La amenaza que supone la computación cuántica para los actuales sistemas criptográficos todavía no se ha materializado, pero el G7 considera que esperar a que lo haga sería demasiado tarde. Su Grupo de Trabajo de Ciberseguridad ha hecho un llamamiento a gobiernos y empresas para que empiecen ya a preparar la transición hacia la criptografía postcuántica (PQC).
La iniciativa está liderada por la agencia francesa de ciberseguridad ANSSI, coincidiendo con la presidencia francesa del G7 en 2026, y cuenta con la participación de la Comisión Europea y el apoyo de ENISA. El trabajo da continuidad al iniciado durante la presidencia canadiense del G7 en 2025, cuando las agencias de ciberseguridad del grupo establecieron una serie de recomendaciones para preparar esta migración.
El nuevo llamamiento busca ahora llevar el debate más allá de los equipos técnicos y trasladarlo también a los responsables de tomar decisiones. Una de las razones para empezar a actuar es el riesgo conocido como harvest now, decrypt later o store now, decrypt later: un atacante puede capturar hoy información cifrada, almacenarla y esperar a disponer de capacidad cuántica suficiente para descifrarla.
El riesgo es especialmente relevante para aquella información que necesita seguir siendo confidencial durante años, como determinados datos gubernamentales, información personal sensible o secretos empresariales. Pero el problema no se limita a la confidencialidad. La posibilidad de romper en el futuro algunos de los mecanismos criptográficos actuales también podría afectar a los sistemas de autenticación, facilitar la suplantación de entidades de confianza o permitir la manipulación de información y dispositivos. Y el impacto podría extenderse a través de proveedores y cadenas de suministro.
Cinco prioridades para acelerar la transición
El G7 no plantea una sustitución inmediata de los sistemas actuales, sino una transición progresiva y basada en el riesgo. El primer paso pasa por saber qué hay que proteger: identificar los sistemas que contienen los datos y activos más críticos, inventariar los mecanismos criptográficos utilizados y conocer las dependencias existentes. A partir de ahí, cada organización puede establecer sus prioridades y preparar su hoja de ruta.
Retrasar este trabajo puede tener además consecuencias que van más allá de la seguridad. El G7 advierte de que la falta de preparación podría afectar a la competitividad de las organizaciones e incluso dejarlas fuera, en el futuro, de determinadas oportunidades de contratación y procesos de compra pública.
El documento señala cinco áreas en las que considera necesario avanzar. Una de ellas es la concienciación, ya que la amenaza cuántica todavía queda lejos de las prioridades de muchas organizaciones y tiene que competir por recursos con riesgos de ciberseguridad mucho más inmediatos.
Junto a ello, propone desarrollar estrategias nacionales que favorezcan la disponibilidad y adopción de hardware y software preparado para PQC; reforzar la investigación y el desarrollo mediante programas de financiación, proyectos piloto y entornos de prueba; impulsar la colaboración entre gobiernos, industria y mundo académico; e incorporar progresivamente la criptografía postcuántica a los requisitos generales de ciberseguridad y a la contratación pública.
La idea de fondo es que la transición hacia la PQC no se convierta simplemente en una nueva obligación de cumplimiento. Las agencias del G7 la plantean como una evolución de las prácticas criptográficas actuales que llevará tiempo y que obligará a coordinar a administraciones, proveedores tecnológicos y organizaciones usuarias.
Sobre todo, cambiaría la primera frase respecto a la versión anterior. Decir que el riesgo «ha dejado de ser un problema que pueda aplazarse» resulta algo grandilocuente y puede dar a entender que la amenaza cuántica ya es efectiva. La nueva entrada refleja mejor el mensaje: la amenaza aún no se ha materializado, pero la migración es suficientemente compleja y larga como para tener que empezar antes de que lo haga.
