La migración hacia la seguridad resistente a la computación cuántica ya está en marcha y está cambiando el debate en los gobiernos, las infraestructuras críticas y la industria.
La transición a la seguridad resistente a la computación cuántica afecta a cada capa de la economía digital, y las decisiones que se tomen ahora darán forma a la resiliencia del futuro.
La transición también es una oportunidad para construir una ciberresiliencia más sólida y ayudar a proteger los servicios esenciales, la estabilidad económica y la confianza en los sistemas digitales.
La transición hacia la seguridad resistente a la computación cuántica ha pasado de la planificación a largo plazo a la acción inmediata. Desde que el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) finalizó sus primeros estándares de criptografía poscuántica (PQC) en 2024, las organizaciones tienen una señal clara de que la migración debe comenzar.
El Centro Nacional de Ciberseguridad del Reino Unido ha fijado objetivos de migración por fases hasta 2035, mientras que los hiperescaladores, como Google, han fijado un calendario de 2029 para su propia transición. En conjunto, estos avances están cambiando el debate en los gobiernos, las infraestructuras críticas y la industria.
La presión aumenta porque la transición afecta a cada capa de la economía digital. Los gobiernos quieren más seguridad y mayor garantía en las tecnologías que sustentan los sistemas esenciales. La industria trabaja para convertir los estándares en productos y servicios. Los operadores de infraestructuras nacionales críticas están tomando decisiones ahora que darán forma a la resiliencia durante los próximos años. Ahí es donde empieza el verdadero desafío.
Un desafío de coordinación inherente a la cadena de suministro
La transición hacia la criptografía poscuántica atraviesa una compleja cadena de suministro tecnológico mundial. Los estándares deben integrarse en los semiconductores, incorporarse a los productos de los fabricantes de equipos originales (OEM), contar con el respaldo de los proveedores de redes y de nube y, después, desplegarse en la infraestructura de la que las sociedades dependen cada día. Este proceso solo funciona cuando cada capa avanza con suficiente claridad y suficiente alineación.
En las infraestructuras nacionales críticas, lo que está en juego es mayor y los plazos son más exigentes. Las redes eléctricas, los sistemas de transporte, las redes de telecomunicaciones y las instituciones financieras dependen de activos de larga vida útil, entornos regulados y equipos de origen global.
Muchos operadores se enfrentan a un doble desafío: asegurar las nuevas infraestructuras y, al mismo tiempo, determinar cómo actualizar lo que ya está en funcionamiento. Las decisiones de adquisición que se tomen ahora darán forma a la resiliencia durante años y, en algunos casos, durante décadas. Si esas decisiones se toman sin una vía clara hacia el soporte poscuántico, el coste y la complejidad de ponerse al día más adelante serán considerables.
La transición a la PQC depende de cada capa del sistema
La PQC debe abordarse como una actualización global de la infraestructura, y no solo como una actualización de seguridad rutinaria o una renovación informática. Un dispositivo no se vuelve resistente a la computación cuántica mediante un cambio aislado. Su seguridad depende del chip, el firmware, el sistema operativo, las aplicaciones, los servicios en la nube a los que se conecta y la red que transporta su tráfico. Lo mismo ocurre en los sistemas empresariales, los entornos industriales y las infraestructuras críticas.
Por eso la transición debe concebirse como interdependiente. Los fabricantes de semiconductores se sitúan al inicio de esa cadena. Una vez que la PQC esté integrada en el silicio, los OEM podrán incorporarla a sus productos, los proveedores de redes podrán darle soporte en los entornos desplegados y los operadores de infraestructuras podrán empezar a implantarla a gran escala. Cada etapa depende de la anterior. Si una parte del sistema se queda atrás, todas las que vienen después lo notan.
Por eso el debate no puede quedarse en los equipos técnicos. Debe llegar a las funciones de compras, a los consejos de administración, a los reguladores y a los responsables de políticas. De lo contrario, el riesgo es claro: se desplegarán infraestructuras que no podrán soportar la seguridad resistente a la computación cuántica dentro de los plazos que los gobiernos están fijando ahora.
