Un historial médico robado hoy puede seguir interesando a alguien dentro de veinte años. También un secreto industrial, un cable diplomático o los planos de una infraestructura. Por eso, la criptografía poscuántica no espera a la llegada de un ordenador capaz de romper las protecciones actuales. En este mes de septiembre de 2026, conviene abordar el asunto como una tarea de gestión del patrimonio digital: identificar qué debe perdurar, comprender cómo está protegido y preparar su sustitución. Los primeros estándares ya existen. Lo más difícil es localizar todas las cerraduras.
El NIST ha dado la señal de salida
El 13 de agosto de 2024, el National Institute of Standards and Technology, el organismo estadounidense de normalización, publicó sus tres primeros estándares de criptografía poscuántica. Su función: proporcionar mecanismos diseñados para resistir los ataques conocidos, tanto si los ejecutan máquinas clásicas como cuánticas. Esta publicación convirtió años de investigación y selección en referencias utilizables por la industria.
El primero, ML-KEM, normalizado en FIPS 203, deriva de CRYSTALS-Kyber. Permite a dos partes establecer un secreto compartido que después se utiliza con cifrado simétrico. Los otros dos se refieren a las firmas digitales: ML-DSA, procedente de CRYSTALS-Dilithium, y SLH-DSA, procedente de SPHINCS+. Estas sirven, entre otras cosas, para verificar la autenticidad de un documento o de una actualización de software.
Esta distinción importa. No se trata de sustituir todo el cifrado por un único «algoritmo cuántico». Estos mecanismos funcionan en ordenadores convencionales y cada uno cumple una función concreta. Los estándares aportan una base; no hacen automáticamente compatibles los navegadores, los equipos de red, las aplicaciones empresariales y los dispositivos de seguridad que deberán utilizarlos.
¿Por qué actuar antes de que exista la máquina?
La amenaza afecta sobre todo a la criptografía de clave pública, hoy omnipresente, en particular RSA y los mecanismos basados en curvas elípticas. Un ordenador cuántico suficientemente potente y con corrección de errores podría, gracias al algoritmo de Shor, resolver los problemas matemáticos en los que se basa su seguridad. Las máquinas conocidas públicamente no disponen de esta capacidad a escala operativa. La fecha de un posible punto de inflexión sigue siendo incierta.
Pero esta incertidumbre no protege los datos ya interceptados. El escenario denominado «recopilar ahora, descifrar después» consiste en registrar comunicaciones cifradas con la esperanza de descifrarlas algún día. De ello no puede deducirse que un adversario almacene efectivamente cada flujo de datos. Sin embargo, las organizaciones que manejan secretos de larga duración deben incorporar esta posibilidad a su análisis de riesgos.
El cálculo estratégico se basa en tres plazos: ¿cuánto tiempo debe permanecer secreta una información, cuánto durará la migración y en qué plazo podría surgir una capacidad de descifrado? Los dos primeros suelen ser ya largos. Esperar a una demostración espectacular antes de empezar equivaldría a cambiar las cerraduras después de haber dejado que se copiaran las llaves.
La primera tarea se parece a una investigación
En una gran organización, preguntar «¿dónde utilizamos RSA?» no genera necesariamente una lista fiable. La criptografía se esconde en los certificados de los sitios web, las conexiones entre aplicaciones, las redes privadas virtuales, las tarjetas inteligentes, las copias de seguridad, las bibliotecas de software y los equipos industriales. Una parte está gestionada por proveedores; otra pervive en sistemas cuyos diseñadores ya se han marchado.
Por tanto, un inventario útil debe ir más allá del nombre de un algoritmo. Es necesario identificar su uso, sus parámetros, el responsable del sistema y las limitaciones para sustituirlo. Una biblioteca puede actualizarse rápidamente; un autómata instalado para quince años exige otra estrategia. Un servicio en la nube puede anunciar una función poscuántica sin cubrir todas las interfaces que utilizan sus clientes.
- Cartografiar los datos: identificar aquellos cuya confidencialidad debe mantenerse diez, veinte años o más.
- Localizar las dependencias: protocolos, certificados, claves, componentes de software, hardware y proveedores.
- Evaluar la capacidad de cambio: actualizaciones posibles, recursos disponibles y equipos que no pueden sustituirse a corto plazo.
- Asignar una responsabilidad: cada dependencia crítica debe contar con un interlocutor y una vía de migración.
Este trabajo implica a los equipos de ciberseguridad, pero también a los de compras y operaciones y a los responsables de negocio. El historial médico ilustra bien el problema: proteger su transferencia no basta si una copia antigua circula por otra parte. En cambio, un archivo cifrado con un mecanismo simétrico robusto no requiere necesariamente el mismo tratamiento que un intercambio basado en una clave pública vulnerable.
La transición se decidirá en los detalles
El cifrado simétrico no se ve afectado de la misma manera que RSA. El algoritmo cuántico de Grover modifica los márgenes de seguridad teóricos, pero no significa que todo cifrado simétrico se vuelva inutilizable. Las opciones correctamente dimensionadas, como AES-256 en los contextos adecuados, siguen siendo pertinentes. La prioridad consiste, por tanto, en examinar toda la cadena, especialmente la forma en que se establecen, transportan y almacenan las claves.
Para los intercambios en red, una vía de transición es el enfoque híbrido: combinar un mecanismo clásico con uno poscuántico. Los experimentos y despliegues de esta familia ya habían comenzado antes de la publicación definitiva de los estándares, especialmente en el ecosistema web. El objetivo es mantener la protección si uno de los mecanismos llegara a mostrar una debilidad, siempre que la combinación esté correctamente diseñada.
Esta cautela tiene un coste técnico. Según los algoritmos, las claves, los mensajes o las firmas pueden aumentar considerablemente de tamaño. Es necesario probar la latencia, el consumo de memoria, los equipos intermedios y las conexiones degradadas. Una solución satisfactoria en un centro de datos puede resultar inadecuada para un sensor de poca potencia. La seguridad también depende de la implementación: un estándar sólido no impide los errores de programación ni las fugas por canales laterales.
No confundir anuncio y preparación
Para quienes toman las decisiones, la trampa sería comprar una etiqueta «quantum-safe» en lugar de una hoja de ruta. Un proveedor debe precisar qué estándares admite, en qué productos, con qué dependencias y qué posibilidades existen de volver atrás. La disponibilidad de un algoritmo no equivale a la validación de toda la arquitectura ni a la certificación de cada componente.
El pronóstico más razonable para el periodo que abren estos estándares es el de una migración desigual. Los servicios que se actualizan periódicamente deberían evolucionar con mayor facilidad que los sistemas embebidos o industriales. Por tanto, las compras que se realicen ahora tendrán consecuencias duraderas: exigir la posibilidad de cambiar de mecanismo criptográfico, un mantenimiento a largo plazo y pruebas de interoperabilidad puede evitar un nuevo callejón sin salida. Esta agilidad criptográfica es una capacidad de ingeniería, no un botón mágico.
¿Y ahora qué? El siguiente paso debería ser menos espectacular que un anuncio de potencia cuántica: completar un inventario, probar un intercambio híbrido o pedir a un proveedor que concrete sus compromisos. Ningún calendario creíble permite fechar con certeza la amenaza decisiva. Pero las organizaciones ya pueden reducir su tiempo de reacción. Para la información que debe permanecer secreta durante mucho tiempo, la pregunta adecuada ya no es solo «¿cuándo habrá que migrar?», sino «¿qué corremos el riesgo de no poder seguir protegiendo si esperamos?»
