Informe · versión web corregida Revisión jurídica del comité editorial pendiente Integración: 2026-10-04 Contraste documental: 2026-10-03 Corte histórico del PDF (38 páginas, capítulos 1–8): 2026-07-27 Esta descarga contiene las 800 unidades del texto web corregido, incluidos los anexos I–VII. El PDF histórico se conserva por separado; consultar las correcciones y la procedencia en /informe#erratas y /informe#procedencia. La revisión documental asistida por IA no acredita certificación, ejecución de controles ni validación jurídica del conjunto por el comité editorial. --- Fecha de corte: 27 de julio de 2026 # Índice [**1. Introducción** **4**](#X0e2973c2e3c317285bf344b2034a52754788c6d) > [1.0. El reto 4](#X8b0a303e8e3635956a4d4ce74cfed728c6e1864) > > [1.1. Propósito, enfoque y marco regulatorio de referencia > 5](#X3ca9474023e90f224fe40ffe48a4a85fece2e22) > > [1.2. Ética de IA vs. ética de infraestructura cuántica (y su > intersección) 6](#X5824b6dc1810e1e70043d8d9297cc4997b39694) > > [1.3. El sentido de esta propuesta > 7](#Xe23533f33289935a008c13aee4e1ace277cfffc) > > [1.4. Cómo se conectan principios, Derecho y negocio (nuestra hoja de > ruta) 8](#X7ceb5eed6d1614fa6d864bc8df0d1cf83ef5658) > > [1.5. Principios como criterios operativos > 8](#X84a5e1d4c27eb497a1024d625dbb97ef819068f) > > [1.6. Alcance: rigor, proporcionalidad y anti‑hype > 8](#X302e03f6690c0757c8b612a6b81bb997ea33c96) [**2. Principios Fundamentales para una Ética Cuántica** **9**](#Xad083caa1b00366b30cefc364e0d86013c45cdb) > [2.1. Libertad y autonomía > 9](#X79224e3c7a22af446c28c01eaa4ced813fdc841) > > [2.2. Justicia y equidad en el acceso a la tecnología > 11](#X3307465442c90ba56332c2a24b7e150e931c5b3) > > [2.3. Transparencia, explicabilidad e información responsable > 11](#X94b92fc748c0e288517f82ade7642c9982341bd) > > [2.4. Responsabilidad y rendición de cuentas > 12](#X6a6a5caaa6bdd8362675e7c1f2673d5857ee201) > > [2.5. Sostenibilidad y desarrollo responsable > 13](#X54d00cdef3acc23edd6ced540ba5f81c63ec28d) [**3. Impactos Éticos y Técnicos de las Tecnologías Cuánticas** **14**](#X486fb0b3eed91e7a1a8116763c7f939209f26ad) > [3.1. Impacto en la privacidad y la seguridad de los datos (La > Amenaza) 15](#X20f95fbb9b445b71f2a26f7b12a71491f0e0d91) > > [3.2. Riesgos para la ciberseguridad y la respuesta a la amenaza > cuántica (PQC y QKD) 15](#X7fe6abbccacf5faff5a0fb74c0d84f97546d6bc) > > [3.3. Implicaciones en la inteligencia artificial y el análisis de > datos (IA cuántica) 17](#Xddf886f6ce847956a69d0dd03fbc08b913be867) > > [3.4. Uso de la computación cuántica en sectores críticos (salud, > defensa, finanzas) 17](#Xe0f72c0b589b69a942e451dc2aeda4da34999ed) > > [3.5. Posibles desigualdades y soberanía digital > 18](#Xd45f4580cde23b1b8dba6af90925a603b21dcfd) > > [3.6. Consecuencias no previstas y riesgos emergentes > 18](#Xf7dbd011f081bb08c93635c6ded8cc85838c48b) [**4. Marco Jurídico y Regulatorio Aplicable (hard law)** **19**](#X3c41406c44cfc5cedcee012d2198c00dfedee36) > [4.1. Estado actual de la regulación cuántica: marco horizontal y > sectorial potencialmente aplicable > 19](#Xec1e610c6a9fe4984864c7d82b6ecb68dc808e0) > > [4.2. Ciberseguridad y Resiliencia (NIS2, DORA, CRA) > 21](#X7a210e7ce0f41bc0c5baa4411e2060e6eac73f1) > > [4.2.1. Directiva NIS2 (Seguridad de las Redes y Sistemas de > Información) 21](#Xc68ea9830b7df1d080de303d80d06adbf475ced) > > [4.2.2. Reglamento DORA (Resiliencia Operativa Digital del Sector > Financiero) 21](#X8c74efd3e6beac01eeb25e95b7111c13d75e34c) > > [4.2.3. Reglamento de Ciberresiliencia (CRA) > 22](#Xbb130ae6c0ce4a6a39cbe3d393ab2bb4e4fb674) > > [4.3. Privacidad y Protección de Datos (RGPD) > 22](#Xb1279fb091bb5abd66fc748b59ce3d7ae46f4d3) > > [4.4. Inteligencia Artificial y Sistemas de Alto Riesgo (Reglamento de > IA) 23](#Xfcf1f41b6fe42673137f295331b07f6f1f715b9) > > [4.5. Identidad Digital y Servicios de Confianza (eIDAS2) > 24](#Xcc82ade99289134aaab9b254966b1a09365b28b) > > [4.6. Control de Exportaciones y Doble Uso (Reglamento (UE) 2021/821) > 24](#X31eb53577107738cfa60451c7614ebbdf8e414c) > > [4.7. Normas y estándares técnicos internacionales (NIST, ETSI, > CEN-CENELEC) 25](#X0b5b3bf8e7264a6c2738ed961ad28c8a9ee2729) > > [4.8. Responsabilidad por productos defectuosos > 26](#Xfba721b3460af1f64081ca2c01ae5055a98e9b4) > > [4.9. Servicios financieros, criptoactivos e infraestructuras DLT > 26](#X3dee4f9e8f222c880ca9b7c9ddcd495508b935b) [**5. Gobernanza, Ética Aplicada y Cumplimiento** **27**](#X87cb2f14e84ce99e54439247d3737096193e61c) > [5.1. El papel de la gobernanza en la ética cuántica > 27](#Xa01c990fad0681a9d459a36cb28494fb79952e8) > > [5.2. Investigación e Innovación Responsables (RRI) como marco > operativo 28](#X1979ba03e766a882afd73ba0eaa63adfc102a6b) > > [5.3. El rol complementario del soft law y la autorregulación > 28](#X41a4a97693242804361329f47c8c43d065750c1) > > [5.4. Ética, Privacidad y Seguridad desde el Diseño (By Design) > 28](#Xcfb79d1566f3e259a01a04c0cd2526049637480) > > [5.5. Evaluaciones de Impacto (EIPD y EIDF) > 29](#Xb179e49e02e8ee1ae697185df40400aad59fca5) > > [5.6. Cooperación internacional e interoperabilidad técnica > 30](#X849f2581278b848c37d9ffc88a4baf274a23771) > > [5.7. Estrategias de migración a PQC y cripto-agilidad > 30](#X290d6808963d08b6b53cc097d8dafedacebb9bc) [**6. Riesgos Normativos** **31**](#Xae541a28c1e1f0e18ec5d6deaf571bd0ecd7d14) > [6.1. Riesgos de incumplimiento del hard law > 31](#X8956fce4a99e3650974b69b3f857f0ff6f679cd) > > [6.2. Riesgos del control de doble uso > 32](#X69aa1391377c5277cab536e32f006d7ff7df918) > > [6.3. Riesgos de sobrerregulación y fragmentación > 33](#X4f23b34b924b847fe1176ee7131118b340f45a6) > > [6.4. Estrategias transversales de mitigación > 33](#X7de88b258e43e9f0f1732a660fcacca081311d3) [**7. Recomendaciones y Pasos Futuros** **34**](#X777f3350913f2344914716a1255a553f5784ce1) > [7.1. Fomento de la Educación, el Talento Multidisciplinar y la > Concienciación 34](#X31b18574f3ca90ce908d906c1c046fe67dcf2da) > > [7.2. Fortalecimiento de la Gobernanza Institucional y la Supervisión > 34](#X055acde8a9f0aab5f4680e29cc6fdd0c3b4326f) > > [7.3. Integración de la Ética y el Cumplimiento en la Estrategia > Tecnológica 35](#Xceff1a2c1f6f6288e59bbff5c0f3ee9cff0b591) > > [7.4. Promoción de Buenas Prácticas y Aseguramiento del Cumplimiento > (hard law) 36](#Xa61e83bb87df24f8e368426ac81a15caa4760be) > > [7.5. Evaluación Continua y Definición de KPIs Éticos y de > Cumplimiento 36](#X6f2437db0d61fe57d277a2ccb48cffde79edda9) [**8. Bibliografía y Fuentes de Referencia** **37**](#X9bd34897102b22994b6e9dcc0edab6bb0bcd595) > [8.1. Glosario de Conceptos Clave > 39](#X471a1e1db2d62e64a7d09aaa93be49d57e585cb) > > [A. Términos Técnicos y Conceptos Cuánticos > 39](#Xa5666721af7e5fd5ad33eb511c9b8ed219c1d55) > > [B. Términos Jurídicos, Regulatorios y Éticos > 40](#X2491a2bee640a27b355023685cf839823dab0bb) > > [8.2. Relación de Acrónimos y Siglas > 42](#X09bb08155d4310a66902633425866b7b20b26fe) [**Anexos de la edición 1.1** **44**](#anexos-de-la-edición-1.1) > [Nota de esta edición 44](#nota-de-esta-edición) [**Anexo I. Fuentes parlamentarias, gubernamentales y de la Unión Europea** **44**](#Xf0f82d9df1daacaf091afb9013f59a150e2b109) > [I.1. Cortes Generales 44](#i.1.-cortes-generales) > > [I.2. Gobierno de España 45](#i.2.-gobierno-de-españa) > > [I.3. Unión Europea 46](#i.3.-unión-europea) > > [I.4. Contexto internacional 46](#i.4.-contexto-internacional) > > [I.5. Lagunas documentales declaradas > 46](#i.5.-lagunas-documentales-declaradas) [**Anexo II. Analogía metodológica entre el acervo de IA y la gobernanza cuántica** **47**](#X5b569b32678ca9480f3c1e1e166573db7e17635) > [II.1. Tesis y advertencia de provisionalidad > 47](#Xf4fd8ac54ea989732dab2d79af2861376dd946e) > > [II.2. Mapa de correspondencias 47](#ii.2.-mapa-de-correspondencias) > > [II.3. Qué adoptar ya 49](#ii.3.-qué-adoptar-ya) > > [II.4. Qué no trasladar 49](#ii.4.-qué-no-trasladar) > > [II.5. Documentos que conectan ambos ámbitos > 50](#Xb2c8d411f17996c98ce5e9aaab37153a677c7b7) > > [II.6. Lagunas de este ejercicio 50](#ii.6.-lagunas-de-este-ejercicio) [**Anexo III. Refuerzo del bloque de criptografía poscuántica** **51**](#X707460f6fd45afade4b38066c84407ad22fc1fb) > [III.1. Dos carriles que no deben confundirse > 51](#X0d82ecf74ba13472a09c2060f782f18fd67f910) > > [III.2. Estado verificado de los estándares a 28 de julio de 2026 > 51](#X1ad55f07116495121c4b7867ff9c9b761367aa8) > > [III.3. Lo que la computación cuántica no rompe > 53](#X55dbcf49d0380b0e81c750f0061a15bbe99440e) > > [III.4. La asimetría que ordena las prioridades > 53](#X677976aeefd9ebf0c7a1d774637d9f22b718fd2) > > [III.5. Mitigaciones disponibles (ENISA) > 54](#iii.5.