Criptografía poscuántica: los estándares del NIST y cómo funciona la migración

Cómo encajan entre sí los primeros estándares poscuánticos del NIST, por qué la migración debe empezar antes del Q-Day y qué pasos prácticos afrontan ahora las organizaciones.

Esta página fue traducida del inglés. Los nombres de empresas y productos, así como los enlaces a las fuentes, no se han modificado. Leer el original en inglés

La criptografía poscuántica es el esfuerzo por sustituir la criptografía de clave pública vulnerable de hoy por alternativas que se cree que resistirán ataques de futuros ordenadores cuánticos. Los tres primeros estándares definitivos del NIST, publicados en 2024, significan que la transición ha pasado de la investigación al despliegue: ahora se espera que las organizaciones inventaríen dónde se usan algoritmos expuestos, decidan qué sustituir primero y comiencen un trabajo de migración de varios años.

Por qué se necesita la criptografía poscuántica

El problema no es que los ordenadores cuánticos puedan romperlo todo. La principal preocupación es más concreta y más importante: los sistemas de clave pública ampliamente utilizados dependen de problemas matemáticos como la factorización de enteros, los logaritmos discretos y los logaritmos discretos sobre curvas elípticas. Un ordenador cuántico con capacidad suficiente que ejecutara el algoritmo de Shor podría resolver esos problemas de forma eficiente, lo que socavaría sistemas como RSA, Diffie–Hellman en campos finitos y Diffie–Hellman de curva elíptica.

Esa amenaza sigue siendo prospectiva. A fecha de 2026, los ordenadores cuánticos no tienen la potencia de procesamiento necesaria para romper los sistemas criptográficos ampliamente desplegados, y las demostraciones de laboratorio del algoritmo de Shor solo han funcionado con números muy pequeños. El obstáculo práctico no es la posibilidad teórica, sino la escala de ingeniería: Wikipedia señala que superar a los métodos clásicos puede requerir máquinas con millones de cúbits debido a la sobrecarga de la corrección de errores.

Aun así, esperar a que exista un ordenador cuántico plenamente capaz sería un error. La migración lleva años, y algunos datos tienen una larga vida útil de confidencialidad. Por eso "harvest now, decrypt later" se ha convertido en un concepto central de planificación. Un adversario puede recopilar hoy tráfico cifrado o texto cifrado almacenado y conservarlo hasta que futuros avances hagan posible su descifrado. En el caso de archivos de correo electrónico, datos sanitarios, propiedad intelectual, registros gubernamentales o registros de infraestructuras críticas, el daño puede llegar mucho después de que los datos fueran interceptados por primera vez.

Qué cambia con la computación cuántica — y qué no

Un malentendido habitual es que la computación cuántica vuelve obsoleta toda la criptografía.

La mayor parte de la criptografía simétrica actual y de las funciones hash se consideran relativamente seguras frente a ataques cuánticos. El algoritmo de Grover puede acelerar la búsqueda por fuerza bruta contra cifrados simétricos, pero en la práctica ese efecto puede compensarse usando tamaños de clave mayores, por ejemplo duplicando el tamaño de la clave. Así que la mayor disrupción se produce en la criptografía de clave pública, especialmente en:

establecimiento e intercambio de claves
cifrado de clave pública y encapsulación de claves
firmas digitales

Por eso el programa de PQC del NIST se ha centrado en mecanismos de encapsulación de claves, o KEM, y algoritmos de firma digital, en lugar de sustituir todo el stack de una sola vez.

Qué estandarizó primero el NIST

El NIST puso en marcha su esfuerzo formal de estandarización a finales de 2016 tras una convocatoria de propuestas. Según el registro de estandarización, 69 candidaturas completas y válidas entraron en la primera ronda, y siete candidatos llegaron a la tercera ronda anunciada en julio de 2020. Tras años de evaluación, el NIST finalizó sus tres primeros estándares el 13 de agosto de 2024.

Esos estándares son:

FIPS 203: ML-KEM, el Module-Lattice-Based Key-Encapsulation Mechanism, basado en CRYSTALS-Kyber
FIPS 204: ML-DSA, el Module-Lattice-Based Digital Signature Algorithm, basado en CRYSTALS-Dilithium
FIPS 205: SLH-DSA, el Stateless Hash-Based Digital Signature Algorithm, basado en SPHINCS+

El NIST describe ML-KEM como el estándar principal para el cifrado general, destacando sus claves de cifrado relativamente pequeñas y su velocidad. ML-DSA es el estándar principal para firmas digitales. SLH-DSA utiliza una base matemática diferente y está pensado como respaldo en caso de que más adelante se demuestre que ML-DSA es vulnerable.

