Criptografía Postcuántica 2026: Protege tus

<\!-- wp:group {"className":"tldr-box","backgroundColor":"pale-cyan-blue"} -->

<\!-- /wp:group -->

📅 Última actualización: febrero de 2026 · IA Cuántica Avanzada

Qué es el Q-Day y por qué los expertos dicen que tus datos ya están comprometidos

El Q-Day es el nombre que la comunidad de ciberseguridad ha dado al momento en que un ordenador cuántico será capaz de romper los algoritmos de cifrado de clave pública que protegen prácticamente toda la comunicación digital actual: correos electrónicos, transacciones bancarias, historiales médicos, contratos confidenciales, patentes, secretos militares y las contraseñas que usas cada día.

La razón técnica es precisa y conocida desde 1994. Ese año, el matemático Peter Shor publicó un algoritmo que demuestra que un ordenador cuántico suficientemente potente puede factorizar números enteros grandes en tiempo polinómico. Los sistemas de cifrado RSA y los basados en curvas elípticas (ECC), que protegen más del noventa y cinco por ciento del tráfico de internet, dependen precisamente de la dificultad de factorizar números grandes o resolver el problema del logaritmo discreto. Un ordenador clásico necesitaría miles de años para factorizar una clave RSA de dos mil cuarenta y ocho bits; un ordenador cuántico con suficientes qubits lógicos lo haría en horas.

La pregunta no es si el Q-Day llegará sino cuándo. Las estimaciones de los expertos varían, pero el consenso se ha ido estrechando. La mayoría de investigadores sitúa el Q-Day entre 2030 y 2035, coincidiendo con las hojas de ruta de IBM, Google y Microsoft para alcanzar ordenadores cuánticos tolerantes a fallos con miles de qubits lógicos. Algunos expertos más optimistas (o pesimistas, según la perspectiva) creen que podría ocurrir antes de 2030 si se producen avances inesperados en hardware cuántico.

Pero aquí está la clave que muchos ignoran: tus datos no necesitan estar en peligro el Q-Day para estar comprometidos. Están en peligro ahora mismo. La razón tiene un nombre ominoso: harvest now, decrypt later.

Harvest now, decrypt later: la estrategia de los ciberdelincuentes que ya está en marcha

La estrategia harvest now, decrypt later (cosechar ahora, descifrar después) es una de las amenazas más subestimadas y más reales de la ciberseguridad contemporánea. Su lógica es devastadoramente simple: si sabes que en el futuro existirá una herramienta capaz de romper el cifrado actual, tiene todo el sentido del mundo empezar a recopilar datos cifrados ahora para descifrarlos cuando esa herramienta esté disponible.

Actores estatales y grupos de ciberdelincuentes sofisticados están haciendo exactamente esto. Interceptan y almacenan comunicaciones cifradas, bases de datos encriptadas y tráfico de red protegido, sabiendo que el coste de almacenamiento es insignificante comparado con el valor potencial de la información cuando pueda ser descifrada. Un terabyte de datos cifrados cuesta menos de veinte euros al mes almacenarlo en la nube. Si esos datos contienen secretos industriales, información médica sensible o comunicaciones diplomáticas, el retorno de la inversión cuando llegue el Q-Day será astronómico.

Según un informe de Capgemini, casi dos de cada tres organizaciones (el sesenta y cinco por ciento) están preocupadas por los ataques de tipo harvest now, decrypt later. Sin embargo, la preocupación no se traduce en acción: la mayoría de empresas no ha comenzado ningún proceso de migración criptográfica. Esta disonancia entre conciencia del riesgo e inacción es uno de los mayores peligros de la era precuántica.

El riesgo es especialmente agudo para datos con períodos largos de confidencialidad. Un contrato comercial que debe mantenerse confidencial durante diez años y fue transmitido hoy mediante cifrado RSA podría ser completamente legible antes de que expire su período de protección. Un historial médico electrónico que circuló por la red hospitalaria esta mañana podría estar expuesto en los discos duros de un atacante estatal, esperando pacientemente a que un ordenador cuántico lo descifre.

