Puede que la IA acapare toda la atención, pero la computación cuántica también supone un riesgo inmediato para nuestros datos. El 22 de junio de 2026, la Casa Blanca dio un importante toque de atención al recalcar que la computación cuántica no es solo un problema del futuro, sino una amenaza para la seguridad que debemos empezar a abordar hoy mismo.
La Orden Ejecutiva 14412 de los Estados Unidos (Protección de la nación frente a ataques criptográficos avanzados) subraya la urgencia de migrar a la criptografía poscuántica (PQC), dando prioridad a las políticas de financiación y contratación pública para cumplir de forma más eficaz los plazos federales de conformidad.
“La Orden Ejecutiva 14412 de EE. UU. hace que el debate pase de un hipotético escenario futuro a una realidad inmediata en materia de cumplimiento normativo, lo que obliga a las organizaciones a priorizar plazos concretos para proteger los sistemas críticos del país.”
Si cree que esto es solo un quebradero de cabeza para los organismos públicos, piénselo de nuevo. La orden provoca un enorme efecto dominó en los ciclos de contratación, lo que obliga a los proveedores tecnológicos y a las empresas a dar prioridad a los sistemas resistentes a la computación cuántica en sus ciclos de compra actuales.
Más allá del «Día Q»: los plazos operativos
Durante años, se dio por sentado que la «amenaza cuántica» —el momento en que los ordenadores cuánticos podrían vulnerar fácilmente sistemas de cifrado estándar como RSA— aún quedaba muy lejos. Pensábamos que habría tiempo de sobra para prepararnos para el «Día Q».
Pero el hardware físico está avanzando más rápido de lo que preveían inicialmente los cálculos. Los recientes avances de los investigadores de la «Harvard Quantum Initiative» apuntan a que los sistemas cuánticos estables y tolerantes a fallos están progresando mucho más rápido de lo esperado, lo que podría acortar el plazo hasta finales de esta década.
La Orden Ejecutiva 14412 aporta una gran dosis de realismo a este panorama. Hace que el debate pase de un hipotético escenario lejano a una realidad inmediata en materia de cumplimiento normativo, lo que obliga a las organizaciones a priorizar plazos concretos para proteger los sistemas críticos del país.
- Antes del 31 de diciembre de 2030: Las agencias federales deben completar la migración a algoritmos de criptografía poscuántica (PQC) aprobados por el Instituto Nacional de Estándares y Tecnología (NIST) de Estados Unidos para el establecimiento de claves (cifrado). El objetivo es neutralizar los ataques de «recopilar ahora y descifrar después», en los que los adversarios roban y almacenan hoy tráfico cifrado, sabiendo que la computación cuántica acabará permitiendo descifrarlo.
- Antes del 31 de diciembre de 2031: debe completarse la migración a la criptografía poscuántica (PQC) para las firmas digitales (autenticación), a fin de protegerse contra ataques de suplantación de identidad y falsificación.
Puede parecer que estos plazos tienen un alcance limitado, pero nada más lejos de la realidad. Para poner en práctica la orden, la Oficina de Gestión y Presupuesto (OMB) publicó el Memorando M-26-15 el 24 de junio, con lo que dio a las agencias civiles un plazo estricto de 120 días para presentar sus planes formales de migración, mientras se ponen en marcha vías de ejecución paralelas desde el Departamento de Guerra (DoW).
La orden también insta al Consejo de Regulación de Adquisiciones Federales (FAR) de EE. UU. a incorporar estos mismos plazos a los requisitos de los contratos federales. Esto convierte un mandato gubernamental en una realidad comercial: toda la base industrial de defensa y miles de contratistas federales tendrán que demostrar que cumplen los requisitos de la criptografía poscuántica (PQC) para poder seguir haciendo negocios con el Gobierno.
Además, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) está instando a los organismos a dar clara preferencia a los proveedores con capacidad para implementar criptografía poscuántica (PQC) en los próximos ciclos de contratación. Tanto si forma parte directamente de la cadena de suministro militar como si opera en otros sectores altamente regulados, como el financiero o el sanitario, la conclusión sigue siendo la misma: si sus sistemas manejan datos federales, estar preparado para la era cuántica es un requisito innegociable para hacer negocios.
El punto ciego de la cadena de suministro: entra en escena la CBOM
Los datos no permanecen confinados en un único lugar. Se mueven constantemente a través de API de terceros, plataformas SaaS externas, nubes alojadas por proveedores y mucho más. Estas dependencias generan vulnerabilidades que escapan a su control directo, lo que hace que la preparación para la criptografía poscuántica (PQC) sea mucho más compleja que limitarse a proteger sus sistemas internos.
En consonancia con la Orden Ejecutiva 14412, las directrices de la Casa Blanca que la acompañan introducen la lista de materiales criptográficos (CBOM) para abordar este punto ciego, exigiendo a los proveedores que revelen información detallada sobre sus sistemas criptográficos. Al igual que una lista de materiales de software (SBOM), la CBOM se centra en la transparencia del cifrado y permite conocer qué algoritmos, bibliotecas y certificados están integrados en sus productos.
¿El reto? La mayor parte de la infraestructura empresarial no está preparada para cumplir estos estándares de transparencia, y la falta de preparación de los proveedores para la PQC hace que esta dependencia sea aún más crítica. Por ejemplo, los datos de F5 Labs muestran que, aunque el 57 % del tráfico mundial de los navegadores web está técnicamente preparado para la PQC gracias a las actualizaciones automáticas, los sistemas backend empresariales se quedan muy atrás. Entre el millón de sitios web más visitados, solo el 8,6 % admite el intercambio híbrido de claves PQC, y en el caso de los sitios web bancarios la cifra se sitúa en un sorprendente 3 %.
