Migración a la criptografía post-cuántica: guía 2026
Qué es la criptografía post-cuántica, por qué los plazos ya están aquí y una ruta práctica, paso a paso, para migrar tus sistemas antes del Día Q.
La criptografía post-cuántica (PQC) ha pasado de ser un tema de investigación a un requisito de cumplimiento más rápido de lo que muchos equipos esperaban. Los estándares son definitivos, los plazos regulatorios están en el calendario y la migración ya no es opcional para nadie que maneje datos sensibles de vida larga. Esta guía explica qué es la PQC, por qué el reloj ya está corriendo y cómo migrar tus sistemas en un orden sensato y priorizado.
Qué es realmente la criptografía post-cuántica
Casi todo el cifrado de internet hoy se apoya en dos problemas matemáticos difíciles: factorizar números grandes (RSA) y el logaritmo discreto de curva elíptica (ECDH, ECDSA). Un ordenador cuántico suficientemente potente ejecutando el algoritmo de Shor resolvería ambos de forma eficiente — rompiendo el intercambio de claves que protege tus conexiones TLS y las firmas que prueban la identidad de tu dominio.
La criptografía post-cuántica sustituye esos algoritmos vulnerables por otros nuevos basados en problemas matemáticos que no se sabe que los ordenadores cuánticos resuelvan de forma eficiente — principalmente esquemas basados en retículos. Los algoritmos protagonistas son ML-KEM (intercambio de claves) y ML-DSA (firmas), que reemplazan a ECDH y a RSA/ECDSA respectivamente.
Un matiz importante: la criptografía simétrica (AES) y el hashing (SHA-2/SHA-3) no se rompen del mismo modo con ordenadores cuánticos — solo necesitan parámetros más grandes. El problema urgente es la criptografía de clave pública: intercambio de claves y firmas.
Los estándares ya son definitivos
Esto ya no es especulativo. El 13 de agosto de 2024, NIST publicó tres estándares definitivos:
- FIPS 203 (ML-KEM) — el mecanismo de encapsulado de claves, antes conocido como CRYSTALS-Kyber.
- FIPS 204 (ML-DSA) — el estándar principal de firma digital, antes CRYSTALS-Dilithium.
- FIPS 205 (SLH-DSA) — un estándar de firma basado en hash (SPHINCS+) para casos de uso conservadores.
En marzo de 2025, NIST también seleccionó HQC como algoritmo de encapsulado de claves de respaldo, construido sobre una base matemática distinta a la de ML-KEM — una cobertura deliberada por si en el futuro se encuentra una debilidad en el enfoque de retículos. Un cuarto estándar de firma (FN-DSA / Falcon, previsto como FIPS 206) sigue en borrador.
La conclusión: los algoritmos a los que necesitas migrar existen, están estandarizados y ya vienen en software real hoy.
Por qué los plazos ya están aquí
El error más común es tratar la PQC como un problema para 2030. No lo es, por dos razones.
Primera: «recolectar ahora, descifrar después». Un atacante no necesita un ordenador cuántico hoy para hacerte daño hoy. Puede grabar tu tráfico cifrado ahora y descifrarlo cuando exista el hardware. Todo lo que deba seguir siendo confidencial durante años — historiales médicos, datos financieros, secretos comerciales, comunicaciones de Estado — está expuesto en la práctica en el momento en que se transmite con criptografía clásica. (Tratamos esta amenaza en detalle en Recolectar ahora, descifrar después.)
Segunda: el calendario regulatorio. Varios marcos importantes fijan ya fechas de migración explícitas:
- NIST IR 8547 propone que RSA y la criptografía de curva elíptica en los niveles de seguridad habituales queden obsoletos tras 2030 y prohibidos tras 2035. Estas fechas se han convertido en el norte de facto del sector.
- NSA CNSA 2.0 exige ML-KEM-1024 y ML-DSA-87 para los sistemas de seguridad nacional de EE. UU., con hitos por categoría que van de 2025 a 2033 y la obligación de que las nuevas adquisiciones admitan CNSA 2.0 antes del 1 de enero de 2027.
- La Hoja de Ruta PQC coordinada de la UE pide a los Estados miembros definir hojas de ruta nacionales para finales de 2026, migrar la infraestructura crítica de alto riesgo para finales de 2030 y completar la transición para 2035.
- El NCSC del Reino Unido fija 2028 para completar el descubrimiento criptográfico, 2031 para las migraciones de máxima prioridad y 2035 para la migración total.