-mitigaciones-disponibles-enisa) > > [III.6. Priorización de la migración (Europol / Quantum Safe Financial > Forum) 54](#X2c25f2ab48f532ee3eba67271dd5891daba85e4) > > [III.7. Certificación europea: el esquema EUCC > 55](#Xab179d6933dcf7acf8b3de77b776f2436aee106) > > [III.8. El coste real de la migración, en bytes > 56](#Xe96c0124ac07a1445f613900a4ad8d5c6f1ebcf) [**Anexo IV. Refuerzo del bloque de servicios financieros** **56**](#X7f947618b18a6d6a062fbaf394771c49ee8cf8e) > [IV.1. Proveedores de servicios de criptoactivos y contratos > inteligentes (MiCA) 56](#Xd440f0e619b47fd887f85b1f5fb3d903f594e28) > > [IV.2. Régimen piloto DLT: firmeza, claves y valor probatorio > 57](#X3d6d755994ad68198380d0624c7b4f09c3b61b1) > > [IV.3. MiFID II y MAR: gobernanza del riesgo de modelo > 57](#Xf7ec88165b8f4118fb34d46ddc5beec6d7a3324) > > [IV.4. Marco prudencial y expectativas supervisoras > 58](#X6690324ad5f53b7f98f7136d95f5c9a09c54e4e) [**Anexo V. El Observatorio: la versión viva de este Libro Blanco** **59**](#Xf95b24b69be2ba06f43ab10dc33c7abf5a4e1c2) > [V.1. Por qué un observatorio 59](#v.1.-por-qué-un-observatorio) > > [V.2. Criterios de verificación 59](#v.2.-criterios-de-verificación) > > [V.3. Índice de fichas 59](#v.3.-índice-de-fichas) > > [V.4. Etiquetas 62](#v.4.-etiquetas) [**Anexo VI. Manual de aplicación QT-QMS** **62**](#anexo-vi.-manual-de-aplicación-qt-qms) [**Anexo VII. Bibliografía ampliada de esta edición** **106**](#X48b31c65d4d29204b9357632f08fa042d0f77f3) > [Cortes Generales y Gobierno de España > 106](#cortes-generales-y-gobierno-de-españa) > > [Unión Europea 107](#unión-europea) > > [Estándares y organismos técnicos > 108](#estándares-y-organismos-técnicos) > > [Servicios financieros 108](#servicios-financieros) > > [Inteligencia artificial 108](#inteligencia-artificial) > > [Nota final 109](#nota-final) # 1. Introducción ## 1.0. El reto Durante el pasado siglo, la mecánica cuántica ha pasado de ser un conjunto de leyes físicas —quizás una de las conceptualizaciones más poderosas de la humanidad, cuyo centenario se celebró en 2025— a materializarse en usos e instrumentos decisivos para nuestra evolución tecnológica, del láser a los semiconductores. Hoy, el control deliberado de estados cuánticos permite explorar nuevas aplicaciones con potencial para contribuir a la transformación de la sociedad en los próximos años. Estamos, con toda probabilidad, en la «adolescencia» de estas tecnologías: una etapa exuberante, prometedora y todavía inestable. El entusiasmo debe convivir con el rigor: avanzar con ambición científica y, al mismo tiempo, con prudencia ante lo mucho que aún ignoramos. Esa prudencia es también una cuestión ética. Este Libro Blanco se ocupa de las tecnologías cuánticas —computación, comunicaciones, sensórica y materiales— y de sus implicaciones éticas y regulatorias. La llamada «segunda revolución cuántica» alude al salto desde dispositivos cuyo funcionamiento emerge de principios cuánticos (p. ej., láseres, transistores o resonancia magnética) a sistemas que explotan deliberadamente la superposición y el entrelazamiento para el cómputo, las comunicaciones y la medida. Se trata de un continuo de evolución más que de una ruptura súbita, pero sus efectos pueden ser profundos si se logra que la delicada física de los qubits escale con fiabilidad. En todos los ámbitos de aplicación de estas tecnologías surgen dilemas éticos y de gobernanza diferenciados. Los principios éticos considerados se manifiestan en distintas dimensiones: - **Computación cuántica:** Esta forma de computación, radicalmente distinta de la clásica, manipula amplitudes mediante superposición, interferencia y entrelazamiento. Puede ofrecer ventajas para determinadas clases de problemas y bajo supuestos concretos; no constituye una aceleración universal, y los costes de preparación de datos, corrección de errores y lectura pueden reducir o neutralizar la ventaja. Entre sus posibles aplicaciones figuran la simulación de fenómenos cuánticos, el descubrimiento de fármacos, el diseño de materiales avanzados y ciertos problemas de optimización. Ese potencial convive con riesgos sistémicos, desde la seguridad de la información hasta las asimetrías de poder derivadas de la «brecha cuántica». La pregunta ética no es solo «¿qué puede romper?», sino «¿quién controlará esta capacidad de cómputo y bajo qué controles democráticos?» y «¿cómo encajará con las prioridades de la sociedad?». - **Comunicaciones cuánticas:** Tecnologías como la distribución cuántica de claves (QKD) y las futuras redes cuánticas pueden reforzar la confidencialidad bajo determinados modelos de amenaza, siempre que su implementación, autenticación y operación sean seguras. Su despliegue plantea la necesidad de equilibrar esa protección con necesidades legítimas de seguridad y debido proceso, sin comprometer derechos fundamentales. Quienes dominen antes estas infraestructuras podrían obtener una ventaja estratégica frente a quienes mantengan sistemas criptográficos vulnerables. - **Sensórica cuántica:** Los sensores basados en propiedades cuánticas ya existen en distintas modalidades y las nuevas técnicas pueden mejorar determinadas mediciones. Entre los ámbitos de aplicación figuran la biomedicina y la navegación, con requisitos de madurez y rendimiento propios. Esa capacidad también puede amplificar riesgos de vigilancia o habilitar usos militares sensibles; su valoración requiere atender al caso, finalidad, datos y controles. El acceso desigual podría acentuar diferencias entre países y sectores. - **Materiales cuánticos:** El desarrollo de superconductores, nuevos compuestos y dispositivos diseñados mediante simulaciones cuánticas puede generar ventajas industriales significativas. El reto ético se centra en la concentración de poder, la dependencia y el acceso. ¿Cómo se gestionará, por ejemplo, la disponibilidad de una nueva generación de medicamentos hiperpersonalizados desarrollados gracias a estas capacidades? El Libro Blanco dedica mayor detalle operativo a la computación y la ciberseguridad, por la inmediatez del riesgo criptográfico, y ofrece un tratamiento estratégico más breve de la sensórica y los materiales. ## 1.1. Propósito, enfoque y marco regulatorio de referencia Este Libro Blanco propone una guía para el ecosistema cuántico español —empresas, startups, responsables tecnológicos y de cumplimiento, inversores y reguladores— que integra ética aplicada y Derecho positivo. No se presume un vacío legal: antes del diseño, comercialización y uso de cada solución deben determinarse los instrumentos horizontales y sectoriales aplicables por producto, función, rol, datos, finalidad, sector y territorio. La inexistencia de un régimen cuántico vertical identificado en el material revisado no elimina esos deberes ni permite prejuzgar el contenido de futuras iniciativas. El marco puede ser denso y solapado, y exige análisis del caso. Entre las referencias figuran RGPD, Data Act, RIA modificado por el Reglamento (UE) 2026/1744, Chips Act, NIS2, DORA, CRA, Reglamento 910/2014 reformado por eIDAS2, régimen de doble uso y Directiva (UE) 2024/2853 sobre productos defectuosos. La lista no significa que todas estas normas sean aplicables a toda tecnología cuántica ni con idéntico calendario; las directivas requieren examinar su transposición nacional y los reglamentos sus condiciones y fases. En un plano distinto, las políticas y estrategias nacionales y europeas orientan la innovación y la inversión del ecosistema español. Quantum Technologies Flagship, EuroHPC y EuroQCI sirven como referencias de investigación e infraestructura, con instrumentos de ejecución propios. Los objetivos estratégicos no crean por sí solos obligaciones universales para todas las empresas. Esta distinción no excluye deberes que resulten de reglamentos constitutivos, convocatorias, subvenciones, contratación o condiciones de acceso aplicables a una actuación concreta. En vista del panorama descrito, la ética cuántica que proponemos no pretende reemplazar al Derecho, sino complementarlo dentro de un marco jurídico complejo y en constante evolución. Su finalidad es ofrecer principios orientadores y criterios de actuación que ayuden a interpretar las normas existentes, clarificar zonas grises y anticipar escenarios aún no previstos por el legislador. En un campo tan incipiente como el cuántico, este Libro Blanco sirve como marco orientativo para fomentar la innovación y la competencia sin menoscabo de los valores y derechos fundamentales de la Unión Europea. ### 1.1.1. Los cinco principios que estructuran el Libro Blanco El Capítulo 2 expone los cinco principios rectores que articulan este Libro Blanco para guiar la toma de decisiones técnico‑jurídicas en el ecosistema cuántico: - **Libertad y autonomía.