Las agencias de inteligencia de múltiples países ya han reconocido públicamente esta amenaza. La NSA estadounidense emitió una directiva en 2022 urgiendo a todas las agencias federales a comenzar la transición a criptografía postcuántica. El CNSS (Committee on National Security Systems) estableció un plazo de 2035 para completar la migración, pero recomendó comenzar de inmediato con los datos más sensibles. En España, el CCN-CERT ha emitido directrices similares, y la urgencia no ha hecho sino aumentar a medida que los avances en hardware cuántico aceleran el timeline hacia el Q-Day.

La conclusión es ineludible: cada día que pasa sin iniciar la transición a criptografía resistente a la computación cuántica es un día más de datos potencialmente comprometidos acumulándose en los servidores de los atacantes.

Qué algoritmos de cifrado romperá un ordenador cuántico y cuáles sobrevivirán

No todos los algoritmos criptográficos son igualmente vulnerables a los ataques cuánticos. Entender cuáles caerán y cuáles resistirán es fundamental para planificar la migración.

Los algoritmos que un ordenador cuántico romperá completamente son todos los basados en la factorización de enteros y el logaritmo discreto. Esto incluye RSA (en todas sus variantes de longitud de clave), DSA, ECDSA, ECDH, Diffie-Hellman y todas las variantes de criptografía de curva elíptica. El algoritmo de Shor los hace todos vulnerables independientemente de la longitud de la clave: aumentar el tamaño de la clave solo retrasa la ruptura marginalmente pero no la previene. Estos algoritmos protegen actualmente el TLS/SSL (los candados verdes de tu navegador), las VPN empresariales, las firmas digitales, los certificados de autenticación, el correo cifrado, las criptomonedas y prácticamente toda la infraestructura de clave pública mundial.

Los algoritmos que resistirán parcialmente son los de criptografía simétrica como AES y los de hash como SHA-256 y SHA-3. El algoritmo de Grover proporciona una aceleración cuadrática (no exponencial) contra estos algoritmos, lo que significa que AES-256 pasaría a tener una seguridad equivalente a AES-128 frente a un ataque cuántico. La solución es relativamente simple: duplicar la longitud de la clave. AES-256 se considera seguro contra ataques cuánticos. SHA-384 y SHA-512 también mantienen niveles de seguridad adecuados.

Los algoritmos que son inmunes por diseño a los ataques cuánticos son los de criptografía postcuántica (PQC), basados en problemas matemáticos que ni siquiera un ordenador cuántico puede resolver eficientemente. Estos incluyen la criptografía basada en retículos (lattice-based), en códigos correctores de errores (code-based), en funciones hash (hash-based) y en ecuaciones multivariables (multivariate). El NIST ha estandarizado algoritmos específicos de estas familias que analizamos en la siguiente sección.

Los cuatro tipos de criptografía postcuántica aprobados por el NIST

El National Institute of Standards and Technology (NIST) de Estados Unidos completó en 2024 la estandarización de los primeros algoritmos de criptografía postcuántica, tras un proceso de evaluación de ocho años que comenzó en 2016. Estos estándares son los que definirán la seguridad digital de las próximas décadas.

Criptografía basada en retículos (lattice-based): Es la familia dominante en los nuevos estándares. Los retículos son estructuras matemáticas multidimensionales donde encontrar el punto más cercano a una coordenada dada es un problema extremadamente difícil tanto para ordenadores clásicos como cuánticos. El NIST ha estandarizado ML-KEM (Module-Lattice Key Encapsulation Mechanism, antes conocido como CRYSTALS-Kyber) para el intercambio seguro de claves y ML-DSA (Module-Lattice Digital Signature Algorithm, antes CRYSTALS-Dilithium) para firmas digitales. Estos algoritmos son rápidos, compactos y bien comprendidos, lo que explica su selección como estándares principales.

Criptografía basada en hash (hash-based): Utiliza funciones hash criptográficas (como SHA-256) como bloque de construcción para crear firmas digitales cuya seguridad se reduce a la seguridad de la función hash subyacente. El NIST ha estandarizado SLH-DSA (Stateless Hash-Based Digital Signature Algorithm, antes SPHINCS+). Su ventaja principal es que su seguridad está respaldada por décadas de análisis criptográfico de las funciones hash. Su desventaja es que las firmas son relativamente grandes y la verificación es más lenta que en ML-DSA.

