El CCN fija 2030 como horizonte para migrar los sistemas públicos de mayor riesgo a criptografía postcuántica
En su guía CCN TEC 009/BP 37, el organismo vinculado al Centro Nacional de Inteligencia (CNI) plantea que los sistemas clasificados como de riesgo alto deberán completar la migración hacia criptografía postcuántica antes del 31 de diciembre de 2030, mientras que los de riesgo medio contarán con plazo hasta el 31 de diciembre de 2035.
El Centro Criptológico Nacional (CCN) ha situado la transición hacia criptografía postcuántica entre las prioridades de ciberseguridad para las administraciones y organizaciones que gestionan información sensible.
La recomendación parte de una previsión: la posible disponibilidad, hacia mediados de la próxima década, de ordenadores cuánticos con capacidad suficiente para comprometer buena parte de la criptografía asimétrica actualmente extendida. Este tipo de tecnología sustenta funciones esenciales en los entornos digitales, como el cifrado de comunicaciones, la autenticación, el intercambio de claves y la firma electrónica.
Para las administraciones públicas, el impacto potencial trasciende la protección técnica de las redes. Afecta a procedimientos administrativos electrónicos, servicios de identidad digital, relaciones con proveedores, custodia documental, plataformas de intercambio de datos y sistemas que manejan información con largos periodos de conservación. La guía del CCN advierte de que el riesgo no se limita al momento en que exista una capacidad cuántica operativa, ya que datos cifrados hoy pueden ser interceptados, almacenados y descifrados más adelante.
Este escenario, conocido como «almacenar ahora y descifrar después», introduce una variable temporal en la planificación de la seguridad. Información que mantendrá valor o requerirá confidencialidad durante la próxima década puede quedar expuesta en el futuro si se protege exclusivamente con algoritmos vulnerables a capacidades de cálculo cuántico. El documento incluye entre esos activos potencialmente afectados la información protegida mediante cifrado y los mecanismos de firma electrónica.
Un calendario vinculado al riesgo
El CCN plantea un calendario diferenciado según la criticidad de los sistemas. Los entornos de riesgo alto deberán haber completado su transición antes de finalizar 2030. Para los de riesgo medio, el límite se establece en el 31 de diciembre de 2035. En el caso de los sistemas de riesgo bajo, la migración se plantea en la medida de lo posible.
La fecha de 2030 no supone únicamente un objetivo de sustitución tecnológica. La documentación divulgativa publicada por el organismo incorpora una primera referencia intermedia para el 31 de diciembre de 2026. Para entonces, las organizaciones deberían contar con estrategia, modelo de gobernanza, inventario criptográfico, clasificación de casos de uso y proyectos piloto iniciados para los sistemas de riesgo alto y medio.
Este planteamiento obliga a tratar la transición como un programa de transformación con dimensiones técnicas, organizativas y presupuestarias. La criptografía está integrada en múltiples capas de los sistemas de información y, en muchos casos, no resulta visible desde la operación cotidiana. Puede encontrarse en aplicaciones propias y de terceros, certificados digitales, mecanismos de acceso remoto, comunicaciones entre organismos, dispositivos conectados, copias de seguridad, bases de datos, pasarelas de pago, expedientes electrónicos o componentes de infraestructura suministrados por distintos fabricantes.
La dificultad, por tanto, no reside solo en seleccionar algoritmos resistentes a la computación cuántica. La administración debe identificar dónde se utilizan mecanismos criptográficos, qué datos y procesos protegen, qué dependencias existen entre aplicaciones y qué impacto operativo tendría su actualización. El CCN recomienda iniciar cuanto antes las fases de descubrimiento, adquisición, despliegue y puesta en marcha para reducir el riesgo de migraciones incompletas o tardías.
Gobernanza e inventario criptográfico
La guía concede un espacio específico a la gobernanza. Según el CCN, las instituciones deben establecer quién lidera la transición, cómo se medirá el avance y de qué forma se mantendrá el cumplimiento normativo durante el proceso.
La asignación de responsabilidades adquiere relevancia en organizaciones con competencias tecnológicas distribuidas entre unidades de sistemas, seguridad, contratación, servicios jurídicos, responsables funcionales y proveedores externos. Un programa de transición poscuántica requiere, en ese contexto, criterios comunes para priorizar activos, aceptar riesgos residuales, definir requisitos en los contratos y verificar el cumplimiento de los plazos.
El inventario criptográfico aparece como uno de los instrumentos centrales de la preparación. La documentación del CCN aconseja identificar los activos criptográficos empleados y sus dependencias, junto con la información o los activos que protegen y su nivel de criticidad. También recomienda actualizar ese inventario durante todo el proceso.
En la práctica, este ejercicio permite distinguir entre tecnologías que pueden evolucionar mediante actualizaciones de software y otras cuyo reemplazo puede exigir renovaciones de equipamiento, cambios de arquitectura o sustitución de productos. También permite detectar sistemas heredados, integraciones con terceros y servicios cuya criptografía depende de decisiones adoptadas por proveedores.
Cifrado, firma y soluciones híbridas
El documento aborda las principales piezas de la transición, entre ellas los mecanismos de encapsulación de claves, las firmas digitales y las soluciones híbridas. Los mecanismos de encapsulación de claves son relevantes porque permiten establecer de forma segura las claves que se emplean para cifrar comunicaciones o datos. Las firmas digitales, por su parte, intervienen en la autenticidad, integridad y no repudio de numerosos trámites electrónicos.
La incorporación de soluciones híbridas responde a la necesidad de compatibilizar tecnologías existentes con mecanismos resistentes a la computación cuántica durante una fase transitoria. Este enfoque puede permitir que una comunicación o un procedimiento combine esquemas criptográficos convencionales y poscuánticos mientras se completa la adaptación del ecosistema tecnológico. La decisión sobre su aplicación dependerá de la arquitectura disponible, la interoperabilidad exigida y las recomendaciones técnicas vigentes del CCN.
La guía invita asimismo a consultar los algoritmos y protocolos recomendados por el organismo, así como los productos y servicios identificados como quantum resistant en el Catálogo de Productos y Servicios de Tecnologías de la Información y la Comunicación (CPSTIC). Para las administraciones, esta referencia puede trasladarse a los procesos de compra pública, los pliegos tecnológicos, las renovaciones de contratos y los requisitos de interoperabilidad con otras entidades.
Preparación antes de la sustitución
El decálogo incluido en la publicación insiste en que la transición debe comenzar de forma temprana, con presupuesto y personal asignados, y mediante una clasificación de la información y los activos que deben protegerse, atendiendo también al tiempo durante el que requerirán protección.
El CCN propone que las organizaciones elaboren planes de migración ajustados a la criticidad de la información o de los activos, impulsen proyectos piloto en los sistemas que requieran una actuación prioritaria y mantengan actualizado su conocimiento sobre protocolos, algoritmos y oferta tecnológica disponible.
El alcance de este proceso dependerá de la madurez digital de cada administración, del tamaño de su parque tecnológico y de la vida útil de sus activos. No obstante, la publicación sitúa la criptografía poscuántica como una cuestión que deberá incorporarse progresivamente a la planificación de ciberseguridad, a las políticas de renovación tecnológica y a la contratación de soluciones digitales. La ventana hasta 2030 para los sistemas de mayor riesgo obliga a que las fases de diagnóstico y diseño se desarrollen con antelación suficiente respecto de la implantación efectiva.