** Protege los derechos fundamentales, la privacidad y el control individual sobre la información, rechazando usos de vigilancia masiva y *social scoring*. - **Justicia y equidad en el acceso a la tecnología.** Busca mitigar el *quantum divide* y promover el acceso equitativo a las capacidades cuánticas —como las infraestructuras EuroHPC o EuroQCI—, impulsando una verdadera soberanía digital europea. - **Transparencia, explicabilidad e información responsable.** Propone documentación técnica trazable y honestidad sobre los límites de los sistemas. Cuando una solución constituya o integre IA comprendida en el RIA, las obligaciones de información y supervisión humana se determinan por clasificación, rol y calendario. Para sistemas de alto riesgo, la supervisión del art. 14 se examina junto con las obligaciones de proveedor y responsable del despliegue; no se impone por la mera etiqueta cuántica ni a toda IA de forma idéntica. - **Responsabilidad y rendición de cuentas.** Propone asignar funciones, incorporar la seguridad desde el diseño y mantener evidencias de las decisiones. Los deberes jurídicos se concretan según el instrumento y el rol aplicables. En el CRA, para productos y fabricantes incluidos en su ámbito, deben distinguirse la gestión y documentación de vulnerabilidades, incluida la SBOM en formato común y legible por máquina que cubra al menos dependencias de nivel superior, y las notificaciones del art. 14. Estas últimas se aplican desde el 11-09-2026 en los supuestos y condiciones previstos; la aplicación general es el 11-12-2027, con los transitorios del art. 69. El principio editorial no anticipa todos los deberes a toda tecnología cuántica. - **Sostenibilidad y desarrollo responsable.** Proponemos evaluar el ciclo de vida de los sistemas cuánticos —energía, materiales y residuos— e integrar la información correspondiente en los informes corporativos de sostenibilidad cuando la entidad esté incluida en el ámbito aplicable y las cuestiones sean materiales conforme a la Directiva de Información sobre Sostenibilidad Corporativa («**CSRD**») y los Estándares Europeos de Información sobre Sostenibilidad («**ESRS**»). El alcance y el calendario deben comprobarse tras la Directiva (UE) 2026/470. Los ESRS del Reglamento Delegado (UE) 2026/1563 ya se publicaron el 21 de septiembre de 2026; entran en vigor el 10 de noviembre y se aplican ordinariamente a los ejercicios iniciados desde el 1 de enero de 2027, con opciones transitorias para 2026. La privacidad y la seguridad operan, además, como exigencias transversales: el riesgo *harvest now, decrypt later* («**HNDL**») puede justificar una migración ordenada hacia la criptografía poscuántica («**PQC**»), mientras que la distribución cuántica de claves («**QKD**») es una tecnología complementaria que debe combinarse con un mecanismo de autenticación resistente al adversario previsto. Estos principios no son abstractos: se operativizan como controles verificables y criterios de decisión que utilizaremos de forma repetida en las matrices de riesgo, las hojas de ruta de migración y las cláusulas contractuales descritas en los capítulos 4 a 7. ## 1.2. Ética de IA vs. ética de infraestructura cuántica (y su intersección) Estamos en tiempo de fuerte *hype* sobre la inteligencia artificial, impulsado por su potencial poder transformador sobre nuestra sociedad. Este contexto marca también el marco de reflexión sobre la siguiente frontera tecnológica: las tecnologías cuánticas. Distinguir ambos planos, el de la inteligencia artificial y el de la infraestructura cuántica, es esencial para evitar errores de diagnóstico y de interpretación de la regulación. Partimos, por tanto, de dos visiones complementarias: - La **ética de la IA** trata de sistemas que deciden, influyen en decisiones humanas o ejecutan acciones con distintos grados de autonomía. Sus ejes son los sesgos, la explicabilidad, el control humano efectivo y las prohibiciones y categorías de riesgo establecidas en el RIA. - La **ética cuántica** se centra en infraestructuras que habilitan capacidades (computación, comunicaciones, sensórica, materiales) que pueden sustentar, entre otras cosas, aplicaciones de IA. En la convergencia entre ambos planos —p. ej., en el *quantum machine learning*—, pueden concurrir ambos conjuntos de riesgos: los algorítmicos —transparencia, uso de datos y supervisión humana— y los infraestructurales —seguridad criptográfica, control de exportaciones y ciberresiliencia—. Por ello, cuando una aplicación basada en tecnología cuántica constituya un sistema de IA y quede clasificada como de alto riesgo, deberá cumplir las obligaciones del RIA que correspondan a su categoría y al rol de cada operador. A su vez, la infraestructura subyacente deberá cumplir las obligaciones de RGPD, NIS2, DORA o CRA que resulten aplicables por su ámbito material y subjetivo. La exigibilidad depende también del calendario: el Reglamento (UE) 2026/1744 difiere los regímenes de alto riesgo del anexo III al 2 de diciembre de 2027 y del anexo I al 2 de agosto de 2028, con las excepciones y disposiciones transitorias aplicables. El CRA distingue la notificación aplicable desde el 11 de septiembre de 2026 de sus requisitos generales desde el 11 de diciembre de 2027; NIS2 exige examinar la transposición nacional pertinente. Este enfoque por capas —quién decide, con qué datos, bajo qué garantías y sobre qué infraestructura— estructura los análisis sectoriales y las recomendaciones de cumplimiento de este Libro Blanco (véanse los capítulos 4 y 5). ## 1.3. El sentido de esta propuesta Estamos, como decíamos, en una fase de adolescencia tecnológica, caracterizada por la búsqueda de coherencia, la corrección de errores y la necesidad de escalabilidad. No hay consenso sobre los plazos en los que, por ejemplo, estará disponible un equipo capaz de quebrar a escala la criptografía de clave pública vulnerable y, por prudencia, evitamos proyecciones enfáticas o especulativas. Lo que sí existe hoy es el riesgo HNDL: los atacantes pueden interceptar y almacenar comunicaciones cifradas para intentar descifrarlas en el futuro, cuando dispongan de capacidad suficiente. Esa posibilidad debe incorporarse al análisis de riesgos exigido, según el caso, por el RGPD, NIS2, DORA y el CRA, de acuerdo con sus ámbitos y calendarios. Atendiendo a la criticidad, la vida útil de la información, el estado de la técnica y el coste, dicho análisis puede conducir a inventariar activos criptográficos, planificar o ejecutar la migración hacia la PQC conforme a estándares técnicos aplicables y adoptar la cripto‑agilidad como principio de diseño (véanse los capítulos 3.2 y 4.2–4.5). Con la privacidad y la ciberseguridad como ejes, esta introducción sitúa el debate ético sin hipérboles: priorizamos controles verificables y criterios técnicos compatibles con el *hard law* vigente. Al mismo tiempo, anticipamos la necesidad de un marco especializado, proporcionado y pragmático. Una regulación extensiva sin calibrar —p. ej., imponer requisitos de documentación o reproducibilidad desproporcionados respecto del riesgo y del rol del módulo cuántico— podría entorpecer la innovación sin mejorar las garantías reales (véase el capítulo 6). Esta tensión entre proporcionalidad regulatoria y eficacia protectora atraviesa todo el Libro Blanco y se resuelve en clave empresarial y aplicada: mediante modelos de cumplimiento, ejemplos de controles y recomendaciones operativas diseñadas para entornos reales. ## 1.4. Cómo se conectan principios, Derecho y negocio (nuestra hoja de ruta) Este Libro Blanco sigue una lógica deliberada: avanzar del principio al Derecho y del Derecho a la aplicación práctica. La estructura que proponemos refleja esa secuencia: - **Cap. 2 (Principios):** detalla los cinco principios que consideramos clave, con su anclaje jurídico —Carta de Derechos Fundamentales; RGPD; RIA; CRA; NIS2; DORA; eIDAS2— y su traducción en criterios de diseño y controles. - **Cap. 3 (Impactos éticos y técnicos):** prioriza la seguridad de la información —amenaza a la criptografía de clave pública; PQC y QKD en defensa en profundidad— y distingue riesgos por dominio —computación, comunicaciones, sensórica