# NIST fija el calendario para jubilar la criptografía clásica > El NIST publicó el 27 de octubre su guía final poscuántica: RSA y las curvas elípticas quedan desaconsejados en 2031 y prohibidos después de 2035. > Por José Maldonado · Tecnología · 2026-11-04 Un certificado TLS emitido esta semana puede seguir en pie cuando el calendario que acaba de publicar el NIST ya se haya quedado viejo. El organismo estadounidense cerró el 27 de octubre la [versión definitiva de su guía de transición a la criptografía poscuántica](https://www.nist.gov/news-events/news/2026/10/nist-report-provides-guidelines-transition-post-quantum-cryptography), y el texto fija dos cortes: los algoritmos de clave pública que se usan hoy quedan desaconsejados a partir de 2031 y prohibidos después de 2035. La lista incluye RSA y la criptografía de curva elíptica en todos sus tamaños aprobados, que es lo que firman las autoridades de certificación y las actualizaciones de firmware. El calendario no es una ley y tampoco llega solo. La Casa Blanca lo había apretado en junio con una orden ejecutiva que obliga a los sistemas federales más sensibles a migrar el intercambio de claves el 31 de diciembre de 2030 y las firmas digitales el 31 de diciembre de 2031, y el informe final se alinea con esas dos fechas. Fuera del ámbito federal funciona como guía, aunque los proveedores que venden al Gobierno notarán el efecto por contrato antes de lo que sugiere su hoja de ruta interna. De ahí que la fecha que conviene apuntar no sea 2035, sino 2031, y que el trabajo pendiente se parezca más a levantar un inventario de lo que cifra y firma una organización que a elegir un algoritmo. ## Un borrador que viene de 2024 El borrador público llegó el 12 de noviembre de 2024 y la versión final lo retiró el mismo día de su publicación, dos años más tarde. En aquel texto solo se desaconsejaban los parámetros de 112 bits, entre ellos RSA-2048 y la curva P-224, mientras que P-256, RSA-3072 y Ed25519 se quedaban aceptables hasta 2035 sin paso intermedio. El informe definitivo mete en el mismo saco todos los tamaños aprobados: firmas RSA y ECDSA desde 112 bits, EdDSA desde 128 y establecimiento de claves con Diffie-Hellman, MQV o RSA. Solo uno de los tres estados del informe prohíbe algo. Desaconsejado permite seguir usando el algoritmo si el dueño del dato examina el riesgo y decide continuar, y el uso heredado queda reservado a descifrar datos antiguos o verificar firmas ya emitidas. Los comentarios al borrador ya apuntaban al hueco. NIST recibió 25 respuestas escritas antes de que el plazo cerrara en enero de 2025, con fabricantes como Infineon, Intel y Thales entre los firmantes, y varias señalaban que nadie migra mientras el algoritmo siga siendo aceptable. El resultado es un aviso cinco años antes del cierre, no unos meses antes, y P-256 aparece en la columna de desaconsejadas desde el 1 de enero de 2031. ## Un problema de inventario, no de algoritmo Cambiar RSA por ML-KEM suena a sustituir una biblioteca y volver a probar. El informe lo plantea de otra forma: antes de tocar nada hay que saber qué se está ejecutando, y esa pregunta tiene una respuesta incómoda en casi cualquier empresa mediana. La criptografía vive en el balanceador de carga, en la VPN, en el módulo de seguridad del servidor, en la librería que alguien compiló en 2019 y en el firmware de una impresora de red. Dustin Moody, matemático del NIST y responsable del proyecto de estandarización poscuántica, resumió la dificultad en la presentación: «Entendemos que no hay una estrategia que se ajuste a todos los casos de uso». Los inventarios son el cuello de botella real. La [GAO revisó a las 24 agencias federales](https://www.gao.gov/products/gao-27-108740) y concluyó que ninguna había cubierto del todo las tres prácticas preparatorias que evaluó, entre ellas el inventario priorizado de sistemas con criptografía vulnerable. El informe, reeditado el 14 de octubre, incluye 89 recomendaciones a 23 agencias y señala la falta de procesos para construir esos inventarios. Mientras tanto, el debate público sigue pendiente del día en que un ordenador cuántico rompa algo, como ocurrió con [el avance cuántico de Google que reavivó la discusión sobre la seguridad de Bitcoin](https://observatorioblockchain.com/ciberseguridad/el-avance-cuantico-de-google-reaviva-el-debate-sobre-seguridad-de-bitcoin/). El calendario del NIST dice que la cuenta atrás empezó antes, en el momento en que alguien copió el tráfico y lo guardó en un disco. ## ¿Por qué una clave de 2026 puede firmar en 2036? Hay