Control de calidad de procesos para el gobierno y la defensa: del inventario a la ejecución de CNSA 2.0

Respuesta rápida: La migración federal de PQC ahora se rige por un modelo de programa específico y con fecha límite, en lugar de directrices generales. La Orden Ejecutiva 14412 (22 de junio de 2026) y el Memorando M-26-15 de la OMB (24 de junio de 2026) establecen un cronograma de cinco fases desde 2026 hasta 2035, exigen que cada agencia cubierta presente un plan de migración de PQC antes del 22 de octubre de 2026 aproximadamente, y especifican exactamente lo que debe contener dicho plan: metodología de inventario automatizado, priorización basada en riesgos, una arquitectura de criptoagilidad, coordinación con terceros, asignación de recursos y funciones de gobernanza. Los sistemas de defensa se ejecutan en paralelo bajo CNSA 2.0, con una fecha límite de adquisición el 1 de enero de 2027. Esta guía convierte ese modelo de programa en una lista de verificación de ejecución: propiedad, inventario, adquisición, implementaciones validadas, fases de migración y evidencia.

Las directrices federales y de defensa sobre control cuántico de procesos (PQC) han avanzado rápidamente en 2026, y el desafío práctico para las agencias y los contratistas no radica tanto en "¿qué significa resistencia cuántica?", sino más bien en "¿qué debe contener exactamente nuestro plan de migración, para qué fecha y quién aprueba cada parte?". Esta guía se basa directamente en la orden ejecutiva vigente, el memorando de la Oficina de Administración y Presupuesto (OMB) y los requisitos de la CNSA 2.0, y no en las mejores prácticas generales.

Puntos Clave

• La Orden Ejecutiva 14412 y la Circular M-26-15 de la Oficina de Administración y Presupuesto (OMB), ambas emitidas en junio de 2026, establecen un cronograma de migración federal civil de cinco fases que abarca desde 2026 hasta 2035, y los planes de migración de las agencias deben presentarse aproximadamente 120 días después de la publicación del memorando, alrededor del 22 de octubre de 2026.
• El contenido requerido del plan de migración es específico: metodología de inventario automatizada, priorización basada en riesgos según el nivel de impacto del sistema, un plan de arquitectura de criptoagilidad, coordinación con terceros, estimaciones de recursos y funciones de gobernanza.
• Los sistemas de defensa se rigen por la vía independiente de CNSA 2.0, con una fecha límite de adquisición el 1 de enero de 2027 y una validación liderada por la NSA para sistemas de alta seguridad distinta de la validación civil del CMVP.
• La validación es el cuello de botella común a ambas vías: la validación FIPS 140-3 (CMVP) actualmente dura alrededor de 18 meses, y ninguna de las dos vías ha ampliado ese plazo a pesar de las directrices para acelerarlo.
• La fecha límite del 21 de septiembre de 2026 para la entrada en vigor de la norma FIPS 140-2 traslada todos los certificados FIPS 140-2 restantes a la lista histórica de CMVP, una fecha de cumplimiento estricta que llega antes de que venzan la mayoría de los planes de migración de las agencias.

Mandato actual: EO 14412 y OMB M-26-15

El presidente Trump firmó la Orden Ejecutiva 14412 el 22 de junio de 2026, que exige una transición federal acelerada a la criptografía post-cuántica. La OMB siguió dos días después, el 24 de junio, con el Memorando M-26-15, “Ejecución de la migración a la criptografía post-cuántica”, el manual operativo para las agencias civiles. La velocidad de ese seguimiento, dos días en lugar de noventa permitidos, indica que el memorando fue redactado junto con la orden en lugar de en respuesta a ella. M-26-15 establece el primer cronograma federal explícito de cinco fases para PQC: la Fase 1 (2026-2027) cubre la estrategia, la planificación y el inventario de activos de alto valor y sistemas de alto impacto; la Fase 2 (2027-2028) cubre los pilotos y la migración temprana; la Fase 3 (2028-2030) cubre la migración priorizada del establecimiento de claves; la Fase 4 (2031) cubre la migración de firmas; La fase 5 (2035) abarca la migración completa de los sistemas restantes.

Propiedad e inventario: lo que todo plan debe contener

El M-26-15 especifica el contenido del plan de migración, lo que lo convierte de una directiva general en una lista de verificación para su ejecución. Los elementos requeridos incluyen: una metodología automatizada de inventario criptográfico, no un simple ejercicio manual con hojas de cálculo; priorización basada en riesgos, según el nivel de impacto de FIPS 199 y la condición de Activo de Alto Valor; un plan de arquitectura de criptoagilidad que describa cómo la agencia se adaptará a futuros cambios de algoritmos; coordinación con terceros y proveedores; estimaciones de recursos y financiación; y roles de gobernanza claramente definidos. Es necesario asignar la responsabilidad antes de que el trabajo de inventario pueda avanzar de manera efectiva, y el enfoque del memorando deja claro que se trata de una responsabilidad del equipo directivo, no de un proyecto delegado por el CISO que se ejecuta de forma aislada.

