運行安全，也會對現行法律責任規制體系產生現實挑戰。遷移安全治理離不開法律的剛性規制，而法律責任規制作為界定主體權責、規范主體行為、防范安全風險核心制度工具，是保障遷移安全的重要支撐。然而，以上各類風險具有 CII場景的特殊性與復雜性，既有責任規制體系難以有效回應以上風險防控需求，也有制度適配性不足催生一系列責任規制困境。

二、CII PQC遷移法律責任規制困境與成因

隨著量子威脅的日益緊迫，各國愈加重視對抗量子攻擊的研究和部署。歐盟于2015年啟動PQC算法項目；美國于2016年啟動征集PQC算法項目；我國密碼學會于2019年開展密碼算法設計競賽征集算法，逐步開展自主國產密碼算法標準化工作。此外，歐盟《網絡與信息系統安全指令》（NIS2指令）、美國《量子計算網絡安全防范法》（Quantum Computing Cybersecurity Preparedness Act）等明確了關鍵行業進行PQC遷移的義務與法律責任。我國《中華人民共和國密碼法》《中華人民共和國網絡安全法》雖然已經明確了保障CII基本安全要求，但CII PQC遷移進程中依然面臨主體權責邊界模糊、責任條款適用障礙等方面困境。這些困境并非單一因素所致，而是技術復雜性與法律滯后性相交織、標準體系支撐不足等多重因素共同作用的結果。

（一）主體權責界定不明與成因

明晰各方責任主體的權責邊界，是進行責任歸屬與責任合理分配的前提。CII PQC遷移涉及政府監管者、CII運營者等多方主體，而我國現行法律尚未對各方主體權責作出清晰界定。權責清單缺失直接造成各類主體責任邊界模糊、歸屬認定困難。在政府監管層面，美國采用政府引導、企業參與、政企結合的模式保護CII，并形成了以國土安全部（DHS）為主導、社會安全局（SSA）具體負責配合的CII保護組織體系。我國網絡安全、數據安全、密碼管理等分屬于不同部門監管，CII PQC遷移的相關監管職責尚未在現有法律框架下作出細化劃分。一旦出現安全事件，可能面臨監管部門職責交叉、響應協調不暢等問題。同時，CII監管具有跨部門、跨領域屬性，法定監管權責缺位會導致難以構建常態化協同治理格局，影響CII整體安全防護水平。在市場主體層面，CII運營者應承擔主體責任，而技術直接決定了遷移的成功性，技術服務商也應承擔相應責任。若二者權責規定不明，容易出現責任推諉現象。值得注意的是，受量子安全風險認知不足、遷移投入成本高、實施周期長等因素制約，CII運營者往往缺乏遷移主動性。各方主體權責不明、全國統一性遷移時間規劃缺位，使對運營者剛性追責與合規約束缺乏規范依據，進一步弱化了CII運營者主動遷移的內生動力。

究其上述困境制度根源，除權責界定立法供給滯后外，還存在以下兩方面原因。一是行政監管協同機制不健全。CII PQC遷移領域尚未建立完備的跨部門監管協同機制，導致各部門職責邊界模糊，監管資源未能統籌整合，難以形成有效監管合力。二是市場激勵約束機制缺位與配套制度供給不足。一方面，尚未建立財政補貼、行政處罰等激勵約束機制，難以對沖運營者遷移成本高、周期長等現實顧慮，難以激發運營者遷移主動性。另一方面，對技術服務商過錯追責規則不完善，加劇了其與運營者之間的責任推諉現象。

（二）責任條款適用障礙與成因

我國《中華人民共和國網絡安全法》《關鍵信息基礎設施安全保護條例》等法律規范雖然已對CII監管者等的主體責任作出了規定，但責任條款適用于CII PQC遷移這一具體場景時存在適用困境。具體而言，在政府監管層面，現行條款為普適性一般規則，未考量CII PQC遷移分階段、高風險等特殊屬性，難以精準界定監管者過錯程度與責任份額，易出現監管失職追責與遷移風險不相匹配的適用困境。對于CII運營者，現行相關立法未考量遷移分階段特性，無法對運營者在遷移不同環節的違規行為進行精準定性與歸責。對于技術服務商，現行法律的義務設定尚局限于傳統網絡安全語境，主要聚焦其產品安全保障、漏洞處置義務，但遷移涉及算法設計的風險評估、倫理審查、全流程技術支撐等新型義務要求，超出了傳統網絡安全責任條款的規制范圍；如若出現安全問題，依據現有立法將無法追究其法律責任，造成法律責任規制與實踐應用需求之間的適配性偏差。

