La preparación exige anticiparse, conocer dónde se utiliza la criptografía, identificar las dependencias entre sistemas y planificar una transformación progresiva que permita reforzar la seguridad sin comprometer la continuidad del negocio.
La amenaza cuántica ha dejado de ser una cuestión reservada a los laboratorios de investigación para entrar en las agendas de ciberseguridad, tecnología y gestión del riesgo. El motivo no es únicamente la posibilidad de que en el futuro un ordenador cuántico suficientemente potente pueda romper determinados mecanismos criptográficos actuales. También preocupa lo que los atacantes pueden hacer hoy con los datos que consiguen interceptar y almacenar, así como el tiempo y los recursos que necesitarán las empresas para adaptar sus infraestructuras.
El problema afecta a prácticamente cualquier organización que utilice sistemas digitales. La criptografía está presente en las conexiones seguras, las firmas digitales, los certificados, los servicios en la nube, las aplicaciones empresariales, las comunicaciones entre dispositivos y numerosos procesos que funcionan de manera invisible para el usuario. Por eso, la transición hacia la criptografía postcuántica no consiste simplemente en instalar una nueva herramienta de seguridad o sustituir un algoritmo por otro. Implica revisar una parte esencial de la arquitectura tecnológica sobre la que descansa la actividad empresarial.
Desde Mumken, su Group CEO, Francisco José Monesma, sostiene para industry TALKS que la dimensión del desafío obliga a abordar el problema de forma transversal y no como una preocupación exclusiva de los departamentos informáticos. «La amenaza cuántica afecta a todas las empresas, organismos y administraciones públicas. Todo el mundo tiene sistemas de información y todos esos sistemas se basan en criptografía. Por lo tanto, es una necesidad y una amenaza común», afirma.
Esta universalidad no significa que todas las compañías deban actuar al mismo ritmo ni que estén expuestas a los mismos riesgos. La naturaleza de la información que manejan, su vida útil, la criticidad de sus operaciones y la complejidad de sus sistemas determinan la urgencia de la transición. El desafío empresarial consiste precisamente en establecer esas diferencias, asignar recursos de manera proporcionada y evitar que la preparación quede relegada frente a otras prioridades que parecen más inmediatas.
El riesgo empieza antes de la era cuántica
Uno de los errores que puede retrasar la respuesta empresarial es vincular el inicio de la transición a una fecha concreta en la que se alcance la denominada supremacía criptográfica cuántica. No existe una fecha universalmente aceptada para ese escenario, y la evolución de estas tecnologías sigue sujeta a incertidumbres científicas y de ingeniería. Sin embargo, la falta de una fecha precisa no elimina la necesidad de prepararse, porque parte del riesgo se materializa mucho antes de que esa capacidad esté disponible.
La principal preocupación es el escenario conocido como Harvest Now, Decrypt Later, que puede traducirse como recopilar ahora y descifrar después. En este modelo, un atacante intercepta información cifrada en el presente y la conserva con la expectativa de poder descifrarla en el futuro, cuando disponga de medios tecnológicos suficientes. La información puede seguir protegida hoy y, aun así, perder su confidencialidad años después.
La relevancia de este riesgo depende del tiempo durante el que los datos deban permanecer secretos. Una comunicación comercial que pierde su valor al cabo de unos meses no plantea necesariamente las mismas exigencias que un expediente médico, información financiera confidencial, secretos industriales, documentación estratégica o datos personales cuya protección debe mantenerse durante décadas. En estos últimos casos, esperar a que la amenaza sea inminente puede resultar demasiado tarde.
La gestión del riesgo cuántico debe incorporar, por tanto, una perspectiva temporal. Las empresas necesitan preguntarse cuánto tiempo debe conservarse la confidencialidad de sus datos, qué consecuencias tendría una exposición futura y cuánto tardarían en sustituir los mecanismos criptográficos de los que depende su actividad. Esta combinación permite distinguir entre una amenaza tecnológica futura y un riesgo empresarial que ya debe formar parte de la planificación.
El denominado teorema de Mosca ofrece una forma sencilla de explicar esta lógica. Si el tiempo durante el que una organización necesita mantener protegida su información, sumado al tiempo que requiere para migrar sus sistemas, supera el tiempo que falta para que la criptografía actual pueda verse comprometida, la preparación habrá comenzado demasiado tarde. Su formulación habitual se expresa como X + Y > Z, donde X representa la vida útil de la confidencialidad, Y el tiempo necesario para la migración y Z el horizonte hasta la amenaza criptográfica.
