El trabajo rara vez comienza en un laboratorio cuántico. Suele empezar, más bien, ante un inventario incompleto: una VPN olvidada, una biblioteca de software antigua, sensores imposibles de actualizar. La criptografía poscuántica promete proteger las comunicaciones frente a futuros ordenadores capaces de romper algunas de las protecciones actuales. Pero su verdadero desafío ya es industrial: sustituir mecanismos integrados por todas partes, sin detener los servicios. Con la vista puesta en septiembre de 2026, los estándares publicados en 2024 ofrecen una base concreta; el ritmo de su despliegue sigue siendo, por su parte, una cuestión de integración, recursos y prioridades.
El riesgo no espera a la máquina
No existe un calendario fiable que permita anunciar la llegada de un ordenador cuántico capaz de romper, a escala operativa, los sistemas criptográficos de uso extendido. Las máquinas necesarias deberían disponer de capacidades considerables, especialmente en corrección de errores. Confundir una demostración científica con una capacidad de ataque industrial sería engañoso. Pero esperar una prueba de peligro inmediato sería igual de imprudente.
La razón se resume en una fórmula: recopilar hoy, descifrar mañana. Un adversario puede registrar comunicaciones cifradas y conservar esos datos hasta disponer de herramientas capaces de revelar sus secretos. Para un código promocional, lo que está en juego es limitado. Para historiales médicos, secretos industriales o información diplomática que deba permanecer confidencial durante décadas, el cálculo cambia por completo.
La amenaza afecta sobre todo a la criptografía de clave pública, en particular a RSA y a los mecanismos basados en curvas elípticas. En una máquina cuántica suficientemente potente, el algoritmo de Shor podría resolver los problemas matemáticos en los que se basa su seguridad. El cifrado simétrico, como AES, no se ve afectado de la misma manera: unos parámetros adecuados ofrecen márgenes de protección. Sustituirlo todo indiscriminadamente sería, por tanto, una mala estrategia.
Qué han cambiado los estándares de 2024
El 13 de agosto de 2024, el Instituto Nacional de Estándares y Tecnología de Estados Unidos publicó los tres primeros estándares de criptografía poscuántica. Fruto de un largo proceso internacional de evaluación, proporcionan especificaciones comunes a los desarrolladores y a la industria. Este paso de la competición académica a la normalización es decisivo: permite construir productos interoperables en torno a una referencia estable.
- ML-KEM, estándar FIPS 203, derivado de CRYSTALS-Kyber, permite establecer un secreto compartido entre dos partes.
- ML-DSA, estándar FIPS 204, derivado de CRYSTALS-Dilithium, proporciona un mecanismo de firma digital.
- SLH-DSA, estándar FIPS 205, derivado de SPHINCS+, ofrece firmas basadas en funciones hash.
Estas herramientas no desempeñan la misma función. Un mecanismo de encapsulación de claves ayuda a establecer el secreto que después servirá para cifrar una comunicación. Una firma permite verificar el origen y la integridad de un documento, un programa o una actualización. Esta distinción importa: proteger un túnel de red no resuelve automáticamente la seguridad del firmware instalado en una máquina.
«Poscuántico» tampoco significa «comunicación cuántica». Estos algoritmos funcionan en ordenadores clásicos y en las redes existentes. Se basan en problemas matemáticos considerados resistentes a los ataques cuánticos conocidos. Sin embargo, la normalización no es una garantía eterna: el análisis criptográfico, la calidad de las implementaciones y la vigilancia de las vulnerabilidades siguen siendo indispensables.
Primer obstáculo: encontrar la criptografía oculta
En una empresa, no siempre hay alguien que disponga del mapa completo de los usos criptográficos. El equipo de redes conoce las VPN; los desarrolladores, sus bibliotecas; el departamento de compras, los contratos de servicios en la nube. Pero ¿quién registra los certificados de una impresora, las claves de un autómata industrial o la firma de las copias de seguridad? La migración comienza con este ejercicio poco espectacular: determinar dónde se encuentran los algoritmos, quién los mantiene y durante cuánto tiempo deberán funcionar.
