ポスト量子暗号（PQC）移行ガイド2026｜企業の棚卸し・ロードマップ・チェックリスト

結論を先に言います。 ポスト量子暗号（PQC）移行は「量子コンピュータが完成してから」やる仕事ではありません。今日やり取りしている暗号化データが「Harvest Now, Decrypt Later（今盗んで、後で解読）」で先に盗まれている前提で、いま何を守っているのかを棚卸しするところから始まります。そして2026年3月30日、日本のCRYPTREC（暗号技術検討会）が電子政府推奨暗号リストに鍵共有アルゴリズムML-KEMを正式に追加しました（CRYPTREC 新着情報）。政府調達の基準が動いたということは、そのサプライチェーンに連なる中堅・中小企業にも遠からず要求が降りてくるということです。

本記事は、社内にIT判断力が十分にない中堅企業の経営者・実務決裁者に向けて、「何を・いつまでに・どの順で」やるのか、そして外部ベンダーに発注するとき何を確認すれば失敗しないのかを、一次情報に基づいて整理したものです。専門用語の解説だけで終わらせず、GXOが実際のレガシー刷新・移行案件で使っている判断軸に落とし込みます。

---

この記事を読むべき人

• 自社のシステムでどこにどの暗号が使われているか、正直よく分からない経営者・情シス責任者
• 「PQC対応」という言葉をベンダーやニュースで聞いたが、うちに関係あるのか判断がつかない方
• 医療・金融・製造・自治体のサプライチェーンに属し、取引先や親会社からセキュリティ要件を求められ始めた中堅企業
• 長期保存が必要なデータ（設計図面、製法、特許出願前の技術情報、顧客の個人情報、契約書）を扱っている事業者
• 見積もりを取ったが、それが妥当なのか、何を削れて何を削れないのか分からない発注担当者

一つでも当てはまるなら、この記事はあなたのための地図です。

---

まず全体像：3分で分かるPQC移行の要点

この記事の残りは、この表の各行を「発注前に判断を誤らないため」に深掘りしていきます。

---

1. なぜ「まだ先の話」ではないのか

Harvest Now, Decrypt Later（HNDL）という時間差攻撃

PQC移行が緊急である最大の理由は、量子コンピュータが完成する日を待つ必要がない攻撃が存在することです。Harvest Now, Decrypt Later（HNDL）、日本語で「今収穫し、後で解読する」と呼ばれる手口では、攻撃者は現時点で解読できない暗号化通信を大量に傍受・保存しておき、量子コンピュータが実用化された段階でまとめて復号します。

つまり、いま守れている情報が「10年後も守れている」保証はどこにもありません。大和総研の指摘を借りれば、経営が問うべきは「量子コンピュータはいつ来るのか」ではなく「自社のどこで、どの暗号が使われ、どの情報を、いつまで守る必要があるのか」です（大和総研コラム 2026年4月）。

そのため、次のような「保存期間が長い」データを扱う企業ほど、実は時間が残されていません。

• 設計図面・製法・特許出願前の技術情報（数十年の競争優位に直結）
• M&A・資本政策などの経営情報
• 医療・健康情報、遺伝子情報（数十年単位の保護義務）
• 顧客の個人情報・マイナンバー・パスポート情報
• 長期の電子契約・電子署名文書

守るべき情報の「機密保持期間」と「量子コンピュータの実用化時期」を並べたとき、両者が重なる領域が今日のあなたのリスクです。10年後に読まれて困るデータを、今日ふつうに暗号化通信・暗号化保存に頼って扱っているなら、それがそのままターゲットになります。

移行に5〜10年かかるから「今」なのに、多くの企業が着手できていない

暗号アルゴリズムの入れ替えは、ソフトウェアを一括アップデートすれば済む話ではありません。かつてSHA-1からSHA-2への移行は業界全体で10年以上を要しました。PQC移行はそれ以上に複雑です。既存システムの棚卸し、互換性検証、HSM（ハードウェアセキュリティモジュール）の更新、取引先との相互運用性確認、規制・監査対応――どれも一朝一夕には終わりません。「量子コンピュータが完成してから対応する」では、着手した瞬間に手遅れが確定します。

