La era cuántica ya no es algo del futuro: está ocurriendo ahora.
Aunque las computadoras cuánticas prometen resolver problemas hasta ahora inabordables y acelerar el avance científico y tecnológico en muchas áreas, también constituyen una amenaza significativa para la seguridad de las comunicaciones en Internet. Por eso diversos países y organizaciones han elaborado recomendaciones y contramedidas para afrontar este nuevo riesgo.
En los últimos meses estas medidas se han intensificado. Recientes anuncios muestran que el debate ha avanzado más allá de la investigación y la estandarización de algoritmos: ahora incluye requisitos de certificación, planes formales de migración, compras públicas y obligaciones concretas para proveedores tecnológicos. La amenaza poscuántica se percibe con mayor inmediatez y la adopción de Criptografía Poscuántica (PQC) empieza a exigirse en algunos ámbitos.
El 16 de junio de 2026, Francia, a través de la Agencia Nacional de Seguridad de los Sistemas de Información (ANSSI), anunció que a partir de 2027 dejará de certificar productos de ciberseguridad que no integren capacidades criptográficas resistentes a ataques cuánticos. La medida afecta especialmente a los productos usados por el gobierno francés y por operadores de infraestructuras críticas —comunicaciones, energía, finanzas, salud y transporte—. ANSSI recomienda además iniciar inventarios criptográficos, priorizar los casos de uso más críticos y evitar, hacia 2030, la adquisición de productos sin capacidades poscuánticas.
El debate ya no se centra solo en investigación o estandarización de algoritmos, sino también en requisitos de certificación y obligaciones concretas para proveedores tecnológicos
Por su parte, Estados Unidos publicó la orden ejecutiva EO 14412 (22 de junio de 2026), que acelera la migración de los sistemas federales hacia algoritmos PQC estandarizados por el NIST. La orden exige responsables de migración, planes, priorización de sistemas críticos, la transición de los mecanismos de establecimiento de claves antes de fines de 2030 y la transición de firmas digitales antes de fines de 2031. También prepara el terreno para incorporar requisitos poscuánticos en las contrataciones federales.
Estas iniciativas no son aisladas. Canadá publicó una hoja de ruta oficial para los sistemas no clasificados del gobierno, con medidas iniciales desde abril de 2026, informes anuales, migración de sistemas de alta prioridad antes de fines de 2031 y del resto antes de fines de 2035. Ese enfoque subraya algo que muchas organizaciones aún no han resuelto: no se puede migrar lo que no se conoce. La primera fase imprescindible es crear, con prioridad absoluta, un inventario criptográfico.
En el Reino Unido, el NCSC (Centro Nacional de Ciberseguridad) fijó una hoja de ruta clara: para 2028 definir objetivos, contar con un inventario criptográfico y un plan inicial; para 2031 ejecutar las primeras migraciones prioritarias; y para 2035 completar la migración a PQC de sistemas, servicios y productos.
En Francia, a partir de 2027 dejará de certificar productos de ciberseguridad que no incorporen capacidades criptográficas resistentes a ataques cuánticos
Australia ha sido explícita en términos técnico-normativos. El Information Security Manual del ASD (Australian Signals Directorate) establece que los algoritmos asimétricos tradicionales vulnerables a computadoras cuánticas no estarán aprobados más allá de 2030. Recomienda además que el desarrollo o la adquisición de equipos, aplicaciones y librerías criptográficas destinados a operar después de 2030 incluyan soporte para algoritmos poscuánticos aprobados por el ASD.
En la Unión Europea, la Comisión Europea publicó la Recomendación 2024/1101 para coordinar la transición poscuántica entre los Estados miembros, con énfasis en administraciones públicas, infraestructuras críticas, interoperabilidad, estándares comunes y planes nacionales. El 23 de junio de 2025 la UE presentó una hoja de ruta de alto nivel para sincronizar esa transición. No es una regulación vinculante, pero sí una orientación política y técnica clara.
En Asia también hay trabajo en curso, aunque con menor presión regulatoria que en Francia, Estados Unidos o Australia. Japón creó una instancia interministerial para coordinar el uso de criptografía poscuántica en agencias gubernamentales y el CRYPTREC publicó guías técnicas específicas sobre PQC. Corea del Sur impulsa un plan nacional con pilotos sectoriales, y Singapur publicó un “Quantum‐Safe Handbook” y un “Quantum Readiness Index” dirigidos a infraestructuras críticas y agencias gubernamentales.