La ventana de actuación en la seguridad poscuántica se está cerrando
El momento es importante porque la ventana de actuación se estrecha. El objetivo de 2029 de Google ya se está convirtiendo en un referente comercial en todo el mercado. Cuando un hiperescalador avanza en un cambio tecnológico de este tipo, cambian las expectativas para los proveedores, los socios y los clientes. Esa presión se extiende después a toda la cadena de suministro.
Los gobiernos también se están movilizando. La Estrategia Nacional de Tecnología Cuántica del Reino Unido destina 2.500 millones de libras durante 10 años a investigación, innovación y capacitación, lo que refleja la importancia estratégica que han adquirido las tecnologías cuánticas.
Al mismo tiempo, una investigación reciente de Google ha demostrado que los avances en el criptoanálisis cuántico están reduciendo los recursos necesarios para romper los sistemas criptográficos de uso generalizado, lo que es una de las razones por las que las organizaciones están reevaluando cuánto tiempo les queda realmente.
Para los operadores de infraestructuras críticas, esto cambia el horizonte de planificación. Ya no se trata de un problema lejano con margen para esperar. Están trabajando dentro de ciclos de adquisición y renovación que determinarán qué nivel de seguridad podrán soportar sus sistemas durante la próxima década.
De la preparación cuántica a una ciberresiliencia más amplia
Aquí también existe una oportunidad más amplia de ciberresiliencia. Los grandes cambios tecnológicos tienden a poner al descubierto debilidades que ya existían pero que aún no se habían abordado por completo. La migración poscuántica ofrece una oportunidad poco común de reforzar los sistemas de forma más amplia mientras se revisa la arquitectura subyacente.
Estamos viendo dinámicas similares con la inteligencia artificial (IA). Anthropic afirma que su Claude Mythos Preview ha identificado vulnerabilidades en software e infraestructuras importantes a través de Project Glasswing, que ahora incluye a más de 40 organizaciones que utilizan el modelo para tareas de seguridad defensiva. Mozilla ha indicado que Firefox 150 incluyó correcciones para 271 vulnerabilidades identificadas con Mythos. Estos ejemplos muestran lo rápido que pueden aflorar defectos de diseño e implementación ocultos cuando las nuevas capacidades se aplican a gran escala.
Esto es importante en el contexto de la criptografía poscuántica, porque el despliegue nunca depende solo del algoritmo. Depende de la calidad de la implementación en sistemas reales. La IA puede ayudar a los defensores a probar, validar y reforzar esas implementaciones mucho más rápido.
Esto importa porque los atacantes también utilizarán la IA para buscar las mismas debilidades. Si los equipos de seguridad no emplean estas herramientas para mejorar la resiliencia durante la transición, estarán desaprovechando valor justo en el peor momento.
Cerrar la brecha de ejecución en la criptografía poscuántica
Una de las lecciones más claras de la Iniciativa de Ciberresiliencia del Foro Económico Mundial es que las organizaciones a menudo comprenden el riesgo que tienen delante, pero aun así les cuesta convertir esa comprensión en acciones sostenidas debido a una gobernanza fragmentada, una propiedad poco clara y prioridades en conflicto.
Ese patrón ya se repite en la transición poscuántica. Los estándares existen, la tecnología avanza y la urgencia aumenta. La prioridad ahora es si los gobiernos, los proveedores de tecnología, los organismos de normalización y los operadores de infraestructuras pueden avanzar al mismo ritmo. Eso implica alinear las vías de adquisición, garantía e implementación a través de las fronteras y de las cadenas de suministro.
Esta transición determinará el grado de seguridad de los sistemas críticos durante las próximas décadas. También es una oportunidad para construir una ciberresiliencia más sólida en general mientras esos sistemas se actualizan. Las organizaciones que traten la PQC como un programa de resiliencia coordinado, y no como un ejercicio de cumplimiento normativo limitado, serán las mejor posicionadas para proteger los servicios esenciales, la estabilidad económica y la confianza en los sistemas digitales de los que el mundo depende hoy.