La dificultad está en que ninguna de esas variables es idéntica para todas las organizaciones. Algunas empresas pueden adaptar determinados servicios en un plazo relativamente corto, mientras que otras dependen de equipos industriales, aplicaciones antiguas, proveedores externos o infraestructuras cuya renovación requiere años. La incertidumbre sobre la fecha de llegada de la amenaza no debería confundirse con la certeza de que la adaptación puede hacerse rápidamente.
«Cuanto más crítico sea tu sistema, cuanto más importante sea tu información y cuanto más a largo plazo debamos proteger tus datos, mayor prioridad debes dar a este tipo de problemas», resume Monesma. La recomendación implica dejar de tratar la transición como una actualización tecnológica genérica y empezar a considerarla una decisión de gestión del riesgo vinculada al valor de los activos y a las consecuencias de una posible brecha de seguridad.
El primer paso es saber qué hay que proteger
Antes de sustituir algoritmos, renovar aplicaciones o contratar nuevas soluciones, una organización necesita conocer su exposición real. Puede parecer una tarea elemental, pero en empresas con infraestructuras complejas resulta difícil saber con precisión dónde se utiliza la criptografía, qué mecanismos están activos y qué sistemas dependen de ellos.
Los certificados digitales, las librerías criptográficas, los protocolos de comunicación, los sistemas de autenticación y las firmas digitales pueden estar distribuidos entre aplicaciones desarrolladas internamente, productos comerciales, plataformas en la nube, dispositivos conectados y servicios de terceros. A esa dispersión se añaden las tecnologías heredadas, los sistemas que apenas se modifican y los componentes incorporados a lo largo de años de crecimiento empresarial, adquisiciones o cambios de proveedores.
El inventario criptográfico se convierte así en una de las piezas centrales del proceso. No basta con conocer los sistemas informáticos que posee la compañía; es necesario identificar los mecanismos criptográficos que utiliza cada uno, los datos que protegen, sus responsables y las conexiones que mantienen con otros componentes. Sin esa visión, resulta difícil calcular el coste de una migración, anticipar incompatibilidades o determinar qué cambios pueden afectar a la operativa diaria.
QiC Solutions, a través de su CTO, José Cándido Carballido, sitúa el análisis de la exposición como punto de partida de cualquier estrategia de transición. «El primer paso es conocer cuál es la exposición real de la organización al riesgo cuántico. No todas las empresas tienen el mismo riesgo: depende de su arquitectura tecnológica, del tipo de información que manejan, del tiempo durante el que esa información debe permanecer protegida, de su modelo de negocio y de las tecnologías sobre las que se apoyan sus procesos críticos», explica para industry TALKS.
El inventario, sin embargo, es solo el comienzo. A partir de él, la empresa debe construir una hoja de ruta alineada con su estrategia de negocio y con la planificación de sus sistemas de información. Esa hoja de ruta tiene que establecer prioridades, asignar responsables, estimar inversiones y ordenar las intervenciones en función de su urgencia y complejidad.
La primera prioridad suele estar en los activos cuya exposición tendría consecuencias más graves: información que debe seguir siendo confidencial durante muchos años, servicios esenciales para la actividad, sistemas que protegen operaciones financieras o datos especialmente sensibles y componentes cuya sustitución resulta lenta. También conviene examinar las dependencias con proveedores y socios comerciales, porque una empresa puede adaptar sus propios sistemas y descubrir después que no puede intercambiar información con una plataforma externa que todavía utiliza mecanismos incompatibles.
La identificación de esas dependencias es fundamental para evitar que una transformación aparentemente sencilla termine provocando problemas en otros puntos de la cadena. Una modificación en el mecanismo de firma digital de un documento, por ejemplo, puede impedir que determinados clientes, proveedores o aplicaciones externas validen esa firma. El cambio criptográfico afecta entonces a un proceso de negocio que quizá no estaba directamente relacionado con el proyecto de ciberseguridad.
«Podemos encontrarnos con tecnologías obsoletas o entornos OT que no soporten los nuevos algoritmos estandarizados, desarrollos heredados cuyo código o librerías ya no estén mantenidos, o arquitecturas muy complejas en las que un cambio criptográfico en un sistema puede afectar a muchos otros», advierte Carballido.
