Criptografía poscuántica: los plazos de 2026, 2030 y 2035 y cuáles son vinculantes

Por qué las fechas ya están fijadas

Desde agosto de 2024 existen algoritmos poscuánticos normalizados. Entonces, el NIST estadounidense publicó ML-KEM para el establecimiento de claves y ML-DSA y SLH-DSA para firmas como FIPS 203, 204 y 205. Desde ese momento, «estamos esperando a los estándares» ya no es motivo para aplazar la migración.

Ahora también hay fechas. En junio de 2025, los Estados miembros de la UE, con el apoyo de la Comisión Europea, publicaron una hoja de ruta común para la transición. Hoja de ruta de la UE En enero de 2026, el BSI, la Oficina Federal de Seguridad de la Información de Alemania, añadió plazos de migración a su directriz técnica TR-02102-1. BSI TR-02102-1 Y el 12 de octubre de 2026, el BMI (Ministerio Federal del Interior), el BMDS (Ministerio Federal de Asuntos Digitales y Modernización del Estado) y el BSI publicaron una directriz conjunta que traslada las fechas de la UE a Alemania. BSI

Este artículo sitúa en contexto las fechas de estos documentos. Separa lo que se recomienda de dónde eso se convierte en una obligación. Muchos resúmenes prestan muy poca atención a esta distinción.

Los plazos de un vistazo

Finales de 2026: inventario, responsabilidad y plan

El primer plazo no afecta a la tecnología, sino a la organización. Para finales de 2026, la hoja de ruta de la UE menciona, entre otros, estos primeros pasos: implicar a las partes interesadas, establecer una gestión madura de los activos criptográficos, registrar las dependencias, analizar el riesgo cuántico, incluir la cadena de suministro y elaborar un calendario y un plan de implantación. Para entonces deberían haberse iniciado proyectos piloto para los casos de uso de riesgo alto y medio. Hoja de ruta de la UE, PDF

La directriz nacional es más concreta para Alemania. La fase de preparación y planificación, que la directriz denomina «PQC-Readiness», debe estar concluida a finales de 2026. Cada organización debería designar al menos una función responsable que dirija el plan de implantación, las prioridades y el avance, y prever para ello recursos humanos y financieros suficientes. Directriz, PDF

Para el inventario, la directriz remite al Krypto-Kataster (inventario criptográfico) del IT-Grundschutz, la metodología de protección básica del BSI: requisito CON.1.A19 del módulo CON.1 Concepto criptográfico. Las herramientas de inventario, los análisis de repositorios de código y una Cryptographic Bill of Materials (CBOM), por ejemplo según el estándar CycloneDX, pueden ayudar. La primera versión del inventario debe estar lista a finales de 2026. Incluye también una visión general de las dependencias internas y externas. El ejemplo de la directriz: el lector de tarjetas y la tarjeta deben dominar ambos algoritmos resistentes a la computación cuántica; de lo contrario, la conexión entre ellos no es resistente a la computación cuántica.

Finales de 2030: qué es un caso de uso de alto riesgo

El plazo más importante es finales de 2030. Para entonces, los casos de uso con riesgo cuántico alto deben estar migrados. La hoja de ruta de la UE lo formula con claridad: para estos casos de uso, los algoritmos de clave pública vulnerables no deberían seguir utilizándose por sí solos después de finales de 2030. Lo mismo rige para los casos de uso de riesgo medio después de finales de 2035.

Qué significa «riesgo alto» lo determina cada organización. La hoja de ruta ofrece para ello un método y unas reglas generales aproximadas. El riesgo cuántico de un caso de uso depende de tres factores:

• lo vulnerable que sea la criptografía utilizada,
• qué daño se produce si se rompe,
• cuánto tiempo y esfuerzo exige la migración a la criptografía poscuántica.

Dos reglas generales de la hoja de ruta resultan especialmente prácticas. Primera: si los datos deben permanecer confidenciales durante al menos diez años y un ataque seguiría teniendo consecuencias importantes al cabo de diez años, el riesgo es alto. Los atacantes pueden interceptar y almacenar esos datos ya hoy para descifrarlos más adelante («Store now, decrypt later»). Segunda: si la migración dura más de ocho años y las consecuencias de un ataque serían graves, el riesgo también es alto. La hoja de ruta pone como ejemplo la protección de las actualizaciones de software.

De ello se deriva un segundo requisito para 2030: las actualizaciones de software y firmware resistentes a la computación cuántica deben estar activadas por defecto. Los productos que salgan al mercado con una vida útil prevista más allá de 2030 deben poder actualizarse a algoritmos poscuánticos. Para ello, el propio mecanismo de actualización debe utilizar firmas poscuánticas.