y materiales—. - **Cap. 4 (Marco jurídico — *hard law* primero):** analiza la aplicabilidad del RGPD, el RIA, NIS2, DORA, el CRA, eIDAS2 y el régimen de control de productos de doble uso, con referencias a estándares —FIPS 203–205; ETSI/ISO/IEC para QKD y PQC— y responsabilidades por rol —fabricante, proveedor y usuario—. - **Cap. 5 (Gobernanza, ética aplicada y cumplimiento):** explica cómo convertir principios y Derecho en operativa real y de gestión —sistema de gestión de calidad del RIA; SBOM y gestión de vulnerabilidades del CRA; planes de continuidad DORA; registro de incidencias vinculado a RGPD y NIS2—. Su aplicación depende del rol y del calendario: la SBOM para identificar y documentar vulnerabilidades está prevista en el anexo I, parte II.1, del CRA, dentro de los requisitos generales exigibles desde el 11 de diciembre de 2027, sin perjuicio de la notificación del art. 14 aplicable desde el 11 de septiembre de 2026. - **Cap. 6 (Riesgos normativos):** riesgos de incumplimiento y de fragmentación o sobrerregulación; efectos financieros y reputacionales; PQC como medida razonable de diligencia; mitigaciones con plazos e indicadores. ## 1.5. Principios como criterios operativos La hoja de ruta anterior ordena el recorrido del Libro Blanco; este apartado concreta su primer eslabón y muestra cómo los principios se convierten en criterios que reaparecen en los capítulos jurídicos y operativos. Para asegurar coherencia transversal, cada principio guía decisiones operativas y métricas: - **Libertad y autonomía** → políticas de diseño que eviten usos intrusivos, límites a la inferencia de perfiles; EIDF/EIPD cuando proceda. La EIDF/FRIA del art. 27 RIA afecta a determinados responsables del despliegue y sistemas del art. 6.2, con excepciones; la EIPD del art. 35 RGPD responde a tratamientos que probablemente entrañen alto riesgo. Son evaluaciones distintas y coordinables, con referencias cruzadas actualizadas por el Reglamento (UE) 2026/1744. - **Justicia y equidad en el acceso a la tecnología** → acceso a capacidades (programas públicos, cooperación), cláusulas de no discriminación en licencias y SLAs. - **Transparencia, explicabilidad e información responsable** → documentación técnica y supervisión humana cuando sean exigibles por el RIA y, adicionalmente, como medidas proporcionales propuestas para la IA cuántica; honestidad epistémica —condiciones, tasas de error y ruido—. - **Responsabilidad y rendición de cuentas** → asignación clara de roles; privacidad y seguridad por diseño; inventario criptográfico y migración proporcional al riesgo; gestión de vulnerabilidades y notificación; pruebas de resiliencia y gestión del riesgo de terceros cuando procedan. QKD, si se utiliza, debe contar con autenticación resistente al adversario previsto. - **Sostenibilidad y desarrollo responsable** → evaluación del impacto energético y material y, cuando proceda, información conforme a CSRD/ESRS. La exigibilidad y materialidad requieren el alcance CSRD reformado por la Directiva (UE) 2026/470. Los nuevos ESRS (Reglamento Delegado (UE) 2026/1563) están publicados; su vigor y aplicación siguen el calendario y las opciones transitorias de sus arts. 2–3. Estos ejes sustentan las matrices riesgo‑norma‑control, los marcos de migración a PQC y los ejemplos de cláusulas contractuales que se desarrollan en los capítulos siguientes. ## 1.6. Alcance: rigor, proporcionalidad y anti‑hype Este Libro Blanco parte de un principio de rigurosidad y proporcionalidad: distinguir la ciencia consolidada de las hipótesis o proyecciones especulativas. Explicitamos las incertidumbres que aún afectan a las tecnologías cuánticas (madurez, escalabilidad, reproducibilidad) y, como se ha anticipado, preferimos hablar de «ventaja cuántica» frente a términos más equívocos que, pese a su difusión mediática, pueden alejarse de una visión científica y jurídicamente rigurosa, como «supremacía cuántica». Las referencias a escenarios controvertidos (p. ej., el «radar cuántico» o los cronogramas de ruptura criptográfica) se tratan como posibilidades bajo una alta incertidumbre, siempre priorizando la evidencia técnica disponible y su relevancia regulatoria. El objetivo de este enfoque es ayudar a implementar con criterio los marcos y controles necesarios: qué medidas adoptar, en qué momento, con qué impacto y coste aproximado, y quién debe asumir el liderazgo y la responsabilidad en la adopción de unas tecnologías potencialmente disruptivas, en un momento en el que la inteligencia artificial ya se ha convertido en una fuerza transformadora de nuestra sociedad. # 2. Principios Fundamentales para una Ética Cuántica Los derechos fundamentales reconocidos por la UE y concretados en la legislación horizontal aplicable constituyen el primer nivel de referencia de una ética cuántica. A partir de ellos, proponemos cinco principios para orientar decisiones de diseño, despliegue y gobernanza. ## 2.1. Libertad y autonomía El desarrollo de tecnologías cuánticas debe salvaguardar la autonomía individual y el control de las personas sobre sus datos y su privacidad. La autonomía personal no debe diluirse en arquitecturas que, por su capacidad de cómputo, medida o inferencia, desplacen el control humano. En cuántica, este principio opera en dos planos: (i) infraestructural —quién accede a capacidad de cómputo o medida, con qué límites y propósitos— y (ii) algorítmico, cuando hay convergencia con IA cuántica, donde importan la supervisión humana y la trazabilidad de los criterios de decisión. El potencial de ciertas aplicaciones para combinar o analizar datos exige una aplicación estricta de los principios de protección de datos y de las garantías vinculadas al control de la propia información. **Anclaje jurídico y técnico del principio. Algunas bases normativas:** - **Derechos fundamentales:** La Carta de los Derechos Fundamentales de la UE garantiza el derecho a la protección de datos personales (art. 8) y el respeto a la vida privada (art. 7). - **Limitación de la finalidad y minimización de datos (art. 5 RGPD):** Las capacidades de análisis de una aplicación cuántica no justifican un tratamiento para fines incompatibles con los inicialmente determinados ni un tratamiento excesivo. - **Prevención del control desproporcionado:** La ética cuántica debe prevenir el uso de estas tecnologías para la vigilancia masiva o el control social. Cuando una aplicación constituya un sistema de IA, resultarán aplicables las prohibiciones del art. 5 del RIA en los supuestos y con el alcance definidos por esa norma, incluido el *social scoring* prohibido. - **Seguridad del tratamiento (art. 32 RGPD):** El RGPD exige aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta, entre otros factores, el estado de la técnica. Ante la amenaza cuántica y el riesgo HNDL, el análisis puede justificar una adopción progresiva de criptografía resistente. - **Gestión de riesgos de ciberseguridad (NIS2/DORA):** Las entidades incluidas en sus respectivos ámbitos deben gestionar los riesgos de ciberseguridad y aplicar medidas proporcionadas. La criticidad y la vida útil de la información pueden justificar planes de migración a PQC, sin que estas normas impongan por sí solas un mandato nominal y universal de adoptar una tecnología concreta. - **Migración a PQC estandarizada:** Los estándares finalizados por el NIST son FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA). Su adopción debe planificarse por riesgos, dependencias y casos de uso. - **Cripto‑agilidad (*crypto-agility*):** Es la capacidad de actualizar o sustituir algoritmos, protocolos y parámetros criptográficos sin rediseñar por completo el sistema. Debe incorporarse de forma proporcional a la criticidad y a la vida prevista de cada activo. **Para la práctica:** en banca, salud o defensa, separar contractualmente «quién decide» —capa de IA o reglas— de «dónde se ejecuta» —infraestructura cuántica— y documentar la base jurídica del tratamiento cuando haya datos personales, manteniendo poder de control humano sobre resultados que afecten a derechos o riesgos operativos. ## 2.2. Justicia y equidad en el acceso a la tecnología El acceso a los beneficios de las aplicaciones de las tecnologías cuánticas en general, y en particular a la computación, debe promoverse de manera equitativa para evitar la creación de una nueva brecha digital (*Quantum Divide*). La concentración actual de la investigación y desarrollo amenaza con generar desigualdades estructurales y dependencias tecnológicas críticas. Este principio opera fundamentalmente