La transición requiere, por ello, combinar el conocimiento técnico con una comprensión detallada de cómo funciona la empresa. No es suficiente con determinar qué algoritmo debe sustituirse: hay que saber qué operaciones dependen de él, quién utiliza esas operaciones y qué consecuencias tendría una interrupción o una incompatibilidad. En otras palabras, la migración debe planificarse desde el negocio y ejecutarse con la participación de los equipos tecnológicos.
Continuidad operativa: migrar sin detener la actividad
La necesidad de protegerse frente a la amenaza cuántica convive con una exigencia que las empresas no pueden ignorar: mantener sus servicios en funcionamiento. Muchas organizaciones operan con infraestructuras que no admiten interrupciones prolongadas, aplicaciones críticas que deben seguir disponibles y sistemas cuya sustitución requiere pruebas, autorizaciones y coordinación con numerosos proveedores.
Por eso, uno de los principales obstáculos no es únicamente encontrar una alternativa criptográfica adecuada, sino incorporarla sin introducir nuevos puntos de fallo. Una migración mal planificada puede generar problemas de interoperabilidad, errores de autenticación, incompatibilidades entre versiones de software o dificultades para validar documentos y comunicaciones. En sectores esenciales, una incidencia de este tipo puede tener repercusiones que van mucho más allá del departamento informático.
La criptografía postcuántica se basa en algoritmos diseñados para resistir ataques tanto de ordenadores clásicos como de ordenadores cuánticos. La estandarización de nuevas familias de algoritmos proporciona una base técnica para la transición, pero su adopción requiere comprobar cómo se comportan dentro de cada entorno. Los cambios pueden afectar al tamaño de las claves, las firmas, los certificados, el rendimiento de las comunicaciones y los requisitos de almacenamiento o procesamiento.
Además, no todas las infraestructuras pueden actualizarse de la misma manera. En los sistemas industriales y los entornos de tecnología operacional, conocidos como OT, los equipos pueden tener ciclos de vida largos, capacidades limitadas o requisitos de disponibilidad muy estrictos. En otros casos, el código heredado depende de librerías que ya no reciben mantenimiento o cuya sustitución implica revisar componentes completos de una aplicación.
La respuesta más razonable pasa por desplegar los cambios de forma gradual, realizar pruebas de compatibilidad y mantener mecanismos de reversión cuando sea posible. La organización debe validar los nuevos algoritmos en entornos controlados, comprobar su interoperabilidad con sistemas internos y externos y establecer una estrategia para corregir los problemas que aparezcan antes de extender la solución a los procesos más sensibles.
Desde Mumken, Monesma identifica la continuidad operativa como una de las preocupaciones más habituales de las organizaciones con las que trabaja. «Lo más importante que estamos viendo en el mercado cuando hablamos con los clientes es que se dan cuenta de que, para cambiar su infraestructura y evolucionar, tienen que parar su operación diaria», señala.
La empresa defiende un enfoque orientado a incorporar protección a las infraestructuras existentes sin obligar a sustituir de inmediato todos sus componentes. «Nuestro enfoque es dar herramientas a los clientes para que puedan sumarse a su infraestructura actual y seguir operando, sin tener que cambiar todo lo que ya tienen. Buscamos que no exista impacto operativo y que la transición no interrumpa la actividad», explica.
Este planteamiento pone de relieve una cuestión central para los responsables de tecnología: la transición no tiene por qué equivaler a una renovación integral de la infraestructura. En determinados escenarios pueden introducirse capas de protección o capacidades de gestión que permitan avanzar por fases, aunque la viabilidad de cada solución dependerá de la arquitectura concreta, de los requisitos de seguridad y de las limitaciones técnicas de los sistemas existentes.
La estrategia debe evitar tanto la inmovilidad como la sustitución indiscriminada. Retrasar todas las decisiones hasta disponer de una solución universal puede aumentar la exposición, pero renovar equipos y aplicaciones sin una evaluación previa puede generar costes innecesarios y riesgos operativos. El objetivo es intervenir primero donde el beneficio de seguridad sea mayor y aprovechar cada actuación para facilitar las siguientes.
La transición postcuántica no debería concebirse como un proyecto que termina cuando una empresa instala determinados algoritmos. La evolución de las amenazas, las actualizaciones normativas, los cambios en los proveedores y la renovación constante de los sistemas hacen necesario que las organizaciones puedan modificar sus mecanismos criptográficos con rapidez y de forma controlada.