En la TR-02102-1, el BSI fija la misma fecha para las aplicaciones con una necesidad de protección muy alta: su migración a algoritmos resistentes a la computación cuántica debería completarse a finales de 2030.

Finales de 2031 y 2035: qué recomienda la BSI TR-02102-1

La TR-02102-1, en su versión 2026-01 del 23 de enero de 2026, es la recomendación central del BSI sobre algoritmos criptográficos y longitudes de clave. Distingue entre establecimiento de claves y firmas. BSI TR-02102-1, PDF

Establecimiento de claves. El BSI solo recomienda algoritmos clásicos como RSA o Diffie-Hellman sobre curvas elípticas por sí solos hasta finales de 2031. Después, solo deberían utilizarse junto con un KEM resistente a la computación cuántica. El motivo es «Store now, decrypt later»: los datos interceptados están en peligro en cuanto exista un ordenador cuántico suficientemente potente, aunque la interceptación se haya producido años antes.

Firmas. Aquí la situación es distinta. Una firma clásica sigue siendo fiable mientras no exista un ordenador cuántico criptográficamente relevante. Por ello, el BSI sigue la hoja de ruta de la UE y, según el estado actual, recomienda previsiblemente los algoritmos de firma clásicos hasta finales de 2035. Al mismo tiempo, la directriz advierte de que, precisamente en las firmas dentro de una PKI, cabe esperar tiempos de migración largos.

Híbrido en lugar de sustitución. El BSI recomienda utilizar los algoritmos poscuánticos de forma híbrida, es decir, en combinación con un algoritmo clásico. Si uno de los dos cae, el otro sigue protegiendo. La directriz nacional asume esta recomendación.

2035: NIST IR 8547 y el marco internacional

En Estados Unidos, el NIST propuso en noviembre de 2024, con el borrador NIST IR 8547, un calendario para la retirada de los algoritmos clásicos de clave pública. NIST IR 8547 Los algoritmos con un nivel de seguridad de 112 bits, entre ellos RSA-2048, pasarán a considerarse «deprecated» después de 2030. Después de 2035, RSA, ECDSA, EdDSA y Diffie-Hellman clásico serán «disallowed» en todos los niveles de seguridad.

Dos matices son importantes. El documento sigue siendo hoy un borrador (Initial Public Draft). Y «deprecated» no significa prohibido para el NIST: un algoritmo puede seguir utilizándose si la organización asume conscientemente el riesgo. Solo queda definitivamente excluido como «disallowed».

La hoja de ruta de la UE se ha alineado deliberadamente con este calendario en el horizonte 2035. Remite a NIST IR 8547, al objetivo estadounidense del National Security Memorandum 10 de eliminar tanto riesgo cuántico como sea posible para 2035 y al calendario del NCSC británico, que también fija 2035 como objetivo. Para las empresas con actividad internacional, es una buena noticia: los grandes calendarios no se contradicen.

Qué es obligatorio y qué es recomendación

La mayoría de los resúmenes hablan de «deadlines». Sin embargo, jurídicamente, las fechas de la hoja de ruta de la UE y de la directriz nacional son recomendaciones. La propia directriz lo dice: los plazos son «recomendaciones urgentes debido a la presión aguda para actuar». Para que sean vinculantes, el IT-Planungsrat (el consejo de planificación de TI de la Federación y los estados federados alemanes) y el UP KRITIS (la alianza público-privada alemana para la protección de infraestructuras críticas) deberán adoptarlas con el mayor carácter vinculante posible antes de finales de 2026.

Hoy son vinculantes sobre todo tres cosas:

• Verschlusssachen (información clasificada). Para los productos de seguridad de TI homologados para información clasificada, el BSI ha fijado plazos vinculantes con el fin de migrar el ámbito de la información clasificada antes de 2030.
• NIS2 en Alemania. Conforme al § 30 de la Ley del BSI (BSIG), las entidades importantes y esenciales están obligadas a cumplir el estado de la técnica en materia de criptografía. La directriz menciona expresamente la TR-02102 como referencia. Quien ignore las recomendaciones de la TR-02102 sin una decisión de riesgo fundamentada tendrá, en caso de duda, dificultades para demostrar el estado de la técnica.
• Normas sectoriales. El acto delegado sobre gestión del riesgo de TIC en virtud de DORA (Reglamento Delegado (UE) 2024/1774, artículo 6) exige a las entidades financieras que prevean en su política de cifrado y controles criptográficos que la tecnología criptográfica se actualice o sustituya en función de los avances del criptoanálisis. Desde el 31 de marzo de 2025, el requisito 12.3.3 de PCI DSS 4.0.1 exige un inventario documentado de las suites de cifrado y los protocolos utilizados, revisado al menos una vez al año, y una estrategia para las vulnerabilidades previsibles. Ninguno de los dos fija una fecha poscuántica concreta. Pero un ordenador cuántico es exactamente el tipo de evolución a la que deben responder.