Incluso donde las normativas no nombran algoritmos PQC explícitamente — como NIS2 y DORA de la UE — exigen criptografía «de última generación» y controles basados en riesgo, lo que cada vez más implica tener un plan PQC. (Más sobre esto en Qué exigen NIS2 y DORA en criptografía.)
¿Cuándo es el Día Q?
Nadie lo sabe. Las estimaciones sobre cuándo llegará un ordenador cuántico criptográficamente relevante van de 2028 a más allá de 2040, según a quién preguntes. Algunos grandes operadores planifican ya contra 2029 como escenario conservador. La respuesta honesta es que el Día Q es un riesgo que gestionar, no una fecha que predecir — y el marco correcto es la desigualdad de Mosca: si el tiempo que tus datos deben permanecer secretos, más el tiempo que tardas en migrar, es mayor que el tiempo hasta el Día Q, ya llegas tarde. Para los datos de vida larga, esa condición ya se cumple hoy.
Una ruta de migración práctica
La migración es un programa de varios años, pero sigue un orden previsible. Esta es la secuencia sensata.
1. Inventaría tu criptografía
No puedes migrar lo que no ves. Construye un inventario de cada lugar donde usas criptografía: endpoints TLS, certificados, SSH, VPN, email, firma de código, claves almacenadas y las librerías que hay debajo. Este «inventario criptográfico» (CBOM) es el artefacto más solicitado en todos los marcos — PCI DSS, los mandatos federales de inventario de EE. UU., el hito de 2028 del NCSC y la hoja de ruta de la UE empiezan todos aquí.
2. Clasifica por vida del dato y exposición
No todo es igual de urgente. Ordena los activos por cuánto tiempo deben permanecer confidenciales sus datos (un historial médico de 25 años está mucho más expuesto que un token de sesión) y por la facilidad con que un atacante puede interceptarlos (un endpoint TLS expuesto a internet frente a un volumen de disco interno). Los datos de vida larga en canales expuestos son tu lista de prioridad uno.
3. Despliega primero el intercambio de claves híbrido
La victoria más rápida y de menor riesgo es el intercambio de claves híbrido en TLS — combinar un algoritmo clásico con uno post-cuántico para que la conexión sea segura aunque uno de los dos se rompa después. El estándar de hoy es X25519MLKEM768, que combina X25519 con ML-KEM-768. Está disponible en OpenSSL 3.5+ (publicado en abril de 2025 como versión de soporte a largo plazo), Nginx reciente y la mayoría de las CDN y navegadores principales. Al ser híbrido, hace fallback con elegancia y no rompe nada. (Consulta nuestra guía paso a paso: Habilitar X25519MLKEM768 en Nginx y OpenSSL 3.5.)
4. Planifica la migración de firmas y PKI
Las firmas son más difíciles que el intercambio de claves porque implican tu cadena de autoridad de certificación. Pasar los certificados de hoja e intermedios a ML-DSA depende del soporte de tu CA y es la parte que el NCSC señala explícitamente como la más desafiante. Empieza pronto la conversación con tu CA y trata la PKI como una vía aparte y más larga.
5. Aborda la firma de código y el firmware
CNSA 2.0 exige firmas basadas en hash con estado (LMS/XMSS) para la firma de código y firmware desde 2025. Si distribuyes software o dispositivos, esto es su propio flujo de trabajo con su propio calendario.
6. Monitoriza de forma continua
La agilidad criptográfica significa tratar esto como una postura permanente, no un proyecto puntual. Las configuraciones retroceden, las librerías cambian y aparecen endpoints nuevos. La monitorización continua detecta un servidor que perdió silenciosamente su soporte post-cuántico tras una actualización.
Por dónde empezar hoy
El primer paso concreto no cuesta nada: averigua dónde estás realmente. PQScore analiza cualquier dominio y muestra tu preparación post-cuántica en TLS, certificados, DNS y email — en menos de un minuto y sin registro.
Analiza tu dominio gratis con PQScore →
A partir de ahí, trabaja la lista anterior en orden: inventario, clasificación, intercambio de claves híbrido y luego PKI. Los equipos que empiecen ahora terminarán cómodamente antes de la ventana de obsolescencia de 2030. Los que esperen lo harán bajo la presión del plazo — y sus datos de vida larga habrán estado expuestos todo el tiempo.