en el plano infraestructural: quién accede a capacidad de cómputo/medida, con qué límites y propósitos. **Anclaje estratégico y técnico:** - **Infraestructuras Públicas y Soberanía:** Para fomentar la equidad y la autonomía estratégica europea, es crucial promover el acceso a infraestructuras públicas. La iniciativa EuroHPC Joint Undertaking (Empresa Común Europea de Informática de Alto Rendimiento), que integra recursos de computación cuántica accesibles para la comunidad científica e industrial europea, es un mecanismo clave. Desde el 25 de junio de 2026, EuroHPC JU ofrece un programa piloto de acceso gratuito a recursos cuánticos para comunidades elegibles de investigación, sector público e industria europea, mediante solicitudes y evaluación. Esta vía acredita acceso condicionado, sin garantizar disponibilidad inmediata, universal o uso efectivo por cada entidad. - **Cooperación Internacional y Desarrollo de Talento:** La inversión en programas de cooperación y la formación de talento especializado son esenciales para democratizar el acceso y fomentar un ecosistema diverso. **Para la práctica:** diseñar políticas de acceso no discriminatorio, catálogos de servicio y esquemas de identidad/credenciales confiables (eIDAS2), priorizando casos de alto impacto social (p. ej., sensórica en salud o logística crítica) y una cadena de suministro abierta sin comprometer la seguridad. ## 2.3. Transparencia, explicabilidad e información responsable La complejidad inherente a la computación cuántica plantea desafíos significativos para la transparencia y la explicabilidad, pero no exime del cumplimiento de las obligaciones legales de información, documentación y rendición de cuentas. La transparencia debe calibrarse según el destinatario: personas afectadas, usuarios profesionales, auditores, autoridades, compradores o financiadores no necesitan la misma información, aunque proponemos que todos reciban la que resulte pertinente para comprender límites, riesgos y responsabilidades. Esta recomendación complementa los deberes legales de información que correspondan a cada destinatario, ámbito y rol; no los amplía por sí sola. **Anclaje Jurídico y Técnico:** - **Transparencia y supervisión humana (arts. 13 y 14 RIA):** Los sistemas de IA cuántica clasificados como de alto riesgo deben ser suficientemente transparentes para que los responsables del despliegue interpreten sus resultados y permitan una supervisión humana efectiva. Su exigibilidad sigue el calendario reformado: el régimen de alto riesgo del anexo III desde el 2 de diciembre de 2027 y el del anexo I desde el 2 de agosto de 2028, con las excepciones y disposiciones transitorias de los arts. 111 y 113 RIA, según el Reglamento (UE) 2026/1744. - **Decisiones exclusivamente automatizadas (art. 22 RGPD):** Cuando se cumplan sus presupuestos, el art. 22 limita las decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten significativamente de modo similar. Deben observarse las excepciones y salvaguardas aplicables, junto con la información significativa exigida por los arts. 13 a 15. - **Documentación técnica y honestidad epistémica (art. 11 RIA):** Cuando resulte aplicable, la normativa exige documentación sobre el rendimiento y las limitaciones del sistema. Como propuesta técnica de aplicación, la honestidad epistémica implica reconocer y documentar los límites de validez, las incertidumbres del modelo, las tasas de error y el impacto del ruido cuántico. - **Rigor Informativo:** Es necesario adoptar un enfoque realista, evitando expectativas exageradas (*anti-hype*) y garantizando una comunicación rigurosa para evitar alarmismos y desinformación pública. **Para la práctica:** adaptar la documentación al destinatario e incluir las condiciones de validez, el dispositivo y la versión de *software*, la calibración, el número de ejecuciones, las tasas de error, la incertidumbre y la comparación con una referencia clásica. En aplicaciones de IA, añadir las instrucciones de uso y las medidas de supervisión exigibles según el RIA. ## 2.4. Responsabilidad y rendición de cuentas Las entidades que desarrollan, comercializan, integran y utilizan tecnologías cuánticas deben asignar con claridad las responsabilidades de cada actor, prevenir daños previsibles y conservar evidencia de las decisiones adoptadas. La privacidad y la seguridad son exigencias transversales de esa rendición de cuentas. El riesgo HNDL (*harvest now, decrypt later*) convierte en presente un problema que algunos perciben como futuro: la posibilidad de capturar hoy datos cifrados vulnerables para intentar leerlos mañana, si llegan a disponer de un ordenador cuántico criptográficamente relevante (CRQC) con capacidad suficiente contra la protección utilizada. El art. 32 RGPD y las obligaciones de gestión de riesgos de NIS2, DORA o el CRA, cuando resulten aplicables, pueden justificar medidas de inventario, cripto‑agilidad y migración a PQC proporcionadas a la criticidad y a la vida útil de la información. El carril técnico lo marcan FIPS 203 (ML‑KEM), FIPS 204 (ML‑DSA) y FIPS 205 (SLH‑DSA). Su incorporación a PKI, HSM, certificados X.509 o servicios de confianza debe evaluarse conforme al caso de uso y a los perfiles normalizados disponibles, empleando, cuando convenga, esquemas híbridos durante la transición. QKD es un complemento —no un sustituto— para determinados escenarios de alta sensibilidad; no resuelve por sí sola la autenticación inicial y debe combinarse con un mecanismo resistente al adversario previsto, como PQC o, cuando sea viable, autenticación simétrica con claves precompartidas. **Anclaje Jurídico y Técnico:** - **Responsabilidad del fabricante y seguridad por diseño (CRA):** Cuando un producto cuántico quede comprendido en el ámbito del CRA, el fabricante y los demás operadores económicos deberán cumplir las obligaciones que correspondan a su rol y al calendario aplicable. Entre ellas figuran la seguridad por diseño, la gestión de vulnerabilidades durante el periodo de soporte, la identificación y documentación de componentes mediante una SBOM en formato legible por máquina y las notificaciones exigibles. La SBOM consta en el anexo I, parte II.1, del Reglamento (UE) 2024/2847: documentar componentes y vulnerabilidades, en formato común y legible por máquina, cubriendo al menos dependencias de nivel superior. Los requisitos generales se aplican desde el 11 de diciembre de 2027; la notificación del art. 14, desde el 11 de septiembre de 2026, con los regímenes transitorios que correspondan. - **Auditorías y notificación de incidentes (NIS2/DORA):** Las entidades incluidas en el ámbito de estas normas deben aplicar controles, pruebas y notificaciones de incidentes de acuerdo con su categoría, riesgo y régimen sectorial. - **Control de exportaciones (Reglamento de Doble Uso):** Antes de exportar o transferir tecnología cuántica sensible debe comprobarse si el producto, *software* o asistencia técnica queda comprendido en una entrada de control y alcanza los umbrales o parámetros técnicos aplicables, así como el destino, usuario y uso final. El incumplimiento puede dar lugar a las sanciones previstas por el Derecho aplicable. Debe distinguirse la lista de la UE vigente —anexo I del Reglamento (UE) 2021/821 según el Delegado (UE) 2025/2003— de su actualización adoptada el 14 de septiembre de 2026, todavía sujeta a escrutinio y publicación. En España deben examinarse además los controles nacionales actualizados en 2026. La exclusión de equipos adiabáticos o de annealing en 4A506 no excluye otros controles que puedan concurrir. **Para la práctica:** asignar responsables mediante una matriz RACI; inventariar materiales criptográficos; priorizar secretos de larga vida —salud, defensa o finanzas—; y definir hitos de migración —p. ej., certificados híbridos, actualización de terminales o enclaves de alta criticidad—. El capítulo 6 detalla los riesgos y costes de una respuesta insuficiente. ## 2.5. Sostenibilidad y desarrollo responsable La eficiencia de una solución cuántica no puede afirmarse de forma abstracta: debe compararse con la mejor alternativa clásica para una misma unidad funcional y a una precisión equivalente. Esa evaluación ha de abarcar el sistema completo —QPU, criogenia, láseres, electrónica de control, computación clásica de apoyo, red, fabricación y materiales— y medir energía, emisiones y recursos por resultado útil. La sostenibilidad no es cosmética: es una decisión de diseño y, cuando la entidad esté incluida en el ámbito aplicable, una obligación de información