量子商用密码：合规刚需、产业时滞与估值的远期透支
脂砚斋审视量子商用密码，核心判断不在于“量子威胁是否真实”——HNDL攻击已使其成为当下运行的存量敞口——而在于一个更贴近定价的问题：政策创造的合规刚需，与产业承接需求并转化为利润的能力之间，存在多长的时滞，以及当前估值是否已经越过了这个时滞。
政策端已从“鼓励”切换到“倒逼”。《商用密码管理条例》修订版、第6号令与《关键信息基础设施商用密码使用管理规定》在2026年7月前后集中生效，监管逻辑从“资质准入”转向“持续监管+年度评估”，密评从可选项变为新建系统“无密评不上线”的刚性约束。这一转变的经济含义是：需求不再依赖客户的安全意识，而由行政处罚与合规时限强制生成。博研咨询预计2026年中国商用密码市场规模达671.2亿元，同比增长22.4%，其中后量子密码硬件设备约125亿元、增速38%。政策为收入端提供了较高的能见度，这是产业短期最坚实的支撑。
但产业端的财务现实远没有收入增速乐观。A股密码板块连续两年“增收不增利”，2025年7家公司合计营收56.62亿元、合计扣非亏损4.35亿元；2026年上半年五家主要公司合计亏损仍约3.07亿元，亏损营收比达22.7%。减亏是真实的，盈利反转并未发生。结构分化尤为关键：三未信安上半年毛利率74.27%，增长来自密码芯片、海外与抗量子新方向；而格尔软件毛利率仅44.81%、同比下滑6.68个百分点，集成类低毛利业务占比上升是直接拖累。这揭示了一个尚未被充分定价的产业规律：抗量子迁移的早期收入，大量以“集成+服务”形态确认，毛利率天然低于标准化密码产品。政策放量越快，低毛利集成收入在营收中的权重反而可能阶段性上升，利润率的修复滞后于收入的修复。
金融场景的工程化突破提供了需求侧的验证，但同样尚未转化为可观的利润池。海光信息、国泰海通与格尔软件联合落地的抗量子平滑迁移方案，实测时延48—61毫秒、支持10000—30000TPS，解决了“加密即降性能”的商用障碍；三未信安抗量子产品已与清算中心及数家银行达成合作。然而，银行PQC迁移本质上是一笔不产生直接营收的强制性资本开支——它的回报体现为“避免损失”，在金融机构的ROE考核框架下天然面临预算竞争劣势。这意味着迁移需求虽然确定，但支付意愿受制于防御性支出的预算天花板，订单放量的斜率可能慢于政策时间表所暗示的节奏。
估值层面已出现值得警惕的信号。格尔软件2026年仍处亏损，但券商给予27年54倍PE的估值基准、65倍PE的目标估值，理由是抗量子与AI安全业务加速落地。吉大正元在连续涨停后不得不公告“抗量子产品业务收入占比较低”，上半年营收同比下降19.41%、归母净利润亏损3510万元。远期叙事正在被赋予即期估值权重，而远期收入的兑现路径仍横亘着标准真空与迁移周期两道关卡：首批国密PQC标准预期2027年底前发布，技术路线在PQC与QKD之间尚未收敛，银行业团体标准刚刚起步、尚待向行业标准转化。
综合判断： 量子商用密码是一个政策确定性极高、产业方向正确、但盈利兑现节奏被系统性乐观预期所掩盖的赛道。合规刚需锁定了收入的下限，却无法自动解锁利润；金融迁移的真实支付意愿、集成收入对毛利率的结构性压制、以及标准真空期带来的产品化延迟，共同构成了从“收入增长”到“利润归属”之间的摩擦成本。对金融分析师而言，当前阶段的核心工作不是确认“赛道好不好”，而是区分两类公司：一类以芯片和标准化产品承接迁移需求、毛利率具备随规模修复的弹性；另一类以集成和项目制收入填充报表、在收入放量的同时持续稀释盈利质量。前者值得在标准落地前给予迁移期权价值，后者则需要等待毛利率曲线给出更诚实的信号。
