Preparación cuántica en 2026: Cinco realidades de la migración de PQC

Durante mucho tiempo, la computación cuántica se ha considerado un problema del futuro, algo que se retomaría una vez que mejorara el hardware. Esta mentalidad está cambiando en 2026, y el cambio es real.

Las organizaciones que aprovechan este tiempo para desarrollar habilidades, adquirir experiencia y cultivar el conocimiento interno están creando ventajas que serán difíciles de eliminar posteriormente.

Los reguladores han llegado a la misma conclusión. El NIST publicó tres estándares de criptografía post-cuántica (PQC) en agosto de 2024: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA). En marzo de 2025, el NIST seleccionó HQC, un mecanismo de encapsulación de clave de respaldo basado en código, para su estandarización como una alternativa matemáticamente diversa a ML-KEM, cuya finalización se espera para 2027. También se espera que FIPS 206 (FN-DSA, basado en FALCON) se publique a finales de 2026 o principios de 2027. El CNSA 2.0 de la NSA exige que todas las nuevas adquisiciones del Sistema Nacional de Seguridad sean compatibles con los algoritmos del CNSA 2.0 a partir del 1 de enero de 2027.

El Grupo de Cooperación NIS de la UE publicó una hoja de ruta coordinada sobre PQC en junio de 2025, solicitando a todos los Estados miembros que contaran con planes nacionales de PQC e inventarios criptográficos para finales de 2026, y que las infraestructuras críticas hicieran la transición de sus casos de uso de alto riesgo para finales de 2030 y de los casos de uso de riesgo medio para finales de 2035. Tanto en lo que respecta a las oportunidades como a los riesgos de la computación cuántica, las decisiones que tomen las organizaciones en los próximos dos o tres años determinarán su posición en la década siguiente.

Este blog analiza cinco realidades que distinguen a las organizaciones que están logrando avances cuánticos reales de aquellas que todavía lo consideran un problema del futuro.

¿Dónde se encuentran realmente la mayoría de las organizaciones?

Antes de adentrarnos en las cinco realidades, conviene ser honestos sobre la situación actual. La brecha entre conocer la mecánica cuántica y actuar en consecuencia es enorme, y esa brecha en sí misma representa un riesgo.

La mayoría de las organizaciones están realizando proyectos piloto e invirtiendo más dinero, pero no han desarrollado los sistemas, procesos ni la gobernanza necesarios para pasar de las pruebas a la producción. Las cinco realidades que se describen a continuación explican lo que realmente se necesita para cerrar esa brecha.

Realidad:	Lo que significa	Error común
1. Preparación organizativa	Necesitas personas, procesos y gobernanza, no solo hardware.	Esperar a que el hardware mejore antes de hacer nada.
2. Casos de uso de portafolio	La ventaja cuántica varía según el sector y el tipo de carga de trabajo.	Tratar todos los sistemas como prioridades de migración iguales
3. La computación cuántica y la inteligencia artificial juntas.	Ambas tecnologías están convergiendo tanto en ataque como en defensa.	Planificación para la computación cuántica y la inteligencia artificial por separado.
4. Talento	La experiencia en control de calidad precompra es escasa y la demanda está aumentando rápidamente.	Suponiendo que los equipos internos puedan absorber el trabajo sin apoyo especializado.
5. Gobernanza responsable	Criptográfico gobierno es una obligación regulatoria actual	Tratar el riesgo cuántico como un elemento futuro en el registro de riesgos.

Aquí te explicamos qué significa cada uno en la práctica.

Realidad 1: La preparación importa más que el hardware.

La razón más común que dan las organizaciones para esperar es que el hardware no está listo. Suena razonable. Sin embargo, es la postura que tiene más probabilidades de dejarlas rezagadas.

Por qué esperar resulta contraproducente

La ventaja cuántica no proviene únicamente del hardware. Requiere hardware potente, software maduro, aplicaciones diseñadas para problemas específicos y flujos de trabajo que conecten las herramientas cuánticas con las operaciones comerciales reales. Nada de esto se construye de la noche a la mañana; lleva años. Las organizaciones que esperan a que el hardware mejore antes de hacer cualquier otra cosa ya están rezagadas.

Lo que realmente hacen las organizaciones que están a la vanguardia.

• Colaboran con proveedores de hardware, grupos de investigación y socios de la industria para seguir de cerca los avances sin depender de una sola plataforma.
• Elaboran planes que integran la estrategia cuántica, la capacidad técnica y la preparación operativa al mismo tiempo, no una tras otra.
• Protegen las primeras investigaciones, incluyendo la propiedad intelectual, los datos y los modelos, mediante controles de acceso y cifrado, de modo que la ventaja que consiguen no pueda filtrarse ni replicarse antes de que llegue a la producción.

