Francisco Ruiz, Gerente de Identidad Digital de IQSEC.
Queda poco tiempo para migrar la criptografía hacia nuevos estándares postcuánticos, una transición que ya comenzó a nivel internacional ante el avance de la computación cuántica.
El llamado Día Q es el momento en que una computadora cuántica criptográficamente relevante pueda comprometer los algoritmos de clave pública que se usan hoy. El Quantum Threat Timeline Report 2025, publicado en marzo de 2026 por el Global Risk Institute y evolutionQ a partir de una encuesta a 26 expertos, estima entre 28% y 49% la probabilidad de que exista esa capacidad en los próximos diez años, y entre 51% y 70% en un horizonte de 15 años.
A ello se suma el riesgo conocido como Harvest Now, Decrypt Later (HNDL): capturar hoy información cifrada para intentar descifrarla cuando exista la tecnología necesaria.
“El riesgo no comienza el día que llegue una computadora cuántica capaz de vulnerar la criptografía actual. Si una organización conserva información sensible durante 10, 15 o 20 años, necesita considerar desde hoy cuánto tiempo requerirá para protegerla”, señaló Francisco Ruiz, Gerente de Identidad Digital de IQSEC.
La transición ya comenzó
En 2024, NIST publicó sus primeros tres estándares de criptografía postcuántica, y su propuesta de transición plantea retirar los algoritmos vulnerables hacia 2035. En Estados Unidos, la Orden Ejecutiva 14412, firmada el 22 de junio de 2026, fija 2030 y 2031 como plazos para que los activos federales de alto valor y los sistemas de alto impacto adopten criptografía postcuántica en el establecimiento de llaves y en las firmas digitales, respectivamente. En Europa, la hoja de ruta coordinada de la Unión Europea pide a los Estados miembros iniciar su transición antes de que termine 2026.
Para IQSEC, estos requerimientos podrían extenderse hacia las empresas mexicanas que son proveedoras o socias de organizaciones internacionales.
En el sector privado, el Quantum Readiness Outlook 2026 de DigiCert, basado en una encuesta a 1,001 tomadores de decisión en Estados Unidos, Reino Unido y Australia, encontró que 87% de las organizaciones planea, prueba o implementa iniciativas postcuánticas, pero solo 7% utiliza criptografía resistente a ataques cuánticos o híbrida en más de la mitad de sus certificados digitales.
Primero el inventario
Según IQSEC, el punto de partida es un inventario criptográfico: qué algoritmos se usan, dónde están desplegados, qué llaves y certificados existen y qué información protegen. Con ese mapa, las organizaciones pueden priorizar por nivel de riesgo, revisar las hojas de ruta de sus proveedores y desarrollar criptoagilidad, es decir, la capacidad de sustituir mecanismos criptográficos sin rediseñar sus sistemas.
"Antes de tener un problema de migración, muchas organizaciones tienen un problema de visibilidad: no saben qué algoritmos utilizan, dónde están ni qué información protegen. La meta no es cambiar de algoritmo una sola vez, sino poder hacerlo cada vez que sea necesario”, agregó el especialista de PostQuantum de IQSEC.
Tres variables para priorizar
Con el inventario como base, IQSEC recomienda evaluar:
Vida útil de la información: cuánto tiempo deben permanecer protegidos los datos.
Tiempo de migración: cuánto tiempo tomará identificar, probar y sustituir las dependencias criptográficas.
Horizonte de la amenaza: en qué periodo podría existir capacidad cuántica suficiente.
Combinar estas variables ayuda a decidir qué sistemas atender primero, sin depender de una fecha exacta para el Día Q.
IQSEC también subrayó que tecnologías como la distribución cuántica de claves (QKD) o los generadores cuánticos de números aleatorios (QRNG) tienen usos específicos, pero no sustituyen la migración a criptografía postcuántica (PQC) ni la necesidad de identificar las dependencias existentes.
"La pregunta ya no es solo cuándo llegará el Día Q, sino cuánto tiempo necesita cada organización para estar preparada. Si una empresa debe proteger sus expedientes durante 10 años, necesita cinco para migrar y la amenaza cuántica llegara en 12, en ese escenario ya iría tarde", concluyó Francisco Ruiz.