Criptografía basada en códigos correctores de errores (code-based): El NIST está en proceso de estandarizar algoritmos de esta familia como respaldo. El sistema McEliece, propuesto en 1978 y nunca roto, es el candidato más veterano. Su principal problema es el tamaño de las claves públicas (cientos de kilobytes), que lo hace impráctico para muchas aplicaciones pero extremadamente robusto para almacenamiento a largo plazo.

Criptografía multivariable (multivariate): Basada en la dificultad de resolver sistemas de ecuaciones polinómicas no lineales con muchas variables. Aunque candidatos como Rainbow fueron descartados por vulnerabilidades descubiertas durante la evaluación, otros algoritmos de esta familia siguen en consideración para rondas futuras de estandarización.

La recomendación actual de la comunidad criptográfica es implementar esquemas híbridos que combinan un algoritmo clásico (como RSA o ECC) con uno postcuántico (como ML-KEM). De esta forma, la seguridad está garantizada incluso si uno de los dos algoritmos resulta vulnerable: para comprometer la comunicación, un atacante necesitaría romper ambos simultáneamente.

Tabla comparativa: ML-KEM, ML-DSA, SLH-DSA y FN-DSA frente a RSA y ECC

Algoritmo	Tipo	Resistente a cuántico	Tamaño clave pública	Tamaño firma/cifrado	Velocidad	Madurez
RSA-2048	Factorización	❌ No	256 bytes	256 bytes	Rápida	30+ años
ECC P-256	Curva elíptica	❌ No	32 bytes	64 bytes	Muy rápida	20+ años
ML-KEM-768	Retículos (KEM)	✅ Sí	1.184 bytes	1.088 bytes	Rápida	Estándar NIST 2024
ML-DSA-65	Retículos (firma)	✅ Sí	1.952 bytes	3.293 bytes	Rápida	Estándar NIST 2024
SLH-DSA-128s	Hash (firma)	✅ Sí	32 bytes	7.856 bytes	Lenta	Estándar NIST 2024
FN-DSA-512	Retículos (firma)	✅ Sí	897 bytes	666 bytes	Rápida	En estandarización
AES-256	Simétrico	✅ Sí (con Grover: 128 bits efectivos)	32 bytes	Variable	Muy rápida	25+ años
McEliece	Códigos	✅ Sí	261.120 bytes	128 bytes	Rápida descifrado	45+ años sin romper

Datos del NIST FIPS 203, FIPS 204 y FIPS 205 publicados en 2024. Tamaños para niveles de seguridad equivalentes a AES-128/192. Los tamaños de clave y firma son significativamente mayores en algoritmos PQC que en clásicos.

España ante la amenaza cuántica: el noventa y tres por ciento de empresas reconoce el riesgo

España no es ajena a la amenaza cuántica, y los datos del CCN-CERT (Centro Criptológico Nacional) son reveladores: el noventa y tres coma cinco por ciento de las empresas españolas reconoce que la computación cuántica supone un riesgo directo para su organización. Sin embargo, solo una de cada diez ha comenzado realmente a abordar el impacto que tendría sobre su infraestructura de clave pública y sus mecanismos de firma digital.

Esta brecha entre conciencia y acción es preocupante pero no sorprendente. La migración criptográfica es un proceso complejo, costoso y de larga duración que requiere inventariar todos los sistemas que utilizan criptografía (algo que muchas organizaciones no han hecho nunca), evaluar cuáles son vulnerables, priorizar la migración según el riesgo y ejecutar la transición sin interrumpir las operaciones. Para una gran empresa o una administración pública, este proceso puede durar entre tres y cinco años.

El Esquema Nacional de Seguridad (ENS) en su última actualización ya contempla la necesidad de prepararse para la era postcuántica, y se espera que futuras revisiones incluyan requisitos específicos de criptografía postcuántica para las administraciones públicas y los operadores de servicios esenciales. La directiva NIS-2 de la Unión Europea, en proceso de transposición en España, reforzará aún más los estándares de ciberseguridad y es probable que incluya referencias explícitas a la preparación cuántica en las próximas guías técnicas.