Un mejor hardware abre la puerta. La preparación de la organización determina la rapidez con la que se puede cruzar. Esa misma lógica influye en cómo las organizaciones líderes abordan la elección de los problemas prioritarios.

Realidad 2: Ningún caso de uso único prevalece.

Las primeras estrategias cuánticas solían consistir en encontrar el único ámbito en el que la computación cuántica resultaría claramente ganadora, de modo que el modelo de negocio se justificara por sí solo. Ese enfoque no ha resistido el paso del tiempo.

Donde se desarrolla la verdadera actividad.

Tras analizar estudios independientes del mercado cuántico en 2025 y 2026, las oportunidades a corto plazo más realistas se encuentran repartidas entre múltiples sectores:

Experiencia	Enfoque primario	¿Por qué importa la mecánica cuántica?
Energía y materiales	Simulación	Química de baterías, diseño de catalizadores, modelado molecular
Servicios Financieros	Optimiza	Construcción de carteras, valoración de derivados, modelización de riesgos.
Sanidad y Farmacia	Simulación	Descubrimiento de fármacos, unión a proteínas, estructura del ARNm
Logística	Optimiza	Enrutamiento, programación, cadena de suministro eficiencia
Gobierno y defensa	Seguridad y optimización	Criptografía postcuántica, comunicaciones seguras

Cómo es una buena inversión

Las organizaciones que logran un progreso más constante diversifican sus inversiones en varias áreas en lugar de centrarse en una sola. Además, mantienen la inversión durante la fase de integración, en lugar de recortar presupuestos justo cuando los casos de uso probados necesitan financiación para llegar a producción.

Nadie sabe qué aplicación cuántica generará valor comercial primero. Trabajar con varias a la vez no es falta de enfoque; es la respuesta adecuada a la incertidumbre real. Y la forma en que las organizaciones gestionan esto junto con su trabajo en IA resulta ser igual de importante.

Realidad 3: La computación cuántica y la inteligencia artificial pueden potenciarse mutuamente.

Una de las decisiones más trascendentales en la estrategia cuántica es si tratar la computación cuántica y la inteligencia artificial como competidoras en cuanto a presupuesto, o como herramientas que los investigadores exploran activamente como complementarias. Las organizaciones que las consideran rivales tienden a invertir menos en computación cuántica; aquellas que las tratan como capacidades paralelas tienden a desarrollar programas más sólidos.

Por qué se están explorando juntos

La computación cuántica y la inteligencia artificial abordan distintos tipos de problemas computacionales. Los investigadores estudian si los enfoques cuánticos pueden ser útiles para ciertas cargas de trabajo de IA, como el muestreo a partir de distribuciones de probabilidad complejas y la simulación de sistemas físicos que las computadoras clásicas tienen dificultades para modelar con precisión. Por otro lado, las herramientas de IA ya se utilizan para guiar la selección de algoritmos, gestionar los recursos de sistemas híbridos y ayudar a identificar dónde podrían ser más útiles los métodos cuánticos.

El costo de tratarlos como rivales

Las organizaciones que mantienen equipos separados de computación cuántica e inteligencia artificial con presupuestos independientes tienden a fomentar una percepción de competencia que la tecnología subyacente no justifica. En el caso específico de los equipos de seguridad, la solución más práctica hoy en día consiste en utilizar herramientas de IA para acelerar el inventario criptográfico y la migración post-cuántica, donde el descubrimiento impulsado por IA reduce los plazos que los métodos manuales no pueden igualar.

Realidad 4: El talento se vuelve más difícil, no más fácil.

La mayoría de las transiciones tecnológicas siguen un patrón conocido: al principio, el talento escasea y luego el mercado se adapta. La computación cuántica no sigue ese patrón.

¿Por qué crece la brecha?

Los primeros programas cuánticos pueden ser gestionados por pequeños equipos especializados que realizan experimentos controlados. A medida que los programas avanzan hacia la producción, las habilidades necesarias se expanden en varias direcciones a la vez:

• Diseño de algoritmos cuánticos
• Ingeniería híbrida clásica-cuántica
• Integración con sistemas heredados y en la nube
• Desarrollo de aplicaciones para dominios empresariales específicos
• Gobernanza y cumplimiento

La mayoría de estos puestos requieren personas que combinen conocimientos especializados en física cuántica con un profundo conocimiento de un sector específico. Esta combinación es poco común y requiere tiempo para desarrollarse.