---

2. NIST標準化とNIST IR 8547の期限（一次情報で確認）

正式標準化された3つのアルゴリズム（2024年8月13日）

米国立標準技術研究所（NIST）は2024年8月13日、以下の3つのPQCアルゴリズムを最終標準（FIPS）として公開しました（NIST CSRC Post-Quantum Cryptography）。

ML-KEMとML-DSAはいずれも**格子暗号（Lattice-based cryptography）**に基づき、TLSやVPNの鍵交換・署名を担ってきたECDHやECDSAの後継です。SLH-DSAは格子とは異なる数学的基盤（ハッシュ）に立ち、万一格子暗号に脆弱性が見つかった場合の保険として位置づけられます。さらにNISTは2025年、格子に偏りすぎないための多様性確保として、符号ベースのHQCを鍵カプセル化の追加標準に選定しました。「一つの数学的前提に全部を賭けない」という設計思想は、後述する暗号アジリティの考え方と直結しています。

いちばん重要な数字：NIST IR 8547の「2030年非推奨・2035年禁止」

企業の意思決定に直結するのは、アルゴリズムの名前より期限です。NISTは移行ロードマップ「NIST IR 8547（Transition to Post-Quantum Cryptography Standards）」で、連邦政府システムにおける従来の公開鍵暗号の扱いを次のように示しています（NIST IR 8547 初期公開ドラフト）。

• 2030年：RSA、ECDSA、ECDH、DSA、FFDHなど従来の公開鍵暗号を**非推奨（deprecated）**とする。以降の継続利用にはリスク評価と正当化の文書化が必要
• 2035年：これらを**使用禁止（disallowed）**とする。リスク受容の選択肢もなくなる

これは米国連邦政府向けの規定ですが、グローバルに事業を行う日本企業や、米国政府・大手企業のサプライチェーンに連なる企業には事実上の「時計」として効いてきます。NSA（米国家安全保障局）も国家安全保障システム向けにCNSA 2.0で2030〜2035年の移行を求めており（NRI Secure 解説）、方向は一致しています。

日本の動き：CRYPTRECがすでに動いている

「米国の話でしょう」と片付けられないのが日本の状況です。CRYPTREC（暗号技術検討会）は次の通り、着実に手を打っています（CRYPTREC 新着情報、CRYPTREC 暗号技術ガイドライン）。

• 2025年4月2日：「CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）2024年度版」を公開
• 2026年3月30日：鍵共有アルゴリズムML-KEMを電子政府推奨暗号リストに追加

電子政府推奨暗号リストは政府調達の基準になります。つまり、政府や大手企業の案件を取りにいく中堅企業にとって、PQC対応は「セキュリティ意識の高さ」ではなく「入札・取引の要件」に変わり始めているということです。金融庁もPQCに関する検討会を開き、移行前準備として暗号利用箇所の棚卸しとクリプトアジリティ（暗号アジリティ）向上を求めています（金融庁 PQC概況資料）。

---

3. 何が危なくて、何が当面安全なのか

量子コンピュータが暗号を脅かすメカニズムは、大きく2つのアルゴリズムに集約されます。ショアのアルゴリズムは素因数分解と離散対数問題を高速に解き、RSA・ECCを事実上破ります。グローバーのアルゴリズムは探索を平方根に短縮し、共通鍵暗号の実効的な鍵長を半分にします。この違いが、対策の優先順位を決めます。

この表が教える最重要ポイントは一つです。 最も緊急なのはRSA・ECCに依存する公開鍵基盤（PKI）とデジタル署名であり、共通鍵とハッシュは鍵長・出力長を十分に確保すれば当面戦えます。「暗号を全部入れ替える」のではなく、「壊れる公開鍵まわりから直す」――ここを取り違えると、予算も工数も見当違いに消えます。

具体的にどこに影響が出るかを、事業の現場語に翻訳すると次の通りです。

• TLS/SSL通信：自社サイト・社内システム・API通信の暗号化。Webフォームに入力された個人情報や社内API通信が将来解読される
• VPN：リモートワークや拠点間通信の機密性が失われる
• 電子署名・電子契約：過去に締結した契約の署名が将来偽造・改ざん可能になる
• PKI（公開鍵基盤）：SSL/TLS証明書、クライアント証明書、S/MIMEの根幹が崩れる
• コード署名・ソフトウェアサプライチェーン：正規署名を偽造したマルウェア配布、ファームウェア改ざんのリスク