Esta capacidad recibe el nombre de criptoagilidad. Consiste en diseñar y gobernar las infraestructuras de manera que los algoritmos, las claves, los certificados y otros componentes criptográficos puedan sustituirse o actualizarse sin tener que reconstruir por completo las aplicaciones que dependen de ellos. La criptoagilidad reduce la dependencia de soluciones rígidas y permite responder a futuras vulnerabilidades o cambios de estándares con un impacto menor.
En la práctica, exige conocer los componentes desplegados, evitar dependencias innecesarias respecto a un único algoritmo, mantener las aplicaciones actualizadas y disponer de procesos claros para gestionar las modificaciones. También implica incorporar requisitos de flexibilidad en las nuevas contrataciones tecnológicas, de modo que los sistemas que se adquieran hoy no se conviertan en una barrera para la migración de mañana.
Carballido considera que esta capacidad de adaptación debe ocupar un lugar central en la estrategia empresarial. «La transición no debería plantearse como un proyecto de gran impacto que se ejecuta de una sola vez. Por su alcance y por el número de sistemas y áreas implicadas, lo razonable es abordarla mediante programas plurianuales y despliegues progresivos, priorizando primero aquellos activos y procesos que presentan mayor riesgo», apunta.
El directivo insiste en que el objetivo no es reemplazar de golpe toda la infraestructura, sino dotar a la organización de herramientas para gestionar los cambios de forma continuada. «La clave es priorizar, automatizar y construir una capacidad de adaptación permanente, en lugar de afrontar cada cambio criptográfico futuro como un nuevo proyecto aislado», añade.
La automatización adquiere especial importancia en este contexto. El descubrimiento de activos, el seguimiento de vulnerabilidades, la gestión del ciclo de vida de los certificados y la aplicación de cambios pueden convertirse en tareas difíciles de mantener manualmente cuando aumenta el volumen de sistemas y servicios. Las herramientas especializadas pueden facilitar la supervisión, reducir errores y ofrecer una visión más completa del estado de la infraestructura, aunque su implantación también debe evaluarse según las necesidades y la madurez de cada empresa.
Un ejemplo de esta presión operativa es la reducción progresiva de la vigencia de los certificados públicos. Los cambios en los plazos de validez incrementan la frecuencia con la que deben renovarse y desplazan a las organizaciones hacia modelos de gestión más automatizados. Aunque esta evolución no es, por sí misma, una consecuencia directa de la amenaza cuántica, sí muestra por qué la gestión criptográfica necesita procesos escalables y una supervisión continua.
La criptoagilidad permite conectar, además, la seguridad con la eficiencia operativa. Si una empresa ya dispone de un inventario fiable, procedimientos de actualización y responsabilidades definidas, podrá abordar con mayor facilidad tanto la migración postcuántica como otros cambios futuros. De este modo, la inversión deja de estar asociada únicamente a una amenaza concreta y contribuye a mejorar la capacidad general de respuesta tecnológica.
Una cuestión de dirección, inversión y gobierno del riesgo
La transformación postcuántica compite con otras necesidades empresariales: modernizar aplicaciones, protegerse frente al ransomware, cumplir obligaciones regulatorias, mejorar la eficiencia y financiar nuevos servicios digitales. En ese contexto, una iniciativa cuyos beneficios parecen lejanos puede tener dificultades para conseguir presupuesto si no se explica en términos de riesgo y continuidad del negocio.
Por eso, el respaldo de la dirección resulta determinante. La migración afecta a departamentos de tecnología, seguridad, cumplimiento normativo, operaciones, compras y gestión de proveedores, además de a los responsables de los datos y procesos críticos. Sin una estructura de gobierno que coordine esas áreas, el trabajo puede quedar fragmentado en iniciativas aisladas, sin una visión común de prioridades, plazos y resultados.
«La transición postcuántica afecta a múltiples departamentos y compite con muchas otras prioridades. Sin apoyo de la dirección resulta muy difícil coordinar un programa de este tipo», advierte Carballido. El CTO de QiC Solutions también señala que existe una carencia de conocimiento especializado, en parte porque durante años muchas organizaciones han tratado la criptografía como un componente técnico que apenas necesitaba supervisión específica.
