NSA抗量子时间表：2027年新NSS门槛与2030年旧系统退出

美国国家安全局（NSA）在2026年10月1日于马里兰州米德堡发布的公告中重申：从2027年起，所有新的商业国家安全系统（NSS）必须具备支持抗量子算法的能力；无法支持这类算法的遗留系统将在2030年前逐步退出；负责抗量子工作的Morgan Stern提醒，“we are only as strong as our weakest link”。

PostQuantum.com的政策分析将2027年1月1日列为新NSS采购适用CNSA 2.0要求的起点，同时注明政策允许另有规定的情形。此次公告重申了CNSSP 15中的时间安排。采购方需要区分新系统的准入条件与旧系统的退出条件；向普通市场销售商业软件，本身不意味着产品属于NSS。

2027年管新采购，2030年管无法升级的存量

这条时间轴以系统的状态划分责任。新采购要关注交付时是否具备规定的算法支持能力；已经运行的系统则要判断能否通过更新获得这种能力。把所有旧设备都算作必须在新采购节点停用，或者把旧设备的退出期限当作新产品的采购宽限期，都会错置要求。

新商业NSS：从2027年起，应具备支持抗量子算法的能力。采购判断落在进入国家安全系统的产品和交付方案上；“具备支持能力”也不能直接写成系统中每项加密功能都已完成切换。
可以升级的在用系统：它们需要获得相应算法支持，但与根本无法升级的遗留系统不是同一种处置情形。软件、固件或组件更新是否可行，取决于具体产品及其集成环境。
无法支持的遗留系统：逐步退出针对的是这一部分存量。判断条件是能否支持所需算法，而非设备仅仅因为使用年限较长就自动进入退出范围。

“逐步退出”还意味着采购与运维决策会交叠。某个旧组件即使暂时仍在运行，只要没有可行的算法支持路径，系统所有者就需要把替换纳入计划；新采购若继续依赖该组件，也会影响整套系统的迁移。因而，供应商说明单个产品能够更新，与采购方确认整套NSS能够迁移，是两个不同层面的判断。

“商业”限定的是进入NSS的系统

公告所说的商业系统，是被采购并用于美国国家安全系统的商业产品或方案。一个厂商可能同时向政府和普通企业销售同一类产品，但这条NSS时间表的直接适用对象，要由具体交付进入了什么系统来判断。商业软件的广泛使用，并不会自动把它的全部客户纳入同一采购安排。

NSS也不等同于某一个机构采购的所有技术。对供应链而言，需要辨认产品在特定项目中承担的功能：它可能参与安全连接、身份认证、软件签名或设备维护，也可能只是与受约束系统没有直接关系的普通业务工具。前一种情形下，采购方关心的是相应功能能否在实际系统中获得所需算法支持，而不只是厂商对产品系列作出的概括性声明。

公告同时把抗量子迁移资源面向国防部门、NSS相关方和国防工业基础。供应商可能因此在招标、集成或维护环节接触这些要求，但服务国防客户与某项具体交付属于NSS，仍须按项目范围分别判断。对简体中文市场的读者来说，这也是理解美国政策影响跨境供应链的边界：客户的采购条件可能改变，不能据此推断中国境内所有企业系统有同一个截止日。