Caja de herramientas

Patrones contractuales orientativos (1-10)

1. 01

   Seguridad criptográfica poscuántica y cripto-agilidad

   El proveedor mantendrá medidas criptográficas adecuadas al riesgo y al estado de la técnica, con capacidad de actualización y sustitución de algoritmos, parámetros y dependencias. Cuando el análisis de riesgo, la norma aplicable o el calendario pactado lo justifiquen, se emplearán mecanismos poscuánticos o híbridos estandarizados y probados, distinguiendo encapsulación de claves (FIPS 203, ML-KEM) y firmas (FIPS 204, ML-DSA; FIPS 205, SLH-DSA). La conformidad de un algoritmo no acredita por sí sola validación de un módulo, seguridad del sistema ni negociación real. El contrato concretará perímetro, versión, soporte, mantenimiento, desencadenantes de revisión, plazos proporcionados, pruebas, reversión y consecuencias. En contratación pública se justificarán los requisitos por el objeto y el riesgo, se formularán prestaciones verificables y se admitirán equivalencias y medios de prueba según LCSP, sin dispensar prescripciones ENS aplicables. Ninguno de estos instrumentos impone por sí solo PQC inmediata a todo contrato.

2. 02

   Uso ético y limitación de finalidad

   Las partes destinarán la tecnología a finalidades lícitas, documentadas y compatibles con los derechos fundamentales y las restricciones legales y contractuales aplicables. El proveedor documentará medidas de diseño responsable, pruebas de sesgo cuando procedan, límites y mitigaciones, sin prometer la ausencia absoluta de impactos negativos. Ante incumplimiento material o riesgo grave, se aplicarán las medidas proporcionadas de contención, comunicación y revisión pactadas; la suspensión, penalidad o resolución requiere base y procedimiento aplicables, continuidad y protección de usuarios. En contratos públicos se preservarán las competencias y procedimientos de la Administración; la cláusula no concede al proveedor una potestad de suspensión unilateral ajena a ese régimen. Las exigencias éticas de ejecución se vincularán al objeto, se anunciarán y describirán en el pliego y serán compatibles con igualdad y Derecho de la Unión.

3. 03

   Protección de datos y confidencialidad cuántica

   Se determinará primero si cada parte actúa como responsable, encargado, corresponsable o proveedor sin tratamiento personal; la etiqueta comercial del servicio no decide el rol. Si el proveedor trata por cuenta del cliente, se formalizará el art. 28.3 RGPD: instrucciones documentadas, confidencialidad, seguridad apropiada, autorización previa específica o general por escrito de subencargados con información de cambios y obligaciones equivalentes, asistencia en derechos, seguridad, brechas y EIPD, información y auditoría; devolución o supresión a elección del responsable al terminar, salvo conservación legal. PQC o cifrado híbrido se selecciona mediante riesgo, exposición y duración de confidencialidad, sin presentarlo como deber universal. La EIPD corresponde cuando se cumple el art. 35; la EIEC es propuesta editorial. La FRIA del art. 27 RIA tiene ámbito subjetivo/material propio: sistemas del art. 6.2 salvo Anexo III.2, organismos de Derecho público, entidades privadas que prestan servicios públicos y los usos de Anexo III.5.b–c; su calendario de capítulo III secciones 1–3 comienza el 02-12-2027 tras 2026/1744, con transitorios. No se extiende automáticamente a todo sistema de Anexo I ni a todo proyecto cuántico. Cuando proceda, el pliego público añadirá las menciones del art. 122.2 LCSP sobre finalidad, sometimiento a normativa, ubicación de servidores y prestación, cambios y subcontratación; ENS y transferencias internacionales se comprobarán por separado. Art. 27.4 modificado por 2026/1744 permite referencias cruzadas o incorporación de partes pertinentes de la EIPD en la FRIA cuando satisfacen obligaciones coincidentes; no equipara las dos evaluaciones ni elimina las partes propias pendientes.

