Copyrights. Maitane Crespo Montesinos,
2026. Todos los derechos reservados.
La Unión Europea ha establecido un marco regulatorio claro y ambicioso para enfrentar la amenaza que representa la computación cuántica sobre los sistemas criptográficos actuales. En junio de 2025, la Comisión Europea publicó su hoja de ruta para la transición coordinada hacia la criptografía post-cuántica (PQC), estableciendo plazos concretos: los Estados miembros deben poner en marcha estrategias nacionales antes de finales de 2026, mientras que la migración progresiva en sectores de alto riesgo debe completarse antes de 2035. Esta iniciativa no solo responde a avances tecnológicos, sino que busca garantizar la continuidad de la confianza digital en un escenario donde algoritmos como RSA y ECC podrían quedar obsoletos ante un ordenador cuántico criptográficamente relevante (CRQC).
Desde el punto de vista empresarial, estas regulaciones transforman la ciberseguridad post-cuántica de una recomendación técnica en una obligación legal. Directivas como NIS2 y el Cyber Resilience Act (CRA) incorporan explícitamente requisitos de resiliencia criptográfica, obligando a las organizaciones a demostrar que han identificado y mitigado riesgos asociados a la computación cuántica. El incumplimiento puede derivar en sanciones significativas, responsabilidad civil por brechas de datos y pérdida de certificaciones regulatorias esenciales para operar en sectores regulados. Las empresas deben entender que la transición ya no es opcional: forma parte del deber de diligencia que exige la legislación europea actual.
Los órganos de gobierno de las empresas enfrentan una nueva dimensión de responsabilidad fiduciaria. Los consejeros deben incorporar el riesgo cuántico en sus análisis de riesgos estratégicos, ya que la posible exposición a ataques «harvest now, decrypt later» puede considerarse una negligencia si no se adopta un plan de transición razonable. Los tribunales y autoridades regulatorias cada vez exigen mayor evidencia de que los máximos responsables han actuado con la diligencia debida ante amenazas conocidas y predecibles.
Esta responsabilidad se extiende a la cadena de suministro. Las empresas deben exigir a sus proveedores evidencias de planes de migración post-cuántica, incorporando cláusulas contractuales específicas que transfieran parte de la responsabilidad en caso de incumplimiento. Los contratos celebrados a partir de 2026 que no contemplen requisitos de criptoagilidad podrían ser considerados inadecuados desde el punto de vista de la diligencia debida.
La estrategia de capturar datos cifrados hoy para descifrarlos mañana cuando exista un ordenador cuántico suficientemente potente representa uno de los riesgos más complejos desde el punto de vista jurídico. Información sensible con valor a largo plazo —como secretos empresariales, datos de salud, información financiera o propiedad intelectual— puede ser almacenada por adversarios estatales o criminales sin que la empresa tenga conocimiento inmediato de la brecha.
Desde una perspectiva legal, el principal desafío radica en determinar el momento en que se produce la violación de datos. Si la información es interceptada hoy pero descifrada dentro de cinco o diez años, ¿cuándo prescribe la responsabilidad? Esta incertidumbre genera un escenario complejo donde las empresas podrían enfrentar demandas colectivas años después de que ocurriera la captura inicial de datos. Además, si la empresa conocía la amenaza y no implementó medidas razonables de protección, podría enfrentarse a acusaciones de negligencia grave.
Determinados tipos de información requieren protección durante décadas. Registros médicos genómicos, contratos estratégicos, claves de firma de código o datos biométricos no pierden su sensibilidad con el tiempo. La legislación de protección de datos como el RGPD exige que las empresas apliquen medidas técnicas adecuadas teniendo en cuenta el estado de la técnica y los riesgos previsibles. Las autoridades de control ya han señalado que ignorar la amenaza cuántica podría interpretarse como incumplimiento del principio de «privacidad desde el diseño».
Las empresas deben realizar una clasificación específica de sus activos informativos según su «vida útil de confidencialidad». Aquellos datos que necesiten permanecer confidenciales más allá de 2030 requieren atención prioritaria en los planes de migración. Esta clasificación no solo tiene implicaciones técnicas, sino que sirve como evidencia de diligencia ante auditores, reguladores y tribunales.
La criptoagilidad ha dejado de ser un concepto técnico para convertirse en un requisito de cumplimiento normativo. Según el NIST y la hoja de ruta europea, las organizaciones deben demostrar capacidad para reemplazar algoritmos criptográficos de forma ágil sin comprometer la continuidad operativa. Esta capacidad se está incorporando progresivamente en estándares de gobernanza y marcos de control como ISO 27001 (en su versión actualizada) y los requisitos de ciberseguridad de sectores regulados.
