¿Cuándo llegará el Q-Day? Lo que muestra la investigación de 2025 y 2026

Qué se entiende por Q-Day

«Q-Day» designa el día en que un ordenador cuántico pueda romper la criptografía de clave pública hoy extendida. Se trata sobre todo de RSA y de los algoritmos sobre curvas elípticas, en los que se basan TLS, las VPN, la firma de código, las PKI y las identidades digitales. Los especialistas hablan de un ordenador cuántico criptográficamente relevante, abreviado CRQC.

Que una máquina así podría romper estos algoritmos se sabe desde 1994, cuando Peter Shor publicó los algoritmos cuánticos correspondientes. Lo que sigue abierto es cuándo podrá construirse una máquina lo bastante grande y con una tasa de errores lo bastante baja. Sobre esta cuestión, la investigación ha avanzado claramente en 2025 y 2026. Este artículo resume los trabajos más importantes y sitúa en contexto qué demuestran y qué no.

Un concepto previo: los ordenadores cuánticos actuales funcionan con cúbits físicos, propensos a errores. Mediante la corrección cuántica de errores, muchos cúbits físicos se agrupan en un cúbit lógico más estable. Por eso, las estimaciones de recursos suelen indicar ambas cifras. Para saber a qué distancia está todavía el hardware, lo que cuenta es el número de cúbits físicos.

Qué esperan los especialistas: el Quantum Threat Timeline Report

La encuesta a largo plazo más conocida es el Quantum Threat Timeline Report del Global Risk Institute. Para elaborarlo, Michele Mosca y Marco Piani, de evolutionQ, encuestan cada año a especialistas de la investigación y la industria. La séptima edición, fechada el 9 de marzo de 2026, se basa en las respuestas de 26 especialistas. Global Risk Institute

El resultado: los encuestados consideran «bastante posible» un ordenador cuántico criptográficamente relevante en los próximos diez años, con una probabilidad del 28 al 49 %. En un plazo de 15 años lo consideran «probable», con un 51 a 70 %. La serie de informes define una máquina así como aquella capaz de romper RSA-2048 en 24 horas.

Una encuesta a 26 personas no es una medición. Su valor reside en la serie temporal: la misma pregunta se plantea desde hace años, y las estimaciones se han ido adelantando de una edición a otra.

Qué espera el BSI

El BSI, la Oficina Federal de Seguridad de la Información de Alemania, encarga desde 2017 un estudio propio que evalúa el estado de desarrollo de los ordenadores cuánticos, actualizado por última vez en 2025. La directriz nacional alemana sobre la migración poscuántica resume así el resultado: es probable que un ordenador cuántico de este tipo sea realizable en un máximo de 15 años, es decir, hasta 2040 o antes. Los supuestos básicos de la corrección cuántica de errores se verificaron por completo en 2024, y nuevos avances podrían acortar considerablemente ese plazo. Directriz, PDF

Para el ámbito de alta seguridad, el Gobierno federal alemán es más prudente. Allí trabaja con la hipótesis de que habrá ordenadores cuánticos criptográficamente relevantes a principios de la década de 2030. La directriz cita al respecto un documento impreso del Bundestag (Drucksache) de febrero de 2025.

Las estimaciones del BSI y de los especialistas están, por tanto, muy próximas: ningún avance decisivo mañana, pero una posibilidad realista dentro de la vida útil de los sistemas que se planifican hoy.

Las estimaciones de hardware bajan

Lo que más se ha movido son las estimaciones del tamaño que debería tener un ordenador cuántico para un ataque. Tres trabajos de 2025 y 2026 ocupan el centro.

RSA-2048 con menos de un millón de cúbits. En mayo de 2025, Craig Gidney, de Google Quantum AI, estimó que un ordenador cuántico con menos de un millón de cúbits ruidosos podría factorizar un número RSA de 2048 bits en menos de una semana. arXiv:2505.15917 En 2019, su estimación junto con Martin Ekerå era todavía de 20 millones de cúbits. arXiv:1905.09749 Los supuestos de hardware se mantuvieron iguales: una cuadrícula cuadrada con conexiones solo entre vecinos, una tasa de error del 0,1 % por puerta y un ciclo de corrección de errores de un microsegundo. El ahorro procede de mejores algoritmos y de una corrección de errores más eficiente, no de un hardware mejor. El precio es un tiempo de ejecución más largo.

RSA-2048 con unos 100.000 cúbits. En febrero de 2026, la empresa australiana Iceberg Quantum presentó la arquitectura «Pinnacle». Sustituye la corrección de errores habitual hasta ahora por los llamados códigos qLDPC. Con los mismos supuestos sobre tasa de error y frecuencia de ciclo, Iceberg estima unos 98.000 cúbits físicos con un tiempo de ejecución de alrededor de un mes, o unos 471.000 cúbits para alrededor de un día. arXiv:2602.11457 Hasta ahora, la arquitectura solo se ha comprobado en simulaciones. Requiere conexiones entre cúbits muy alejados y una decodificación de errores muy rápida, y ninguna de las dos se ha demostrado aún a esta escala.