La preparación para la era cuántica no depende únicamente de lo bien que se prepare su organización, sino también de sus socios, y la dependencia más débil podría ponerlo todo en peligro. La transparencia que aporta la CBOM será esencial para evaluar a los proveedores y garantizar que su organización pueda gestionar la transición cuántica sin contratiempos.
La lista de comprobación de tres pasos para la preparación ante la PQC
La migración a algoritmos resistentes a la computación cuántica no es algo que pueda resolverse con un simple parche de software. Es un proceso de varios años que exige una planificación minuciosa. En estos momentos, la Casa Blanca ha dado a las agencias federales solo 30 días para designar a una persona responsable de la migración a la criptografía poscuántica (PQC). Las empresas deberían avanzar al mismo ritmo.
Estos son tres pasos inmediatos para empezar hoy mismo:
- Asignar responsabilidades y trazar las dependencias: prioridad inmediata. Designe a una persona responsable de la preparación cuántica en toda su organización. Su primera prioridad debe ser identificar dónde se utilizan actualmente algoritmos de cifrado clásicos como RSA y ECC, tanto en su propia infraestructura como en API de terceros, plataformas SaaS y ecosistemas de proveedores.
- Prepárese para la obligatoriedad de la CBOM: próximos tres a seis meses. Actualice sus directrices de compra. Exija a los futuros proveedores de hardware, software y servicios en la nube que proporcionen una hoja de ruta clara para ofrecer compatibilidad con la criptografía poscuántica conforme a las normas del NIST, y pregúnteles cómo tienen previsto proporcionar una CBOM transparente. Es mucho mejor detectar estas carencias en las dependencias con antelación que esperar a que lleguen los plazos de cumplimiento normativo.
- Pruebe modelos de despliegue híbridos: próximos seis a doce meses. Adopte TLS 1.3 y empiece a probar intercambios de claves híbridos en entornos que no sean de producción para evaluar cómo afectan las claves poscuánticas a la latencia real de su red y al rendimiento de las aplicaciones. Realizar pruebas hoy evita importantes interrupciones operativas mañana.
Cómo afrontar la transición con F5
Para migrar correctamente a una criptografía resistente a la computación cuántica, se requiere agilidad criptográfica: la capacidad de sustituir sin problemas los algoritmos de cifrado a medida que evolucionan los estándares, sin interrumpir los sistemas ni provocar tiempos de inactividad.
Reescribir miles de aplicaciones heredadas puede llevar años, lo que supone una tarea enorme y costosa para la mayoría de los equipos. Por eso, F5 se ha unido al proyecto «Migración a la criptografía poscuántica» del Centro Nacional de Excelencia en Ciberseguridad (NCCoE) del NIST, un consorcio centrado en desarrollar marcos prácticos para guiar a las organizaciones durante esta transición.
F5 simplifica esta migración mediante una arquitectura de plataforma de gateway que reduce considerablemente el riesgo de implementación. En lugar de exigir a los desarrolladores que rediseñen manualmente la arquitectura de las aplicaciones —en entornos híbridos, multinube o heredados—, F5 integra compatibilidad nativa con cifrados PQC híbridos (tanto del lado del servidor como del cliente) directamente en su F5 Application Delivery and Security Platform (ADSP). Esto ayuda a proteger hoy los intercambios de datos críticos, al tiempo que proporciona a su equipo el margen necesario para llevar a cabo una transición fluida, y a largo plazo.
Prepararse para la era cuántica
La Orden Ejecutiva 14412 deja una cosa clara: ha llegado el momento de sentar las bases. Esta transición ya no es un objetivo lejano en una hoja de ruta futura.
Las organizaciones que actúen hoy —revisando las normas de contratación, exigiendo transparencia a los proveedores y probando modelos de despliegue híbridos— estarán mejor preparadas para afrontar la transición a la criptografía poscuántica (PQC) mucho antes de que lleguen los plazos de cumplimiento normativo.
Empiece a prepararse hoy mismo.
Sobre el autor
Artículos relacionados del blog
IA agéntica en ciberseguridad: promesas y riesgos
Descubre por qué el uso de la IA agéntica en ciberseguridad es esencial para combatir las amenazas impulsadas por IA y por qué los agentes también generan nuevos riesgos empresariales.
Cómo los clientes de F5 del sector financiero abordan la soberanía digital sin frenar la innovación
¿Cómo se materializa la soberanía digital en el mundo real? Dos proyectos recientes de F5 con clientes muestran cómo distintas empresas están afrontando estos retos.
Soberanía operativa: cómo desarrollar resiliencia en un mundo impredecible
Para muchas organizaciones, la cuestión ya no consiste únicamente en controlar los datos, sino en mantener la capacidad de operar, adaptarse y recuperarse a medida que evolucionan las leyes y las circunstancias.
No se puede proteger una conversación con un cortafuegos: cómo el red teaming de IA se volvió esencial
Dado que las implementaciones de IA avanzan a la velocidad de las máquinas, los métodos tradicionales de prueba de software ya no resultan adecuados.
Protege tu canalización de datos de IA sin ralentizarla
Proteger el flujo de datos de la IA no es opcional. Eso está claro. Lo que resulta mucho menos evidente —y mucho más difícil— es cómo protegerlo adecuadamente.
Las extranets no están muertas; solo necesitan una actualización
Modernice su extranet: descubra cómo F5 y Equinix ofrecen una conectividad para partners repetible, segura y escalable, sin la complejidad de las redes tradicionales.