Adquisiciones: Lo que los proveedores deben demostrar ahora

Para los proveedores que venden al mercado federal, el cambio práctico es que la criptografía validada, y no solo la compatibilidad con algoritmos que se menciona en una hoja de datos, se está convirtiendo en un requisito fundamental para la elegibilidad en las adquisiciones. Un producto que admite técnicamente ML-KEM y ML-DSA, pero que no ha entrado en la validación FIPS 140-3, no es lo mismo, desde el punto de vista de las adquisiciones, que uno con un certificado activo o una ruta creíble y fechada para obtenerlo. Las agencias deben esperar ver, y los proveedores deben esperar proporcionar, el estado de validación actual con los números de certificado cuando estén disponibles, o una proyección específica y fechada cuando la validación esté pendiente, el mismo estándar de evidencia cubierto en nuestra guía de cumplimiento CNSA 2.0 para contratistas de defensa.

Implementaciones validadas: El punto de estrangulamiento compartido

Tanto el sector civil como el de defensa dependen de procesos de validación que no se han adaptado a la demanda de 2026. En el sector civil, el CMVP exige la validación FIPS 140-3 para cualquier producto, un proceso que actualmente dura unos 18 meses o más por solicitud. En el sector de defensa de alta seguridad, la certificación de la NSA exige la certificación de todas las unidades criptográficas destinadas a uso clasificado. La Orden Ejecutiva 14412 ordena al NIST acelerar el CMVP, y la estrategia PQC del Departamento de Guerra exige una certificación de la NSA más ágil, pero ninguna de las directivas ha ampliado aún el flujo de trabajo. Los planes de programa que asumen que los plazos de validación mejorarán según lo previsto se basan en una suposición no comprobada; los planes que toman como referencia el plazo actual del CMVP de más de 18 meses y comienzan las solicitudes en consecuencia, son los que realmente superarán la fase de 2027 o 2030.

Un plazo adicional y más próximo agrava la situación: el 21 de septiembre de 2026, CMVP traslada todos los certificados FIPS 140-2 validados restantes a su lista histórica. Cualquier sistema que aún dependa de un certificado FIPS 140-2 activo necesita un plan para esa transición mucho antes de que la mayoría de las agencias tengan que presentar sus planes de migración de PQC a la OMB.

Oleadas migratorias y fechas clave

Fecha	Milestone
21 de septiembre de 2026	Los certificados FIPS 140-2 pasan a la lista histórica de CMVP.
~22 de octubre de 2026	Planes de migración de PQC de agencias civiles pendientes de aprobación por la OMB y la ONCD (120 días a partir del 26 de mayo de 15)
Enero 1, 2027	Proceso de adquisición CNSA 2.0 para sistemas de seguridad nacional
31 de diciembre de 2027	Fecha límite para la finalización del proyecto piloto NIST PQC
Enero 2, 2030	Plazo límite para la compatibilidad con TLS 1.3 federal
31 de diciembre de 2030	Migración de sistemas clave para HVA civiles y sistemas de alto impacto; puerta de soporte de DoW-PQC-o eliminación gradual; uso exclusivo de CNSA 2.0 para firma y redes.
31 de diciembre de 2031	Migración de firmas digitales para HVA civiles y sistemas de alto impacto; puerta de control de calidad del uso del Departamento de Guerra
2033	Fecha límite de uso exclusivo de CNSA 2.0 para dispositivos web/nube, sistemas operativos, PKI de gran tamaño y NSS con recursos limitados.
2035	Migración completa de los sistemas civiles federales restantes

Evidencia: Cómo convertir la migración en un resultado auditable

El CSWP 48 del NIST vincula las capacidades de migración de PQC directamente con el Marco de Ciberseguridad 2.0 del NIST y los controles SP 800-53 Rev. 5, lo que proporciona a los equipos de gobernanza una forma estructurada de expresar el progreso de la migración como un resultado de riesgo auditable en lugar de un esfuerzo de ingeniería aislado. CISA y NIST también deben publicar la guía de elementos mínimos de CBOM aproximadamente 270 días después de la EO 14412, prevista para marzo de 2027, que estandarizará lo que debe contener una lista de materiales criptográficos conforme a la normativa federal para fines de evidencia. Desarrollar su inventario y prácticas de evidencia conforme a ese estándar previsto ahora, en lugar de esperar la guía final, evita un ciclo de reelaboración una vez que se publique.