Cómo se ve el progreso

• Analizar qué habilidades cuánticas necesitarán los puestos de trabajo existentes en las empresas y crear itinerarios de desarrollo para expertos en finanzas, sanidad y logística, en lugar de contratar únicamente a especialistas en computación cuántica.
• Colaborar con universidades para ampliar la cantera de talento más allá de lo que puede ofrecer el desarrollo interno.
• Diseñar programas de rotación que distribuyan la experiencia cuántica por toda la organización, en lugar de mantenerla concentrada en un solo equipo.

El talento no se puede formar rápidamente cuando se necesita. La inversión debe comenzar mucho antes de que surja la presión.

Realidad 5: La gobernanza debe estar integrada desde el primer día.

La computación cuántica se diferencia de la mayoría de las tecnologías empresariales en un aspecto importante: sus capacidades en áreas específicas pueden desarrollarse más rápido que los marcos de gobernanza diseñados para gestionarlas. Esto significa que la gobernanza no puede añadirse a posteriori, sino que debe formar parte del diseño desde el principio.

La brecha entre la concienciación y la acción.

La mayoría de las organizaciones conocen los riesgos. Muy pocas han tomado medidas al respecto. La mayoría reconoce que la computación cuántica generará nuevas vulnerabilidades de seguridad, nuevas preguntas sobre quién tendrá acceso a la computación de alto rendimiento y nuevos desafíos de rendición de cuentas para las decisiones tomadas con sistemas mejorados cuánticamente. Muy pocas han transformado esa conciencia en estructuras de gobernanza concretas, requisitos de adquisición o supervisión a nivel de la junta directiva.

La obligación criptográfica

El requisito de gobernanza más inmediato y concreto para la mayoría de las empresas es la seguridad criptográfica. Las mismas capacidades cuánticas que se están desarrollando para obtener ventajas computacionales podrán, con el tiempo, romper la criptografía de clave pública que sustenta la mayor parte de la seguridad empresarial: intercambio de claves TLS, túneles VPN, PKI, firma de código y sistemas de identidad.

El documento NIST IR 8547 (Borrador Público Inicial, noviembre de 2024) establece el cronograma de transición previsto: RSA-2048 y ECC P-256 se designarán para su desuso en 2030, lo que significa que no deberían utilizarse en nuevas implementaciones a partir de esa fecha, y se espera que todos los algoritmos de clave pública vulnerables a la computación cuántica estén completamente prohibidos en los estándares del NIST para 2035. Cabe señalar que el documento IR 8547 aún se encuentra en fase de borrador, y estos cronogramas, si bien se utilizan ampliamente como objetivos de planificación, aún no constituyen requisitos regulatorios definitivos.

Para las organizaciones que forman parte de las cadenas de suministro federales o que operan sistemas de seguridad nacional, la planificación de esta transición ya es un requisito de cumplimiento según la CNSA 2.0 y la NSM-10.

Nota: Los compradores federales también deben tener en cuenta la transición a FIPS 140-3 : los certificados de módulo FIPS 140-2 pasarán a tener estado histórico el 21 de septiembre de 2026, después de lo cual las nuevas implementaciones federales requerirán criptografía validada según FIPS 140-3.

Qué significa esto para los equipos de seguridad

Cada una de las cinco realidades conlleva una implicación específica para los equipos de seguridad y para cualquier persona responsable de la infraestructura criptográfica.

Realidad:	Implicaciones de seguridad	Acción requerida ahora
preparación organizacional	La migración de PQC requiere años de esfuerzo sostenido.	Inicie el inventario criptográfico ahora.
Casos de uso de portafolio	Los diferentes sistemas migran en diferentes plazos.	Priorice según el tiempo que los datos deben permanecer confidenciales.
La computación cuántica y la inteligencia artificial juntas	Las herramientas de IA pueden acelerar significativamente el descubrimiento de migraciones.	Utilice el descubrimiento asistido por IA en los programas de inventario.
Talent	Hay escasez de profesionales con habilidades en control de calidad postventa.	Contrate socios especializados antes de que la demanda alcance su punto máximo.
Gobierno responsable	La gobernanza criptográfica es una obligación de planificación actual.	Agregar el riesgo cuántico al registro de riesgos empresariales.