bajo CSRD/ESRS, atendiendo también a la materialidad, al alcance reformado por la Directiva (UE) 2026/470 y al calendario de los ESRS nuevos ya publicados por el Delegado (UE) 2026/1563. Para todo el ecosistema, el análisis de ciclo de vida, la reparabilidad y el reciclaje son criterios de aceptabilidad social y coste total de propiedad. En Europa, soberanía tecnológica y sostenibilidad se refuerzan mutuamente si la cadena de valor cuántica se construye con estándares compartidos y transparencia. **Anclaje jurídico y técnico:** - **Eficiencia energética y diseño ecológico:** Se debe priorizar la investigación en algoritmos y *hardware* eficientes, con métricas que incluyan todo el sistema y permitan comparaciones reproducibles por unidad funcional. - **Información corporativa sobre sostenibilidad (CSRD):** Las entidades incluidas en su ámbito deberán informar conforme a la Directiva CSRD y a los ESRS en los términos y calendarios aplicables. El análisis puede comprender el consumo energético y la gestión de recursos materiales. Deben considerarse el alcance modificado por la Directiva (UE) 2026/470 y los ESRS del Delegado (UE) 2026/1563, publicado el 21 de septiembre de 2026, con vigor el 10 de noviembre y aplicación ordinaria a ejercicios iniciados desde el 1 de enero de 2027, más las opciones transitorias de su art. 2 para 2026 y la materialidad de las cuestiones a informar. **Para la práctica:** definir una unidad funcional y un nivel de precisión comparables, medir QPU, criogenia, control, computación clásica de apoyo, red, fabricación y materiales, y contrastar el resultado con la mejor alternativa clásica disponible antes de afirmar una ventaja ambiental. **Mapa principio–norma–riesgo (resumen)** | **Principio** | **Anclaje jurídico principal** | **Decisión clave de diseño** | **Riesgo si se ignora** | |:---|:---|:---|:---| | Libertad y autonomía | Carta de los Derechos Fundamentales, arts. 7–8; RGPD arts. 5–6 | Separar «quién decide» —IA— de «dónde se ejecuta» —infraestructura cuántica—; documentar la base jurídica y preservar el control humano | Pérdida de control humano; tratamientos ilícitos; decisiones opacas | | Justicia y equidad en el acceso a la tecnología | Programas e infraestructuras EuroHPC/EuroQCI, con acceso condicionado; eIDAS2 según ámbito y rol | Acceso no discriminatorio, identidad y confianza federadas | Brecha cuántica, dependencia tecnológica, barreras a pymes | | Transparencia, explicabilidad e información responsable | RIA arts. 11 y 13–14 para alto riesgo, según calendario reformado por (UE) 2026/1744; RGPD arts. 13–15 y 22; eIDAS2 | Documentación técnica, métricas reproducibles e información adaptada al destinatario | Auditorías fallidas; retirada de producto; litigios | | Responsabilidad y rendición de cuentas | RGPD art. 32; NIS2; DORA; CRA por ámbito/rol/calendario; Reglamento (UE) 2021/821 y listas vigentes UE/nacionales | RACI; privacidad y seguridad por diseño; hoja de ruta PQC proporcional al riesgo; QKD con autenticación resistente; gestión de vulnerabilidades y de exportaciones | Exposición HNDL; sanciones; interrupciones; costes de remediación | | Sostenibilidad y desarrollo responsable | CSRD/ESRS por ámbito, materialidad y calendario, considerando (UE) 2026/470 y 2026/1563 | Comparación por unidad funcional, análisis de ciclo de vida, eficiencia y reciclaje | Riesgo reputacional, costes operativos crecientes, barreras de mercado | Los riesgos normativos y las consecuencias del incumplimiento se analizan con detalle en el capítulo 6. # 3. Impactos Éticos y Técnicos de las Tecnologías Cuánticas En esta etapa aún adolescente de las tecnologías cuánticas —prometedora y frágil—, los impactos no se comprenden con hipérboles sensacionalistas, sino con una aproximación rigurosa y criterios verificables. Este capítulo presenta los efectos éticos y técnicos por dominios —privacidad y seguridad de la información; ciberseguridad y respuesta PQC/QKD; IA cuántica; sectores críticos; equidad y soberanía digital; riesgos emergentes—, usando como brújula los cinco principios del capítulo 2 y anclando cada diagnóstico en el marco horizontal y sectorial potencialmente aplicable —RGPD, RIA, NIS2, DORA, CRA, eIDAS2 y régimen de doble uso—. No partimos de un vacío legal: el *hard law* es el suelo común, como se describe en el capítulo siguiente; la ética aplicada eleva el listón allí donde la norma ofrece opciones y ponderaciones. Metodológicamente, distinguimos la infraestructura —computación, comunicaciones, sensórica y materiales— de la decisión algorítmica —IA— y, cuando convergen, separamos las capas de riesgo y garantías. Evitamos cronologías especulativas: en seguridad, el riesgo HNDL es presente y puede justificar, conforme al análisis de riesgos, una migración a PQC con cripto‑agilidad; QKD aporta defensa en profundidad en determinados nichos y requiere un mecanismo de autenticación resistente al adversario previsto; la «ventaja cuántica» es el término operativo, no «supremacía». El objetivo es decidir qué riesgos priorizar, qué evidencias exigir y qué controles desarrollar en el capítulo 5. La secuencia conecta los cinco principios con los impactos: la libertad y autonomía y la responsabilidad y rendición de cuentas guían la respuesta criptográfica de los apartados 3.1 y 3.2; la transparencia, explicabilidad e información responsable orientan el análisis de IA cuántica de 3.3; la justicia y equidad en el acceso a la tecnología informan los apartados sectoriales y de soberanía de 3.4 y 3.5; y la sostenibilidad y desarrollo responsable se integran en la evaluación de los riesgos emergentes de 3.6. La privacidad y la seguridad actúan en todos ellos como dimensiones transversales. ## 3.1. Impacto en la privacidad y la seguridad de los datos (La Amenaza) Un ordenador cuántico tolerante a fallos y de escala suficiente alteraría de forma sistémica la seguridad de la información. El algoritmo de Shor permitiría resolver eficientemente la factorización de enteros y el logaritmo discreto, en los que se basan RSA, Diffie-Hellman y buena parte de la criptografía de curva elíptica. Esta amenaza se refiere a sistemas de clave pública vulnerables, no a toda la criptografía ni a toda forma de comunicación digital. **Definición de la Amenaza:** - **Ordenador cuántico criptográficamente relevante (CRQC):** La amenaza se materializará cuando exista un ordenador cuántico con suficiente escala y corrección de errores para ejecutar el algoritmo de Shor contra parámetros de uso real. En ese supuesto, los sistemas de clave pública vulnerables dejarán de ofrecer la seguridad prevista. - **HNDL (*harvest now, decrypt later*):** La amenaza es presente por la posibilidad de «cosechar ahora y descifrar después». Los atacantes pueden interceptar y almacenar datos cifrados hoy para intentar descifrarlos en el futuro con un CRQC. Esto supone un riesgo inmediato y material para la información con una vida de confidencialidad larga, como archivos gubernamentales clasificados, secretos industriales y datos de salud, biométricos o financieros. El escenario exige una respuesta coordinada para actualizar la infraestructura que dependa de algoritmos vulnerables. A efectos de cumplimiento, el patrón HNDL convierte la confidencialidad a largo plazo en un riesgo presente. Bajo el RGPD —arts. 25 y 32—, NIS2 o DORA, cuando resulten aplicables, las organizaciones deben evaluar ese riesgo y pueden tener que iniciar una transición planificada hacia esquemas resistentes, priorizando la información con mayor vida de confidencialidad. Shor no es la única referencia relevante. En un modelo idealizado, el algoritmo de Grover reduce aproximadamente a la raíz cuadrada la complejidad de consultas en una búsqueda exhaustiva de claves o preimágenes. Esa aceleración ideal no equivale a romper en la práctica AES ni a reducir a la mitad toda la seguridad de una función *hash*: preimagen y colisión son problemas distintos, y deben evaluarse los recursos, la profundidad y la paralelización. La selección de tamaños y primitivas debe seguir la guía técnica aplicable al caso. Las firmas y los archivos que deban conservarse durante largos periodos requieren, además, políticas de preservación, renovación y prueba de validez. ## 3.2. Riesgos para la ciberseguridad y la respuesta a la amenaza cuántica (PQC y QKD) La respuesta a la amenaza cuántica se articula en torno a dos enfoques tecnológicos distintos y complementarios: la criptografía poscuántica (PQC) y la distribución cuántica de claves (QKD). Es crucial comprender sus