4. 04

   Auditorías, transparencia y cooperación regulatoria

   El proveedor facilitará información y cooperación a cliente, auditores y autoridades dentro del régimen y alcance aplicables, preservando derechos de auditoría que la ley exija. Se propone aviso al cliente por canal 24/7 sin demora y, como máximo, en doce horas; es un máximo contractual, nunca permiso para esperar ni plazo textual general de NIS2. El aviso será anterior cuando haga falta para cumplir el reloj legal. La remediación orientativa de treinta días se sustituirá por la urgencia, riesgo y plazo específico aplicable. Cada incidente conservará receptor, severidad y hora de conocimiento/clasificación. RGPD: encargado informa al responsable sin dilación indebida; responsable notifica a autoridad sin dilación y, si es posible, en 72 horas desde conocimiento de la brecha, salvo improbable riesgo para derechos y libertades, explicando retraso; comunicación a interesados conforme al art. 34 si alto riesgo. NIS2 art. 23.4: para incidente significativo, alerta temprana en 24 horas y notificación en 72 desde conocimiento, informes intermedios a solicitud y final no más tarde de un mes desde la notificación; prestadores de servicios de confianza notifican el apartado b en 24 horas; si sigue en curso, informe de evolución al vencimiento y final dentro de un mes desde su gestión. Su concreción española no queda cerrada en este documento. DORA/2025/301 art. 5: inicial lo antes posible, dentro de cuatro horas desde clasificación como grave y no después de 24 horas desde conocimiento; si la clasificación como grave es posterior a esas 24 horas, cuatro horas desde clasificación. Intermedio máximo 72 horas desde inicial, actualización sin demora y al recuperar actividad; final máximo un mes desde intermedio o último actualizado. Retrasos se comunican dentro del plazo con motivos; el ajuste a mediodía del siguiente hábil en fin de semana/festivo no se aplica universalmente: comprobar art. 5.4–6, entidades y decisión de autoridad. CRA art. 14, aplicable desde 11-09-2026: fabricante de producto incluido comunica por plataforma designada vulnerabilidad explotada activamente o incidente grave con alerta 24 horas y notificación 72 desde conocimiento; para vulnerabilidad, final máximo 14 días desde que hay medida correctora o mitigadora; para incidente, final máximo un mes desde la notificación de 72 horas. Las comunicaciones a usuarios y excepciones conservan su régimen. No se atribuye al CRA una obligación horizontal de copias regulatorias: los repositorios o retenciones adicionales son P, salvo deber específico localizado. En contrato público, auditoría, consecuencias y modificaciones se encajan en LCSP y pliegos; ningún pacto desplaza la competencia supervisora.

5. 05

   Exportación, PI y soberanía tecnológica

   Se clasificará por producto, software, tecnología, destino, destinatario y operación el régimen de doble uso, asistencia técnica, transferencia y sanciones aplicable antes de realizar operaciones sujetas. Se verificará el Anexo I UE de 2021/821 en su versión operativa: el anexo español de 2025/2003 contiene 4A506 y referencias específicas de software/tecnología; 2026/1405 corrige otras lenguas sin alterar esas entradas españolas. La actualización anual adoptada el 14-09-2026 se trata como acto sometido a escrutinio mientras no se acredite publicación y vigencia. En España se revisarán RD 679/2014 y Anexo III.5 actualizado por Orden ECM/536/2026, vigente desde 05-06-2026, incluidos controles nacionales que no se confunden con los códigos UE. No todo producto cuántico queda controlado. El proveedor documentará clasificación, permisos y cambios que afecten a la prestación. Se acordarán derechos suficientes y proporcionados sobre resultados, documentación y configuraciones para uso, adaptación, mantenimiento, auditoría y salida, separando activos de cliente, resultados y PI preexistente o de terceros; no se presume cesión irrestricta de todo activo. En servicios públicos de desarrollo y puesta a disposición de productos protegidos, art. 308.1 LCSP prevé cesión a la Administración salvo disposición distinta, con facultad de autorizar uso al sector público. La cooperación en investigación de fallos y conservación de pruebas se pactará sin limitar derechos del perjudicado ni alterar roles legales. La Directiva 2024/2853 requiere aplicación nacional y se refiere a productos puestos en mercado o servicio después del 08-12-2026 según corrección 2026; transposición máxima 09-12-2026, no acreditada en España por este control. No crea un plazo universal de retención de registros técnicos. La clasificación de una exportación real y sus licencias quedan para el responsable con especificaciones y destino concretos.

