La brecha entre el riesgo cuántico futuro y la planificación de ciberseguridad actual se ha reducido considerablemente durante el último año.
Los responsables políticos de todo el mundo ya han empezado a avanzar en la ciberseguridad resistente a la computación cuántica, y el sector privado les seguirá.
Las organizaciones no deberían esperar a la legislación, sino integrar la preparación cuántica en la ciberseguridad desde ahora.
En agosto, el Departamento del Tesoro de EE. UU. puso en marcha un Grupo de Trabajo sobre Preparación Cuántica para el sector financiero, reuniendo al gobierno, las instituciones financieras y los proveedores de infraestructura tecnológica en torno a tres líneas de trabajo: la transición a la criptografía poscuántica (PQC), la preparación de terceros y proveedores, y el riesgo de los activos digitales y las tecnologías emergentes.
El lanzamiento llegó solo unos meses después de que Estados Unidos también acelerara la carrera mundial por la ciberseguridad resistente a la computación cuántica. El 22 de junio, el presidente de EE. UU., Donald Trump, firmó dos órdenes ejecutivas: una para impulsar la computación cuántica avanzada y otra que obliga a las agencias federales a migrar a la criptografía poscuántica antes de 2030 para proteger los activos federales, y antes de 2031 en el caso de la autenticación. Históricamente, cuando el sector público se mueve primero, especialmente en EE. UU., los mercados privados lo han seguido.
EE. UU. no actúa solo. En Europa, la Comisión Europea ya ha publicado una hoja de ruta coordinada que insta a los Estados miembros de la UE a empezar a migrar a la PQC antes de finales de 2026, y se prevé que la infraestructura crítica migre antes de 2030.
Mientras tanto, ANSSI, la agencia nacional de ciberseguridad de Francia, ha anunciado que, a partir de 2027, dejará de certificar los productos de seguridad que carezcan de cifrado resistente a la computación cuántica, y prevé que todas las compras gubernamentales y de infraestructuras críticas sean seguras frente a la computación cuántica antes de 2030.
Japón sigue una trayectoria similar. A través de su programa nacional de normas criptográficas, CRYPTREC, el gobierno japonés está incorporando la PQC a las normas nacionales y sentando las bases para la migración en el gobierno y la infraestructura crítica.
¿Qué es la ciberseguridad «de vanguardia» en la era cuántica?
Surge una cuestión importante: ¿qué significa ahora la ciberseguridad «de vanguardia»? Aunque leyes de la UE como la Ley de Resiliencia Operativa Digital (DORA), la Directiva sobre seguridad de las redes y de la información 2 (NIS2) y la Ley de Ciberresiliencia (CRA) establecen normas de ciberseguridad, ninguna exige explícitamente la criptografía poscuántica. Sin embargo, todas exigen a las organizaciones aplicar medidas «de vanguardia».
Los supervisores financieros están aclarando en qué consiste esta norma de «vanguardia». El 7 de julio, el Banco Central Europeo comunicó a los consejeros delegados de los bancos que los avances en la computación cuántica afectarán a la ciberseguridad, y que la adopción de la criptografía poscuántica debe comenzar ya con inversiones estratégicas, añadiendo que abordará, mediante una carta en el momento oportuno, el riesgo emergente para los métodos de cifrado tradicionales.
Dos días después, la FINMA de Suiza publicó una orientación que exige un plan de migración, un análisis de riesgos, un inventario criptográfico, protección frente a ataques de «recolectar ahora, descifrar después», la colaboración con proveedores externos y la transición a la crypto-agilidad.
El mensaje es claro. La preparación para la era cuántica debe formar parte de la planificación de ciberseguridad actual, y no ser solo una aspiración a largo plazo.
También crece el impulso en toda África, aunque la mayoría de los países no han adoptado estrategias específicas para la criptografía poscuántica. Sin embargo, en todo el continente, los gobiernos están ampliando rápidamente los ámbitos que requerirán preparación cuántica, como la infraestructura digital, los sistemas de identidad y las fintech.
El programa de Ruanda Quantum Leap Africa impulsa la investigación y la educación cuánticas, mientras que el libro blanco de 2026 del Africa Quantum Consortium, Securing Africa's Digital Backbone, aborda la migración poscuántica.
Crear desde el principio una seguridad resistente a la computación cuántica puede evitar transiciones costosas y reforzar la ciberresiliencia. A nivel mundial, todas las organizaciones también deberán cumplir las normas internacionales de ciberseguridad establecidas por Europa, EE. UU. y las cadenas de suministro de los mercados preferentes.
¿Cuál es la amenaza cuántica?
El cifrado moderno protege todo, desde los mensajes privados y la banca en línea hasta los historiales médicos, las comunicaciones gubernamentales y la infraestructura crítica, precisamente porque romperlo llevaría a los supercomputadores más rápidos de hoy un tiempo inimaginablemente largo.