Los sectores más expuestos en España son la banca (datos financieros con períodos de retención largos), la sanidad (historiales médicos electrónicos que deben mantenerse confidenciales durante décadas), las telecomunicaciones (infraestructura de comunicaciones nacionales), la energía (sistemas SCADA de control industrial) y la administración pública (datos fiscales, judiciales y de seguridad nacional). Todos estos sectores dependen masivamente de criptografía RSA y ECC que será vulnerable cuando llegue el Q-Day.

El ecosistema cuántico español está creciendo, pero la mayoría de empresas aún necesita orientación práctica sobre cómo iniciar la transición.

Telefónica, BBVA y el CCN-CERT: cómo se prepara España para la era postcuántica

Telefónica se ha posicionado como pionera en España al lanzar el primer servicio comercial de interconexión de centros de datos protegido con criptografía postcuántica. Este servicio, denominado «Interconexión CPDs», protege las comunicaciones entre centros de proceso de datos y sedes corporativas utilizando algoritmos PQC estandarizados por el NIST. Telefónica acumula más de quince años de experiencia en tecnologías cuánticas, incluyendo el anillo de distribución cuántica de claves (QKD) de Madrid (proyecto TEFQCI) y colaboraciones con hospitales Vithas para proteger datos médicos con seguridad cuántica.

BBVA ha sido uno de los bancos europeos más activos en experimentación cuántica, trabajando con Multiverse Computing y Accenture en aplicaciones de optimización de carteras y gestión de riesgo. Aunque su enfoque principal ha sido la computación cuántica aplicada a finanzas, la entidad es plenamente consciente de las implicaciones de seguridad y participa en iniciativas europeas de preparación postcuántica. La banca española en general, regulada por el Banco de España y el BCE, está comenzando a evaluar su exposición criptográfica siguiendo las recomendaciones del Comité de Basilea.

El CCN-CERT (Centro Criptológico Nacional, dependiente del CNI) es el organismo clave en España para la seguridad criptográfica de las administraciones públicas. Ha emitido guías técnicas sobre preparación postcuántica y trabaja en coordinación con el NIST, ENISA y otros organismos europeos para asegurar que las administraciones españolas estén preparadas. El CCN-CERT recomienda un enfoque de hibridación gradual: mantener los algoritmos actuales mientras se añaden capas de criptografía postcuántica, de forma que la seguridad esté garantizada incluso si uno de los dos sistemas resulta comprometido.

Multiverse Computing, la startup cuántica española con sede en San Sebastián, trabaja activamente en soluciones de seguridad cuántica para el sector financiero. Su plataforma permite a los bancos experimentar con algoritmos cuánticos tanto para optimización como para evaluación de riesgos criptográficos, posicionándose como puente entre la tecnología cuántica y las necesidades empresariales reales.

A nivel europeo, el programa Quantum Flagship destina fondos específicos a la investigación en comunicaciones cuánticas seguras, y España participa a través del BSC-CNS y varias universidades. La red de comunicaciones cuánticas EuroQCI (European Quantum Communication Infrastructure) incluye a España como uno de los países participantes, con el objetivo de crear una infraestructura de comunicaciones cuánticas seguras que conecte los veintisiete estados miembros.

Guía práctica: cinco pasos para que tu empresa inicie la migración criptográfica

Paso uno: inventario criptográfico completo. El primer paso, y el más importante, es saber exactamente qué criptografía utiliza tu organización y dónde. Esto incluye certificados TLS/SSL de servidores web, VPNs empresariales, correo electrónico cifrado, firmas digitales de documentos, APIs con autenticación por certificados, bases de datos cifradas, backups encriptados y cualquier comunicación máquina a máquina que use cifrado. Muchas organizaciones descubren en este proceso que tienen sistemas heredados con protocolos criptográficos que ni siquiera sabían que existían. Herramientas como IBM Quantum Safe Explorer, Keyfactor Command y Venafi pueden automatizar parte de este inventario.

Paso dos: clasificación de datos por sensibilidad y vida útil. No todos los datos requieren el mismo nivel de urgencia en la migración. Los datos que deben mantenerse confidenciales durante más de diez años (propiedad intelectual, secretos comerciales, historiales médicos, contratos a largo plazo) son los más urgentes porque están en riesgo inmediato de harvest now, decrypt later. Los datos transaccionales con vida útil corta (como tokens de autenticación de sesión) pueden migrar en fases posteriores.