Este inventario debe vincular la técnica con los riesgos. ¿Durante cuánto tiempo debe garantizarse la confidencialidad? ¿Puede el equipo recibir una actualización? ¿Depende de un único proveedor? Un sistema reciente que exponga datos sensibles puede ser prioritario, al igual que una instalación destinada a permanecer en servicio veinte años. La antigüedad del hardware no basta para decidir el orden de los trabajos.
La propia actualización debe seguir siendo fiable
Los dispositivos conectados concentran las dificultades. Su memoria, su potencia de cálculo y su ancho de banda son a veces limitados. Sin embargo, las claves, las firmas o los mensajes poscuánticos pueden ocupar más espacio que sus equivalentes clásicos, según los mecanismos que se comparen. Una operación trivial en un servidor puede resultar exigente para un sensor alimentado por batería.
También hay que asegurar la vía de transición. Si un dispositivo solo reconoce un antiguo mecanismo de firma para aceptar sus actualizaciones, ¿cómo enseñarle a verificar uno nuevo? Esta cuestión debe abordarse antes de que su cadena de confianza se vuelva vulnerable. Para algunos equipos bastará con una migración de software; para otros, podría ser necesario sustituir el hardware.
Migrar sin romper lo que funciona
El paso a la criptografía poscuántica no consiste en seleccionar un nuevo algoritmo en un menú. Hay que verificar los protocolos, los formatos de los certificados, los módulos criptográficos y los equipos intermedios. Un mensaje más largo puede revelar una limitación en un cortafuegos o en un sistema embebido. Una biblioteca correcta también puede estar mal integrada o exponer información a través de canales laterales.
Los enfoques híbridos constituyen una vía de transición: combinan un mecanismo clásico y otro poscuántico. Cuando están correctamente diseñados, buscan mantener la protección si una de las dos familias se viera comprometida. Sin embargo, añaden complejidad. Su utilidad depende de construcciones probadas, protocolos bien definidos y pruebas de interoperabilidad, no de una combinación improvisada.
Para una infraestructura crítica, el enfoque razonable se parece más a una renovación por etapas que a una revolución criptográfica de la noche a la mañana. Probar en una plataforma representativa, medir la latencia y el consumo de memoria, verificar los modos de funcionamiento degradado y después desplegar de forma progresiva: estas etapas también protegen la disponibilidad. Un mecanismo teóricamente excelente que interrumpe un servicio esencial no constituye una migración exitosa.
La verdadera innovación: poder volver a cambiar
Este proyecto devuelve al primer plano la criptoagilidad: la capacidad de hacer evolucionar los mecanismos criptográficos sin reconstruir toda una aplicación. Requiere dependencias conocidas, configuraciones controladas y procedimientos de renovación probados. No significa multiplicar libremente las opciones, con el riesgo de permitir elecciones débiles. La agilidad útil sigue enmarcada en una política de seguridad.
Las compras se convierten así en una palanca técnica. Solicitar una hoja de ruta poscuántica, un plazo de mantenimiento y pruebas de interoperabilidad resulta más útil que una etiqueta comercial de «seguridad frente a ataques cuánticos». En un escenario de adopción creciente tras los estándares de 2024, las organizaciones mejor preparadas no serán necesariamente las que hayan migrado más rápido, sino las que sepan justificar cada transición.
¿Y ahora qué? La próxima etapa debería ser menos visible que el anuncio de un procesador cuántico, pero más útil de forma inmediata: inventariar, priorizar y experimentar. La adopción dependerá, entre otros factores, de la madurez de los protocolos, los productos y los requisitos sectoriales. Sin predecir una fecha de ruptura, se impone una certeza operativa: los sistemas adquiridos hoy pueden seguir funcionando cuando la amenaza haya cambiado de escala. Preparar su evolución es evitar que la seguridad de mañana siga prisionera de las decisiones de ayer.