6. 06

   Ciberresiliencia y cadena de suministro (CRA)

   Se identificará si la entrega es producto con elementos digitales dentro del CRA, incluidos componentes y solución remota de tratamiento de datos integrada cuando cumpla la definición, así como rol de fabricante, importador o distribuidor y exclusiones. Un servicio cuántico aislado no queda incluido por su nombre. Art. 14 aplica desde 11-09-2026 y, conforme al art. 69.3, también alcanza productos incluidos introducidos antes de 11-12-2027; capítulo IV desde 11-06-2026; requisitos generales desde 11-12-2027, con régimen transitorio del art. 69.2. Las exigencias legales de seguridad por diseño/defecto, gestión de vulnerabilidades, soporte, documentación y SBOM se activarán por ese ámbito y calendario; si se exigen anticipadamente, se identificarán como requisitos contractuales P. La SBOM del anexo I, parte II.1, se documentará en formato legible por máquina con al menos las dependencias superiores; no se presume obligación de publicación universal. Se fijarán periodo de soporte, actualizaciones, divulgación coordinada y cooperación y exigencias a subcontratistas según su función. Retenciones o repositorios adicionales son propuestas salvo base concreta; consecuencias materiales se pactarán de forma proporcionada y, en contratación pública, conforme a pliegos y LCSP.

7. 07

   Portabilidad y cambio de proveedor (Ley de Datos)

   Para servicios de tratamiento de datos comprendidos en el capítulo VI del Data Act, el contrato eliminará obstáculos injustificados al cambio y especificará datos exportables y activos digitales, derechos, seguridad, formatos, asistencia y continuidad. No se promete entrega universal de modelos, configuraciones, PI del proveedor o secretos de terceros: se identifican los activos transferibles y las salvaguardas del art. 30.6. Art. 25: preaviso máximo de dos meses, transición ordinaria máxima de treinta días naturales, prolongación técnica motivada y notificada dentro de catorce días hábiles de la solicitud con límite de siete meses, sin perjuicio de extensión a petición del cliente; al menos treinta días de recuperación tras la transición. La supresión completa procede después del periodo de recuperación y del cambio completado con éxito, salvando obligaciones legales; su certificación adicional es propuesta contractual. Art. 29: hasta 12-01-2027 los cargos reducidos por cambio no excederán costes directamente vinculados; desde esa fecha se eliminan los cargos por cambio. No se suprimen automáticamente el precio normal del servicio ni obligaciones de terminación anticipada válidas distintas del cargo de cambio. El art. 31.1 exceptúa determinados servicios mayoritariamente hechos a medida no ofrecidos comercialmente a gran escala de 23.d, 29 y 30.1/30.3; art. 31.2 excluye el capítulo para prueba/evaluación limitada de versión no productiva y 31.3 exige informar excepciones antes de contratar. La equivalencia funcional del art. 30.1 afecta al servicio pertinente y la asistencia del proveedor origen; no es obligación general de portar modelos QML ni de crear el mismo servicio destino. Los derechos y soporte adicionales se pactarán como P. En contratos públicos se preverá la salida desde los pliegos, con régimen de modificaciones y protección de datos correspondiente.

