Caja de herramientas · Servicios de confianza

Servicios de confianza en la transición poscuántica

Esta herramienta revisa las siete piezas del Informe heredado. Distingue la categoría jurídica del servicio y su madurez PQC. La revisión documental y sus referencias no acreditan una implementación, un perfil evaluado ni un servicio concreto en producción.

Corte propio de este documento: 2026-10-03 · versión 1.0 (independiente de la edición del Informe). Verificación con revisor y fecha: no acreditada.

Aviso

La cualificación corresponde a un prestador y a un servicio concretos, supervisados y publicados en una lista de confianza. El uso de ML-DSA, SLH-DSA u otro mecanismo PQC no confiere por sí mismo la condición de servicio cualificado.

«QTSP» designa exclusivamente al prestador cualificado de servicios de confianza en el sentido del Reglamento eIDAS. No denomina a proveedores generales de computación cuántica como servicio (QCaaS), QKD, hardware cuántico o consultoría cuántica.

Dos ejes de lectura

1 · Estatus jurídico

Categoría cualificada eIDAS: La categoría existe en eIDAS. La cualificación de una implementación concreta solo puede afirmarse tras comprobar el prestador y el servicio en la lista de confianza aplicable.
Componente o servicio compuesto: Combinación de servicios cualificados y no cualificados que no constituye por sí misma una categoría cualificada autónoma.
Capacidad no cualificada: Capacidad técnica o de gobierno sin categoría cualificada propia; sus resultados pueden apoyarse en servicios cualificados.
Piloto condicionado: Despliegue sujeto a perfil, evaluación y supervisión pendientes de verificación caso por caso.

2 · Madurez PQC

Operativo normativamente: Marco jurídico y actos de ejecución pertinentes aplicables a la categoría; incorporar PQC exige comprobar perfil, evaluación y supervisión del servicio concreto.
Implantable: Patrón de diseño que puede estudiarse y desplegarse con tecnología disponible, condicionado a requisitos, pruebas y contexto del caso. Esta revisión no acredita un despliegue.
Transición / piloto: Existen mecanismos, pero su disponibilidad como servicio cualificado real debe verificarse prestador a prestador.
Estandarización: Perfiles y prácticas en elaboración; conviene evitar decisiones irreversibles.

Naturaleza jurídica de cada enunciado

Etiqueta O: obligación normativaobligación normativa
Etiqueta I: interpretación jurídicainterpretación jurídica
Etiqueta S: estándar técnicoestándar técnico
Etiqueta R: recomendaciónrecomendación
Etiqueta P: propuesta editorialpropuesta editorial

Comparativa de las siete piezas

Estatus jurídico, madurez PQC y límite principal de cada pieza
#	Pieza	Estatus jurídico	Madurez PQC	Límite principal
01	Validación cualificada de firmas y sellos	Categoría cualificada eIDAS	Operativo normativamente	No repara una firma inválida.
02	Conservación cualificada de firmas y sellos	Categoría cualificada eIDAS	Operativo normativamente	Conserva una cualificación existente; no la crea.
03	Archivo electrónico cualificado	Categoría cualificada eIDAS	Operativo normativamente	La presunción cubre integridad y origen durante la conservación.
04	Encapsulado probatorio y renovación criptográfica	Componente o servicio compuesto	Implantable	La aplicación de una nueva evidencia cualificada no modifica la naturaleza ni el nivel de la firma, sello o documento original.
05	Sello de tiempo cualificado: implementación PQC condicionada	Categoría cualificada eIDAS	Transición / piloto	Un algoritmo admitido no basta: requiere perfil, dispositivo, evaluación de conformidad, supervisión e inclusión efectiva del servicio en la lista de confianza.
06	Certificados y credenciales híbridas	Capacidad no cualificada	Estandarización	«Híbrido» no es una categoría eIDAS autónoma: existen certificados cualificados de firma, de sello y de autenticación de sitios web.
07	Criptoagilidad, CBOM y evidencia de migración	Capacidad no cualificada	Implantable	La evaluación no es un servicio cualificado.

Las siete piezas

01Etiqueta O: obligación normativaEtiqueta S: estándar técnicoCategoría cualificada eIDASOperativo normativamente

Validación cualificada de firmas y sellos

Comprueba y documenta el estado técnico de una firma o sello en el momento analizado.

Permite fijar, con un prestador cualificado, qué se pudo comprobar y cuándo, de forma reproducible por un tercero.

Entradas

Documento o datos firmados y, en su caso, firma en formato separado.
Política de validación aplicable y momento de referencia.
Cadena de certificación y material de estado (CRL/OCSP) disponible.

Evidencias

Resultado de validación emitido por el prestador cualificado.
Datos necesarios para reproducir la comprobación (política, instante, material de estado, cadena).
Resultado automatizado, fiable y eficiente, firmado o sellado mediante firma electrónica avanzada o sello electrónico avanzado del prestador del servicio de validación cualificado.