Lo que realmente recomendamos

Asigne la responsabilidad de la migración a nivel directivo de inmediato si aún no se ha hecho, ya que el memorando M-26-15 establece explícitamente que esto va más allá de la responsabilidad delegada del CISO. Cree el inventario automatizado que requiere el memorando ahora, antes de la fecha límite del plan de octubre, en lugar de tratar el inventario como una casilla de verificación que se debe cumplir después de que se haya redactado el plan. Envíe las solicitudes de validación de FIPS 140-3 de acuerdo con el cronograma actual de más de 18 meses, no con uno acelerado asumido, y realice un seguimiento de la fecha de finalización de FIPS 140-2 de septiembre de 2026 como una fecha límite distinta y más cercana del plan de migración PQC más amplio.

Cómo puede ayudar la consultoría de cifrado

El inventario automatizado que requiere M-26-15, y la base de evidencia que esperan CSWP 48 y la próxima guía de elementos mínimos de CBOM, son exactamente lo que CBOM Secure está diseñado para producir, mapeando cada algoritmo, clave y certificado en todo el entorno de su agencia o contratista en un inventario estructurado y listo para auditoría, en lugar de un simple ejercicio de hoja de cálculo.

Nuestros Servicios de Asesoría PQC desarrollan el modelo completo del programa descrito en esta guía, la estructura de propiedad, la priorización basada en riesgos, la arquitectura de criptoagilidad y el plan de migración por fases alineado con M-26-15 y CNSA 2.0, convirtiéndolo en un plan de migración federal que puede presentarse. Cuando la emisión de certificados forma parte de la ejecución, CertSecure Manager implementa el plan en producción para certificados clásicos, híbridos y con parámetros CNSA 2.0; y cuando la validación del hardware es la limitación, nuestros Servicios HSM evalúan el firmware HSM actual según los requisitos CMVP y NIAP.

Un programa con fechas, no una directiva para interpretar.

La migración federal al PQC dejó de ser un ejercicio de planificación general en junio de 2026. La Orden Ejecutiva 14412 y la Circular M-26-15 de la OMB especifican con exactitud qué debe contener un plan de migración y cuándo debe presentarse; la CNSA 2.0 especifica con exactitud qué algoritmos y conjuntos de parámetros necesitan los sistemas de defensa y para cuándo. Las organizaciones que superan cada etapa con éxito son aquellas que consideran el tiempo de validación como la principal limitación, creando el inventario automatizado necesario ahora en lugar de después de la fecha límite del plan, y haciendo un seguimiento de la fecha de finalización de la norma FIPS 140-2 en septiembre de 2026 como un plazo próximo independiente del proceso de migración del PQC a largo plazo.

Preguntas frecuentes

¿Cuándo vencen los plazos para la migración del sistema PQC de las agencias federales?

Aproximadamente el 22 de octubre de 2026, 120 días después de la publicación del Memorando M-26-15 de la OMB el 24 de junio de 2026. Los planes se envían tanto a la OMB como a la Oficina del Director Nacional de Ciberseguridad.

¿Qué debe incluir un plan federal de migración del PQC?

Una metodología automatizada de inventario criptográfico, priorización basada en riesgos según el nivel de impacto del sistema, un plan de arquitectura de criptoagilidad, coordinación con terceros, estimaciones de recursos y financiación, y funciones de gobernanza asignadas, según los requisitos específicos de la OMB M-26-15.

¿El cronograma federal de PQC es el mismo para las agencias civiles y los sistemas de defensa?

No. Las agencias civiles siguen el cronograma de cinco fases 2026-2035 de la OMB M-26-15. Los sistemas de defensa se rigen por el plan independiente de la CNSA 2.0, con una fecha límite de adquisición el 1 de enero de 2027 y sus propios hitos 2030/2031/2033, administrados por la NSA en lugar de la OMB.

¿Cuánto tiempo tarda actualmente la validación FIPS 140-3?

Aproximadamente 18 meses o más a partir de 2026. La Orden Ejecutiva 14412 ordena al NIST que acelere el CMVP, pero ese proceso aún no se ha ampliado de forma demostrable, por lo que los plazos actuales constituyen la suposición de planificación más segura.

¿Qué sucederá con los certificados FIPS 140-2 el 21 de septiembre de 2026?

Todos los certificados FIPS 140-2 validados restantes se transfieren a la lista histórica de CMVP. Los sistemas que dependen de la validación FIPS 140-2 activa necesitan un plan de transición para esta fecha, que llega antes de que venzan los planes de migración PQC más amplios de la mayoría de las agencias.