El NIST cierra su hoja de ruta post-cuántica: RSA y ECDSA, fuera de sus normas tras 2035

El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publicó el 27 de octubre la versión final de su hoja de ruta post-cuántica, el informe NIST IR 8547, Transition to Post-Quantum Cryptography Standards. Dice qué algoritmos de clave pública de sus normas podría romper un ordenador cuántico, cuándo dejarán de valer y a qué estándares de criptografía post-cuántica (PQC) hay que pasar. El borrador se había publicado en noviembre de 2024.

Va dirigido a las agencias federales, a los fabricantes de tecnología, a los organismos de normalización y a los laboratorios del programa de validación de módulos criptográficos (CMVP). El NIST lo presenta también como referencia para los operadores de infraestructuras críticas y para cualquier organización que prepare la misma migración.

El calendario: desaconsejados después de 2030, fuera después de 2035

Todos los algoritmos de firma y de establecimiento de claves vulnerables que aprueba hoy el NIST pasan a estar desaconsejados después de 2030 y no permitidos después de 2035. «Desaconsejado» significa que se puede usar, pero el responsable de los datos asume el riesgo; «no permitido», que ya no se admite para ese fin.

Algoritmo	Uso	Después de 2030	Después de 2035
RSA, ECDSA y EdDSA (FIPS 186)	Firma digital	Desaconsejado	No permitido
Diffie-Hellman y MQV, de cuerpo finito y de curva elíptica (SP 800-56A)	Establecimiento de claves	Desaconsejado	No permitido
RSA (SP 800-56B)	Establecimiento de claves	Desaconsejado	No permitido

Cambia lo que preveía la guía de gestión de claves SP 800-57: dejar de permitir los esquemas de clave pública de 112 bits de seguridad el 1 de enero de 2031. En su lugar, esos esquemas siguen el mismo calendario que el resto: desaconsejados después de 2030 y fuera de las normas después de 2035.

Plazos más cortos para los sistemas federales más sensibles

El objetivo general que fijó el Memorando de Seguridad Nacional 10 (NSM-10), terminar la migración federal en 2035, se mantiene. Pero la Orden Ejecutiva 14412, del 22 de junio de 2026, y el memorando M-26-15 de la Oficina de Gestión y Presupuesto (OMB), del 24 de junio, adelantan los plazos para lo más sensible:

• Las agencias deben reducir tanto riesgo cuántico como sea posible antes del 31 de diciembre de 2030, empezando por lo más prioritario.
• Los activos de alto valor y los sistemas de alto impacto deben usar establecimiento de claves post-cuántico antes del 31 de diciembre de 2030 y firmas post-cuánticas antes del 31 de diciembre de 2031. La misma prioridad tienen los sistemas con datos que seguirán siendo sensibles en 2030.
• Las agencias deben admitir TLS 1.3 antes del 2 de enero de 2030.

Los plazos de la orden ejecutiva y del memorando son para la Administración federal estadounidense. Según la nota del NIST, también afectarán a muchas organizaciones que trabajan con ella.

A qué hay que migrar

• Firma digital: ML-DSA (FIPS 204) y SLH-DSA (FIPS 205). Las firmas con estado LMS y XMSS (SP 800-208) no son de uso general, pero pueden servir para firmar software y firmware. El NIST prepara otra norma con un algoritmo derivado de FALCON.
• Establecimiento de claves: ML-KEM (FIPS 203) es hoy el único esquema post-cuántico aprobado, y el NIST recomienda ML-KEM-768 como parámetro por defecto. HQC, seleccionado como alternativa, se aprobará cuando se publique su norma, que está en preparación.
• Criptografía simétrica: el NIST no prevé retirarla. Las primitivas aprobadas de al menos 128 bits de seguridad, como AES-128 o SHA-256, cumplen al menos la categoría 1 de seguridad post-cuántica. Las de 112 bits dejarán de permitirse en 2030, y SHA-1 no se permitirá en módulos validados después de 2030.

El NIST no prevé normalizar más algoritmos de firma ni de establecimiento de claves que no resistan a un ordenador cuántico.

Híbridos, admitidos como paso intermedio

El informe acepta en la validación FIPS 140 el establecimiento de claves híbrido y las firmas dobles, siempre que uno de los componentes sea un esquema aprobado por el NIST. Advierte, eso sí, de que añaden complejidad y de que se esperan como medida temporal, antes de una segunda transición a algoritmos solo post-cuánticos. La decisión de usarlos la deja a cada aplicación. Sobre los certificados con cifrado híbrido, lo contamos a propósito de Composite ML-KEM.

TLS es una prioridad temprana, porque protege los datos en tránsito de casi todos los sistemas federales y es el objetivo principal de la amenaza de «capturar ahora y descifrar después». TLS 1.3 permite ya un establecimiento de claves post-cuántico, también con mecanismos híbridos que combinan ML-KEM con algoritmos clásicos; la guía llegará en la próxima revisión de la SP 800-52. Sobre TLS 1.3 y la migración, lo contamos a propósito de los perfiles del NCSC británico.

«Sabemos que no hay una estrategia que valga para todos los casos de uso, y queremos ayudar a la gente a llevar su migración mientras se mantiene al día de lo que cambia»

Dustin Moody, matemático del NIST que dirige el proyecto de normalización de la PQC, 27 de octubre de 2026

Qué pide el informe

Que las organizaciones traten la migración como una prioridad operativa actual, empezando por el inventario criptográfico, el plan de migración y los primeros despliegues de productos con PQC. A los fabricantes de hardware criptográfico les pide integrar la PQC de inmediato, por los largos plazos de diseño y fabricación. Y los sistemas que no puedan usar PQC deben identificarse y priorizarse para su sustitución o retirada.