纽伦堡，这座承载着厚重历史的德国城市，如今已成为欧洲网络安全（885459）产业一年一度的汇聚之地。 为期三天的it-sa Expo & Congress 2026，是德语区乃至整个欧洲最重要的网络安全（885459）产业枢纽。it sa 2026 开放五个展馆，参展商超过一千家，论坛场次四百余场。主办方给出的基调是“韧性”（Resilience）。
不同于很多全球性网络安全（885459）展会偏向前沿概念与攻防秀，it sa 的底色较为务实：它扎根德国本土监管框架、面向欧盟中小企业、关键基础设施运营商、工业制造与政务体系，讨论的不是遥远的科幻式威胁，而是 NIS2、CRA、数字主权、供应链安全这些正在落地、具备强制约束力的规则，以及硬件安全、身份认证、后量子密码等底层技术的工程化难题。在越来越多展会被 AI 概念裹挟、营销话术泛滥的当下，it sa 保留了一份难得的“慢”：厂商、监管机构、研究机构、集成商、最终用户围坐在一起，讨论标准、认证、合规落地的痛点，讨论安全元件（881270）、可信根、身份凭证这些不容易被流量包装的底层基础设施。
作为德国负责网络安全（885459）的顶级联邦机构，德国联邦信息安全办公室（Bundesamt für Sicherheit in der Informationstechnik，简称BSI）是全场最重要的官方角色。值得注意的是，BSI 不再只是单向发布规范，而是在展会的多场圆桌、闭门研讨中收集产业侧反馈。今年 ，BSI 的主线十分清晰：CRA 合规落地、OT 安全、零信任架构、AI 系统安全、国家基础保护框架（BSI-Grundschutz）。
CRA（Cyber Resilience Act，即欧盟《网络韧性法案》）是本届展会绕不开的主题。它的影响早已超出狭义的网络安全（885459）产品，延伸到所有带有数字组件的硬件。CRA 从法案文本进入落地阶段之后，大量厂商卡在评估范围、文档要求、安全标识、供应链追溯边界等实操问题上。很多硬件厂商提出的诉求高度一致：合规评估成本过高、评估周期（883436）不确定、不同成员国的监管执行口径存在差异，给供应欧盟的安全硬件带来额外负担。这也是贯穿全场讨论的一条暗线：欧盟的安全立法雄心很大，但产业落地的摩擦才刚刚开始。
对于身份认证赛道，it sa 是一个非常有价值的观察窗口。FIDO2 / Passkey 已经不算新概念，现场几乎所有主流身份厂商都有相关演示，但讨论的重心已经从“要不要做 Passkey”转向更加务实的落地问题：
混合环境迁移难题。大量欧洲企业，尤其是制造业、政务机构，系统存量庞大，Windows 域、传统 VPN、遗留应用、本地业务系统并存，很难一揽子切换到FIDO联盟倡导的“无密码”（Passwordless）架构。很多集成商的方案不是一刀切替换，而是渐进式共存：FIDO 硬件认证器（例如飞天诚信（300386）FIDO Security Key）作为强身份根，对接现有 IAM，逐步替换高风险场景的密码。这里能看到一个很明确的偏好：以安全硬件为载体的 Passkey 依然被高安全等级场景优先采信。纯软件实现的 Passkey 便捷性优势突出，但在关键基础设施、金融、政务等高保障场景，客户依然倾向于带有安全元件（881270）、具备独立可信根的硬件令牌，这和 BSI 基线、ENISA 指南的导向高度契合。
跨平台、跨组织互操作性。欧洲跨国企业、跨区域供应链场景多，不同厂商的 IAM、不同品牌的 FIDO 设备之间的互通、凭证漫游、账号生命周期（883436）管理，是现场反复被问到的问题。FIDO 协议本身定义了基础互通能力，但上层的管理平台、审计、日志、凭证吊销策略，各家实现差异很大。很多客户抱怨：测试环境里一切正常，放到真实异构 IT 环境里，运维复杂度急剧上升。
密码算法是无密码身份认证不可或缺的关键支撑，后量子密码（PQC）也是it sa 2026的热点之一。与往年更多停留在标准宣讲、算法介绍不同，今年已经可以看到大量集成了 NIST PQC 候选算法的安全芯片、SE、令牌原型。厂商不再只展示算法白皮书，而是演示：PQC 密钥生成、签名、和现有 TLS、FIDO 框架的绑定、固件升级路径、性能开销测试。但必须客观看到，距离大规模商用还有多重关卡。一方面，算法本身的工程代价不可忽视：密钥尺寸、签名长度显著高于传统 密码算法，对存储、带宽、低功耗嵌入式设备的算力提出更高要求；另一方面，标准配套、认证体系、合规基线还没有跟上。BSI还在持续研究 PQC 迁移路线图，并没有给出强制切换时间表。现场还有不少讨论围绕混合方案（传统公钥算法与后量子算法的复合签名、混合密钥封装），作为过渡期的选择。没有人愿意在量子威胁尚不可精确预判的情况下，贸然把整个身份体系完全切换到尚未经过长期实战检验的算法上。这种谨慎，是欧洲安全产业非常典型的气质。
AI 是近年几乎所有网络安全（885459）展会的标配主题，it sa 也不例外，但它的表达方式和北美展会有明显区别。这里很少见到“AI 自动接管防御、自主猎杀威胁”这类激进宣传，讨论集中在几个更收敛的方向：AI 生成内容的欺诈风险（深度伪造钓鱼、语音伪造、伪造凭证）、AI 辅助漏洞挖掘、AI 辅助安全运营、AI 模型本身的安全与合规、提示注入、模型泄露。
BSI 对 AI 的立场同样偏审慎：强调风险分级，高安全场景不能无条件信任大模型输出，AI 产出的安全结论必须人工复核。在身份安全领域，AI 更多是辅助工具：用来分析访问日志、识别异常访问行为、梳理权限爆炸带来的风险，而不是替代硬件可信根、FIDO 认证这类底层信任锚。
总的来看，欧洲市场承认 AI 带来新威胁，也愿意利用 AI 提升安全运营效率，但在信任根基、身份鉴权、密码算法这类决定信任底座的地方，依然坚持传统的、经过长期验证的安全范式，不会因为 AI 浪潮就放弃硬件可信根、独立安全元件（881270）、强认证。
离开纽伦堡会展中心的时候，撤展正在进行。展板、demo、样机将被打包运走，论坛的讨论声会消散，但这场展会留下的信号是清晰的：欧洲的网络安全（885459），正在从“采购安全产品”转向“构建可审计、可管控、具备韧性的信任体系”。密码学、可信身份、安全硬件，正是这套体系最底层的基石。
