NIST publica la hoja de ruta final para migrar a criptografía poscuántica

El 27 de octubre de 2026, NIST publicó la versión final de NISTIR 8547, “Transition to Post-Quantum Cryptography Standards”. El documento da una hoja de ruta para reemplazar algoritmos de criptografía de clave pública que podrían quedar expuestos ante computadoras cuánticas criptográficamente relevantes. NIST explica que el informe identifica los estándares vulnerables y los mecanismos resistentes que deberían sustituirlos.

La publicación apoya la transición a las normas poscuánticas que NIST finalizó en 2024. Su aporte práctico es organizar la migración: inventario, priorización, dependencias y secuenciación, en vez de tratar el cambio como una actualización aislada de software. El informe reconoce que el esfuerzo varía según los sistemas, el uso de criptografía y la cadena de suministro de cada organización.

NIST vincula el plan con plazos federales estadounidenses: los sistemas de alto valor e impacto deben migrar antes para ciertos usos, con metas de 2030 para establecimiento de claves y 2031 para firmas digitales. El documento también respalda la meta general federal de 2035. Son instrucciones para sistemas sujetos a ese marco y no trasladan automáticamente una obligación legal a empresas ecuatorianas.

Para proveedores y organizaciones ecuatorianas, el impacto puede llegar por contratos, integración con servicios estadounidenses o exigencias de clientes internacionales. En el sector financiero local, la noticia no sustituye reglas de la SEPS o de la Superintendencia de Bancos. Es una referencia técnica para diseñar inventarios criptográficos y planes de transición, con aplicabilidad jurídica propia que cada organización debe comprobar.

La urgencia no depende de que exista hoy una computadora cuántica capaz de romper la criptografía desplegada. Un atacante podría conservar comunicaciones cifradas capturadas ahora y tratar de descifrarlas en el futuro. Esto afecta sobre todo datos cuyo valor o sensibilidad se extiende durante años, como expedientes médicos, propiedad intelectual, información financiera estratégica o datos personales de larga retención.

NIST recomienda considerar qué información necesita confidencialidad prolongada y qué sistemas dependen de algoritmos que se retirarán. Ese análisis de vida útil es un criterio útil para priorizar: una migración puede tomar años por inventarios incompletos, equipos heredados, certificados, protocolos y cambios de proveedores. No implica que todos los datos cifrados estén hoy expuestos a descifrado cuántico.

NISTIR 8547 pide considerar no solo componentes internos, sino también productos, servicios y dependencias de proveedores. Una organización suele desconocer qué bibliotecas, dispositivos, VPN, certificados, sistemas de firma o servicios de nube incorporan criptografía vulnerable. Sin descubrimiento y registro, es difícil presupuestar cambios, probar interoperabilidad o priorizar los sistemas que protegen datos de mayor duración.

El informe menciona la opción híbrida de combinar algoritmos convencionales con poscuánticos durante una transición. Esa alternativa puede reducir ciertos riesgos de cambio, pero implica mayor consumo de recursos y complejidad. No es una receta universal: las pruebas deben medir interoperabilidad, rendimiento, tamaño de claves o firmas y compatibilidad de los equipos y protocolos usados en producción.

Un paso inmediato es nombrar responsables de criptografía, compras, seguridad, arquitectura y gestión de proveedores; crear un inventario de algoritmos y flujos; y clasificar información por duración de confidencialidad. Después se pueden identificar servicios con claves públicas expuestas, registrar dependencias y acordar con proveedores sus planes PQC. Conviene probar primero servicios no críticos y documentar reversión.

El reporte no convierte la migración en un parche de emergencia ni establece una fecha universal para todas las empresas. Tampoco garantiza que cada producto anunciado como “quantum-safe” implemente correctamente los estándares. Las organizaciones deberían seguir las publicaciones de NIST, probar implementaciones interoperables y revisar contratos. El valor de NISTIR 8547 está en dar un marco y plazos federales verificables para preparar decisiones técnicas con tiempo.