Curvas elípticas en minutos. A finales de marzo de 2026, Google Quantum AI, junto con investigadores de la Ethereum Foundation y de la Universidad de Stanford, publicó estimaciones de recursos para curvas de 256 bits que protegen, entre otros, Bitcoin y Ethereum. Dos circuitos optimizados funcionan con menos de 1.200 cúbits lógicos y menos de 90 millones de puertas de Toffoli, o con menos de 1.450 cúbits lógicos y menos de 70 millones de puertas de Toffoli. En hardware superconductor con una tasa de error del 0,1 %, esto equivale a menos de 500.000 cúbits físicos y un tiempo de ejecución de pocos minutos. Google lo cifra en una reducción de unas 20 veces respecto a la mejor estimación anterior. Google Research, arXiv:2603.28846

También es llamativa la forma en que Google lo publicó. Los circuitos en sí no se publicaron, para no proporcionar instrucciones a los atacantes. En su lugar, una prueba de conocimiento cero demuestra que las estimaciones son correctas. Para las empresas es una señal: la propia investigación trata ya el tema como relevante para la seguridad.

Lo que las cifras no dicen

Por llamativa que sea la curva, los trabajos tienen límites claros.

• La máquina no existe. El chip Willow de Google tenía 105 cúbits cuando se presentó en diciembre de 2024 y demostró una corrección de errores por debajo del umbral crítico. Google El hardware está muy lejos de cientos de miles de cúbits que calculen con corrección de errores durante días o semanas.
• Los supuestos son optimistas, pero no exóticos. Todas las estimaciones mencionadas presuponen una tasa de error del 0,1 % y tiempos de ciclo del orden de microsegundos. Algunas plataformas alcanzan hoy esos valores, pero no a este tamaño ni de forma sostenida.
• La mayoría de los trabajos son preprints. Todavía no han sido revisados por pares. En el caso de Iceberg se suma que los resultados proceden solo de simulaciones.
• El progreso viene de los algoritmos. Ese es, a la vez, el lado inquietante. Cada reducción de los últimos años ha venido de mejores matemáticas y una mejor corrección de errores. Estos avances son difíciles de prever y pueden llegar de repente.

Quien deduzca de ello una fecha exacta lee en los trabajos más de lo que dicen. La afirmación sólida es otra: el listón ha bajado más de un orden de magnitud en siete años, sin que hayan cambiado los supuestos de hardware.

Por qué la incertidumbre no es motivo para esperar

Para la planificación ayuda un razonamiento sencillo que se remonta a Michele Mosca. Hay que comparar tres periodos:

• cuánto tiempo deben permanecer confidenciales los datos,
• cuánto dura la migración a la criptografía poscuántica,
• cuánto falta para que exista un ordenador cuántico criptográficamente relevante.

Si la suma de los dos primeros es mayor que el tercero, la migración llega tarde. Los datos interceptados y almacenados hoy podrán entonces descifrarse más adelante («Store now, decrypt later»).

La hoja de ruta de la UE para la migración poscuántica se basa precisamente en esto. Clasifica los casos de uso como de alto riesgo cuando los datos deben permanecer confidenciales al menos diez años, y estima la duración de una migración completa en cinco a diez años. Hoja de ruta de la UE, PDF Incluso quien no espere el Q-Day hasta 2040 llega, con diez años de confidencialidad y cinco de migración, a un inicio en 2025 como muy tarde.

En las firmas, la presión es menor, porque una firma solo tiene que resistir hasta que exista el ordenador cuántico. A cambio, los tiempos de migración son ahí los más largos: las PKI, las actualizaciones de firmware y los dispositivos de larga vida útil no se transforman en un año. Por eso, la hoja de ruta de la UE exige que, para 2030, las actualizaciones de software y firmware se firmen por defecto de forma resistente a la computación cuántica.

Conclusión

La investigación no ofrece una fecha para el Q-Day, pero sí una dirección clara. Los especialistas consideran bastante posible un ordenador cuántico criptográficamente relevante en diez años, el BSI lo considera probable hasta 2040, y los requisitos de hardware estimados bajaron con fuerza en 2025 y 2026. Para las empresas, el año exacto no es, de todos modos, la cuestión decisiva. Lo decisivo es si sus propios datos deben permanecer confidenciales durante más tiempo del que permite la migración. Qué plazos derivan de ello las autoridades y cuáles son vinculantes lo explicamos en Criptografía poscuántica: los plazos de 2026, 2030 y 2035 y cuáles son vinculantes.

Fuentes

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 9 de marzo de 2026)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (directriz conjunta del BMDS, el BMI y el BSI, 12 de octubre de 2026)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21 de mayo de 2025)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, publicado en Quantum en 2021)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, febrero de 2026)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney et al., arXiv, 30 de marzo de 2026)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31 de marzo de 2026)
• Meet Willow, our state-of-the-art quantum chip (Google, 9 de diciembre de 2024)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream del Grupo de Cooperación SRI (NIS Cooperation Group), junio de 2025)