Ambos documentos, la hoja de ruta de la UE y la directriz, contienen además la misma frase para el caso de que no pueda cumplirse una fecha: en ese caso debe evaluarse el riesgo individual. No es una salida, sino una obligación de documentar. Quien no llegue a 2030 debería poder justificar por qué y con qué medidas compensatorias.

Qué significa el calendario para la planificación

La hoja de ruta de la UE justifica sus fechas también por la duración de la migración. Migrar por completo todos los sistemas relevantes podría llevar fácilmente de cinco a diez años. La directriz remite a migraciones criptográficas anteriores que también duraron años.

El grado de preparación de las empresas lo muestra una encuesta de mercado que KPMG realizó por encargo del BSI en 2023: casi el 90 % de los participantes estimaba que no podría hacer frente a tiempo a las amenazas que los ordenadores cuánticos suponen para la criptografía. Encuesta de mercado del BSI

La cuenta es sencilla. Quien deba haber migrado los casos de uso de alto riesgo a finales de 2030 y necesite cinco años para ello, tendría que haber empezado en 2025. Para todos los demás: el plazo de finales de 2026 para el inventario, la responsabilidad y el plan es el primero que todavía puede cumplirse de forma realista. Y cuesta sobre todo trabajo, apenas inversión.

Al mismo tiempo, la hoja de ruta de la UE y la directriz advierten contra el extremo opuesto. El calendario pretende evitar una transición caótica que cree nuevas vulnerabilidades mediante soluciones insuficientemente probadas. Por tanto, una sustitución completa y rápida no es el objetivo. Lo que se necesita es una migración priorizada, probada y documentada.

Lo que extraemos en Secani

La directriz exige integrar el riesgo cuántico en la gestión de riesgos ordinaria y anclar allí los plazos de tratamiento. Para un SGSI, esto significa que el riesgo cuántico no se convierte en un proyecto especial al margen del registro, sino en un riesgo como cualquier otro, vinculado a los activos, aplicaciones y proveedores afectados, con una persona responsable y una fecha. Así queda trazable qué casos de uso se clasificaron como de riesgo alto, por qué y cuándo deben estar migrados.

Cómo gestionar los riesgos para que se traduzcan en decisiones lo describimos en Cree un registro de riesgos que cambie las decisiones. Cómo revisar el cifrado y la gestión de claves en su conjunto lo explicamos en Cifrado y gestión de claves: verifique la cadena de protección. Lo que dice la investigación sobre el momento en que un ordenador cuántico podría romper RSA lo resumimos en ¿Cuándo llegará el Q-Day? Lo que muestra la investigación de 2025 y 2026.

Conclusión

Las fechas de la migración poscuántica están fijadas, y los grandes calendarios de la UE, Alemania, Estados Unidos y el Reino Unido encajan entre sí: a finales de 2026, inventario y plan; a finales de 2030, los casos de uso de alto riesgo; en 2035, el resto. Hasta ahora son vinculantes sobre todo para la información clasificada. Para las entidades NIS2 en Alemania se convierten de hecho en la referencia a través del estado de la técnica conforme al § 30 BSIG. Por eso, quien empiece hoy no debería comenzar por la tecnología, sino por una función responsable, un inventario y una clasificación fundamentada de sus propios casos de uso.

Fuentes

• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream del Grupo de Cooperación SRI (NIS Cooperation Group), parte 1, versión 1.1, 11 de junio de 2025, publicada el 23 de junio de 2025)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (directriz conjunta del BMDS, el BMI y el BSI, publicada el 12 de octubre de 2026)
• Umstellung auf Post-Quanten-Kryptografie: Leitlinie zur nationalen Umsetzung der EU-Roadmap veröffentlicht (BSI, nota de prensa, 12 de octubre de 2026)
• BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen (versión 2026-01, 23 de enero de 2026)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 de noviembre de 2024)
• Marktumfrage Kryptografie und Quantencomputing (KPMG por encargo del BSI, abril de 2023)