funciones, limitaciones e interdependencias. **Criptografía poscuántica (PQC): la respuesta principal y generalizable** - PQC se refiere a algoritmos criptográficos clásicos (ejecutables en hardware actual) diseñados para ser resistentes a ataques clásicos y cuánticos conocidos. - **Estandarización (NIST):** El NIST publicó FIPS 203 (ML-KEM, derivado de CRYSTALS-Kyber, para encapsulación de claves), FIPS 204 (ML-DSA, para firmas digitales) y FIPS 205 (SLH-DSA, para firmas digitales). FN-DSA, derivado de FALCON, se desarrolla separadamente como FIPS 206 y aún no es un estándar definitivo. En 2025, el NIST seleccionó HQC como algoritmo adicional de encapsulación de claves; su estándar tampoco está finalizado. - **Prioridad estratégica:** La migración a PQC es la respuesta generalizable para los sistemas que dependen de criptografía de clave pública vulnerable. Las hojas de ruta deben priorizar el inventario criptográfico, la cripto‑agilidad y, cuando proceda, los esquemas híbridos. La hoja de ruta europea de aplicación coordinada, publicada en junio de 2025, recomienda una transición escalonada según el nivel de riesgo: primeros pasos y pilotos nacionales alto/medio para finales de 2026, transición de alto riesgo completada para finales de 2030, de riesgo medio para finales de 2035 y de bajo riesgo en la medida factible para esa fecha. El documento Part 1, versión 1.1, está fechado internamente el 11 de junio de 2025 y se publicó en la web el 23 de junio; son hitos compatibles. Se dirige inicialmente a los Estados miembros y no crea por sí solo una obligación PQC universal para cada empresa. En la práctica, según el alcance y el plan de migración, puede ser necesario introducir requisitos de cripto‑agilidad en la contratación, identificar equipos heredados incompatibles, programar su sustitución, reforzar la continuidad operativa y formar al personal; el seguro puede complementar, pero no sustituir, estas medidas. La estrategia europea combina una transición prioritaria a PQC con QKD en determinados escenarios de alta sensibilidad. La conformidad debe apoyarse en evidencias técnicas y jurídicas adecuadas al régimen aplicable, como la gestión de vulnerabilidades del CRA o los servicios de confianza de eIDAS2 cuando correspondan. **Distribución cuántica de claves (QKD): un complemento especializado** - QKD es una técnica basada en hardware que utiliza principios de la física cuántica para distribuir claves criptográficas. - **Seguridad teórica frente a seguridad práctica:** QKD ofrece garantías teóricas bajo modelos concretos, pero su seguridad práctica no es «inquebrantable». La implementación puede ser vulnerable a ataques contra dispositivos y canales laterales, así como a denegación de servicio. - **Autenticación resistente:** QKD no resuelve por sí sola la autenticación inicial de los extremos. Debe combinarse con un mecanismo resistente al adversario previsto, como PQC o, cuando sea viable, autenticación simétrica con claves precompartidas. - **Estandarización (ETSI):** ETSI dispone, entre otras especificaciones, de ETSI GS QKD 014 V1.1.1 (febrero de 2019), sobre API de entrega de claves. Esta especificación tiene un alcance definido y presupone autenticación y seguridad del entorno; no prueba interoperabilidad o certificación de un despliegue real. - **Limitaciones de despliegue:** Deben evaluarse la distancia y la tasa de generación de claves, la posible necesidad de nodos de confianza, la seguridad de los dispositivos, la resistencia frente a denegación de servicio, la interoperabilidad y la certificación. **Conclusión:** QKD no sustituye a PQC, sino que puede actuar como capa complementaria de defensa en profundidad para casos de alta seguridad, siempre que la autenticación y la implementación respondan al modelo de amenaza. ## 3.3. Implicaciones en la inteligencia artificial y el análisis de datos (IA cuántica) La convergencia de la computación cuántica con la inteligencia artificial, particularmente en el aprendizaje automático cuántico (*quantum machine learning* o QML), podría aportar ventajas en tareas concretas de análisis u optimización. No se ha demostrado una ventaja práctica general: cada propuesta debe evaluar la carga de datos, el coste de muestreo, el ruido, la escalabilidad y la comparación con el mejor método clásico disponible. **Desafíos éticos y regulatorios de la IA cuántica:** - **Análisis y vigilancia:** Si una aplicación llegara a acelerar determinadas inferencias o combinaciones de datos, podría potenciar usos de vigilancia o manipulación social, con riesgos para los derechos fundamentales y la protección de datos. - **Opacidad y explicabilidad:** La incorporación de componentes cuánticos puede añadir complejidad técnica y dificultar la validación, sin eximir de los niveles de transparencia y documentación exigibles. - **Cumplimiento del RIA:** Cuando una aplicación constituya un sistema de IA y quede clasificada como de alto riesgo, deberá cumplir las obligaciones que correspondan a su categoría y a cada rol, incluidas la documentación técnica —art. 11—, la transparencia —art. 13— y la supervisión humana —art. 14—. La mayor complejidad exige honestidad epistémica sobre las limitaciones del modelo, pero no determina por sí sola la clasificación. Los regímenes de alto riesgo siguen el calendario reformado por el Reglamento (UE) 2026/1744: anexo III desde el 2 de diciembre de 2027 y anexo I desde el 2 de agosto de 2028, sin perjuicio de excepciones y disposiciones transitorias de los arts. 111 y 113 RIA. En definitiva, el uso de infraestructura cuántica no activa por sí solo el RIA. Cuando concurran sus presupuestos, se aplicarán las obligaciones algorítmicas correspondientes; en paralelo, el RGPD, NIS2, DORA o el CRA regirán la infraestructura y las operaciones dentro de sus respectivos ámbitos. El capítulo 5 aborda esta coordinación. ## 3.4. Uso de la computación cuántica en sectores críticos (salud, defensa, finanzas) La aplicación de la computación cuántica en sectores críticos puede generar oportunidades relevantes, pero también requiere identificar las obligaciones regulatorias aplicables a cada caso. Algunos ejemplos: **Salud y Datos Sensibles:** - **Oportunidades:** Simulaciones moleculares avanzadas para el descubrimiento de fármacos y medicina personalizada. - **Riesgos y regulación:** El tratamiento de datos de salud —categorías especiales de datos— exige una base jurídica conforme al art. 6 del RGPD y la concurrencia de una excepción del art. 9. El uso de tecnología cuántica no activa por sí solo una evaluación de impacto relativa a la protección de datos (EIPD); esta será obligatoria cuando sea probable que el tratamiento entrañe un alto riesgo conforme al art. 35. Cuando resulte aplicable, estos sistemas deben alinearse también con el Reglamento (UE) 2025/327 relativo al Espacio Europeo de Datos de Salud (EHDS), en vigor y con aplicación escalonada. La sensibilidad y los largos periodos de conservación de estos datos hacen especialmente relevante el riesgo HNDL. El art. 105 EHDS distingue el marco general desde el 26 de marzo de 2027, categorías y uso secundario principalmente desde 2029, otras categorías desde 2031 y excepciones particulares. Los actos de ejecución (UE) 2026/2098 y 2026/2099 ya están publicados y desarrollan metadatos e identificación/autenticación transfronteriza, respectivamente, con sus propios hitos diferidos; no convierten todo tratamiento sanitario actual en una operación EHDS obligatoria. **Defensa y Seguridad Nacional (Doble Uso):** - **Oportunidades:** Criptoanálisis avanzado, desarrollo de nuevos materiales y sensores. - **Riesgos y regulación:** El potencial de doble uso exige comprobar el Reglamento (UE) 2021/821 y su lista de control, actualizada por el Reglamento Delegado (UE) 2025/2003. La partida 4A506 incluye determinados ordenadores cuánticos y equipos conexos sujetos a parámetros técnicos; no todo *hardware*, *software* o asistencia cuántica requiere licencia. Deben verificarse el código y los umbrales, el destino, el usuario y el uso final antes de exportar o transferir. La actualización de la lista UE adoptada en septiembre de 2026 debe distinguirse de la lista vigente mientras continúe su escrutinio y falte publicación. En España debe examinarse también la Orden ECM/536/2026 y los controles nacionales correspondientes; excluir un equipo de 4A506 no lo exime de otros controles aplicables. **Sector Financiero (Resiliencia y Estabilidad):** - **Oportunidades:** Posibles mejoras, sujetas a validación por caso, de la gestión del