Siete riesgos post-cuánticos que ya deberías tener en tu radar, aunque el ordenador cuántico todavía no exista
El cifrado que protege tus datos hoy puede quedar obsoleto antes de que termines de leer este artículo. La pregunta no es si eso va a pasar, sino cuánto tiempo te queda para prepararte.
Por RAP Informes · Julio 2026 · 6 min de lectura
Hay datos que alguien puede estar robando ahora mismo, aunque no pueda leerlos hasta dentro de diez años. Se llama «Harvest Now, Decrypt Later» (recolectar ahora, descifrar después) y es, según un reciente informe de ISMS Forum y Cisco dirigido a responsables de ciberseguridad, el riesgo más inmediato y menos visible de la era post-cuántica.
La idea es sencilla y perturbadora: un atacante intercepta y almacena hoy información cifrada con la intención de descifrarla cuando exista un ordenador cuántico lo bastante potente. Para datos con vida útil larga —historiales médicos, secretos comerciales, propiedad intelectual, información de infraestructuras críticas— la confidencialidad ya puede estar comprometida, aunque el ataque no se materialice hasta dentro de años.
El teorema de Mosca: la ecuación que explica la urgencia
Para entender por qué este riesgo no admite esperar a que la amenaza sea «real», conviene conocer el teorema de la desigualdad de Mosca, popularizado por el matemático Michele Mosca y convertido ya en una referencia estándar en el sector. Su virtud es la simplicidad: reduce un problema abstracto y futurista a tres variables que cualquier consejo de administración puede entender de un vistazo.
| Variable | Significado |
|---|---|
| X | Tiempo que el dato debe permanecer confidencial (su vida útil de seguridad). |
| Y | Tiempo necesario para migrar los sistemas a criptografía segura frente a computación cuántica. |
| Z | Tiempo que falta para que exista un ordenador cuántico capaz de romper el cifrado actual. |
Si X + Y > Z, la organización ya llega tarde.
La lógica es implacable: si la suma del tiempo que necesitas proteger el dato más el tiempo que tardas en migrar supera el tiempo que queda hasta que la amenaza sea técnicamente posible, entonces los datos capturados hoy bajo una estrategia HNDL se podrán descifrar antes de que termines de migrar. Ninguna acción futura puede cerrar retroactivamente esa ventana de exposición.
Un ejemplo habitual en el sector salud
Los datos clínicos deben protegerse 15 años (X = 15). La migración completa de los sistemas se estima en 4 años (Y = 4). Las previsiones sitúan la llegada de un ordenador cuántico relevante entre 10 y 15 años (Z = 10-15).
X + Y = 19, un valor superior incluso al extremo más optimista de Z. Conclusión: esa organización ya está, hoy, fuera de plazo.
Su mayor fortaleza es también su límite: es una herramienta extraordinaria para comunicar la urgencia al comité de dirección, pero como mecanismo de priorización operativa se queda corta. Es binaria (hay riesgo o no lo hay, sin matices), solo mira el factor tiempo —sin tener en cuenta el impacto ni la exposición real de cada sistema— y trata Z como si fuera un valor único, cuando en la práctica cada organización maneja decenas de valores X e Y distintos según el sistema. Por eso, una vez que el teorema ha servido para poner el tema sobre la mesa, hacen falta modelos más granulares para decidir qué migrar primero.
Siete frentes de riesgo que van más allá del «que nos rompan el TLS (Seguridad de la Capa de Transporte)»
01. Obsolescencia tecnológica y dependencia de proveedores
Los nuevos algoritmos post-cuánticos exigen más capacidad de cómputo y claves más grandes, lo que puede forzar la renovación anticipada de hardware, especialmente en dispositivos con ciclos de vida largos.
02. Cadena de suministro y terceros
El riesgo real no son las vulnerabilidades aisladas, sino la falta de sincronización: si tu organización migra y tus proveedores no —o al revés— aparecen incompatibilidades técnicas o caídas de servicio.
03. Cumplimiento y auditoría
A diferencia de otros riesgos de ciberseguridad, este no deja incidentes visibles: se acumula en silencio. La falta de inventarios criptográficos y hojas de ruta documentadas ya es, en sí misma, una debilidad ante un auditor o supervisor.
04. Reputación y validez contractual
Actuar tarde puede proyectar una imagen de inseguridad tecnológica ante clientes y socios, y pone en duda la validez legal futura de contratos firmados electrónicamente con algoritmos hoy vulnerables.
05. Inteligencia artificial
Los modelos de IA y el aprendizaje federado dependen de criptografía que casi nunca figura en los inventarios tradicionales. Un ataque cuántico podría exponer datos de entrenamiento o permitir el robo de modelos completos.
06. IoT y tecnología operativa (OT)
Miles de millones de dispositivos no admiten actualizaciones remotas. En entornos industriales, el riesgo no es solo la confidencialidad: firmas y certificados falsificables mañana podrían permitir desplegar firmware malicioso con consecuencias físicas reales.
07. Cloud: la falsa sensación de seguridad
Los grandes proveedores cloud avanzan rápido en post-cuántica, pero solo cubren una parte del problema. La PKI interna, los SDK desactualizados y el cifrado con claves propias siguen siendo responsabilidad de cada organización.
La regulación ya no es un horizonte lejano
NIS2, DORA y el Esquema Nacional de Seguridad no exigen todavía la adopción inmediata de criptografía post-cuántica en todos los sistemas. Lo que sí exigen, cada vez con más claridad, es que la organización pueda demostrar que el riesgo ha sido identificado, está gobernado y forma parte de un plan de transición estructurado. La regulación, en este sentido, actúa como catalizador: convierte un riesgo tecnológico a largo plazo en un programa de gestión con responsables, plazos y evidencias.
El mensaje de fondo para cualquier consejo de administración es claro: el riesgo cuántico no es un problema de criptografía, es un problema de confianza digital. Afecta a la integridad de los modelos de IA, a la autenticidad de los datos de IoT, a la legitimidad de las órdenes que reciben los sistemas industriales y a toda la cadena de confianza de la infraestructura cloud.