Paso tres: implementar esquemas híbridos inmediatamente. La recomendación universal de la comunidad criptográfica es no esperar a una migración completa sino implementar esquemas híbridos que combinan criptografía clásica y postcuántica. Esto se puede hacer relativamente rápido para las comunicaciones más críticas. Los principales proveedores de TLS (incluyendo OpenSSL, BoringSSL y las bibliotecas de Microsoft y Apple) ya soportan esquemas híbridos con ML-KEM. Chrome, Firefox y Safari ya implementan soporte experimental para intercambio de claves híbrido postcuántico.

Paso cuatro: actualizar la cadena de suministro de software. La criptografía no vive solo en tus servidores: está en cada librería, cada SDK, cada componente de software que utiliza tu organización. Asegúrate de que tus proveedores de software están planificando la transición postcuántica y establece requisitos contractuales para que las nuevas versiones soporten algoritmos PQC. Presta especial atención a los componentes IoT y sistemas embebidos que son difíciles de actualizar.

Paso cinco: formar al equipo y establecer gobernanza criptográfica. La migración postcuántica no es solo un proyecto técnico sino un cambio organizativo. Necesitas personas que entiendan tanto la criptografía actual como la postcuántica, procesos de gobernanza que aseguren que los nuevos estándares se cumplen y una cultura de agilidad criptográfica que permita pivotar rápidamente si alguno de los algoritmos PQC actuales resulta comprometido en el futuro. La formación en seguridad cuántica es una de las áreas con mayor demanda profesional.

Distribución cuántica de claves (QKD): la alternativa basada en física pura

Además de la criptografía postcuántica basada en matemáticas, existe un enfoque completamente diferente para la seguridad en la era cuántica: la distribución cuántica de claves (QKD, Quantum Key Distribution). Mientras que PQC diseña algoritmos que los ordenadores cuánticos no pueden romper, QKD utiliza las propias leyes de la física cuántica para garantizar que cualquier intento de interceptación sea detectado inmediatamente.

El principio fundamental de QKD es el teorema de no clonación cuántica: es físicamente imposible copiar un estado cuántico desconocido sin alterarlo. Cuando dos partes intercambian claves criptográficas codificadas en el estado cuántico de fotones individuales, cualquier espía que intente interceptar y medir esos fotones necesariamente alterará su estado cuántico, y esa alteración será detectable por los legítimos destinatarios. La seguridad no depende de la dificultad computacional de un problema matemático sino de las leyes fundamentales de la física.

España tiene una posición relevante en QKD gracias al proyecto TEFQCI de Telefónica, que ha desplegado un anillo de distribución cuántica de claves en Madrid conectando varias sedes corporativas y centros de datos. Este sistema permite generar y compartir claves criptográficas de forma absolutamente segura a través de fibra óptica, utilizando fotones individuales como portadores de la información cuántica.

Sin embargo, QKD tiene limitaciones prácticas significativas que impiden que sea la solución universal. La primera es la distancia: las señales cuánticas se degradan en la fibra óptica y no pueden amplificarse (porque amplificar implica medir, lo que destruye el estado cuántico). Los enlaces QKD actuales están limitados a unos pocos cientos de kilómetros sin repetidores cuánticos, una tecnología que aún está en desarrollo. La segunda limitación es el coste: los equipos QKD son caros y requieren fibra óptica dedicada, lo que los hace viables solo para enlaces punto a punto de alto valor. La tercera es que QKD solo resuelve el intercambio de claves, no la firma digital ni la autenticación.

Por estas razones, la comunidad de seguridad recomienda un enfoque combinado: PQC para la protección masiva de comunicaciones y datos (emails, web, VPNs, APIs) y QKD como capa adicional de seguridad para los enlaces más críticos (entre centros de datos, para infraestructuras militares, para comunicaciones gubernamentales de alto nivel). No son tecnologías competidoras sino complementarias.

Coste de no hacer nada: escenarios de riesgo para banca, sanidad e infraestructuras críticas

Para las empresas y administraciones que aún no han iniciado la migración postcuántica, es útil considerar los escenarios de riesgo concretos por sector, porque el coste de no hacer nada no es cero sino potencialmente catastrófico.

