La criptografía post-cuántica ha dejado de ser una previsión técnica para convertirse en una prioridad regulatoria. El 22 de junio de 2026, la Casa Blanca firmó la Executive Order 14412, una orden ejecutiva que fija plazos concretos para migrar los sistemas federales más críticos de Estados Unidos a algoritmos resistentes a la computación cuántica.
Para los equipos de IT y ciberseguridad, el mensaje es claro: la transición PQC ya no es una conversación de futuro. Afecta a dispositivos, comunicaciones, proveedores tecnológicos, auditorías y datos que deben seguir protegidos durante años.
En Applivery, llevamos desde septiembre de 2025 haciéndolo.
La Casa Blanca pone fecha a la transición PQC
Cuando la Casa Blanca convierte una amenaza tecnológica en mandato ejecutivo, el mensaje trasciende al sector público estadounidense. Marca una dirección para agencias, contratistas, proveedores tecnológicos y organizaciones reguladas.
La Executive Order 14412, titulada Securing the Nation Against Advanced Cryptographic Attacks, reconoce explícitamente el riesgo de los ataques harvest now, decrypt later. Es decir, la captura de datos cifrados hoy con la intención de descifrarlos en el futuro, cuando la computación cuántica tenga capacidad suficiente para romper parte de la criptografía actual.
La orden fija un calendario concreto:
| Requisito | Fecha clave |
|---|---|
| Designar un responsable de migración PQC por agencia | 30 días desde la orden |
| Publicar guía para agencias federales | 90 días desde la orden |
| Migrar sistemas de alto impacto y activos de alto valor a PQC para establecimiento de claves | 31 de diciembre de 2030 |
| Migrar sistemas de alto impacto y activos de alto valor a PQC para firmas digitales | 31 de diciembre de 2031 |
| Definir los elementos mínimos de un Cryptographic Bill of Materials, CBOM | 270 días desde la orden |
| Proponer requisitos FAR para contratistas cubiertos | 31 de diciembre de 2030 |
Por qué el riesgo empieza antes del ordenador cuántico
La amenaza post-cuántica no empieza el día en que exista un ordenador cuántico capaz de romper RSA o ECC a gran escala. Empieza antes.
El motivo es el modelo harvest now, decrypt later. Un atacante puede capturar datos cifrados hoy, almacenarlos durante años y esperar a que la tecnología permita descifrarlos. Este riesgo es especialmente relevante para organizaciones que gestionan información con una vida útil larga: administraciones públicas, sanidad, defensa, banca, seguros, infraestructuras críticas o proveedores tecnológicos con acceso a entornos sensibles.
Por eso la transición a criptografía post-cuántica no es solo una cuestión de cumplimiento. Es una decisión de continuidad, resiliencia y gestión del riesgo.
Qué papel juegan NIST, FIPS, ML-KEM y ML-DSA
La orden de la Casa Blanca se apoya en los estándares del NIST, que ya publicó los primeros algoritmos post-cuánticos estandarizados.
Entre ellos destacan:
- ML-KEM, estandarizado en FIPS 203, para establecimiento de claves.
- ML-DSA, estandarizado en FIPS 204, para firmas digitales.
- SLH-DSA, estandarizado en FIPS 205, también orientado a firmas digitales.
Estos estándares son importantes porque convierten la transición PQC en algo aplicable a productos, auditorías, contratos y arquitecturas reales. Ya no se trata únicamente de investigación criptográfica, sino de estándares que las organizaciones pueden empezar a exigir a sus proveedores tecnológicos.
Para los equipos de IT y seguridad, la pregunta empieza a cambiar. Ya no es solo qué dispositivos gestionan, qué aplicaciones despliegan o qué políticas aplican. También qué criptografía protege esos canales, esas identidades y esas comunicaciones.
Applivery ya protege el canal MDM en dispositivos Apple
En septiembre de 2025, antes de que la Casa Blanca fijara un calendario oficial para la migración PQC, Applivery ya había implementado criptografía post-cuántica en el canal de comunicación MDM para dispositivos Apple.
La implementación se centró en proteger el intercambio de datos entre los dispositivos gestionados y la infraestructura de Applivery. Para ello, se integró cifrado híbrido de clave pública post-cuántico mediante X25519MLKEM768, que combina criptografía de curva elíptica clásica con ML-KEM-768, uno de los algoritmos estandarizados por el NIST.
El canal opera sobre TLS 1.3 y aprovecha las capacidades de seguridad cuántica incorporadas por Apple en iOS 26, iPadOS 26 y macOS Tahoe 26, siempre que el servidor también soporte la negociación post-cuántica correspondiente.
Lo importante para los equipos de IT es que la actualización fue transparente. No fue necesario reconfigurar políticas, intervenir manualmente los dispositivos ni modificar los flujos de gestión existentes. Los datos en tránsito entre los dispositivos Apple gestionados y los servidores de Applivery pasaron a estar protegidos con un enfoque preparado para amenazas post-cuánticas sin añadir complejidad operativa.
Por qué se habla de cifrado híbrido
El término “híbrido” no es marketing. Describe una decisión de ingeniería con una lógica de seguridad concreta.