La orientación del propio NIST es explícita: estos tres estándares están listos para su uso inmediato y las organizaciones deberían empezar a aplicarlos ya.

Por qué hay varios estándares y no un único ganador

El campo poscuántico no tiene una única base matemática dominante. Distintas familias tienen fortalezas, características de implementación y perfiles de riesgo diferentes. Las elecciones del NIST reflejan una mentalidad de cartera.

La criptografía basada en retículos soporta actualmente gran parte de la carga de despliegue. Los primeros algoritmos basados en retículos estandarizados por el NIST son ML-KEM y ML-DSA. Resultan atractivos en parte por su rendimiento y por unos tamaños de clave manejables.

Pero la diversificación importa. El NIST seleccionó SLH-DSA, un esquema de firma basado en hash, como respaldo de la firma principal basada en retículos. Después, el 11 de marzo de 2025, el NIST seleccionó HQC como KEM de respaldo para cifrado general. HQC está basado en códigos, no en retículos, y el NIST dijo que esa diferencia de enfoque matemático es la razón para mantenerlo como alternativa de respaldo.

El mensaje es estratégico: no apueste el futuro de la confianza digital a una sola suposición.

Los próximos estándares en preparación

El trabajo de PQC del NIST no terminó con la publicación de 2024.

La página del proyecto CSRC dice que el NIST continúa el trabajo de estandarización sobre:

Falcon, un algoritmo de firma digital
HQC, un mecanismo de encapsulación de claves

El registro de estandarización dice que el estándar basado en Falcon se llamará FN-DSA en FIPS 206. A mediados de 2026, seguía en estado de borrador. La razón citada para el calendario más lento es la complejidad de implementación: FN-DSA se basa en muestreo gaussiano en coma flotante en el proceso de firma, que según el NIST es más difícil de implementar de forma segura y en tiempo constante que los tres estándares ya finalizados.

En el caso de HQC, el NIST dijo en marzo de 2025 que se esperaba un borrador del estándar en aproximadamente un año, y un estándar definitivo en 2027 tras el periodo de comentarios públicos.

Ese calendario escalonado importa desde el punto de vista operativo. Las organizaciones no necesitan esperar a que esté lista cada opción futura antes de actuar. El NIST espera que ML-KEM, ML-DSA y SLH-DSA constituyan la base de la mayoría de los despliegues, y dice que ya deberían estar utilizándose.

Un mapa rápido de los primeros estándares

Standard	Algorithm name	Main job	Math family	NIST role description
FIPS 203	ML-KEM	Establecimiento de claves / soporte para cifrado general	Basado en retículos	Estándar principal para cifrado general
FIPS 204	ML-DSA	Firmas digitales	Basado en retículos	Estándar principal para firmas
FIPS 205	SLH-DSA	Firmas digitales	Basado en hash	Método de firma de respaldo
Forthcoming	FN-DSA	Firmas digitales	Basado en retículos NTRU	Estándar adicional de firma en desarrollo
Forthcoming	HQC	Establecimiento de claves / soporte para cifrado general	Basado en códigos	KEM de respaldo para ML-KEM

Cómo funciona realmente la migración

La migración consiste menos en cambiar una biblioteca y más en rediseñar las dependencias criptográficas en todos los sistemas.

La guía de migración del NIST dice que las organizaciones tienen que identificar dónde se usan algoritmos vulnerables y planificar actualizaciones o sustituciones de productos, servicios y protocolos. Eso significa encontrar criptografía en lugares donde a menudo está mal documentada:

terminación TLS y enlaces internos de servicio a servicio
VPN y sistemas de acceso remoto
PKI y flujos de trabajo de certificados
firma de código y firma de documentos
módulos de seguridad hardware y sistemas de actualización de firmware
herramientas de identidad, acceso y gestión de claves
dispositivos embebidos y tecnología operativa
datos almacenados de larga duración protegidos con antiguos esquemas de establecimiento de claves

El primer paso suele ser el inventario criptográfico: ¿dónde se usan RSA, Diffie–Hellman o mecanismos de curva elíptica, directamente o a través de productos de terceros? El segundo es la priorización: ¿qué sistemas son de alto riesgo porque manejan secretos de larga duración o son difíciles de actualizar? El tercero es la ejecución: pruebas, trabajo de interoperabilidad, despliegue por fases y cambios de política.

El calendario del NIST aumenta la urgencia. Según el calendario de transición al que se hace referencia en la página del CSRC, el NIST planea deprecar y acabar eliminando de sus estándares los algoritmos vulnerables a la computación cuántica para 2035, y los sistemas de mayor riesgo pasarán mucho antes.