Para convertir el riesgo en decisiones concretas, los responsables empresariales necesitan una estimación razonada del coste de no actuar y del esfuerzo que exigirá la transición. Esto incluye el gasto en herramientas, consultoría, actualización de software, pruebas, formación y, cuando sea imprescindible, sustitución de equipos o aplicaciones. La magnitud de la inversión dependerá del tamaño de la organización, del número de activos afectados, de la complejidad de las dependencias y de la proporción de sistemas que no admitan una actualización sencilla.
No existe una cifra única que permita calcular cuánto costará prepararse. Las empresas con arquitecturas modernas y una gestión centralizada pueden tener un punto de partida distinto al de las organizaciones que mantienen sistemas heterogéneos, equipos antiguos y numerosas integraciones. Precisamente por eso, el inventario inicial es también una herramienta presupuestaria: permite reducir la incertidumbre y distinguir entre los cambios imprescindibles, los que pueden programarse a medio plazo y los que requieren una revisión más profunda.
La planificación debe incluir indicadores que permitan comprobar el avance. La organización necesita saber qué proporción de sus activos criptográficos ha identificado, qué sistemas prioritarios cuentan con un plan de migración, qué dependencias externas siguen pendientes y qué componentes no pueden adaptarse sin una intervención mayor. Estos indicadores ayudan a trasladar el trabajo técnico a un lenguaje comprensible para los comités de dirección y facilitan que el presupuesto se asigne en función de necesidades verificables.
También es importante evitar que el proyecto quede aislado de las decisiones de compra y desarrollo. Los nuevos sistemas deberían incorporar requisitos de compatibilidad con estándares postcuánticos, capacidad de actualización y mecanismos de gestión de claves y certificados que faciliten cambios futuros. De lo contrario, una empresa puede invertir hoy en tecnología que incremente su dependencia de componentes difíciles de sustituir y eleve el coste de la migración posterior.
La gestión de proveedores es otra pieza relevante. Los responsables empresariales deben conocer qué planes de transición mantienen sus suministradores tecnológicos, qué productos están preparados para incorporar algoritmos postcuánticos y qué compromisos existen respecto al soporte de los sistemas desplegados. En un entorno de servicios interconectados, la seguridad de una organización también depende de las decisiones que toman las compañías de las que recibe tecnología.
Regulación y sectores prioritarios
El nivel de preparación ante la amenaza cuántica es desigual. Las organizaciones con mayores exigencias regulatorias, equipos especializados y procesos de gestión del riesgo más desarrollados tienden a contar con más recursos para analizar su exposición. Sin embargo, disponer de capacidades avanzadas de ciberseguridad no garantiza que todos los activos estén identificados ni que exista una estrategia completa de migración.
Carballido observa diferencias importantes según el tamaño y la actividad de las empresas. «Las grandes compañías de sectores altamente regulados, especialmente banca y seguros, son las que más han avanzado. Algunas ya han comenzado a trabajar en sus procesos de transición hacia la criptografía postcuántica, impulsadas tanto por la evolución tecnológica como por un entorno regulatorio que obliga a prestar cada vez más atención a la gestión del riesgo tecnológico, la resiliencia y la protección de los activos críticos», explica.
Marcos como DORA, aplicable al sector financiero europeo, y la directiva NIS2, dirigida a reforzar la ciberseguridad de entidades y sectores comprendidos en su ámbito, aumentan la relevancia de la gestión del riesgo tecnológico, la continuidad y la protección de sistemas esenciales. No obstante, estas normas no deben interpretarse automáticamente como una obligación general e inmediata de sustituir toda la criptografía existente por algoritmos postcuánticos. Las exigencias concretas dependen del marco aplicable, de su desarrollo normativo y de las obligaciones correspondientes a cada entidad.
En España, la Administración pública y las infraestructuras críticas constituyen ámbitos especialmente sensibles por la naturaleza de los datos que gestionan y por el impacto que tendría una interrupción de sus servicios. La información institucional, los sistemas de identificación, las comunicaciones oficiales y los procesos esenciales requieren una planificación que tenga en cuenta tanto la confidencialidad a largo plazo como la disponibilidad operativa.
Monesma sitúa precisamente estos entornos en el centro de la estrategia de Mumken. «Nuestro enfoque es básicamente el de la Administración pública y las infraestructuras críticas. Son las que almacenan información más crítica, gestionan procesos más sensibles y sostienen actividades esenciales, por lo que tienen que atender esta cuestión de manera prioritaria», señala.
