Tres autoridades, tres calendarios
El 12 de octubre el Ministerio Federal del Interior (BMI), el Ministerio Federal de Asuntos Digitales y Modernización del Estado (BMDS) y la Oficina Federal de Seguridad de la Información (BSI) publicaron una guía para llevar a la práctica en Alemania la hoja de ruta europea de criptografía poscuántica. Confirma los calendarios europeos y añade una fecha para toda la transición.
| Autoridad | Inicio | Sistemas de alto riesgo | Todo lo demás |
|---|---|---|---|
| Hoja de ruta de la UE (junio de 2025) | cada Estado miembro empieza a finales de 2026 | lo antes posible y como muy tarde a finales de 2030 | no figura en la página de la Comisión |
| Guía alemana (12 de octubre de 2026) | en el alto riesgo, lo antes posible | migración terminada como muy tarde a finales de 2030 | en gran parte terminada para 2035 |
| NCSC, Reino Unido | para 2028: objetivos, descubrimiento completo, plan inicial | para 2031: migración temprana de máxima prioridad | terminada para 2035 |
La versión alemana es una guía, no una ley. El comunicado de la BSI la presenta como un marco para una transición coordinada y no menciona sanciones.
Lo que Alemania pide a las organizaciones
La guía se dirige a la administración federal, regional y local y a organizaciones y empresas, entre ellas los operadores de infraestructuras críticas. La BSI enumera cinco medidas: responsabilidades claras y plazos vinculantes dentro de la organización, tratar la criptografía poscuántica como estado de la técnica, evaluar el riesgo cuántico de forma sistemática dentro de la gestión de riesgos, implicar pronto a fabricantes y cadenas de suministro y diseñar con criptoagilidad.
La criptoagilidad significa diseñar sistemas, compras y gestión de riesgos para que los métodos criptográficos, o ajustes como la longitud de las claves, puedan sustituirse rápido y de forma controlada. La BSI dice que importa más porque la IA acelera la investigación en seguridad y, cada vez más, los métodos para atacar la criptografía.
El descubrimiento es el primer paso con fecha
El Reino Unido es el más concreto sobre la primera tarea. Para 2028 el NCSC quiere objetivos, un ejercicio de descubrimiento completo y un plan inicial que indique actividades prioritarias, dependencias de proveedores e infraestructura, la inversión necesaria y los anclajes de confianza de hardware de larga vida. Pide a las organizaciones que cartografíen la criptografía, los protocolos y el hardware de los que dependen, y aclara que no pretende ser un registro formal de activos.
El descubrimiento debe registrar además cuánto tiempo deben seguir siendo secretos los datos y cuánto valen para un adversario. Importa porque la Comisión dice que los ataques de tipo 'store now, decrypt later' probablemente ya se están produciendo y que los datos que deben seguir siendo confidenciales mucho tiempo pueden estar ya en riesgo.
El NCSC apunta sobre todo a grandes organizaciones, operadores de infraestructura nacional crítica y empresas con TI a medida. Espera que las empresas pequeñas con TI mayormente estándar tengan una migración más sencilla, resuelta en gran parte con actualizaciones de los proveedores, mientras que el software a medida sigue el mismo calendario que el de las demás.
Una lista corta para este trimestre
Empiece por una lista de dónde usa su organización criptografía de clave pública, por ejemplo en certificados, túneles VPN y firmware firmado, y nombre a una persona que se haga responsable. Póngale fecha, porque la guía alemana pide plazos vinculantes y el Reino Unido pide el descubrimiento para 2028.
Después pida a sus proveedores sus hojas de ruta poscuánticas, ya que la BSI quiere implicar pronto a fabricantes y cadenas de suministro, y compruebe si sus sistemas permiten cambiar algoritmos o longitudes de clave sin reconstruirlos. Ordene primero los datos que deben seguir siendo secretos durante más tiempo.
Leer a continuación: Fallos de 2014 aún dan paso a un contratista chino | El programa espía iraní se hizo pasar por Norton Antivirus