Implementar criptoagilidad implica crear una arquitectura que permita actualizar algoritmos, protocolos y librerías de forma sistemática. Esto incluye mantener inventarios criptográficos actualizados, establecer procesos de gobernanza centralizada y definir procedimientos de transición que minimicen el impacto operativo. Las empresas que no desarrollen esta capacidad podrían enfrentar dificultades para demostrar cumplimiento ante inspecciones regulatorias.
Un programa efectivo de criptoagilidad debe basarse en cinco pilares fundamentales que combinan aspectos técnicos, organizativos y legales:
Las empresas deben iniciar cuanto antes un proceso estructurado que combine cumplimiento legal con mejoras técnicas. El primer paso consiste en realizar un inventario criptográfico exhaustivo que identifique dónde y cómo se utiliza la criptografía en toda la infraestructura, aplicaciones, procesos de negocio y cadena de suministro. Este inventario debe mapear cada uso criptográfico con los datos que protege y su criticidad.
Posteriormente, es necesario realizar un análisis de riesgos específico que evalúe la exposición a amenazas cuánticas, priorizando aquellos activos con mayor impacto potencial. Este análisis debe servir de base para elaborar un plan de transición priorizado, con plazos realistas alineados con los requisitos regulatorios europeos. Las organizaciones deberían considerar un enfoque híbrido durante la transición, combinando algoritmos clásicos con los nuevos estándares post-cuánticos aprobados por el NIST (ML-KEM, ML-DSA y SLH-DSA).
Los sectores más críticos —banca, seguros, salud, energía, defensa y administración pública— enfrentan requisitos más exigentes. Estas organizaciones deben incorporar la transición post-cuántica en sus planes de continuidad de negocio y resiliencia operativa. Las entidades financieras, por ejemplo, deben considerar cómo afectará esta migración a sus sistemas de pagos, firma digital y custodia de activos.
Los proveedores de servicios en la nube y empresas tecnológicas tienen una doble responsabilidad: proteger sus propios sistemas y ofrecer soluciones post-cuánticas a sus clientes. Aquellos que no puedan demostrar avances concretos en esta área podrían perder competitividad y enfrentar reclamaciones por incumplimiento contractual.
| Algoritmo | Estándar | Propósito principal | Nivel de seguridad | Estado 2025 |
|---|---|---|---|---|
| ML-KEM (Kyber) | FIPS 203 | Intercambio de claves | 1, 3 y 5 | Estándar aprobado |
| ML-DSA (Dilithium) | FIPS 204 | Firmas digitales | 2, 3 y 5 | Estándar aprobado |
| SLH-DSA (SPHINCS+) | FIPS 205 | Firmas digitales | 1, 3 y 5 | Estándar aprobado |
La transición hacia la ciberseguridad post-cuántica no es únicamente un tema tecnológico, sino una cuestión de supervivencia empresarial y cumplimiento normativo. Aunque pueda parecer compleja, el mensaje fundamental es claro: las empresas que actúen con anticipación protegerán su información sensible, mantendrán la confianza de sus clientes y evitarán sanciones regulatorias. Comenzar con un inventario de cómo se protege actualmente la información y establecer un plan gradual es el primer paso accesible que cualquier organización puede dar.
La criptoagilidad —la capacidad de cambiar los sistemas de cifrado de forma ordenada— se está convirtiendo en un requisito básico de buena gobernanza. Las empresas que la incorporen en su cultura organizativa no solo cumplirán con la ley, sino que ganarán una ventaja competitiva al poder adaptarse rápidamente a futuros cambios tecnológicos. La computación cuántica no destruirá la ciberseguridad, pero sí transformará quiénes están preparados para el futuro digital.
Desde el punto de vista técnico, la transición requiere una aproximación sistemática basada en descubrimiento criptográfico automatizado, modelado de amenazas específico para algoritmos cuánticos y una arquitectura de claves híbrida que permita la coexistencia segura de algoritmos clásicos y PQC durante el período de migración. La implementación de un sistema centralizado de gestión de certificados y claves (PKI + KMS) con soporte nativo para algoritmos NIST PQC se convierte en elemento crítico de la infraestructura.
Los equipos técnicos deben priorizar la migración de aquellos sistemas que protegen información con «vida útil de confidencialidad» superior a 7-10 años, implementando progresivamente algoritmos como ML-KEM para establecimiento de claves y ML-DSA para firmas digitales. La monitorización continua de avances en corrección de errores cuánticos y el mantenimiento de un roadmap actualizado de algoritmos candidatos resultan esenciales. Además, la integración de librerías como Bouncy Castle con soporte PQC y la validación de implementaciones híbridas (X25519 + ML-KEM) deben formar parte de los estándares de desarrollo seguro de la organización.
Asesoramiento personalizado para cada situación legal. Confié su caso en manos expertas que velan por su bienestar jurídico.