---

4. GXO流・PQC移行5ステップ（棚卸しから運用まで）

ここからは実務です。多くの解説記事は「棚卸し→評価→ハイブリッド→テスト→本番」の5段階を並べますが、中堅企業が本当に転ぶのは各ステップの中身と順番です。GXOがレガシー刷新・移行案件で使う判断軸を織り込みます。

ステップ1：暗号インベントリ（棚卸し）── ここを外注に丸投げしない

すべての出発点は「自社のどこに、どの暗号が、どの目的で使われているか」の把握です。棚卸しの対象は次の通り広範に及びます。

失敗パターン： ここを丸ごとベンダーに丸投げすると、ベンダーは自分が売れる製品の周辺しか見ません。棚卸しは「自社の情報資産と保存期間を、自社が主語で言語化する」工程です。外注するのは自動スキャンや網羅性の担保であって、判断そのものではありません。CRYPTRECのガイドラインも、PQC移行は個別アルゴリズムの置換ではなく、暗号の利用箇所・鍵管理・通信プロトコル・更新サイクル・相互運用性を含むシステム全体の問題だと明言しています（CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）2024年度版 PDF）。棚卸しの成果物は「全システムの暗号利用一覧＋各箇所の量子リスク評価」です。

ステップ2：優先度づけ ── 「保存期間×露出」で並べる

棚卸しができたら、全部を同時に直そうとしないことです。優先度は次の軸で決めます。

1. データの機密保持期間：10年以上守る必要があるデータを扱う系統が最優先
2. 外部露出の有無：インターネットに面した系統ほどHNDLリスクが高い
3. 規制・取引要件：金融・医療・政府調達、または取引先要求があるもの
4. 移行難易度：易しいものから着手し、社内に成功体験と知見を蓄える
5. 事業インパクト：止められない基幹系は慎重に計画

中小企業向け解説では「4つの準備（棚卸し・危殆化暗号の排除・ベンダー確認のルーチン化・暗号アジリティ意識）」がよく挙げられますが、人員が限られる企業では理想論になりがちです（情シス365 中小企業向けPQCガイド）。だからこそ「保存期間が長く・外部露出が大きい系統」の一点突破から始めるのが現実解です。

ステップ3：ハイブリッド暗号の導入 ── いきなり全面PQC化しない

現時点の定石は、従来暗号とPQCを**併用する「ハイブリッド」**です。たとえば鍵交換で「X25519（従来）＋ML-KEM-768」を同時に使えば、仮にPQC側に将来脆弱性が見つかっても従来暗号が安全性を担保します。逆もまた然りで、いま従来暗号が破られてもPQCが守ります。主要ブラウザやCloudflareはすでにハイブリッド鍵交換をデフォルト化しており、利用者が意識しないまま移行が進んでいます。

現場の落とし穴： ハイブリッド化で鍵サイズ・通信量が増えるため、古いファイアウォールやIDS/IPSが大きなClientHelloパケットをブロックする事例が報告されています。IoTなどリソース制約の強い機器では、そもそもPQCが載らないことがあります。「対応した」つもりが通信障害を起こすのはこの段階です。パフォーマンステストは必須です。

ステップ4：テスト・検証 ── 相互運用性で足をすくわれる

機能・互換性・パフォーマンス・負荷・回帰・セキュリティの各テストを、本番投入前に通します。とくに注意すべきは、ML-KEMの公開鍵サイズやML-DSAの署名サイズによる通信オーバーヘッドと、TLSハンドシェイク時間の増加、そして取引先・パートナー側のシステムとの相互運用性です。自社だけがPQC対応しても、相手が対応していなければ通信は成立しません。ここは「相手のロードマップ」まで確認して初めて完了します。