Sin embargo, un ordenador cuántico suficientemente potente podría realizar la misma tarea en un plazo drásticamente acelerado, lo que haría vulnerables muchos de los sistemas de seguridad digital actuales.
Los ordenadores cuánticos actuales todavía no representan una amenaza, pero los recientes avances en hardware y algoritmos sugieren que el plazo podría ser más corto. En 2025, la investigación de Google indicó que el número de cúbits necesarios para romper el cifrado RSA podría reducirse veinte veces, de 20 millones a menos de 1 millón, lo que acorta la distancia con las máquinas reales.
En marzo de 2026, un estudio de seguimiento realizado con Ethereum y Stanford estimó que romper la criptografía de curva elíptica en las firmas digitales podría requerir menos de 500.000 cúbits – de nuevo, una reducción de aproximadamente veinte veces.
Se confirme o no ese calendario, existe una conclusión cada vez más difícil de ignorar: al igual que con la pandemia de 2020, no podemos permitirnos esperar a que llegue el momento del «Día Q» para prepararnos.
El Centro para la Ciberseguridad del Foro Económico Mundial recomienda tres pasos para que las organizaciones se preparen para la transición criptográfica:
Realizar un inventario criptográfico para identificar dónde se utiliza el cifrado
Desarrollar la crypto-agilidad para actualizar los algoritmos sin rediseños costosos
Implementar una defensa en profundidad con múltiples capas de protección, como combinar la criptografía clásica y la poscuántica
El problema no es la concienciación, sino la planificación: una encuesta de la FINMA a 60 entidades financieras suizas revela que reconocen el riesgo cibernético de los ordenadores cuánticos, pero carecen de hojas de ruta de migración claras ni de planes prospectivos.
Por qué el «estado del arte» ya apunta en esta dirección
La innovación converge con la regulación en legislaciones como DORA, NIS2 y CRA, que están diseñadas para ser neutrales desde el punto de vista tecnológico. Exigen a las organizaciones adoptar medidas de ciberseguridad «de vanguardia», lo que permite flexibilidad a medida que la tecnología evoluciona.
Las organizaciones no pueden dar por supuesto el cumplimiento solo porque aún no se mencionen tecnologías específicas, sobre todo a medida que la UE desarrolla normas de criptografía poscuántica que dan forma al significado de «estado del arte".
Esto va más allá de la elección del algoritmo. La criptografía segura depende de una entropía de alta calidad, es decir, de la aleatoriedad verdadera que se utiliza para generar claves. Una aleatoriedad débil puede debilitar incluso a los mejores algoritmos: si un atacante reduce el rango de claves, puede encontrar la clave sin romper las matemáticas.
Pasar a algoritmos poscuánticos no elimina esa dependencia: las claves de la criptografía poscuántica también dependen de las mismas fuentes de entropía. Un algoritmo resistente a la computación cuántica con una aleatoriedad débil no es verdaderamente seguro.
La clave es la entropía verificable: aleatoriedad que puede medirse y demostrarse de forma continua, y no simplemente asumirse. La verificación garantiza la imprevisibilidad real de los resultados, lo que convierte la aleatoriedad en un rasgo de seguridad medible. Los organismos de certificación insisten en la evaluación y las pruebas; examinarán la diferencia entre la entropía declarada y la real. Las fuentes de entropía cuántica ayudan a cerrar esa brecha, ya que su imprevisibilidad procede de procesos físicos que pueden cuantificarse y certificarse. El punto principal es la verificabilidad, y la física sirve a ese fin.
Por qué la preparación cuántica debe integrarse en la ciberseguridad
La brecha entre el riesgo cuántico futuro y la planificación de ciberseguridad actual se ha reducido durante el último año. Las organizaciones no necesitan predecir los tiempos exactos de llegada de los ordenadores cuánticos, solo reconocer que las expectativas en materia de ciberseguridad están cambiando.
La tendencia mundial es clara: EE. UU. avanza mediante acciones federales, Europa a través de la regulación y las normas, y Japón mediante normas nacionales, mientras que África puede incorporar la resiliencia cuántica en los nuevos sistemas.
Los gobiernos suelen marcar pronto la agenda del mercado, influyendo en la adopción por parte de la industria. La historia demuestra que las prioridades del sector público configuran la tecnología a gran escala. Una vez que los gobiernos exijan sistemas seguros frente a la computación cuántica en la infraestructura pública y crítica, los incentivos de la industria seguirán.
Para las organizaciones, el mejor enfoque no es esperar a la legislación, sino integrar la preparación cuántica, la crypto-agilidad y la aleatoriedad verificable en la ciberseguridad moderna.