Japón creó una instancia interministerial para coordinar el uso de criptografía poscuántica en agencias gubernamentales
En América Latina empiezan a aparecer señales, aunque con menor nivel de exigencia por ahora. Uruguay incluyó en su Estrategia Nacional de Ciberseguridad 2024‐2030 una acción para identificar las necesidades de las infraestructuras de información críticas respecto a la criptografía poscuántica y desarrollar un plan de transición. Brasil creó en 2026 un grupo de trabajo técnico para estudiar e implementar PQC en la ICP‐Brasil, incluyendo diagnóstico de riesgo cuántico, plan de migración, criterios de priorización y posibles ajustes regulatorios.
A nivel de organizaciones internacionales y sectores, el patrón es similar. El G7 Cyber Expert Group publicó a principios de este año una hoja de ruta para la migración a criptografía resistente a ataques cuánticos. No impone reglas regulatorias formales, pero alinea a bancos centrales, reguladores y entidades financieras en fases de inventario, evaluación, planificación, ejecución, pruebas y monitoreo, con horizontes generales hacia 2035 y plazos 2030‐2032 para los sistemas más críticos.
En plataformas estratégicas también hay movimientos. Por ejemplo, SWIFT anunció el 2 de octubre de 2025 en el SWIFT Operations Forum que SwiftNet 8.0 estará disponible en 2027 con soporte para criptografía poscuántica y prevé una ventana de migración de 15 meses para sus participantes. Decisiones de este tipo no son regulaciones, pero actúan como señales: cuando una infraestructura crítica cambia su pila criptográfica, su ecosistema debe adaptarse.
El G7 Cyber Expert Group publicó a principios de este año una hoja de ruta para la migración a criptografía resistente a ataques cuánticos
La conclusión común es nítida: Francia impulsa desde la certificación, Estados Unidos desde la política federal y las compras públicas, Canadá y Reino Unido desde hojas de ruta gubernamentales, Australia desde criterios técnicos de aprobación, la Unión Europea desde la coordinación regional, Asia y América Latina con estrategias y planes nacionales incipientes, y el sector financiero desde la gestión sistémica del riesgo.
Aunque aún no existen computadoras cuánticas capaces de romper a gran escala los algoritmos de clave pública actuales, el riesgo empieza antes: datos que deben permanecer confidenciales durante años, productos adquiridos hoy que seguirán en uso después de 2030 y tecnologías como PKI, VPN, HSMs, certificados, firmware, firmas de código, TLS, IPsec, autenticación de dispositivos y sistemas embebidos, cuya renovación puede demandar ciclos largos.
La amenaza del tipo HNDL (Harvest Now, Decrypt Later — “Cosecha ahora, descifra después”) implica que los adversarios no necesitan una computadora cuántica madura para causar daño: pueden capturar hoy tráfico cifrado y almacenarlo para descifrarlo en el futuro si la información sigue siendo valiosa. Por eso las hojas de ruta priorizan sectores con información sensible a largo plazo.
La criptografía poscuántica dejó de ser un asunto exclusivamente técnico y pasa a ser parte de la gestión de riesgo, la arquitectura, las adquisiciones y el cumplimiento normativo
Para responsables de ciberseguridad el mensaje es claro: la criptografía poscuántica ya no es solo un tema técnico, sino una cuestión de gestión de riesgo, arquitectura, compras y cumplimiento. Es clave identificar qué activos dependen de criptografía vulnerable, qué proveedores soportarán PQC, qué contratos deben actualizarse, qué productos podrían perder certificación y qué capacidad tiene la organización para migrar sin romper la interoperabilidad ni incumplir requisitos operativos o regulatorios.
La era poscuántica no empieza el día en que una computadora cuántica rompa RSA. Empieza antes: cuando gobiernos, reguladores, proveedores, plataformas críticas y operadores de infraestructura empiezan a exigir planes, fechas, inventarios y productos compatibles con esa transición.
Ese día ya llegó.
