QiC Solutions ha aprovechado su participación en la XX edición del Encuentro Internacional de Seguridad de la Información (ENISE) para alertar sobre la necesidad de que empresas y organismos públicos adopten un enfoque a largo plazo ante la transición hacia la criptografía postcuántica. La compañía ha destacado que este proceso no debe limitarse a una actuación tecnológica aislada, sino integrarse de manera continua en la estrategia de seguridad de las organizaciones.

Durante su intervención, José Cándido Carballido, director de Tecnología (CTO) de QiC Solutions, subrayó que la adaptación al escenario postcuántico requiere establecer mecanismos permanentes para gestionar los sistemas criptográficos. En este sentido, explicó que la principal preocupación no debería centrarse únicamente en determinar cuándo aparecerán ordenadores cuánticos capaces de vulnerar los actuales métodos de cifrado de clave pública, sino en evaluar la capacidad de respuesta de las organizaciones.

Así, Carballido incidió en la importancia de conocer cuánto tiempo necesitarían las empresas e instituciones para identificar las tecnologías criptográficas que emplean, analizar los sistemas que dependen de ellas y realizar su sustitución sin comprometer el funcionamiento habitual de sus servicios.

Estas reflexiones se produjeron después de que, durante la jornada inaugural del encuentro, el ministro para la Transformación Digital y de la Función Pública, Óscar López, señalara la ciberseguridad cuántica como uno de los grandes retos emergentes en el ámbito de la protección digital.

«El problema no es cuándo llega el ordenador cuántico, sino cuánto tardamos en cambiar. Y, como vamos a
tener que cambiar más de una vez, necesitamos una capacidad permanente para hacerlo», ha señalado
Carballido durante su intervención.

La tesis defendida por Carballido parte de que la migración a la criptografía postcuántica no será el último cambio que afrontarán las organizaciones. Algoritmos, certificados, implementaciones y estándares seguirán evolucionando y pueden obligar a reaccionar nuevamente. La criptoagilidad pasa así de ser una respuesta frente a una amenaza concreta a convertirse en la capacidad de una organización para conocer, gobernar y modificar su criptografía de forma controlada cuando sea necesario.

Los calendarios ya han empezado a correr

La necesidad de prepararse no depende únicamente de la evolución futura de los ordenadores cuánticos. La hoja de ruta coordinada de la Unión Europea establece que todos los Estados miembros deben comenzar su transición hacia la criptografía postcuántica antes de finalizar 2026 y que los casos de uso considerados de alto riesgo deben estar migrados lo antes posible y, como máximo, a finales de 2030.

En sectores especialmente regulados, las obligaciones actuales apuntan además hacia una gestión cada vez más
activa de la criptografía. En el ámbito financiero, DORA y su desarrollo técnico exigen a las entidades integrar el
riesgo tecnológico en su sistema global de gestión de riesgos, disponer de políticas documentadas sobre cifrado y controles criptográficos y gestionar las claves durante todo su ciclo de vida, incluyendo la necesidad de adaptar o sustituir las tecnologías criptográficas cuando sea necesario.

También los propios estándares tecnológicos están reduciendo los márgenes de reacción. Como puso de
manifiesto el CTO de QiC durante su intervención, desde el 15 de marzo de 2026 la validez máxima de los
certificados TLS públicos se ha reducido a 200 días; cifra que bajará a 100 días en marzo de 2027 y a 47 en marzo
de 2029. Este cambio, remarcó “obliga a aumentar la automatización de procesos de inventario, renovación y
gestión que tradicionalmente podían ejecutarse con ciclos mucho más largos”.

Para QiC, estos cambios anticipan una realidad más amplia: la criptografía está dejando de ser un mecanismo de
ciberseguridad que pueda revisarse de forma esporádica. Regulación, estándares, nuevas vulnerabilidades y
evolución tecnológica están acortando los ciclos de cambio y obligando a las organizaciones a saber qué
criptografía utilizan, dónde se encuentra y qué consecuencias tendría modificarla.

Soberanía de las plataformas criptográficas

QiC Solutions plantea abordar este reto desde la criptoagilidad: dotar a las organizaciones de una capacidad
permanente para conocer qué criptografía utilizan, gobernarla de acuerdo con sus políticas y necesidades, y
modificarla cuando sea necesario sin comprometer la continuidad de sus sistemas. Todo ello en un marco
fundamental en el presente y futuro de la ciberseguridad: la necesaria soberanía de las plataformas criptográficas.

La compañía defiende que el primer paso hacia la criptoagilidad no consiste en sustituir algoritmos de forma
indiscriminada, sino en conseguir visibilidad sobre certificados, librerías, protocolos, código, sistemas y terceros y
conocer las dependencias existentes entre ellos. A partir de ahí, las políticas criptográficas pueden convertirse en
reglas verificables que permitan identificar desviaciones y anticipar el impacto de cada cambio antes de ejecutarlo.

Ese es precisamente el ámbito en el que se ha especializado QiC Solutions, compañía 100% española de
ciberseguridad cuántica que combina experiencia especializada, metodología y tecnología propia para ayudar a
empresas e instituciones en su transición hacia la criptoagilidad.

«Ninguna organización puede cambiar aquello que no conoce. La primera condición para ser criptoágil es saber
qué tenemos, dónde está, si cumple nuestras políticas y qué puede dejar de funcionar cuando decidamos
cambiarlo», ha concluido Carballido.

QiC ha desarrollado para ello |QS>, una plataforma orientada a automatizar buena parte del ciclo de gestión
criptográfica: descubrir activos y certificados, evaluar exposición y vulnerabilidades, traducir políticas a reglas
verificables, analizar dependencias, priorizar actuaciones y apoyar los procesos de remediación, manteniendo la
validación humana en las decisiones críticas.

La aproximación de la compañía se basa en la gestión de la postura criptográfica como una vía para comenzar a ganar control sobre la infraestructura existente sin exigir inicialmente una rearquitectura completa de los sistemas. El objetivo es reducir la complejidad y la inversión necesaria para comenzar la transformación y determinarposteriormente dónde tiene sentido acometer modificaciones estructurales de mayor alcance.