ステップ5：本番移行と暗号アジリティの作り込み

移行はロールバックが容易な内部通信から始め、Webサーバー（TLS）→VPN→電子署名・PKI→IoT・組み込みの順で難所へ進めます。そして最も重要なのが、**将来もう一度アルゴリズムを替えられる設計＝暗号アジリティ（Crypto Agility）**を残すことです。今回HQCが追加標準に選ばれたように、PQCの世界はまだ動いています。「特定アルゴリズムをコードに直書き」してしまうと、次の移行でまた同じ苦労を繰り返します。暗号を設定・差し替え可能な部品として切り出しておくことが、今回の移行を「最後の大工事」にする条件です。

---

5. 発注前チェックリストと、ベンダーへの質問

PQC移行は暗号・ネットワーク・PKIの専門知識を要するため、外部ベンダーに委ねる場面が多くなります。ここで判断を誤らないための、GXO独自の発注前チェックリストです。

発注前・自社側チェックリスト

• 守るべき情報とその「機密保持期間」を、システムごとに言語化したか
• 暗号インベントリ（棚卸し）を、自社が主語で持っているか（ベンダー資料の丸写しでないか）
• 最優先は「保存期間が長く・外部露出が大きい」系統に絞れているか
• 全面刷新でなく、ハイブリッド＋段階移行の計画になっているか
• 暗号アジリティ（将来また替えられる設計）が要件に入っているか
• 取引先・親会社・調達先からのPQC要件の有無を確認したか
• 補助金（IT導入補助金・セキュリティ関連）の活用余地を確認したか

ベンダーに必ず聞くべき質問

• 提案は「製品販売」からの逆算になっていないか。棚卸しを製品導入前に独立して行うか
• ハイブリッド構成か。ML-KEM／ML-DSAのどのパラメータを、なぜ選ぶのか
• 相互運用性テスト（取引先・既存機器）の範囲はどこまでか
• 暗号アジリティをどう設計に落とすか。次の移行コストをどう下げるか
• レガシー機器・IoTでPQCが載らない場合の代替策は用意されているか
• 費用の内訳（棚卸し／計画／実装／HSM更新／テスト）は分離提示されているか

見積もりの読み方（規模別の目安）

以下は一般的な作業ボリュームから逆算した目安レンジです。自社システムの構成・移行範囲で大きく変動するため、あくまで「見積もりの妥当性を疑うための物差し」として使ってください。GXOの実案件金額ではありません。

見積もりを見るときの勘所は3つです。第一に、棚卸しと実装が分離提示されているか。一体で丸められている見積もりは、後から追加費用が膨らみやすい典型です。第二に、HSMやPKI更新が「一式」で潰されていないか。ここは物量が読めないと平気で数倍ぶれます。第三に、暗号アジリティ設計が工数として計上されているか。ここを省いた安い見積もりは、次の移行で必ず高くつきます。安さの理由が「今回だけ動けばよい作り」なら、それは値引きではなく借金です。

費用を抑える定石は、優先度の高い系統からの段階移行、AWS/Azure/GCPのPQC対応機能の活用、そしてIT導入補助金など公的支援の確認です。ただし補助金の対象・要件は年度で変わるため、最新の公募要領を必ず一次情報で確認してください。

---

6. よくある失敗パターン

• 棚卸しを飛ばして製品を買う：何を守っているか分からないまま製品を入れても、守れているかを誰も検証できません
• 公開鍵まわりでなく共通鍵から手をつける：AES-256は当面安全。緊急度の判断を誤ると予算が的外れに消えます
• 全面一括切替を狙う：ハイブリッド＋段階移行が定石。一括切替は障害と手戻りの温床です
• 相互運用性を自社内でしか検証しない：取引先が対応していなければ通信は成立しません
• 暗号アジリティを設計しない：今回直書きすると、次のアルゴリズム更新でまた全面工事になります
• 「うちには関係ない」で放置：政府調達基準（CRYPTREC推奨リスト）は動いており、要件はサプライチェーンを伝って降りてきます

---

7. GXOに相談すべきタイミング

次のいずれかに当てはまるなら、社内だけで抱え込まず第三者の目を入れるべき局面です。

• 自社のどこにどの暗号があるか棚卸しできておらず、着手の起点が見えない
• ベンダーから「PQC対応」の提案が来たが、それが製品売りなのか本質的な移行支援なのか判断できない
• 取引先・親会社・官公庁からセキュリティ要件を求められ始めたが、対応可否を自社で評価できない
• 見積もりを取ったが、内訳が一式で潰されていて妥当性を判断できない
• レガシーシステムを抱えており、PQC移行を機に暗号アジリティを持つ設計へ作り替えたい