El directivo apunta también a la importancia de las directrices nacionales. «En España contamos con la normativa y las orientaciones que está desarrollando el Centro Criptológico Nacional, que marcan una hoja de ruta y unos procesos de transición para las administraciones públicas dentro de su ámbito de aplicación», explica.
Las recomendaciones europeas y nacionales ayudan a establecer criterios comunes, pero su efectividad depende de que se traduzcan en programas concretos, con responsables, financiación y calendarios realistas. Una directriz no sustituye al inventario de activos ni resuelve por sí misma los problemas de interoperabilidad. Su función es orientar el proceso y reducir la incertidumbre, mientras que cada organismo debe evaluar sus sistemas, sus obligaciones y sus necesidades operativas.
Según la percepción de Carballido, una parte de las administraciones está empezando a estructurar este trabajo y muchas iniciativas podrían materializarse a lo largo de 2027. Esa referencia debe entenderse como una previsión sobre la evolución de los proyectos, no como un plazo universal aplicable a todas las entidades. El calendario efectivo dependerá de las instrucciones que correspondan, del alcance de cada organización y de la complejidad de su infraestructura.
Más allá de los sectores regulados, las empresas industriales, tecnológicas, sanitarias y de servicios también tienen motivos para evaluar su exposición. El criterio no debería ser únicamente el sector al que pertenecen, sino la combinación de la sensibilidad de sus datos, la duración de la protección necesaria, la criticidad de los procesos y el tiempo requerido para adaptar sus sistemas. Una empresa de menor tamaño que conserve secretos industriales durante décadas puede tener necesidades urgentes, aunque disponga de menos recursos que una gran corporación.
Prepararse ahora para evitar una migración de emergencia
La amenaza cuántica plantea un problema de anticipación: las organizaciones deben iniciar una transformación compleja antes de conocer con precisión cuándo será imprescindible completar sus fases más avanzadas. Esa incertidumbre puede favorecer la inacción, pero también ofrece una oportunidad para modernizar la gestión criptográfica, reducir dependencias y reforzar la capacidad de respuesta ante futuras amenazas.
La preparación no exige que todas las empresas sustituyan inmediatamente todos sus algoritmos ni que acometan una renovación tecnológica integral. Exige que sepan qué tienen, comprendan qué está en riesgo, identifiquen las limitaciones de sus sistemas y dispongan de una hoja de ruta que permita actuar con orden. El inventario criptográfico, la priorización de activos, las pruebas de compatibilidad, la coordinación con proveedores y la automatización constituyen los elementos que convierten la preocupación en un programa ejecutable.
También requiere cambiar la manera de entender la seguridad digital. La criptografía no puede seguir considerándose una capa invisible cuya gestión se delega por completo en los fabricantes o en los equipos técnicos. Su evolución afecta a la confidencialidad de los datos, a la confianza en las transacciones, a la continuidad de los servicios y, en último término, a la capacidad de la empresa para mantener su actividad.
La decisión estratégica no consiste en predecir con exactitud el año en que un ordenador cuántico podrá comprometer determinados sistemas, sino en determinar cuánto tardará la organización en adaptarse y qué consecuencias tendría llegar tarde. Las empresas que conozcan sus dependencias y planifiquen la transición por etapas tendrán más margen para gestionar costes, probar soluciones y evitar interrupciones. Las que esperen a que la amenaza sea inmediata podrían verse obligadas a ejecutar cambios apresurados, con menos capacidad de negociación y un mayor riesgo de incompatibilidades.
La conclusión que comparten Mumken y QiC Solutions es que el desafío debe abordarse desde ahora, con una estrategia proporcional al riesgo y compatible con la operación diaria. La transición postcuántica no es solo una cuestión de incorporar nuevos algoritmos, sino de desarrollar una capacidad permanente para adaptar la infraestructura digital sin poner en peligro el negocio.
La fecha exacta de llegada de una amenaza criptográfica cuántica sigue siendo incierta. El tiempo que necesita cada organización para identificar sus activos, coordinar a sus proveedores, modernizar sus sistemas y validar los cambios, en cambio, puede empezar a calcularse hoy. Y esa diferencia es la que convierte la preparación anticipada en una decisión de gestión empresarial, no en una preocupación tecnológica que pueda aplazarse indefinidamente.