Dependencias

Trusted List del prestador y del servicio concretos.
Disponibilidad de información de estado en el momento analizado.

Límites

No repara una firma inválida.
No eleva una firma no cualificada a cualificada.
No prueba por sí sola la validez sustantiva del contrato.

Base jurídica o marco de referencia

Estándares

ETSI TS 119 441 V1.2.1 (2023-10), con adaptaciones de 2025/1942
ETSI TS 119 172-4 V1.1.1 (2021-05), con adaptaciones de 2025/1942 y 2025/1945
ETSI TS 119 102-2 V1.4.1 (2023-06), informe de validación
ETSI EN 319 102-1 V1.4.1 (2024-06), según referencias adaptadas de los actos aplicables

Corte del documento: 2026-10-03 · Servicio real: no verificado en Trusted List

Puntos abiertos: Disponibilidad efectiva del servicio en la lista de confianza del Estado miembro correspondiente.

02Etiqueta O: obligación normativaEtiqueta S: estándar técnicoCategoría cualificada eIDASOperativo normativamente

Conservación cualificada de firmas y sellos

Extiende la fiabilidad de una firma o sello cualificado más allá de su periodo de validez tecnológica mediante evidencias y renovaciones.

Mantiene en el tiempo la fiabilidad de lo que ya era cualificado, mediante renovación planificada de evidencias.

Entradas

Firma o sello cualificado de partida y su evidencia de validación.
Política de conservación y calendario de renovación.
Perfil criptográfico aplicable.

Evidencias

Evidencias de conservación encadenadas y sus renovaciones.
Registro de política, perfil y momentos de renovación.

Dependencias

Comprobación inicial del tipo y estado de la firma o sello y conservación de información de cualificación.
Pruebas de existencia, evidencias y, cuando el perfil aplicable lo requiera, sellos de tiempo cualificados para las renovaciones.

Límites

Conserva una cualificación existente; no la crea.
La adopción PQC queda condicionada al perfil y a la evaluación de conformidad aplicables.

Base jurídica o marco de referencia

Estándares

ETSI TS 119 511
ETSI TS 119 172-4

Corte del documento: 2026-10-03 · Servicio real: no verificado en Trusted List

Puntos abiertos: Perfil PQC concreto, conformidad del prestador y del servicio, alcance del informe de evaluación y decisión del supervisor; comprobación en la lista de confianza aplicable.

03Etiqueta O: obligación normativaEtiqueta S: estándar técnicoCategoría cualificada eIDASOperativo normativamente

Archivo electrónico cualificado

Asegura durabilidad, legibilidad, integridad, confidencialidad y prueba de origen de datos y documentos electrónicos durante su periodo de conservación.

Da soporte cualificado a la retención documental de larga duración, con presunción acotada a integridad y origen.

Entradas

Documento electrónico y metadatos de ingreso.
Política de archivo, plazos de retención y reglas de acceso.
Evidencia de validación previa cuando el documento venga firmado.

Evidencias

Acuse de ingreso con huella del objeto y momento, según política del servicio.
Registro de custodia, migraciones de formato y recuperaciones.
Informe automatizado para la parte autorizada, fiable y eficiente, con firma electrónica cualificada o sello electrónico cualificado del prestador de archivo, que confirma la presunción de integridad desde el comienzo de la conservación hasta la recuperación.

Dependencias

Perfil de archivo y mecanismos conformes con las normas y adaptaciones pertinentes.
Cuando se archiven firmas o sellos cualificados, mantenimiento de su fiabilidad más allá de la validez tecnológica y de integridad/exactitud de origen hasta el fin de la conservación legal o contractual; puede recurrirse a conservación cualificada.
Cuando el servicio de archivo utilice sellos de tiempo, utilizará sellos cualificados de tiempo.

Límites

La presunción cubre integridad y origen durante la conservación.
No cubre veracidad del contenido ni voluntad del autor.
No cubre periodos anteriores al ingreso en el archivo.
La base es el art. 45i y 45j eIDAS; nunca el art. 45g.

Base jurídica o marco de referencia

Estándares

UNE-CEN/TS 18170:2025, con adaptaciones de 2025/2532

Corte del documento: 2026-10-03 · Servicio real: no verificado en Trusted List

Puntos abiertos: Oferta efectiva de archivo cualificado en el Estado miembro de destino.

04Etiqueta P: propuesta editorialEtiqueta S: estándar técnicoComponente o servicio compuestoImplantable

Encapsulado probatorio y renovación criptográfica

Preserva el original y añade una envolvente separada con validación, sello, fecha y custodia renovables.

Propone reforzar la trazabilidad de documentación heredada conservando el objeto original. La suficiencia probatoria y la configuración de la envolvente deben evaluarse según el caso y la jurisdicción.