8. 08

   Prestación de servicios TIC a entidades financieras (DORA)

   Si el cliente es entidad financiera del ámbito DORA y se contratan servicios TIC de tercero, se documentarán por escrito derechos y obligaciones, incluyendo niveles de servicio en documento completo accesible (art. 30.1). Art. 30.2: descripción clara de funciones/servicios y autorización/condiciones de subcontratación cuando sostengan función esencial o importante; países y lugares de prestación y tratamiento/almacenamiento con aviso previo de cambios; disponibilidad, autenticidad, integridad y confidencialidad, protección personal; acceso, recuperación y devolución de datos en formato fácilmente accesible ante insolvencia, resolución, interrupción o terminación; niveles de servicio y sus revisiones; asistencia en incidente sin coste adicional o coste determinado ex ante; cooperación plena con autoridades competentes/de resolución; derechos de terminación y preaviso; participación del proveedor en formación y concienciación pertinentes cuando proceda. Si sostiene función esencial o importante, art. 30.3 añade niveles precisos cuantitativos/cualitativos y remedios, avisos de cambios materiales, planes de continuidad probados y medidas de seguridad, participación/cooperación TLPT, seguimiento con acceso/inspección/auditoría sin restricciones que limiten su ejercicio, modalidades y alcance incluidos otros clientes y alternativas permitidas, cooperación y aviso razonable, y estrategia de salida con transición adecuada que evite interrupción, permita migrar o reinternalizar y proteja supervisión. Se valorará concentración/sustituibilidad art. 29 sin equiparar servicio que sostiene función esencial/importante a proveedor crítico designado art. 31. El registro art. 28.3 se mantendrá y actualizará con plantillas 2024/2956; el informe anual a autoridad es distinto del registro. No se emite prohibición universal de firma ni juicio de aceptabilidad individual: se verifica la obligación para entidad, servicio y función. DORA no aplica automáticamente porque el cliente sea Administración ni porque el servicio se denomine QCaaS; ENS/LCSP se comprobarán en su propio ámbito.

9. 09

   Autodeclaración de conformidad con la hoja de ruta NIS de transición PQC

   El proveedor podrá declarar su alineación con una hoja de ruta identificada y aportar evidencia de inventario, criticidad, pilotos, dependencias, cripto-agilidad y avance, sin autodeclarar conformidad jurídica o certificación a partir de una recomendación. Los hitos europeos orientan coordinación de Estados y planificación por riesgo; la guía CCN-TEC 009 §6.07 distingue: antes de fin de 2026, gobernanza, inventario, clasificación y pilotos de riesgo alto/medio; antes de fin de 2030, transición de riesgo alto; antes de fin de 2035, completar riesgo medio y, para riesgo bajo, en la medida de lo posible. No se traduce a transición completa universal. La recomendación parlamentaria de migración gradual/híbrida es R, no un mandato legal propio. CCN-STIC 221 se examina con versión, sistema, medida/nivel ENS y prescripción concreta; no se rotula toda la guía R ni se aplica a cualquier empresa. Un calendario más concreto incorporado válidamente a contrato/pliego se identifica como P contractual y se prueba por el instrumento, con equivalencias y concurrencia cuando proceda.

10. 10

    Adhesión a un código de buenas prácticas cuánticas voluntario

    Las partes podrán adoptar un código voluntario de buenas prácticas cuánticas identificado por versión, ámbito y proceso de revisión, con medidas de seguridad, ética, transparencia, uso dual y sostenibilidad adecuadas al contrato. Es propuesta editorial y contractual, no equivalente al código GPAI, norma cuántica, certificación ni presunción de cumplimiento. La iniciativa Quantum Act figura en el calendario oficial consultado como planificada para 2026, con fecha por anunciar, actualizado 28-09-2026; no se ha acreditado propuesta formal en esta comprobación. Q2 2026 queda como expectativa histórica vencida. La cláusula se revisará por nueva evidencia y texto oficial pertinente, sin convertir una propuesta o comunicación política en obligación ni incorporar futuras obligaciones desconocidas de forma automática. En contratación pública, requisitos y revisión se encajarán en los pliegos y régimen legal correspondiente. [Actualización posterior al corte · pendiente de revisión editorial (P2-18): Quantum Act — iniciativa legislativa de la Comisión Europea. Estado documental: El calendario Comisión actualizado 28-09-2026 incluye QuantumAct en 2026, con fecha por anunciar. Q2 es una expectativa histórica vencida; no se acredita texto formal adoptado en las fuentes consultadas. (fecha del documento: 28-09-2026). Contraste técnico: 03-10-2026. Revisión del comité editorial pendiente.]