從法理角度看，CII PQC遷移中存在責任條款適用障礙的根源在于事后回應型立法理念與前瞻性規制需求的矛盾。現行網絡安全立法圍繞“風險—責任”展開，核心立法導向是應對“已發生風險”，屬于典型的事后回應型立法。CII PQC遷移的核心是“應對未來量子攻擊風險”，屬于前瞻性規制。二者之間的矛盾導致現行責任條款與該領域實際需求脫節，無法解決遷移過程中的責任認定與歸屬問題。

（三）安全標準體系供給不足與成因

安全標準體系供給不足導致責任認定的技術基準懸空。雖然我國PQC算法標準化工作正在金融、能源等行業開展試點，但尚未建立全國性CII PQC遷移的安全標準體系。安全標準是保障CII安全的重要技術要素，識別認定、安全防護等都離不開標準的規范和引領。這是衡量各主體有無過錯、履職是否合規的統一標尺。我國尚未根據CII不同類型劃分PQC算法安全等級，也沒有明確規定在遷移過程中數據保護、密鑰管理等具體要求。雖然對CII的保護是國家安全層面的剛性需求，但相關安全標準缺失會導致CII運營者等相關主體缺乏明確的PQC遷移合規指引，造成各方主體責任難以界定。

究其根源，安全標準體系供給不足由多重因素疊加所致。一方面，法律依據碎片化造成標準體系缺乏。現行立法沒有明確該領域標準制定權限劃分，各部門依據本領域法規主張標準制定，造成缺乏統一的標準體系，使遷移工作缺乏統一的規范指引。另一方面，技術復雜性與法律滯后性相交織。當前，PQC技術需攻克密鑰體量大、簽名耗時過長等技術“瓶頸”，并需不斷進行優化，平衡安全性與計算效率。技術迭代迅速不宜過早固化標準，否則，標準會滯后于技術迭代并可能阻礙技術創新。法律與生俱來的穩定性與滯后性，要求標準出臺前要積累足夠的實踐經驗。這導致標準制定與現實需求之間出現時間差，進一步引發安全標準體系的缺位問題。

三、CII PQC遷移責任重構與對策建議

密碼技術是CII系統的核心基石與安全之盾，其穩固性直接關系國家安全全局，關乎社會穩定大局。因此，應立足我國基本國情，充分認識我國CII PQC遷移面臨的困境，從責任清單法定化、歸責規則設計、機制框架構建等維度推進責任重構，為平穩推進CII PQC遷移工作提供有力的制度保障。

（一）三類法律責任清單的構建與法定化

明確CII PQC遷移責任主體和責任內容，須從立法上構筑清晰的法律規范，即可通過構建三類法律責任清單明確政府監管者等主體責任，實現多級聯動、協同保護。

政府在遷移中發揮領導或主導作用。由于政府監管涉及諸多部門，執法主體多元化會引發推諉執法和重復執法問題。對此，應當明確不同部門監管職責，建立跨部門監管協調機制。此外，應當明確政策和標準制定義務，及時制定國家或行業層面的PQC遷移政策、指導原則和標準規范；明確監督檢查義務，定期對遷移工作開展合規檢查，核實是否按時完成遷移要求，對發現的問題及時予以整改。同時，應明確追究監管者失職責任，對未依法履行監管職責的相關部門和人員予以問責。

CII運營者的安全責任貫穿CII安全運營整個生命周期。具體而言，明確風險評估義務，運營者需定期自行或委托專業機構進行風險評估與安全檢測；明確技術選型義務，運營者應充分結合自身行業特點和需求，選擇適合的算法和技術方案；明確數據安全保護義務，運營者應當對數據進行分類分級管理，根據數據的重要程度采取相應技術措施?？傊\營者需圍繞安全保護措施“三同步”、安全審查、風險評估、技術選型、應急演練等工作，落實主體責任。

責任清單還應明確技術服務商的算法安全義務，對其研發的PQC算法予以安全性驗證；明確其協助義務，協助運營者進行風險評估并提供算法選型建議；明確其需提供全周期技術支撐義務，如在遷移過程中為運營者提供技術指導，在遷移完成后提供安全監控、應急響應支持。此外，技術服務商出現技術缺陷、方案不當等過錯時，應當承擔賠償損失等責任。

（二）遷移過渡期責任歸責規則設計

明確歸責原則是進行責任認定的前提。在我國二元歸責體系中，若無特別規定，應采用過錯責任原則。因此，CII PQC遷移原則上也應適用過錯責任原則。主觀過錯是CII運營者、技術服務商等責任主體承擔責任的前提，如果行為人主觀上不存在過錯，就無須承擔責任。具體而言，倘若CII運營者存在未進行風險評估等過錯，技術服務商存在算法具有重大缺陷等過錯，監管者存在未履行監管職責等過錯，即需承擔相應的責任。