Entradas

Original inalterado y su huella.
Resultado de validación del estado disponible.
Manifiesto de contexto (algoritmos, formatos, política, cadena).

Evidencias

Envolvente separada con validación, sello electrónico y sello de tiempo.
Registro de renovaciones y de custodia.

Dependencias

Validación adecuada al tipo y estado de la firma o sello; cualificada únicamente cuando el objeto y el servicio reúnan los requisitos de los arts. 33 y 40 eIDAS.
Sello de tiempo cualificado.
Archivo cualificado cuando proceda.

Límites

La aplicación de una nueva evidencia cualificada no modifica la naturaleza ni el nivel de la firma, sello o documento original.
No recrea identidad ni voluntad.
No convierte retrospectivamente la calificación del objeto original.
No es una categoría cualificada autónoma.

Base jurídica o marco de referencia

Reglamento eIDAS (combinación de arts. 32-34, 41-42 y 45i-45j)

Estándares

ETSI TS 119 511 (conservación)
ETSI EN 319 102-1 (validación)

Corte del documento: 2026-10-03 · Cualificación de servicio real: no aplica

Puntos abiertos: Adecuación y suficiencia probatoria del patrón en la jurisdicción y para el tipo documental concreto; contenido, cadena de custodia y pruebas necesarias. Pruebas de implementación, recuperación y renovación del diseño compuesto elegido.

05Etiqueta O: obligación normativaEtiqueta S: estándar técnicoCategoría cualificada eIDASTransición / piloto

Sello de tiempo cualificado: implementación PQC condicionada

Vincula datos y tiempo mediante un servicio cualificado cuya implementación criptográfica puede incorporar mecanismos PQC conformes al perfil aplicable.

La cuestión operativa no es el algoritmo, sino si existe un servicio concreto cualificado y publicado que lo implemente.

Entradas

Huella del objeto a sellar.
Perfil criptográfico y política del prestador.

Evidencias

Token de sello de tiempo cualificado.
Referencia al servicio en la lista de confianza.

Dependencias

Dispositivo y perfil evaluados.
Supervisión e inclusión efectiva en Trusted List.

Límites

Un algoritmo admitido no basta: requiere perfil, dispositivo, evaluación de conformidad, supervisión e inclusión efectiva del servicio en la lista de confianza.
No cabe afirmar la disponibilidad real de un servicio PQC concreto sin verificar prestador y servicio.

Base jurídica o marco de referencia

Reglamento eIDAS, arts. 41-42
Reglamento de Ejecución (UE) 2025/1929
Listas de confianza de la UE · marco de referencia

Estándares

FIPS 204 (ML-DSA), referencia técnica de firma
FIPS 205 (SLH-DSA), referencia técnica de firma
ECCG ACM v2, versión 2.0 abril 2025, listada como aplicable por ENISA; aplicar remisiones y adaptaciones eIDAS del servicio
ETSI EN 319 421 V1.3.1 y ETSI EN 319 422 V1.1.1, con adaptaciones de 2025/1929

Corte del documento: 2026-10-03 · Servicio real: no verificado en Trusted List

Puntos abiertos: Existencia comprobada de un servicio de sello de tiempo cualificado con mecanismos PQC publicado en Trusted List.

06Etiqueta I: interpretación jurídicaEtiqueta S: estándar técnicoCapacidad no cualificadaEstandarización

Certificados y credenciales híbridas

Facilita la coexistencia transitoria de mecanismos clásicos y poscuánticos.

Puede facilitar una migración gradual si los clientes, servidores y perfiles pertinentes admiten la combinación elegida y superan pruebas. La hibridación no garantiza interoperabilidad ni crea una nueva categoría eIDAS.

Entradas

Inventario de PKI y de perfiles de certificado.
Requisitos de interoperabilidad de clientes y servidores.

Evidencias

Perfiles de certificado documentados.
Resultados de pruebas de interoperabilidad.

Dependencias

Prestadores de certificación y sus perfiles admitidos.

Límites

«Híbrido» no es una categoría eIDAS autónoma: existen certificados cualificados de firma, de sello y de autenticación de sitios web.
Conviene distinguir la firma de la CA, la clave pública del sujeto y el KEM del protocolo.
El Reglamento de Ejecución (UE) 2025/2527 sobre autenticación web se aplica desde el 06-01-2027; no procede presentarlo como aplicable en 2026.

Base jurídica o marco de referencia

Estándares

FIPS 203 (ML-KEM)
FIPS 204 (ML-DSA)
ACM ENISA v2 (EUCC)
ETSI EN 319 411-2
Serie ETSI EN 319 412
ETSI TS 119 495
ETSI TS 119 411-5

Corte del documento: 2026-10-03 · Cualificación de servicio real: no aplica

Puntos abiertos: Perfil concreto de certificado o credencial híbrida, mecanismo de combinación y ámbito de evaluación de conformidad; decisión del supervisor si se pretende servicio cualificado. Compatibilidad de las implementaciones y pruebas de validación/interoperabilidad del caso.