Decálogo CCN operativo

Fuente: CCN-TEC 009 BP/37 «Recomendaciones para una transición postcuántica segura», Centro Criptológico Nacional, julio 2026. Los diez puntos son recomendación (R) del CCN, no obligación normativa. La columna «Responsable sugerido» y la «Evidencia esperada» son propuestas operativas del observatorio para facilitar su aplicación; deben adaptarse a cada organización.

Descargar guía CCN-TEC 009 BP/37 (PDF) ↓

El punto 07 recomienda el calendario de referencia: 31-12-2026 (estrategia, gobernanza, inventario y pilotos iniciados para sistemas de riesgo alto y medio), 31-12-2030 (migración completada para riesgo alto) y 31-12-2035 (migración completada para riesgo medio y, en la medida de lo posible, para riesgo bajo).

Inventario criptográfico y matriz de riesgo

Plantilla de referencia para elaborar el inventario criptográfico (punto 04 del decálogo CCN) y matriz cualitativa de clasificación del riesgo (punto 05) alineada con los horizontes 2026/2030/2035.

Plantilla de inventario

«Uso» abarca encapsulación de claves (KEM), firma, hash o cifrado simétrico. «Exposición HNDL» valora el riesgo de captura hoy y descifrado futuro por un CRQC.

Matriz de clasificación del riesgo

La clasificación debe alinearse con el análisis de riesgos del ENS y, cuando proceda, con el art. 32 del RGPD y con las obligaciones de gestión de riesgos de NIS2. No sustituye ninguno de esos análisis.

Modelo de plan de migración PQC

Estructura editorial de un plan de migración a criptografía postcuántica, con correspondencia expresa a los puntos del decálogo CCN. Es un modelo orientativo, no un plan aprobado.

1. 01

   Gobernanza y patrocinio

   Mandato explícito de dirección, asignación de presupuesto, equipo con roles claros CISO, arquitectura, criptografía, compras, DPO y asesoría jurídica, y comité de seguimiento; correspondencia con decálogo CCN puntos 01 y 02.

   Decálogo CCN Puntos 01 y 02.

2. 02

   Alcance e inventario criptográfico

   Definir perímetro, elaborar inventario de activos criptográficos con dependencias, mapear información protegida, vida útil de confidencialidad, exposición HNDL y responsables; correspondencia con decálogo CCN puntos 03 y 04.

   Decálogo CCN Puntos 03 y 04.

3. 03

   Clasificación y priorización de riesgo

   Aplicar matriz alto, medio y bajo considerando exposición HNDL, criticidad del servicio, vida útil, tiempo de migración y régimen aplicable, incluyendo ENS, RGPD art. 32, NIS2, DORA o CRA cuando proceda; correspondencia con decálogo CCN punto 05. La clasificación cuántica no equivale automáticamente a categorías legales sectoriales; documentar cada condición y su evidencia.

   Decálogo CCN Punto 05.

4. 04

   Pilotos por criticidad

   Ejecutar pruebas controladas en sistemas representativos de riesgo alto y medio, midiendo rendimiento, tamaño de claves, interoperabilidad, coste operativo, reversión y continuidad; correspondencia con decálogo CCN punto 06.

   Decálogo CCN Punto 06.

5. 05

   Selección de algoritmos y productos

   Adoptar familias PQC y parámetros conforme a estandarización NIST, guías CCN, EUCC/ACM y otras recomendaciones aplicables, verificando disponibilidad, soporte, certificación y catálogo CPSTIC cuando proceda; correspondencia con decálogo CCN puntos 08 y 09. Distinguir estándar final, borrador, certificado de módulo/producto y prueba del sistema; ACM v3 permanece borrador con consulta cerrada. En compra pública justificar prestaciones y equivalencias conforme a LCSP y prescripciones ENS efectivas.

   Decálogo CCN Puntos 08 y 09.

