En un banco, el problema rara vez comienza ante un ordenador cuántico. Se esconde en un certificado olvidado, una aplicación antigua o un equipo de red difícil de actualizar. La migración poscuántica es, ante todo, una investigación sobre los sistemas existentes. En este mes de septiembre de 2026, su urgencia no depende de una demostración espectacular: los estándares existen y cierta información debe permanecer secreta durante décadas. Estos son los hechos contrastados y las perspectivas de un proceso cuyos efectos podrían resultar en gran medida invisibles para los usuarios.
El NIST ha dado la señal de salida
El 13 de agosto de 2024, el Instituto Nacional de Estándares y Tecnología de Estados Unidos publicó sus tres primeros estándares definitivos de criptografía poscuántica. Fruto de un proceso internacional iniciado en 2016, este hito proporcionó una base común a fabricantes, desarrolladores y compradores. No significa que todos los productos estén listos, sino que ya es posible trabajar sobre especificaciones consolidadas en lugar de hacerlo sobre candidatos que aún compiten entre sí.
- ML-KEM, estándar FIPS 203, derivado de CRYSTALS-Kyber, sirve para establecer un secreto compartido que después puede utilizarse para cifrar comunicaciones.
- ML-DSA, estándar FIPS 204, derivado de CRYSTALS-Dilithium, permite generar firmas digitales.
- SLH-DSA, estándar FIPS 205, procedente de SPHINCS+, propone otra familia de firmas, basada en funciones hash.
Esta diversidad importa: la seguridad no debe depender de una única hipótesis matemática. En marzo de 2025, el NIST también seleccionó HQC para su futura estandarización como mecanismo complementario de encapsulación de claves. Sin embargo, una selección no equivale a un estándar definitivo ni a una obligación de despliegue inmediato. Para las organizaciones, la base inicial ya basta para comenzar el inventario, las pruebas y las negociaciones contractuales.
¿Por qué actuar antes de que llegue el ordenador que romperá las claves?
La amenaza afecta principalmente a la criptografía de clave pública. RSA y los sistemas de curvas elípticas protegen hoy intercambios de claves, identidades y firmas. Un ordenador cuántico lo suficientemente potente y tolerante a fallos podría poner en cuestión sus fundamentos mediante el algoritmo de Shor. Ninguna máquina demostrada públicamente posee hoy esa capacidad a la escala necesaria. Los anuncios sobre el número de cúbits no bastan para demostrar lo contrario.
Pero esperar a esa máquina sería un error de calendario. Un actor puede registrar hoy comunicaciones cifradas con la esperanza de descifrarlas más adelante: es el escenario de «recopilar ahora, descifrar después». Un historial médico, un secreto industrial o una información diplomática pueden conservar su valor mucho después de que se sustituya el servidor que los procesó. Por tanto, el riesgo depende tanto del periodo de confidencialidad requerido como de la fecha, muy incierta, de un avance cuántico decisivo.
No todo el cifrado está amenazado de la misma manera. Los algoritmos simétricos, como AES, no se ven afectados del mismo modo que RSA. Unos parámetros adecuados, en particular claves de 256 bits, ofrecen márgenes importantes frente a los ataques cuánticos conocidos. El trabajo no consiste, por tanto, en desechar toda la seguridad existente, sino en identificar con precisión los mecanismos vulnerables y sus usos.
Primer obstáculo: nadie tiene una visión completa de su cifrado
En un gran grupo empresarial, la criptografía está repartida entre bibliotecas de software, navegadores, VPN, servicios en la nube, tarjetas inteligentes y módulos de seguridad de hardware. También aparece en las firmas de las actualizaciones, los intercambios entre aplicaciones y las copias de seguridad. Un departamento de informática puede conocer sus servidores sin saber qué algoritmos utiliza realmente cada componente ni quién podrá sustituirlos.
Por ello, el inventario debe ir más allá de la lista de certificados. Para cada uso, hay que identificar el protocolo, la biblioteca, el proveedor, la vida útil de las claves y la sensibilidad de los datos. Después hay que plantear una pregunta muy concreta: ¿bastará con una actualización o será necesario cambiar el hardware? Un equipo industrial sin mecanismo de actualización plantea un problema mucho más duradero que una aplicación web que recibe mantenimiento cada semana.
Tres sectores, tres relojes
Para un banco, la dificultad reside especialmente en la interdependencia: pagos, autenticación, conexiones con los socios e infraestructuras de confianza deben seguir funcionando de forma conjunta. La compatibilidad prima sobre el impacto de los anuncios. En la industria, la larga vida útil de las máquinas complica la ecuación. Un autómata comprado hoy puede permanecer en servicio el tiempo suficiente para atravesar varias generaciones de recomendaciones criptográficas.
Las administraciones, por su parte, acumulan un parque de aplicaciones antiguo, información sensible y procedimientos de compra largos. La prioridad debería darse a los datos cuya confidencialidad debe perdurar, así como a los sistemas difíciles de sustituir. Una migración eficaz no aborda todas las aplicaciones con la misma urgencia: combina exposición, duración de la protección y coste del cambio.
Sustituir un algoritmo no basta
La criptografía poscuántica utiliza ordenadores clásicos. No es necesario instalar una máquina cuántica en un centro de datos para beneficiarse de ella. En cambio, sus claves, sus mensajes de establecimiento de secretos o sus firmas pueden ser más voluminosos que los de los mecanismos sustituidos. Estas diferencias pueden afectar a la latencia, la memoria disponible o el funcionamiento de un equipo de red intermedio.
Por tanto, las pruebas deben abarcar recorridos completos. Una conexión que funciona en el laboratorio no garantiza que pueda atravesar todos los cortafuegos, funcionar en una red móvil degradada o en un terminal con recursos limitados. La robustez de las implementaciones también cuenta: un algoritmo estandarizado no impide los errores de programación ni los ataques de canal lateral. La calidad del software y la protección de las claves siguen siendo esenciales.
Una transición puede emplear mecanismos híbridos, que combinan un componente clásico y otro poscuántico. Si está correctamente diseñado, este enfoque busca preservar la protección mientras uno de los dos siga resistiendo. Puede limitar algunas incertidumbres, pero también añade complejidad. No debe convertirse en un ensamblaje improvisado: los protocolos probados y las combinaciones analizadas son indispensables.
La verdadera inversión: poder volver a cambiar
Para los responsables de la toma de decisiones, el resultado inmediato no es un distintivo de «seguridad cuántica». Es una hoja de ruta: responsables identificados, dependencias inventariadas, un entorno de pruebas y requisitos dirigidos a los proveedores. Los nuevos contratos pueden exigir que se detalle qué estándares serán compatibles, cómo se distribuirán las actualizaciones y qué pruebas de validación estarán disponibles. Una promesa comercial no equivale a una capacidad verificable.
Este enfoque tiene un nombre: criptoagilidad. Consiste en poder sustituir algoritmos, claves y certificados sin reconstruir todo el sistema. Su interés va más allá de la amenaza cuántica, ya que también pueden aparecer debilidades en las tecnologías clásicas. El mayor coste podría proceder menos del cálculo adicional que de la coordinación: probar, documentar, certificar y organizar las transiciones sin interrumpir los servicios.
¿Y ahora qué? La trayectoria más plausible es la de una migración progresiva, desigual y en gran medida invisible, en lugar de una revolución repentina del cifrado. Las organizaciones mejor preparadas serán las que hayan empezado por saber qué protegen y durante cuánto tiempo. El horizonte cuántico sigue siendo incierto; el tiempo necesario para transformar una infraestructura, en cambio, ya constituye una limitación muy real.
