El primer obstáculo para la criptografía poscuántica no se parece a un ordenador futurista. Es un viejo dispositivo de red, una biblioteca olvidada en una aplicación empresarial, un certificado que lleva años renovándose automáticamente. Para preparar sus sistemas ante una máquina capaz de romper algunos de los mecanismos actuales, las empresas deben empezar por una investigación casi arqueológica: ¿dónde se esconde su criptografía? En este mes de septiembre de 2026, el trabajo puede describirse sin predecir una catástrofe inminente. Los estándares existen; su despliegue abre una transformación prolongada, cuyas bases consolidadas y retos futuros se exponen a continuación.
El riesgo no necesita ser inminente para importar
Un ordenador cuántico suficientemente potente y con corrección de errores podría, gracias al algoritmo de Shor, comprometer los fundamentos matemáticos de RSA y de la criptografía de curvas elípticas. Estos mecanismos sirven, entre otras cosas, para establecer secretos y firmar documentos, certificados o programas informáticos. Por tanto, no se trata solo de proteger unos cuantos archivos sensibles: está en juego una parte de la confianza digital.
Eso no significa que ya estén disponibles las máquinas cuánticas capaces de llevar a cabo estos ataques a gran escala. Los anuncios de avances en hardware no bastan para demostrar una capacidad operativa de descifrado. La fecha de ese punto de inflexión sigue siendo incierta. Sin embargo, esta incertidumbre no permite aplazar indefinidamente una migración que afecta a sistemas diseñados, en ocasiones, para funcionar durante varias décadas.
El problema es especialmente concreto para la información que debe mantenerse confidencial durante mucho tiempo. Un adversario puede registrar hoy comunicaciones cifradas con la esperanza de descifrarlas más adelante: es el escenario de «recopilar ahora, descifrar después». Los historiales médicos, los secretos industriales o determinadas comunicaciones sensibles del sector público pueden conservar su valor mucho después de que se hayan sustituido los servidores que las transmitieron.
El NIST ha convertido una investigación en un punto de partida
En agosto de 2024, el Instituto Nacional de Estándares y Tecnología de Estados Unidos publicó tres primeros estándares importantes. FIPS 203 define ML-KEM, procedente de Kyber, para establecer un secreto compartido mediante un mecanismo de encapsulación de claves. FIPS 204 define ML-DSA, procedente de Dilithium, para las firmas digitales. FIPS 205 regula SLH-DSA, derivado de SPHINCS+, otra familia de firmas basada en funciones hash.
Estos nombres técnicos marcan un hito industrial: los proveedores disponen de especificaciones comunes para desarrollar implementaciones y organizar su interoperabilidad. No constituyen una garantía absoluta y eterna. Como cualquier sistema criptográfico, estos mecanismos deben resistir el análisis público, implementarse correctamente e integrarse en protocolos robustos. Un algoritmo estandarizado no convierte automáticamente un producto en seguro.
También hay que despejar un malentendido: la criptografía poscuántica funciona en ordenadores clásicos. No requiere un enlace cuántico entre dos edificios. Y no es necesario descartar todo el cifrado actual: los algoritmos simétricos como AES no sufren la misma ruptura que RSA. El trabajo consiste en distinguir los usos, no en sustituir indiscriminadamente cada componente que lleve una etiqueta de «seguridad».
El inventario, esa dificultad subestimada
En una gran organización, no necesariamente hay alguien que disponga del mapa completo de los mecanismos criptográficos desplegados. El equipo de redes conoce las VPN; los desarrolladores, sus bibliotecas; el equipo de producción, ciertos certificados; el de compras, algunos contratos. Entre estos ámbitos se encuentran dependencias indirectas: un agente de copias de seguridad, un terminal de pago, un equipo industrial, un servicio en la nube o una aplicación heredada cuyo responsable de mantenimiento ha desaparecido.
Por tanto, un inventario útil va más allá de una lista de algoritmos. Debe vincular cada uso con una función, unos datos y un responsable. Un certificado que protege un sitio web público y se renueva con frecuencia no tiene el mismo perfil que una clave de firma incorporada en un equipo de difícil acceso. La pregunta adecuada pasa a ser: ¿qué protege este mecanismo, durante cuánto tiempo y cómo podrá cambiarse?
- Localizar los protocolos, las bibliotecas, los certificados y los dispositivos de gestión de claves.
- Identificar las aplicaciones y los proveedores que dependen de cada mecanismo.
- Evaluar el periodo de confidencialidad de los datos y la vida útil de los equipos.
- Documentar las posibilidades de actualización, las limitaciones y los responsables.
Las herramientas de detección pueden analizar código, configuraciones o comunicaciones observables. Pero ningún escaneo lo ve todo: puede pasar por alto una dependencia inactiva, un intercambio cifrado opaco o una función oculta en un firmware. Hay que contrastar los resultados con la documentación y las entrevistas técnicas. Sobre todo, este inventario debe mantenerse actualizado; de lo contrario, cada nueva entrega volverá a crear puntos ciegos.
Cambiar el algoritmo no basta
Sobre el papel, una migración se parece a una sustitución. En la práctica, las claves, las firmas o los mensajes intercambiados pueden ocupar más espacio. Esto puede afectar a las conexiones, la memoria disponible, los equipos intermedios y los dispositivos con recursos limitados. El rendimiento varía según el mecanismo y su implementación: un resultado obtenido en un servidor reciente no describe el comportamiento de un sensor industrial.
Por tanto, las primeras pruebas deben medir una cadena completa, y no solo la velocidad de una operación matemática. Una entidad puede probar su portal, su balanceador de carga, su gestión de certificados y sus clientes más antiguos. Una empresa industrial también deberá examinar la firma de las actualizaciones: proteger las comunicaciones no basta si el dispositivo acepta mañana un programa cuya autenticidad pueda falsificarse.
Los enfoques híbridos, que combinan mecanismos clásicos y poscuánticos, ofrecen una vía de transición. Su interés reside en conservar la protección si una de las familias resiste, siempre que la combinación esté correctamente diseñada. Pero también aumentan la complejidad. La hibridación debe apoyarse en construcciones y perfiles probados, y no en una combinación improvisada por cada empresa.
Una cuestión tanto de compras como de matemáticas
La trayectoria más realista consiste en avanzar por prioridades: datos sensibles a largo plazo, infraestructuras críticas y, después, sistemas cuya renovación será especialmente lenta. Hay que preguntar a los proveedores por los mecanismos previstos, las versiones compatibles, las modalidades de actualización y las pruebas de interoperabilidad. Una promesa comercial de seguridad «quantum-safe» no sustituye ni una descripción técnica ni una hoja de ruta verificable.
A más largo plazo, esta migración podría, sobre todo, exigir una mayor agilidad criptográfica: poder cambiar de mecanismo sin reconstruir toda una aplicación. Esto requiere responsabilidades claras, procedimientos de prueba y posibilidades de reversión controladas. Este beneficio va más allá de lo cuántico: una vulnerabilidad clásica o una implementación deficiente ya pueden obligar a sustituir rápidamente un componente de seguridad.
¿Y ahora qué? La perspectiva razonable no es ni una transición universal inmediata ni esperar a tener una fecha cierta para el peligro. A las organizaciones les convendría iniciar desde ahora un inventario, algunos proyectos piloto representativos y requisitos contractuales para sus próximas compras. Si los ordenadores cuánticos amenazantes tardan en llegar, este trabajo habrá mejorado el control de los sistemas. Si avanzan más rápido de lo previsto, las organizaciones que conozcan sus dependencias tendrán una ventaja decisiva: sabrán qué cambiar.