un caso que incomoda más que ningún otro. Una autoridad de certificación genera este año su clave raíz clásica con la idea de emitir certificados TLS durante una década, y esa clave nace válida y muere desaconsejada: después de 2035 no puede firmar certificados nuevos bajo los estándares del NIST. El ciclo de vida manda. Una empresa puede renovar su certificado cada 90 días y arrastrar igualmente una cadena que acaba en una firma clásica de largo plazo, porque la confianza se hereda hacia abajo y no se renueva por partes. La orden ejecutiva añade una fecha propia para las agencias federales, con soporte obligatorio de TLS 1.3 el 2 de enero de 2030 como muy tarde, y el informe nombra el protocolo como prioridad temprana. El camino híbrido existe y el NIST lo acepta. Un esquema que combine una curva clásica con ML-KEM puede validarse bajo FIPS 140 siempre que una de las entradas venga de un esquema aprobado, y el organismo recomienda ML-KEM-768 por defecto. La alternativa elegida como segundo mecanismo de encapsulación es HQC, todavía sin estándar cerrado. Nada de eso sustituye la parte difícil. Un certificado comprometido obliga a revocar y reemitir, y el episodio de los [certificados TLS de eMudhra comprometidos](https://observatorioblockchain.com/ciberseguridad/certificados-tls-emudhra-comprometidos/) mostró lo rápido que un fallo de emisión se convierte en un problema de toda la cadena. Con firmas poscuánticas más grandes, cada eslabón pesa más en el saludo de un navegador. ## Las fechas que hay que apuntar El calendario escalonado se lee mejor como una tabla, con una idea en la cabeza: cosechar ahora y descifrar después significa que un adversario copia hoy el tráfico cifrado que no puede abrir y lo guarda hasta que tenga una máquina capaz de romperlo. Si esos datos tienen que seguir siendo secretos en 2033, la fecha que le importa a su dueño no es 2035. Fecha Qué ocurre A quién afecta 27 de octubre de 2026 Versión final del informe Guía para la industria; obliga al sector público de EE.UU. 2 de enero de 2030 Soporte obligatorio de TLS 1.3 Agencias federales y proveedores 31 de diciembre de 2030 Claves poscuánticas en sistemas de alto impacto Agencias y contratistas 1 de enero de 2031 RSA y curvas elípticas pasan a desaconsejados Cualquier sistema que siga usándolos 31 de diciembre de 2031 Firmas poscuánticas en sistemas de alto impacto Agencias y contratistas Después de 2035 Algoritmos clásicos prohibidos Todos, bajo los estándares del NIST La lectura útil es que 2030 y 2035 son fechas de salida, no de llegada. El informe recuerda que las transiciones criptográficas anteriores tardaron entre 10 y 20 años, y estas dejan cuatro y nueve años por delante. Quien empiece a migrar en 2029 no llegará al corte con los sistemas menos críticos. ## Fuera de Estados Unidos el calendario también se mueve La UIT anunció el 23 de octubre el estándar X.1711, el primer estándar internacional dedicado a los protocolos de distribución cuántica de claves, un sistema que reparte claves por un canal físico en lugar de confiar en la dificultad matemática. El texto no elige un protocolo concreto: describe la arquitectura y el flujo común, y deja los perfiles de protección de los equipos en manos de ETSI e ISO/IEC. Vietnam abrió a comentarios el 17 de octubre [tres borradores de estándar nacional y una hoja de ruta](https://www.vietnam.vn/en/viet-nam-cong-bo-3-du-thao-tieu-chuan-mat-ma-hau-luong-tu) con hitos en 2027, 2030, 2033 y 2035 para llevar el 100% de sus sistemas críticos a criptografía poscuántica. Los borradores son HB-PQSign, una firma basada en funciones hash desarrollada en el país, junto a las versiones nacionales de ML-KEM y ML-DSA. El plan reserva la distribución cuántica para redes concretas y deja la poscuántica como solución general, el reparto que también hace la UIT. ## Lo que un comité de dirección debería poner en la lista La primera tarea no es elegir ML-KEM ni decidir si conviene el modo híbrido. Es saber cuántos sistemas firman algo que deba seguir siendo verificable en 2036, y cuántos guardan datos que deban seguir siendo secretos en 2033. Esas dos preguntas ordenan el trabajo mejor que cualquier fecha oficial y dejan a la vista los equipos que no se pueden migrar y habrá que sustituir. Queda un margen que parece holgado y no lo es. Los certificados, los módulos de seguridad y el firmware que se fabrican hoy sobrevivirán al corte, y ninguno se cambia en un fin de semana. La fecha de 2031 no dice cuándo hay que terminar; dice cuándo empieza a costar caro no haber empezado.