Las mayores compensaciones de ingeniería

La migración poscuántica no es solo un ejercicio de cumplimiento normativo. Implica compromisos técnicos reales.

Una compensación general es tamaño frente a eficiencia. Los materiales de PQC del NIST señalan que muchos algoritmos PQC usan claves más grandes que los sistemas de clave pública precuánticos. También describen compensaciones entre tamaño de clave, eficiencia computacional y tamaño del texto cifrado o de la firma. En protocolos expuestos a internet y en dispositivos con recursos limitados, estas diferencias pueden afectar al ancho de banda, la latencia, la memoria y la complejidad de implementación.

Otra compensación es madurez frente a diversidad. Los sistemas basados en retículos dominan actualmente los primeros estándares porque rindieron lo bastante bien en las evaluaciones del NIST como para convertirse en las opciones principales. Pero el riesgo de concentración es real, y por eso se están desarrollando estándares de respaldo basados en otras matemáticas.

La seguridad de implementación es una tercera cuestión. El registro de estandarización menciona preocupaciones por canales laterales en Falcon y señala que las posibles mitigaciones pueden afectar al rendimiento. Más en general, un diseño criptográfico puede parecer sólido sobre el papel y aun así ser difícil de implementar de forma segura en la práctica.

Lo que los estándares no resuelven

La existencia de un estándar no demuestra una seguridad eterna. Se cree, pero no se ha demostrado, que los algoritmos poscuánticos resisten ataques cuánticos. Esa salvedad está integrada en el propio campo.

También hay lecciones del proceso del NIST. Algunos candidatos fueron derrotados durante la evaluación. Wikipedia destaca dos ejemplos especialmente visibles: Rainbow fue derrotado en un ordenador clásico durante la tercera ronda, y SIKE fue derrotado en la cuarta ronda. Esos fallos no invalidan la PQC en su conjunto; muestran por qué el criptoanálisis público y una estandarización conservadora requieren tiempo.

Siguen abiertas preguntas sobre:

la confianza a largo plazo en los problemas matemáticos elegidos
la calidad de implementación entre proveedores y stacks de código abierto
la resistencia a canales laterales en hardware y software reales
la interoperabilidad en protocolos y ecosistemas de certificados
hasta qué punto las organizaciones deberían diversificar entre familias de algoritmos

Una forma práctica de pensar en “cuándo moverse”

Para la mayoría de las organizaciones, el enfoque correcto no es “¿es el Q-Day el año que viene?”, sino “¿cuánto tardará nuestra migración y durante cuánto tiempo deben seguir siendo seguros nuestros datos?”.

Si sus sistemas están profundamente integrados, regulados, distribuidos globalmente o dependen de proveedores, la transición puede ser lenta. Si sus datos seguirán siendo sensibles dentro de años, el riesgo de harvest-now encarece el retraso. Esa lógica explica por qué el NIST está instando a adoptar de inmediato los estándares de 2024 aunque los ordenadores cuánticos todavía no hayan alcanzado la escala necesaria.

En resumen, la migración a PQC es una transición clásica de infraestructura: empiece antes de la emergencia, porque cuando la emergencia sea evidente, será demasiado tarde para moverse con fluidez.

Conclusiones clave

La criptografía poscuántica trata principalmente de sustituir sistemas vulnerables de clave pública, no de descartar toda la criptografía existente.
Un ordenador cuántico con capacidad suficiente que ejecute el algoritmo de Shor podría romper RSA, Diffie–Hellman y Diffie–Hellman de curva elíptica.
El NIST finalizó sus tres primeros estándares de PQC el 13 de agosto de 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA).
El NIST dice que estos estándares ya están listos y que las organizaciones deberían comenzar la migración de inmediato.
ML-KEM es el estándar principal para el establecimiento de claves relacionado con el cifrado general; ML-DSA es el estándar principal de firma; SLH-DSA es un método de firma de respaldo.
En marzo de 2025, el NIST seleccionó HQC como KEM de respaldo basado en matemáticas distintas de las de ML-KEM.
La migración empieza por descubrir dónde se usan algoritmos vulnerables, luego priorizar los sistemas de alto riesgo y planificar una sustitución por fases.
Entre las compensaciones importantes están un material criptográfico de mayor tamaño, los costes de rendimiento y ancho de banda, la complejidad de implementación y el valor de la diversidad matemática.
Los estándares de PQC reducen el riesgo futuro, pero no eliminan la incertidumbre; el criptoanálisis continuo, la revisión de implementaciones y las pruebas operativas siguen siendo esenciales.
La urgencia principal viene de los largos tiempos de transición y de la posibilidad de ataques de harvest now, decrypt later contra datos que deben seguir siendo confidenciales durante años.