Banca y finanzas: Los datos financieros tienen períodos de retención regulatoria de entre cinco y diez años. Las transacciones, contratos y comunicaciones bancarias transmitidas hoy con cifrado RSA podrían ser descifradas antes de que expire su período de confidencialidad. El coste de una brecha de datos financieros en la UE, con las sanciones del GDPR, puede alcanzar el cuatro por ciento de la facturación global o veinte millones de euros, lo que sea mayor. Para un banco como BBVA o Santander, esto podría significar multas de miles de millones.

Sanidad: Los historiales médicos electrónicos contienen información extremadamente sensible (diagnósticos, tratamientos, datos genéticos) que debe mantenerse confidencial durante décadas. Un historial médico cifrado con RSA que se transmitió entre el hospital y la aseguradora hoy podría ser legible para un atacante dentro de cinco a diez años. Las implicaciones para la privacidad del paciente y la responsabilidad legal del centro sanitario son enormes.

Infraestructuras críticas: Los sistemas SCADA que controlan redes eléctricas, plantas de tratamiento de agua, gasoductos y redes de transporte utilizan comunicaciones cifradas para los comandos de control. Si un atacante almacena estas comunicaciones y las descifra en el futuro, podría obtener información detallada sobre la configuración y vulnerabilidades de infraestructuras nacionales críticas. El escenario no es hipotético: el ciberataque a la red eléctrica de Ucrania en 2015 demostró que las infraestructuras energéticas son objetivos reales.

Propiedad intelectual y secretos comerciales: Empresas farmacéuticas, tecnológicas y de defensa transmiten regularmente información sobre patentes, fórmulas, diseños y estrategias comerciales que debe mantenerse confidencial durante la vida útil del producto. Un competidor o un estado adversario que intercepte y almacene esta información podría descifrarla cuando los ordenadores cuánticos lo permitan, obteniendo una ventaja competitiva devastadora.

El coste de iniciar la migración ahora es una fracción del coste de no hacerlo. Para conocer en profundidad las aplicaciones reales de la computación cuántica y entender tanto las oportunidades como las amenazas, consulta nuestra guía especializada.

Preguntas frecuentes sobre criptografía postcuántica

¿Qué es la criptografía postcuántica?

La criptografía postcuántica (PQC) es un conjunto de algoritmos de cifrado diseñados para resistir ataques tanto de ordenadores clásicos como cuánticos. Utiliza problemas matemáticos que ni siquiera un ordenador cuántico puede resolver eficientemente, como la criptografía basada en retículos, códigos correctores de errores y funciones hash. El NIST ha estandarizado los primeros algoritmos PQC en 2024.

¿Qué es el Q-Day?

El Q-Day es el día hipotético en que un ordenador cuántico será lo suficientemente potente como para romper los algoritmos de cifrado actuales como RSA y ECC. Los expertos sitúan este evento entre 2030 y 2035, coincidiendo con las hojas de ruta de IBM, Google y Microsoft para ordenadores cuánticos tolerantes a fallos.

¿Qué significa harvest now, decrypt later?

Harvest now, decrypt later (cosechar ahora, descifrar después) es una estrategia de ciberataque donde los atacantes interceptan y almacenan datos cifrados hoy con la intención de descifrarlos en el futuro cuando dispongan de un ordenador cuántico suficientemente potente. Esto significa que los datos sensibles transmitidos hoy ya están potencialmente comprometidos si tienen un período de confidencialidad largo.

¿Cuánto cuesta migrar a criptografía postcuántica?

El coste varía enormemente según el tamaño y complejidad de la organización. Para una pyme, la migración puede comenzar con auditorías criptográficas de entre cinco mil y veinte mil euros. Para grandes empresas, el proceso completo puede costar desde cientos de miles hasta millones de euros y extenderse varios años. La implementación de esquemas híbridos inmediatos es relativamente económica y proporciona protección significativa.

¿Qué empresas españolas ya se preparan para la era postcuántica?

Telefónica ha lanzado el primer servicio de interconexión de centros de datos con criptografía postcuántica en España. BBVA experimenta con seguridad cuántica a través de su alianza con Multiverse Computing. El CCN-CERT ha emitido directrices para que las administraciones públicas planifiquen la transición. A nivel europeo, España participa en la red EuroQCI de comunicaciones cuánticas seguras.

<\!-- wp:html -->

<\!-- /wp:html -->