El modelo de amenazas de "recolectar ahora, descifrar después" (HNDL) acorta el plazo más de lo que la mayoría de las organizaciones esperan. Los adversarios podrían estar recopilando datos cifrados hoy con la intención de descifrarlos una vez que existan computadoras cuánticas capaces. Cada mes de retraso en el inventario criptográfico representa un mes más de exposición que no se puede recuperar posteriormente. Utilice la Lista de Materiales Criptográficos (CBOM) para crear y mantener un inventario actualizado continuamente de algoritmos, certificados y claves en todo su entorno, de modo que la exposición a ataques HNDL sea visible antes de que se vuelva inmanejable. Si su organización está lista para pasar de la concienciación a la acción, aquí es donde Encryption Consulting puede ayudarle.

Cómo puede ayudar la consultoría de cifrado

Ya sea que su preocupación radique en las oportunidades informáticas, el riesgo criptográfico o ambos, Encryption Consulting apoya a las organizaciones en cada etapa de la transición con experiencia práctica y una visión realista de hacia dónde se dirigen la regulación y el entorno de amenazas a través de nuestros Servicios de Asesoramiento PQC.

Nuestro modelo de participación en cinco etapas

• Descubrimiento e inventario criptográfico: Analizar todo el entorno para detectar certificados, claves, algoritmos y protocolos en puntos finales, aplicaciones, API e infraestructura. Este es el fundamento de todo programa de preparación cuántica y, cada vez más, un requisito previo para las auditorías regulatorias.
• Evaluación PQC: Evaluamos su exposición a amenazas cuánticas, identificamos los sistemas dependientes de RSA y ECC con mayor riesgo y le entregamos un informe priorizado con clasificaciones de gravedad del riesgo.
• Estrategia y hoja de ruta de PQC: Un plan de migración por fases diseñado en función de su tolerancia al riesgo, los requisitos normativos y los objetivos de seguridad a largo plazo, que incluye un diseño criptográfico ágil para que los sistemas puedan adaptarse a medida que evolucionan los estándares.
• Evaluación de proveedores y pruebas piloto: Le ayudamos a elegir las herramientas adecuadas, a realizar implementaciones en entornos realistas y a validar la interoperabilidad antes del lanzamiento completo.
• Plena aplicación: Implementar modelos híbridos clásicos y cuánticos seguros, extender la criptografía cualitativa probabilística (PQC) a través de su infraestructura de clave pública (PKI) y su infraestructura, y configurar la monitorización para garantizar la salud criptográfica a largo plazo.

CBOM seguro

CBOM Secure ofrece a los equipos de seguridad e infraestructura una visión única y actualizada del uso de criptografía en toda la organización. En lugar de trabajar con hojas de cálculo o archivos de configuración dispersos, CBOM Secure muestra qué algoritmos se utilizan, qué sistemas necesitan modificarse para adaptarse a la era post-cuántica y si las configuraciones actuales cumplen con los requisitos de las políticas, en un formato que resulta útil tanto para los equipos técnicos como para la dirección. Automatiza los inventarios criptográficos, valida las configuraciones TLS, comprueba el cumplimiento de los algoritmos e identifica las deficiencias antes de que se conviertan en problemas regulatorios.

Si su organización está lista para comprender su situación actual o para iniciar la migración, contáctenos. Cuanto antes comience, más manejable será el proceso.

Conclusión

La computación cuántica no llegará de golpe, sino por etapas, transformando las posibilidades computacionales en distintos sectores a ritmos diferentes. Las organizaciones que más se beneficiarán están preparándose ahora , mientras la tecnología aún está en desarrollo, y todavía hay tiempo para hacerlo sin presión.

Las cinco realidades que se presentan en este blog reflejan lo que distingue sistemáticamente a las organizaciones que logran un progreso cuántico real de aquellas que aún esperan:

• La capacidad organizativa, no el hardware, es la principal limitación para la ventaja cuántica.
• Diversificar las opciones entre varios casos de uso es la respuesta adecuada ante una incertidumbre real.
• La computación cuántica y la inteligencia artificial deben formar parte de una estrategia compartida, no de conversaciones presupuestarias separadas.
• Los retos relacionados con el talento se vuelven más difíciles a medida que los programas crecen, y desarrollar esa capacidad lleva años.
• La gobernanza debe formar parte del diseño desde el primer día, no añadirse bajo presión regulatoria.

Para los responsables de seguridad e infraestructura, todo esto se resume en un primer paso fundamental: realizar un inventario criptográfico . Es crucial comprender qué datos requieren protección a largo plazo. Se debe consultar a los proveedores sobre sus planes para la era post-cuántica. Es necesario integrar la criptoagilidad en los nuevos sistemas. Se debe obtener el respaldo de la alta dirección antes de que los reguladores impulsen la conversación.

La computación cuántica está llegando. Las organizaciones que estarán preparadas ya están trabajando en ello.