GXOでは、暗号を含むレガシー資産をどう棚卸しし、どう段階移行させるかを事業側の言葉で整理するレガシー刷新・移行の進め方から、システムの再構築設計まで一貫して伴走します。「発注する前に、この計画・この見積もりで大丈夫か」を独立の立場で確認したい場合は、移行前の第三者診断で現状と優先順位を客観的に棚卸しできます。移行後に脆弱性対応・EOL対応・棚卸しを継続する体制が必要なら、セキュリティ運用の伴走で情シスが手薄な中堅企業でも運用を回せます。

---

8. FAQ

Q. 量子コンピュータはまだ実用化されていないのに、なぜ今動く必要が？ A. HNDL攻撃のためです。今日の暗号化データが将来まとめて解読される前提で、長期保存データを扱う企業は「盗まれてから」では間に合いません。移行自体にも5〜10年かかります。

Q. うちは中小企業。大企業や政府の話では？ A. CRYPTRECが2026年3月にML-KEMを電子政府推奨暗号リストへ追加した通り、要件はまず政府・大手から始まり、サプライチェーンを伝って中堅・中小に降りてきます。取引先要件として突然求められる前に棚卸しだけでも始めておくのが安全です。

Q. すぐに高額なPQC製品を買うべき？ A. いいえ。最初にやるのは製品購入ではなく暗号インベントリ（棚卸し）です。何を守っているか分からないまま製品を入れても効果を検証できません。

Q. AESやSHA-256も全部替える必要がある？ A. 当面は不要です。緊急なのはRSA・ECCに依存する公開鍵暗号・署名・PKIで、AES-256やSHA-256/3は鍵長・出力長を確保すれば当面安全とされています。

Q. 一気に全面移行すべき？ A. いいえ。従来暗号とPQCを併用するハイブリッドから始め、内部通信→TLS→VPN→PKI→IoTの順で段階移行するのが定石です。

Q. 何年までに終えればいい？ A. 米NIST IR 8547は連邦システム向けに2030年非推奨・2035年禁止を示しています。日本企業はこれを事実上の期限と捉え、2026〜2027年に棚卸しと計画、以降にハイブリッド導入・移行と進めるのが現実的です。

---

まとめ：PQC移行は「暗号の入れ替え」ではなく「設計の作り替え」

PQC移行を単なる暗号アルゴリズムの差し替えと捉えると、必ず二度手間になります。本質は、（1）自社が何を・いつまで守るのかを言語化し、（2）壊れる公開鍵まわりから優先的に、（3）ハイブリッドで段階的に、（4）将来また替えられる暗号アジリティを残して移行する――という「設計の作り替え」です。

技術の詳細はベンダーに任せてよい部分もあります。しかし「何を守るか」「どの順で直すか」「その見積もりは妥当か」という判断だけは、経営側が主語を持たなければなりません。この記事のチェックリストと質問リストが、その判断の足場になれば幸いです。

本記事は一次情報（NIST、CRYPTREC、金融庁）に基づいて執筆しています。標準やガイドラインは更新されるため、実装判断の際は各機関の最新版を必ずご確認ください。

---

参考・一次情報

• NIST CSRC｜Post-Quantum Cryptography
• NIST IR 8547（Transition to Post-Quantum Cryptography Standards, 初期公開ドラフト）
• CRYPTREC｜新着情報
• CRYPTREC｜暗号技術ガイドライン
• CRYPTREC 暗号技術ガイドライン（耐量子計算機暗号）2024年度版 PDF
• 金融庁｜耐量子計算機暗号（PQC）に関する概況等について
• 大和総研｜貴社の重要なデータ、10年後も守れますか？（2026年4月）

関連記事

• NIST CSF 2.0 対応ガイド
• 中小企業のサイバーセキュリティ完全ガイド【2026年版】
• ゼロトラストセキュリティ導入ガイド
• IPA情報セキュリティ10大脅威2026への対策