為鼓勵技術進步，保持技術探索自由度，應當考慮技術水平的限制，采取相關舉措對合理技術風險予以包容，給技術留有發展空間。對此，可以借鑒版權法規定網絡服務提供者的責任豁免規則，若CII運營者和技術服務商已履行了合理注意義務或及時采取了必要措施，即使后續因后量子加密技術的固有缺陷或不可預見的技術難題導致安全事件，也可依法減輕或免除責任。

（三）構建有效的機制框架

破解如上責任規制難題，除明確責任清單和歸責規則之外，還需構建有效的機制框架，實現剛性制度與柔性治理的有機統一。具體而言，需從調適監管協同機制、筑牢技術標準支撐、創設激勵約束機制等維度構建有效的保障機制，為算法的平穩過渡提供堅實支撐。

一是監管協同機制。根據我國相關政策規定，CII監管主體涉及上至國家層面下至行業相關部門等多方。因此，亟待形成統一、協同的跨部門執法合力。應當加強各部門監督協同、計劃共商、執法聯動，構建“統一領導，分工負責”的監管體系。建立監管信息共享機制，各部門可通過發函、召開會議等方式定期會商，實現各部門之間遷移進展、違法違規行為等信息實時共通和關鍵數據實時共享，提升解決跨領域重大問題協調能力。此外，建立聯合執法機制，開展跨部門聯合執法檢查，對違法行為依法予以處理。同時，注意加強國際監管合作與交流，借鑒歐盟、美國等監管經驗，提升我國CII PQC遷移的監管能力。

二是技術標準支撐。PQC標準化可以為運營者提供明確的技術路線圖，減少遷移過渡期的不確定性和風險，還可以降低開發和部署成本。我國應當加快推進CII PQC算法的標準化進程，主動參與國際標準化組織（ISO）、國際互聯網工程任務組（IETF）、歐洲電信標準化協會（ETSI）等國際組織的PQC標準制定，提高中國技術方案的國際影響力。在借鑒國際標準的基礎上，結合我國實際情況加快制定國內標準。此外，我國在推進PQC算法標準化的過程中，也需加強國際組織之間的合作，推動建立跨國標準化框架。

三是激勵約束機制。CII運營者應當意識到，合規成本遠低于不合規成本，并盡快著手開展遷移工作，同時，遵循以關鍵業務為核心的整體防控、以風險管理為導向的動態防護、以信息共享為基礎的協同聯防這三項基本原則。對運營者往往缺乏遷移主動性問題，可以分別從激勵和約束兩個層面構筑相應機制。在激勵層面，將遷移完成度納入績效考核，對表現好的部門進行績效獎勵；實行稅收優惠政策，對實施遷移相關的設備研發、設備采購給予稅收減免；設立CII PQC遷移專項基金，對積極實施遷移工作的運營者給予資金獎勵。在約束層面，可以制定不同行業遷移計劃時間表，對沒有按時完成遷移任務的運營者施以警告等行政處罰；建立安全事故終身追責制，若因未及時開展遷移工作致使安全事故發生，可依法追究相關主體的法律責任，并嚴格限定該制度適用邊界：秉持過錯責任原則，僅對主觀存在故意或重大過失的主體適用終身追責，對技術“瓶頸”、不可抗力等情形予以排除適用；堅持過罰相當原則，避免終身追責恣意適用。

四、結 語

量子計算對CII目前使用的密碼技術安全構成重大挑戰。PQC遷移已成為后量子時代守護CII安全、筑牢國家安全屏障的必然趨勢。然而，技術快速迭代與法律規制滯后的深層矛盾、風險治理前瞻性需求與事后回應型立法的適配偏差、安全標準體系缺位與責任認定基準懸空的現實困境，共同造成CII PQC遷移領域風險防控乏力、權責邊界模糊、責任追究失準的治理短板。未來，實現遷移全流程安全可控，可聚焦責任體系動態調適、精準施策、協同共治：根據不同行業CII特點精細化構建責任規則；通過建立遷移風險動態評估機制實現法律規制與技術迭代的動態適配；建立多方聯合協同共治格局，推動CII傳統密碼平穩過渡到PQC，保障量子計算時代CII安全與穩定，為我國數字經濟高質量發展和網絡強國建設提供堅實支撐?！颈疚南到逃咳宋纳缈埔话沩椖俊皵祿鼍硣野踩珜彶闄C制建構研究”（項目編號：25YJA820019）和山東科技大學創新團隊項目“智能科技安全治理創新研究”（項目編號：2020RWB003）階段性研究成果】

（本文刊登于《中國信息安全》雜志2026年第5期）