Adiós al RSA en 2035: el NIST fija las fechas para pasar a la criptografía poscuántica y da a los sistemas más sensibles de EE. UU. hasta 2030

El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publicó el 27 de octubre de 2026 la versión final del informe NISTIR 8547, la hoja de ruta oficial para abandonar los algoritmos de cifrado vulnerables a un futuro ordenador cuántico y pasar a la criptografía poscuántica, según la nota de prensa de la agencia.

El documento fija dos fechas para los sistemas federales más sensibles, el 31 de diciembre de 2030 para el intercambio de claves y el 31 de diciembre de 2031 para las firmas digitales, y marca 2035 como el año a partir del cual RSA y la criptografía de curva elíptica dejarán de estar permitidos en las normas del NIST. Lo firman cinco especialistas de la agencia: Dustin Moody, Ray Perlner, Andrew Regenscheid, Angela Robinson y David Cooper.

Datos robados hoy, leídos mañana

La criptografía poscuántica agrupa métodos de cifrado basados en problemas matemáticos que, según el conocimiento actual, resisten tanto a los ordenadores convencionales como a los cuánticos. El NIST publicó en agosto de 2024 los tres primeros estándares de este tipo, y el nuevo informe explica cómo sustituir con ellos a los algoritmos que hoy protegen desde el correo electrónico hasta los extractos bancarios.

Ese ordenador capaz de romper el cifrado actual todavía no existe, y el informe lo reconoce. La urgencia viene de la amenaza que la agencia llama «recolectar ahora, descifrar después», en la que un adversario guarda hoy datos cifrados para leerlos cuando la tecnología cuántica madure, sobre todo en secretos de Estado o historiales médicos.

Los autores recurren al teorema de Mosca, del que dicen que introduce «una cronología sencilla pero potente». Si X son los años que unos datos tienen que seguir a salvo e Y lo que se tarda en completar el cambio, hay que empezar antes de que la suma de ambos supere Z, el tiempo que falta para que alguien construya un ordenador cuántico capaz de romper claves.

Diciembre de 2030 y diciembre de 2031

El Memorando de Seguridad Nacional 10 ya fijaba 2035 como meta para completar la transición en la administración federal estadounidense, y esa meta se mantiene. La Orden Ejecutiva 14412 y el memorando M-26-15 de la Oficina de Gestión y Presupuesto adelantaron después los plazos para los activos de alto valor y los sistemas de alto impacto, que deberán usar criptografía poscuántica en el intercambio de claves antes de que acabe 2030 y en las firmas digitales antes de que acabe 2031.

Los autores comparan esas fechas con los 10 a 20 años que han tardado transiciones criptográficas anteriores y concluyen que «dejan poco margen». Por eso piden tratar la migración como una prioridad operativa ya, empezando por inventariar qué cifrado usa cada sistema.

Aunque las normas obligan solo a la administración federal, la nota del NIST advierte de que muchas organizaciones que trabajan con ella también se verán afectadas. «El informe describe distintos casos de uso y explica por qué una migración puede tardar más que otra», dijo Dustin Moody, el matemático que dirige el proyecto de estandarización poscuántica del NIST.

RSA y curvas elípticas hasta 2035

El núcleo técnico del informe es un calendario de retirada. Según sus tablas, los algoritmos de firma ECDSA, EdDSA y RSA, y los de intercambio de claves Diffie-Hellman y MQV, tanto en su versión clásica como en la de curva elíptica, además de RSA, pasan a estar desaconsejados después de 2030 y prohibidos en las normas y directrices del NIST después de 2035. Desaconsejado significa que se pueden seguir usando con cierto riesgo, que el responsable de los datos debe valorar; prohibido significa que dejan de estar permitidos para ese uso.

«Explicamos cómo se irán retirando ciertos algoritmos de cifrado que la gente usa hoy», resumió Moody en la nota. El calendario cambia una previsión anterior de la agencia, que contaba con prohibir el 1 de enero de 2031 los sistemas de clave pública con 112 bits de seguridad.

El cifrado simétrico, el que usa una misma clave para cifrar y descifrar, sale mejor parado. El informe considera que el AES de 128 bits o más ya cumple el nivel mínimo de seguridad poscuántica, aunque las pocas herramientas simétricas de 112 bits quedarán prohibidas en 2030 y la función resumen SHA-1 dejará de admitirse en módulos validados a partir de esa fecha.

ML-KEM-768 como opción por defecto

Para el intercambio de claves, el único esquema poscuántico aprobado es por ahora ML-KEM, descrito en el estándar FIPS 203, y el NIST recomienda su variante ML-KEM-768 como opción por defecto porque, según el informe, da un amplio margen de seguridad a un coste de rendimiento razonable. El algoritmo HQC, elegido como alternativa, se sumará cuando se publique su estándar, que sigue en desarrollo.

Las firmas digitales se trasladan a ML-DSA y SLH-DSA, los otros dos estándares de 2024. Las firmas no sufren la amenaza de recolectar ahora y descifrar después, pero el informe pide no retrasarlas porque su transición es más larga y obliga a coordinar a más partes, como ya sucede con aplicaciones de mensajería que han reforzado su cifrado.

Dos candados en la misma puerta

El informe también admite soluciones híbridas, que combinan un algoritmo clásico con uno poscuántico. La nota del NIST lo compara con poner dos candados en una puerta en lugar de uno, una opción más conservadora desde el punto de vista de la seguridad que exige más recursos de cálculo, y los autores esperan que sea una medida temporal.

Según el documento, una combinación híbrida de intercambio de claves puede validarse con la norma FIPS 140 siempre que al menos uno de sus componentes sea un esquema aprobado, aunque el otro esté prohibido. La agencia está revisando además su programa de validación de módulos criptográficos para acelerar la certificación de productos que ya incorporen estos algoritmos, un mercado en el que también trabajan empresas españolas.

El informe se complementa con el proyecto de migración del Centro Nacional de Excelencia en Ciberseguridad (NCCoE) del NIST, que reúne a organizaciones de varios sectores. «El nuevo informe puede ayudar a entender las normas y los requisitos de la migración», dijo Moody, «mientras que el proyecto del NCCoE puede mostrar las herramientas prácticas y los planos para hacer el trabajo».

Nadie fecha aún el ordenador cuántico

El documento no da una fecha para la llegada de un ordenador cuántico capaz de romper RSA, que es la Z del teorema de Mosca, y se limita a decir que ninguno amenaza hoy los niveles de seguridad. Tampoco cuantifica cuánto costará la migración ni cuántos sistemas federales tendrán que reemplazarse por no admitir los nuevos algoritmos, aunque pide identificarlos y priorizar su sustitución.

Su alcance también es limitado fuera de Estados Unidos. Las fechas de 2030 y 2031 obligan a los sistemas federales de mayor sensibilidad y la ventana hasta 2035 se aplica a las normas del NIST, que muchas empresas y gobiernos siguen pero no están obligados a cumplir; quien quiera entender los riesgos para sus propias contraseñas tendrá que esperar a lo que decidan sus proveedores. Las normas sobre esquemas híbridos y el estándar de HQC siguen pendientes.

El informe se ha publicado en el Centro de Recursos de Seguridad Informática del NIST el 27 de octubre de 2026.

Crédito de la imagen: N. Hanacek/NIST.