6. 06

   Despliegue escalonado

   Migrar por olas alineadas con los hitos recomendados 2026/2030/2035, priorizando esquemas híbridos clásico más PQC durante la transición, actualizando pliegos y contratos con cripto-agilidad y evitando bloqueo de proveedor; correspondencia con decálogo CCN punto 07. Los hitos CCN se aplican por riesgo: alto 2030, medio 2035 y bajo en la medida de lo posible, con inventario/gobernanza/pilotos antes de fin de 2026. La hibridación es elección técnica motivada y probada, no requisito único para cualquier caso. En contratos públicos la actualización debe prepararse en pliegos o tramitarse con base legal de modificación; no se introduce automáticamente después de licitar.

   Decálogo CCN Punto 07.

7. 07

   Revisión y mejora continua

   Actualizar periódicamente inventario, clasificación de riesgo, guías CCN, estandarización, evidencias, contratos y controles, y auditar la efectividad de las medidas; correspondencia con decálogo CCN punto 10.

   Decálogo CCN Punto 10.

Checklist de migración PQC

1. 01Nombrar equipo PQC con patrocinio de dirección, líder CISO o Crypto Officer, equipo multidisciplinar y mandato documentado.
2. 02Inventariar criptografía vulnerable, incluyendo RSA, Diffie-Hellman, ECC, IoT, VPN, tarjetas, PKI, firmas de firmware y escaneo TLS automatizado, sin registrar secretos ni claves.
3. 03Clasificar y priorizar por vida útil de confidencialidad, exposición HNDL, impacto y tiempo de migración, con prioridad para secretos de más de cinco a diez años y sistemas de alto riesgo. Las bandas internas crítico <2 años, medio 3–5 y bajo >5 son propuestas P, no plazos legales ni equivalencia automática con los horizontes CCN. No basta que un dato sea público o efímero para descartar riesgo de autenticidad, integridad o disponibilidad.
4. 04Seleccionar familias, función y parámetros por caso de uso: ML-KEM para establecimiento de secreto y ML-DSA o SLH-DSA para firma, según estándar final y guías aplicables; valorar construcción híbrida estandarizada y pruebas. Distinguir algoritmo, protocolo, módulo validado y servicio completo. No tratar FALCON/FIPS 206 en desarrollo como estándar final ni a HQC seleccionado como FIPS final. Conservar versión, modelo de amenaza, interoperabilidad, límites y prescripción ENS concreta. En un pliego público describir prestaciones verificables, equivalencias y prueba admisible cuando proceda.
5. 05Inventariar y actualizar PKI, HSM, bibliotecas, dependencias y SBOM con versiones soportadas y política de parches. La referencia OpenSSL 3.x+ es insuficiente: OpenSSL 3.5 incorpora ML-KEM, ML-DSA y SLH-DSA; comprobar rama, versión, proveedor criptográfico, parámetros, soporte y configuración efectivos. Las pruebas deben acreditar negociación y conexión interoperable, además de autenticación y firmas/certificados que correspondan; tener la biblioteca o un KEM híbrido no prueba que todo el canal sea poscuántico. FIPS 140-3 es validación de módulo/configuración y entorno concretos, distinta de FIPS 203–205; comprobar certificado y alcance cuando el régimen o contrato lo requiera, sin afirmarlo para todo módulo PQC ni imponerlo universalmente. En pliegos, justificar requisitos y alternativas conforme a LCSP y ENS aplicable.
6. 06Ejecutar pilotos en entorno controlado, con compatibilidad hacia atrás, métricas de rendimiento, interoperabilidad, coste operativo, reversión y criterios de parada.
7. 07Formar y comunicar internamente a TI, desarrollo, compras, dirección, jurídico y privacidad; en entidades financieras DORA, incluir al proveedor tercero TIC en formación cuando proceda conforme al art. 30.2.i.
8. 08Migrar por fases con opción de rollback, documentación de cada cambio, control de versiones y evidencia que permita auditoría posterior.
9. 09Monitorizar continuamente latencias, errores, compatibilidad, degradación, incidencias y sistemas inviables, con reevaluación formal del riesgo.
10. 10Cerrar cada caso con evaluación final de eslabones débiles, políticas actualizadas, evidencia trazable ante DORA cuando aplique y proceso de mejora continua. No se declara cierre sin eslabones débiles a partir de una checklist; registrar alcance, ensayos, resultados, limitaciones y aceptación reales.
11. 11Puntuar cada caso de uso con matriz de riesgo cuántico y tiempo de migración, considerando vida útil del dato, exposición, severidad, disponibilidad de solución, coste y dependencias externas. QSFF/Europol y G7 son referencias sectoriales de priorización R; no metodología legal obligatoria para todo sector ni fecha nueva de migración.
12. 12Catalogar mecanismos y prácticas vulnerables o mal gestionados con evidencia: protocolos obsoletos según versión/configuración, claves o credenciales embebidas, gestión manual sin control de ciclo de vida y certificados wildcard con exposición relevante. No prohibir universalmente todo certificado manual o wildcard por su etiqueta. Documentar riesgo, excepciones justificadas, responsable, remediación proporcional, fecha y medida de efectividad; las prohibiciones derivarán de norma, política aprobada o contrato identificados. Evitar almacenar secretos en el inventario.
13. 13Cuando sea pertinente EUCC, contrastar mecanismos con la versión ENISA designada aplicable: la página consultada mantiene ACM v2 de 06-05-2025. La v3 de 02-06-2026 es borrador cuya consulta terminó en julio; no se invita a participar ni se presenta como versión final. Separar el informe ENISA de hibridación PQC publicado 30-04-2026 como referencia técnica complementaria, sin convertirlo en certificación de una implementación ni obligación PQC universal. Registrar versión, productos y ámbito que efectivamente se evalúan.

