El Centro Criptológico Nacional ha alertado de los graves riesgos que la computación cuántica supondrá para la seguridad de la información y ha llamado a las organizaciones a prepararse ya para una transición ordenada hacia sistemas criptográficos resistentes. El organismo, dependiente del Centro Nacional de Inteligencia, ha publicado el informe CCN-TEC 009 Recomendaciones para una transición PQC segura/BP 37, con el objetivo de concienciar sobre una amenaza que puede comprometer los mecanismos de cifrado y firma electrónica utilizados actualmente.
Según el CCN, los avances en computación cuántica tendrán una repercusión directa en la protección, custodia y seguridad de la información. La llegada de ordenadores cuánticos criptográficamente relevantes podría dejar indefensos algunos de los sistemas criptográficos asimétricos más extendidos, permitiendo accesos no autorizados a información protegida y afectando también a la validez y seguridad de la firma electrónica.
El documento sitúa la aparición de un ordenador cuántico con capacidad real para romper determinados esquemas criptográficos hacia mediados de la próxima década, en torno a 2035. Por ello, el CCN subraya la necesidad de iniciar cuanto antes la migración hacia tecnologías quantum resistant o quantum safe.
Una amenaza para el cifrado actual
La advertencia del CCN se centra en el impacto que la computación cuántica puede tener sobre la criptografía actual. Muchos sistemas de comunicación, autenticación, firma y protección de datos se basan en algoritmos que podrían verse comprometidos cuando exista suficiente capacidad cuántica.
Esto no afecta únicamente a información futura. El informe destaca también el riesgo conocido como “almacena ahora y descifra después”. Este escenario consiste en capturar hoy información cifrada para descifrarla en el futuro, cuando la tecnología cuántica permita romper los sistemas de protección utilizados en el momento de su interceptación.
Este riesgo resulta especialmente relevante para administraciones, empresas estratégicas, infraestructuras críticas y organizaciones que manejan información sensible con largos periodos de confidencialidad. Documentos clasificados, datos personales, información sanitaria, propiedad intelectual, secretos industriales o comunicaciones institucionales podrían quedar expuestos años después de haber sido interceptados.
Fechas límite según la criticidad de los sistemas
El CCN plantea una migración escalonada en función del nivel de riesgo de los sistemas. Los sistemas de riesgo alto deberán estar completamente migrados antes del 31 de diciembre de 2030. Para los sistemas de riesgo medio, el plazo se amplía hasta el 31 de diciembre de 2035. En el caso de los sistemas de riesgo bajo, la migración deberá abordarse en la medida de lo posible.
La recomendación del organismo es no esperar a que la amenaza sea inmediata. La transición hacia criptografía postcuántica requiere tiempo, planificación, inventario de activos, pruebas, adquisición de soluciones, despliegue y adaptación de procesos.
El propio informe advierte de los largos tiempos de migración como uno de los principales riesgos. Retrasar el proceso puede provocar transiciones incompletas, decisiones precipitadas o dificultades para adaptar sistemas críticos dentro de los plazos recomendados.
Gobernanza y planificación
El informe del CCN dedica un apartado específico a la gobernanza de la transición postcuántica. La migración no debe entenderse solo como un cambio técnico de algoritmos, sino como un proyecto organizativo que requiere liderazgo, presupuesto, personal y seguimiento.
Las organizaciones deberán definir quién dirige el proceso, cómo se medirá el avance, qué áreas estarán implicadas y cómo se mantendrá el cumplimiento normativo durante la transición. También deberán identificar qué información debe protegerse, durante cuánto tiempo y con qué nivel de criticidad.
El documento propone pautas relacionadas con planes de migración, mecanismos de encapsulado de claves, firmas digitales, soluciones híbridas y calendarios recomendados. Estas medidas buscan reducir el riesgo durante una etapa en la que convivirán sistemas criptográficos tradicionales y soluciones resistentes a la amenaza cuántica.
Diez buenas prácticas para una transición ordenada
El CCN incluye también un decálogo de buenas prácticas para orientar a las organizaciones. Entre las recomendaciones figuran asumir que la transición postcuántica ya es un hecho, asignar presupuesto y personal, determinar la información y los activos que deben protegerse y realizar un inventario de los activos criptográficos empleados.
El organismo también recomienda establecer un plan de migración según la criticidad de la información, iniciar proyectos piloto en los sistemas que necesiten migración por su riesgo, tener presentes las fechas límite, consultar los algoritmos y protocolos recomendados por el CCN, revisar en el CPSTIC los productos y servicios quantum resistant y mantener actualizado el inventario de activos criptográficos y sus dependencias.
Estas medidas buscan evitar que la migración se aborde tarde o de forma fragmentada. En un entorno tecnológico cada vez más complejo, conocer qué sistemas usan criptografía, qué dependencias tienen y qué información protegen será clave para reducir la exposición.
Prepararse antes de que la amenaza sea real
La computación cuántica todavía no representa una amenaza masiva inmediata para todos los sistemas, pero el CCN insiste en que el momento de prepararse es ahora. La razón es que la migración criptográfica afecta a infraestructuras complejas, proveedores, aplicaciones, certificados, comunicaciones, dispositivos y procesos internos.
La transición postcuántica será uno de los grandes retos de la ciberseguridad durante los próximos años. No se trata solo de adoptar nuevos algoritmos, sino de garantizar que la información seguirá protegida en un escenario tecnológico en el que parte de la criptografía actual puede dejar de ser suficiente.
Con este informe, el CCN lanza un mensaje claro a administraciones, empresas y organizaciones estratégicas: la amenaza cuántica debe incorporarse ya a la planificación de seguridad. Esperar a que los ordenadores cuánticos sean capaces de romper los sistemas actuales puede dejar sin margen de reacción a quienes necesitan proteger información crítica a largo plazo.
