QiC Solutions ha aprovechado su participación en la XX edición del Encuentro Internacional de Seguridad de la Información (ENISE) para alertar sobre la necesidad de que empresas y organismos públicos adopten un enfoque a largo plazo ante la transición hacia la criptografía postcuántica. La compañía ha destacado que este proceso no debe limitarse a una acción tecnológica aislada, sino integrarse de forma continua en la estrategia de seguridad de las organizaciones.
Durante su intervención, José Cándido Carballido, director de Tecnología (CTO) de QiC Solutions, subrayó que la adaptación al escenario postcuántico requiere establecer mecanismos permanentes para gestionar los sistemas criptográficos. En este sentido, explicó que la principal preocupación no debería centrarse únicamente en determinar cuándo aparecerán ordenadores cuánticos capaces de vulnerar los métodos de cifrado actuales de clave pública, sino en evaluar la capacidad de respuesta de las organizaciones.
Así, Carballido destacó la importancia de conocer cuánto tiempo necesitarían las empresas e instituciones para identificar las tecnologías criptográficas que utilizan, analizar los sistemas que dependen de ellas y realizar su sustitución sin comprometer el funcionamiento habitual de sus servicios.
Estas reflexiones se produjeron después de que, durante la jornada inaugural del encuentro, el ministro para la Transformación Digital y de la Función Pública, Óscar López, señalara la ciberseguridad cuántica como uno de los grandes retos emergentes en el ámbito de la protección digital.
«El problema no es cuándo llega el ordenador cuántico, sino cuánto tardamos en cambiar. Y, dado que tendremos que cambiar más de una vez, necesitamos una capacidad permanente para hacerlo», afirmó Carballido durante su intervención.
La tesis defendida por Carballido parte de que la migración a la criptografía postcuántica no será el último cambio que afrontarán las organizaciones. Algoritmos, certificados, implementaciones y estándares seguirán evolucionando, lo que puede obligar a reaccionar nuevamente. La criptoagilidad pasa así de ser una respuesta ante una amenaza concreta a convertirse en la capacidad de una organización para conocer, gobernar y modificar su criptografía de forma controlada cuando sea necesario.
Los calendarios ya han empezado a correr
La necesidad de prepararse no depende únicamente de la futura evolución de los ordenadores cuánticos. La hoja de ruta coordinada de la Unión Europea establece que todos los Estados miembros deben iniciar su transición hacia la criptografía postcuántica antes de finalizar 2026, y que los casos de uso considerados de alto riesgo deben migrarse lo antes posible y, como máximo, a finales de 2030.
En sectores especialmente regulados, las obligaciones actuales también apuntan hacia una gestión cada vez más activa de la criptografía. En el ámbito financiero, DORA y su desarrollo técnico exigen a las entidades integrar el riesgo tecnológico en su sistema global de gestión de riesgos, poseer políticas documentadas sobre cifrado y controles criptográficos, y gestionar las claves durante todo su ciclo de vida, incluyendo la necesidad de adaptar o reemplazar las tecnologías criptográficas cuando sea necesario.
Asimismo, los propios estándares tecnológicos están reduciendo los márgenes de reacción. Como evidenció el CTO de QiC durante su intervención, desde el 15 de marzo de 2026 la validez máxima de los certificados TLS públicos se ha reducido a 200 días; esta cifra disminuirá a 100 días en marzo de 2027 y a 47 días en marzo de 2029. Este cambio, remarcó, «obliga a incrementar la automatización en los procesos de inventario, renovación y gestión que anteriormente podían realizarse con ciclos mucho más largos».
Para QiC, estos cambios anticipan una realidad más amplia: la criptografía deja de ser un mecanismo de ciberseguridad que puede revisarse de forma ocasional. La regulación, los estándares, las nuevas vulnerabilidades y la evolución tecnológica están acortando los ciclos de cambio y exigiendo que las organizaciones sepan qué criptografía utilizan, dónde se encuentra y qué consecuencias tendría modificarla.
Soberanía de las plataformas criptográficas
QiC Solutions plantea abordar este reto desde la criptoagilidad: dotar a las organizaciones de una capacidad permanente para conocer qué criptografía emplean, gobernarla según sus políticas y necesidades, y modificarla cuando sea necesario sin comprometer la continuidad de sus sistemas. Todo ello en un marco fundamental en el presente y futuro de la ciberseguridad: la soberanía de las plataformas criptográficas.
La compañía defiende que el primer paso hacia la criptoagilidad no consiste en sustituir algoritmos de forma indiscriminada, sino en lograr visibilidad sobre certificados, librerías, protocolos, código, sistemas y terceros, así como conocer las dependencias existentes entre ellos. A partir de allí, las políticas criptográficas pueden convertirse en reglas verificables que permitan detectar desviaciones y evaluar el impacto de cada cambio antes de implementarlo.
Ahí es donde se especializa QiC Solutions, una compañía 100% española en ciberseguridad cuántica, que combina experiencia especializada, metodología y tecnología propia para apoyar a empresas e instituciones en su transición hacia la criptoagilidad.
«Ninguna organización puede cambiar lo que no conoce. La primera condición para ser criptoágil es saber qué tenemos, dónde está, si cumple con nuestras políticas y qué puede dejar de funcionar cuando decidamos cambiarlo», concluyó Carballido.
Para ello, QiC ha desarrollado |QS>, una plataforma diseñada para automatizar gran parte del ciclo de gestión criptográfica: descubrir activos y certificados, evaluar exposición y vulnerabilidades, traducir políticas en reglas verificables, analizar dependencias, priorizar acciones y apoyar los procesos de remediación, todo ello manteniendo la validación humana en decisiones críticas.
El enfoque de la compañía se basa en gestionar la postura criptográfica como una vía para comenzar a tomar control sobre la infraestructura existente sin necesidad inicialmente de una rearquitectura completa de los sistemas. El objetivo es reducir la complejidad y la inversión necesaria para comenzar la transformación, y posteriormente determinar dónde tiene sentido realizar modificaciones estructurales de mayor alcance.