Plantilla EIEC

La EIEC es una propuesta editorial para preparar decisiones antes de diseño, piloto, preproducción o despliegue. Por cada dimensión se registran afectados, finalidad, fase, riesgos, evidencia, hipótesis, alternativas —incluida no usar cuántica—, mitigaciones, responsables, validación, revisión y condiciones de avance. No sustituye EIPD, FRIA/EIDF, evaluación clínica o de conformidad ni acredita cumplimiento. La revisión requiere alcance, revisor y aceptación reales; se repite al cambiar datos, sistema, uso o fase.

Libertad y autonomía

Preguntar qué decisiones influyen en personas, si son irreversibles y qué intervención, impugnación o alternativa existe. Diseñar control humano significativo y límites de uso; identificar base jurídica y derechos aplicables. Consentimiento y opt-out no son mecanismos universales: se usan solo donde correspondan, sin desplazar otras bases ni las reglas específicas de decisiones automatizadas del art. 22 RGPD. Documentar quién revisa, cuándo detiene el proceso y cómo se prueba la salvaguarda.

Justicia y equidad

Examinar beneficios, daños y exclusión de grupos, accesibilidad y distribución de cargas. Proponer pruebas de sesgo segmentadas y proporcionadas, alternativas de acceso y términos de licencia equitativos, documentando calidad de datos y limitaciones. El tratamiento de datos de categorías especiales para probar sesgos exige base y salvaguardas propias; no se autoriza por mencionar esta plantilla. En compra pública, vincular criterios y condiciones al objeto, justificar accesibilidad y preservar igualdad/equivalencia legal.

Privacidad y protección de datos

Identificar categorías, roles, flujos, reutilizaciones y posible reidentificación por nuevas capacidades; comprobar necesidad de EIPD por art. 35 y medidas art. 25/32 RGPD. Evaluar duración de confidencialidad y HNDL sin predecir fecha de ordenador capaz. Privacidad diferencial, aprendizaje federado, cifrado homomórfico y PQC son opciones técnicas distintas que requieren parametrización, modelo de amenaza y pruebas; ninguna garantiza por su nombre anonimato, base jurídica ni cumplimiento. Registrar minimización, accesos, retención y revisión.