Los algoritmos post-cuánticos son nuevos en comparación con estándares clásicos como RSA o ECC. Aunque han pasado por un proceso riguroso de estandarización, la criptografía también madura con el tiempo, con su uso en producción y con los intentos de romperla.
Por eso, muchas implementaciones actuales combinan un algoritmo clásico consolidado con un algoritmo post-cuántico. El objetivo es mantener la robustez de la criptografía tradicional mientras se incorpora protección frente a futuros ataques cuánticos.
En la práctica, este enfoque permite avanzar hacia PQC sin renunciar de golpe a los mecanismos que ya han demostrado solidez durante años. Es una forma responsable de hacer la transición: adoptar lo nuevo sin abandonar prematuramente lo que todavía aporta seguridad.
Android 17 confirma que el estándar se consolida
Android 17 refuerza que la criptografía post-cuántica empieza a integrarse en capas cada vez más profundas de la plataforma.
Google ha anunciado avances en áreas clave como Android Verified Boot, atestación remota, Android Keystore y Google Play Signing. En conjunto, estos cambios apuntan a un escenario en el que la protección post-cuántica no será un añadido externo, sino parte de los mecanismos de confianza del sistema operativo.
Este movimiento es relevante para cualquier equipo que gestione dispositivos Android a escala. Si el propio sistema operativo empieza a integrar PQC en el arranque, la atestación, las claves y la firma de aplicaciones, el mercado está enviando una señal clara: la seguridad post-cuántica se está convirtiendo en una expectativa de plataforma.
En Android, además, el reto tiene una dimensión adicional. La evolución hacia PQC no depende solo del sistema operativo, sino también del hardware, de los fabricantes y de la implementación de componentes seguros como KeyMint en cada ecosistema de dispositivos.
Esto explica por qué la transición no ocurrirá de un día para otro. Requiere coordinación entre sistemas operativos, fabricantes, proveedores de hardware, plataformas de gestión y equipos de IT.
Qué significa para los equipos de IT y seguridad
La orden ejecutiva introduce un concepto que ganará peso en auditorías y procesos de contratación: el Cryptographic Bill of Materials, o CBOM.
La idea es sencilla, iigual que un SBOM documenta los componentes de software de una aplicación, un CBOM documenta los activos criptográficos. Qué algoritmos se usan, dónde se usan, qué función cumplen y si están preparados para resistir amenazas cuánticas.
Para los responsables de IT y seguridad, esto anticipa preguntas que pronto serán más habituales:
- ¿Sabes qué criptografía protege tus dispositivos?
- ¿Puedes identificar qué canales dependen de algoritmos clásicos?
- ¿Tus proveedores están preparados para PQC?
- ¿Puedes demostrarlo ante un auditor, un cliente o un organismo regulador?
La gestión de dispositivos ya no puede entenderse solo como inventario, despliegue de aplicaciones o aplicación de políticas. En un entorno regulado, los dispositivos son una capa crítica de seguridad, identidad y acceso. También son una parte del mapa criptográfico de la organización.
Europa también se mueve hacia PQC
Aunque la orden ejecutiva aplica al gobierno federal de Estados Unidos, su impacto puede extenderse mucho más allá.
Lo que hoy se exige en el sector público estadounidense suele convertirse en referencia para grandes proveedores, procesos de contratación, auditorías y marcos de seguridad internacionales. En Europa, la transición post-cuántica también avanza a través de recomendaciones, hojas de ruta y guías impulsadas por organismos como la Unión Europea, el NCSC del Reino Unido y las autoridades nacionales de ciberseguridad.
Para organizaciones españolas y europeas, esto es especialmente relevante en sectores sujetos a ENS, NIS2, DORA, ISO 27001 o requisitos de licitación pública. La pregunta no es si la criptografía post-cuántica llegará a los procesos de evaluación y cumplimiento. La pregunta es cuándo empezará a exigirse de forma más explícita.
Las organizaciones que empiecen antes tendrán más tiempo para inventariar, priorizar, validar proveedores y migrar sin urgencias.
La transición post-cuántica empieza en los dispositivos
La migración criptográfica no se resuelve en semanas. Requiere inventario, planificación, validación, actualización de proveedores y despliegue progresivo. Las organizaciones que esperan a que sea obligatorio suelen descubrir que los plazos reales son más cortos de lo que parecían.
Los dispositivos corporativos son un buen punto de partida porque concentran acceso a datos, aplicaciones, identidades y comunicaciones críticas. También son una de las capas donde una plataforma UEM puede aportar más visibilidad, control y capacidad de despliegue.
En Applivery, la criptografía post-cuántica ya forma parte de la evolución de nuestra plataforma. La hemos incorporado para proteger el canal MDM en dispositivos Apple compatibles y seguir preparando la gestión de dispositivos para una nueva etapa de seguridad empresarial.
La Casa Blanca ha puesto fechas sobre la mesa. Apple, Android y los estándares del NIST ya están marcando el camino técnico. Para los equipos de IT y seguridad, el momento de prepararse no empieza en 2030. Empieza ahora.
Si quieres entender cómo encaja Applivery en tu estrategia de seguridad de dispositivos, habla con nuestro equipo.