07Etiqueta P: propuesta editorialEtiqueta R: recomendaciónCapacidad no cualificadaImplantable

Criptoagilidad, CBOM y evidencia de migración

Localiza dependencias criptográficas, prioriza la sustitución y deja trazabilidad de decisiones, pruebas y excepciones.

Propone documentar la migración mediante inventario, dependencias, responsabilidades, pruebas y excepciones. La trazabilidad facilita la revisión, pero no acredita por sí misma conformidad, seguridad o cualificación eIDAS.

Entradas

Inventario de sistemas, librerías y protocolos.
Criterios de criticidad y vida útil de confidencialidad.

Evidencias

CBOM versionada.
Mapa de dependencias.
Plan de migración con responsables.
Registro de excepciones.
Resultados de pruebas.
Registro de renovación.

Dependencias

Servicios cualificados para sellar, fechar o archivar los resultados cuando se quiera reforzar su valor probatorio.

Límites

La evaluación no es un servicio cualificado.
Sus resultados pueden sellarse, fecharse o archivarse con servicios cualificados, pero eso no cualifica la evaluación en sí.

Base jurídica o marco de referencia

Hoja de ruta coordinada de transición a criptografía poscuántica (UE) · marco de referencia

Estándares

FIPS 203/204/205
ACM ENISA v2 (EUCC)

Corte del documento: 2026-10-03 · Cualificación de servicio real: no aplica

Puntos abiertos: Formato de CBOM que acabe consolidándose como referencia sectorial en la UE.

Dos recorridos

Conservación y archivo probatorio

Ruta para documentación viva que debe mantener valor probatorio durante su periodo de retención.

Identificar documentos, plazos legales o contractuales de retención, riesgos y necesidades de prueba.
Validar el objeto firmado o sellado con política y momento de referencia adecuados y conservar las limitaciones del resultado.
Conservar el original, huella, política, cadena de certificación y material de estado disponible.
Elegir conservación cualificada, archivo cualificado o ambos cuando el caso lo justifique; confirmar prestador, servicio y alcance.
Si se usa archivo cualificado, cumplir sus requisitos específicos para documentos que contengan firmas o sellos cualificados y para el informe de recuperación.
Documentar vigilancia criptográfica, renovación y pruebas de recuperación según el perfil y el periodo de retención.

Renovación probatoria de documentación heredada

Ruta para fondos históricos firmados con algoritmos o formatos en desuso.

Inventariar algoritmo, certificado, fecha, formato, retención, dependencias y criticidad.
Capturar la validación disponible en el momento del análisis, con condiciones e incertidumbres del objeto.
Preservar el original inalterado con manifiesto o CBOM contextual.
Considerar envolvente separada con sello y sello de tiempo adecuados al caso; cada servicio mantiene su nivel jurídico y la nueva evidencia no altera la cualificación histórica del original.
Conservar o archivar el conjunto según política, plazos y servicios concretos que correspondan.
Probar recuperación, portabilidad, verificación independiente y renovación, documentando decisiones y excepciones sin imponer re-firma universal.

Límites técnicos

ML-KEM (FIPS 203) es un mecanismo de encapsulado de clave, no un esquema de firma.
ML-DSA (FIPS 204) y SLH-DSA (FIPS 205) son esquemas de firma.
En la página de ENISA consultada el 03-10-2026, ACM v2 figura como versión aplicable y v3 como borrador, con consulta pública finalizada a fin de julio de 2026. ACM v2 recomienda combinar ML-DSA con un mecanismo clásico (nota 51), permite SLH-DSA autónomo con los niveles acordados (notas 52-53) y recomienda combinar ML-KEM con un mecanismo clásico (nota 60). Estas condiciones del ACM y las remisiones pertinentes del servicio deben comprobarse en su perfil; no confieren cualificación eIDAS ni establecen un mandato general de hibridación para todo uso PQC.
La hoja de ruta europea orienta una transición coordinada por riesgo: la Comisión señala inicio para Estados miembros antes de fin de 2026 y protección de infraestructuras críticas cuanto antes y no después de fin de 2030. CCN-TEC 009 recomienda 2035 para completar riesgo medio y, para riesgo bajo, en la medida de lo posible. Los hitos no son caducidad jurídica universal de firmas, certificados o documentos ni obligación uniforme de toda empresa; queda pendiente leer íntegramente la hoja de ruta y FAQ europeas para su detalle completo.

Fuentes oficiales

Fuentes enlazadas en la versión con corte 2026-10-03. No consta en el Observatorio un registro de verificación con revisor y fecha para este documento.