Transparencia y explicabilidad

Comprobar qué información sobre tecnología, decisiones y límites necesitan las personas y responsables para comprender y controlar el uso. Proponer documentación accesible, explicaciones ajustadas al destinatario y eventos auditables. Las obligaciones de información o explicación proceden de su norma y disparador, no de cualquier uso cuántico. Proteger secretos y datos personales, definir acceso y conservación y distinguir resultado experimental de capacidad o ventaja demostrada.

Responsabilidad y seguridad

Asignar responsabilidades operativas y legales por fallos, vulnerabilidades, sabotaje y continuidad, sin que un contrato altere derechos de afectados ni responsabilidades obligatorias. Proponer auditorías, pruebas de implementación/PQC y contingencia con reversión o alternativa clásica viable, con criterios de parada. Separar asistencia, comunicación al cliente y reportes regulatorios conforme a los relojes del régimen aplicable. Registrar evidencia real y limitaciones de pruebas.

Sostenibilidad

Examinar energía, criogenia, infraestructura auxiliar, materiales y cadena de suministro, fin de vida y alternativas, incluida clásica. Medir la unidad funcional comparable y el ciclo de vida pertinente: sistema completo y límites de cálculo, periodo, emisiones y baseline, sin deducir ahorro de la eficiencia de un algoritmo aislado ni presumir ventaja cuántica. Eficiencia, renovables, aprovisionamiento responsable y alineación ODS son propuestas salvo obligación localizada. No atribuir a la norma voluntaria 2026/1560 una prohibición general de pedir información ambiental en todo pliego.

Uso dual y fines maliciosos

Identificar usos maliciosos o duales y operaciones de exportación, transferencia o asistencia. Proponer controles de uso y monitorización proporcionales y publicación prudente, respetando privacidad, libertad y competencias legales. Verificar producto, software, tecnología, destinatario y destino frente a controles UE y nacionales vigentes, excepciones y permisos; no suponer que toda investigación o equipo cuántico es controlado. La plantilla no expide autorización ni sustituye clasificación técnica o jurídica de una operación real.

KPIs propuestos

• Medir el porcentaje de personal involucrado en iniciativas cuánticas formado en ética, seguridad, protección de datos, contratación, export control y normativa aplicable, con meta anual o bienal definida por la organización y con participación de proveedores TIC cuando proceda bajo DORA. El 100 % anual o bienal es meta interna P; la periodicidad se justifica por rol y riesgo y no se atribuye a DORA como cifra universal.
• Medir el porcentaje de proyectos con EIPD, FRIA/EIDF, EIEC u otra evaluación especializada cuando aplique, y el porcentaje de sistemas migrados a PQC conforme al roadmap interno aprobado. Registrar el denominador y separar evaluación legal actualmente aplicable, preparación para obligación futura y EIEC voluntaria; FRIA/alto riesgo sigue calendario 2027/2028 y transitorios por rol.
• Medir el número de desarrollos que integran seguridad y ética por diseño, incluyendo QKD con autenticación adecuada, QML con mitigación de sesgo, cripto-agilidad y mecanismos de reversión o alternativa clásica. El conteo mide adopción propuesta; no certifica seguridad ni elimina sesgo sin prueba de resultado.
• Medir beneficios cuantificados, como reducción de consumo, emisiones, accesibilidad, colaboración con academia o administración y transferencia de conocimiento, distinguiendo resultados medidos de hipótesis. Los ahorros energéticos o emisiones requieren unidad funcional, baseline clásica comparable, sistema completo —incluida criogenia e infraestructura—, periodo, método, límites e incertidumbres. Colaboraciones y beneficios se contabilizan por separado; no presuponer ventaja ni cumplimiento CSRD por tener un KPI.

Gobernanza

Plantillas descargables

Versiones editables de dos herramientas de esta página para trabajar con ellas en tu propio equipo: el inventario criptográfico y la EIEC. Cada una incluye una plantilla vacía, un ejemplo sintético (datos inventados) y unas instrucciones.