riesgo, optimización de carteras de inversión, detección avanzada de fraude. - **Riesgos y regulación:** Según el caso de uso, pueden resultar aplicables MiFID II y el Reglamento sobre abuso de mercado a la negociación algorítmica, MiCA a los proveedores de servicios de criptoactivos, el Reglamento (UE) 2022/858 a infraestructuras de mercado basadas en DLT y DORA a la gestión del riesgo TIC y de terceros. El capítulo 4 desarrolla estas conexiones, incluida la migración criptográfica de las infraestructuras distribuidas. ## 3.5. Posibles desigualdades y soberanía digital El riesgo de una brecha digital cuántica (*Quantum Divide*) es uno de los principales desafíos éticos y estratégicos. El dominio de estas tecnologías está actualmente concentrado debido a las altas barreras de entrada (inversión, infraestructura, talento especializado). - **Dependencia Tecnológica:** Si no se establecen políticas de acceso equitativo e inversión estratégica, las naciones y empresas europeas podrían quedar rezagadas, aumentando la dependencia tecnológica de terceros países y erosionando la soberanía digital de la UE. - **Iniciativas estratégicas:** Iniciativas como EuroHPC —para computación— y EuroQCI —Infraestructura Europea de Comunicación Cuántica— pueden contribuir a mitigar este riesgo y favorecer una participación inclusiva y competitiva. ## 3.6. Consecuencias no previstas y riesgos emergentes La computación cuántica se encuentra en una etapa de desarrollo donde muchos de sus impactos a largo plazo son inciertos. - **Impacto laboral:** Posibles cambios en tareas y perfiles altamente cualificados de áreas como la investigación química, las finanzas o la ciberseguridad, cuya magnitud y dirección son todavía inciertas. - **Modelos predictivos y derechos fundamentales:** Los modelos predictivos que incorporen componentes cuánticos pueden afectar a derechos individuales y colectivos si no se gobiernan adecuadamente. - **Gestión de riesgos emergentes:** La gestión de estos riesgos requiere mecanismos de supervisión ágiles y evaluaciones adaptadas al caso. La EIPD será obligatoria cuando sea probable que el tratamiento de datos personales entrañe un alto riesgo conforme al art. 35 del RGPD. La evaluación de impacto sobre los derechos fundamentales (EIDF) del art. 27 del RIA procederá para los responsables del despliegue y los sistemas de alto riesgo comprendidos en ese precepto, incluidos determinados organismos de Derecho público y entidades privadas que prestan servicios públicos. La EIDF/FRIA corresponde a los sistemas del art. 6.2 RIA y a los sujetos del art. 27, con sus excepciones; se coordina con la EIPD sin confundirse con ella. El Reglamento (UE) 2026/1744 modifica las referencias cruzadas de los apartados 4–5 y difiere el régimen de alto riesgo del anexo III al 2 de diciembre de 2027, sin perjuicio de las excepciones y transitorias pertinentes. El capítulo adopta una lógica preventiva: los impactos inciertos se abordan con evaluaciones de impacto cuando procedan, métricas de sostenibilidad pertinentes y pruebas de resiliencia proporcionadas al riesgo. El capítulo 5 desarrolla el detalle operativo y los indicadores. **Algunos ejemplos de coherencia «Riesgo → Norma → Control» (base para el capítulo 5)** | **Riesgo descrito en el cap. 3** | **Norma de referencia** | **Control/criterio para su gestión/supervisión** | |:---|:---|:---| | HNDL sobre datos de larga vida | RGPD 25/32; NIS2; DORA; CRA | Inventario criptográfico → evaluación y priorización → migración a PQC cuando el riesgo la justifique; cripto-agilidad, perfiles híbridos adecuados cuando disponibles; SBOM y notificación según ámbito/rol y calendarios CRA. | | QKD mal posicionado | ETSI/ISO QKD; eIDAS2 (traza) | QKD como complemento; autenticación resistente al adversario previsto; evaluación de conformidad e interoperabilidad frente a especificaciones pertinentes; evidencia firmada o sellada. | | IA cuántica opaca | RIA arts.11,13,14 y17 por alto riesgo/rol/calendario (UE)2026/1744; RGPD22 por supuesto | Documentación técnica y *model/risk cards*, límites y tasas de error, supervisión humana efectiva; traza jurídica eIDAS2 cuando proceda. | | Fragmentación/lock-in | Data Act; eIDAS2; EuroHPC/EuroQCI | Portabilidad/switching conforme al ámbito del Data Act y excepciones art.31; identidad y confianza federadas como diseño; uso de infraestructuras públicas según condiciones de acceso. | # 4. Marco Jurídico y Regulatorio Aplicable (*hard law*) Nos referimos en este capítulo al marco horizontal y sectorial potencialmente aplicable a la investigación, el desarrollo, la comercialización y el uso del *stack* cuántico en la UE: RGPD, Reglamento de IA, NIS2, DORA, CRA, eIDAS2 y el régimen de doble uso, entre otros. No hay un «vacío legal», pero tampoco una aplicación automática de todas estas normas por el solo uso de tecnología cuántica. Las obligaciones dependen de la función asumida, el producto o servicio, los datos tratados, el sector, el territorio y el uso previsto. La ética aplicada (cap. 2) eleva el listón; aquí se identifica qué puede resultar obligatorio y para quién, con la vista puesta en la operativa (cap. 5) y los riesgos de incumplimiento (cap. 6). ## 4.1. Estado actual de la regulación cuántica: marco horizontal y sectorial potencialmente aplicable No debe inferirse que las tecnologías cuánticas operan en un vacío legal por no haber localizado una legislación vertical específica (*Lex Quantica*) en el contraste efectuado. En la Unión Europea existe un marco tecnológico horizontal y sectorial que puede alcanzar actividades, productos y servicios cuánticos cuando concurren sus respectivos presupuestos de aplicación. Conviene distinguir su naturaleza jurídica. Los reglamentos son obligatorios y directamente aplicables en las condiciones y desde las fechas previstas en cada texto; las directivas obligan en cuanto al resultado y requieren su transposición al Derecho nacional; y las normas técnicas o recomendaciones no son, por sí solas, legislación vinculante, aunque pueden adquirir relevancia contractual, supervisora o para la evaluación de conformidad. La neutralidad tecnológica —expresamente recogida, entre otros lugares, en el considerando 15 del RGPD— y el enfoque basado en el riesgo no sustituyen este análisis de ámbito. Para evitar sobreafirmaciones, el Libro Blanco distingue entre **(O)** obligación normativa expresa, **(I)** interpretación jurídica basada en riesgo, **(S)** estándar técnico, **(R)** recomendación no vinculante y **(P)** propuesta de política o buena práctica. El marco potencialmente aplicable incluye, entre otros: - **Ciberseguridad y resiliencia:** NIS2 (Dir. (UE) 2022/2555), DORA (Reg. (UE) 2022/2554) y CRA (Reg. (UE) 2024/2847). - **Protección de datos:** RGPD (Reg. (UE) 2016/679). - **IA:** Reglamento de IA (Reg. (UE) 2024/1689), cuando la solución cuántica constituya o integre un sistema de IA comprendido en su ámbito, considerando su modificación por el Reglamento (UE) 2026/1744. - **Identidad y confianza:** eIDAS2 (Reg. (UE) 2024/1183). - **Comercio estratégico:** régimen de doble uso (Reg. (UE) 2021/821 y actualización de su Anexo I). - **Responsabilidad por productos:** Dir. (UE) 2024/2853. Su transposición debe realizarse hasta el 9 de diciembre de 2026 y el nuevo régimen se refiere a productos introducidos en el mercado o puestos en servicio después del 8 de diciembre de 2026, conforme a la corrección oficial del art. 2.1; no es una responsabilidad nueva universal ya exigible a todos los productos a esta fecha. - **Servicios financieros y criptoactivos:** DORA, MiCA (Reg. (UE) 2023/1114), régimen piloto DLT (Reg. (UE) 2022/858) y, cuando corresponda, MiFID II y MAR. - **Estándares y orientación técnica:** FIPS 203-205 (PQC), ETSI/ISO/IEC y CEN-CENELEC. La Estrategia para una Europa Cuántica (COM(2025) 363 final) es una Comunicación de política pública **(P)**. Al 3 de octubre de 2026, el calendario oficial de la Comisión actualizado el 28 de septiembre sitúa *Quantum Act* en 2026, «To be announced». Esta observación permite tratarlo aquí como iniciativa en planificación, sin presentar un acto legislativo vigente ni deducir de la búsqueda una ausencia exhaustiva de propuesta formal o de legislación cuántica específica. También debe seguirse la evolución del paquete Ómnibus Digital. La referencia histórica a PE 30/2026 REV 1 sin publicación definitiva queda corregida: el Reglamento (UE) 2026/1744 se publicó en el DOUE el 24 de julio de 2026 y entró en vigor el 27 de julio (art. 4). Modifica, entre otros, el RIA. Su art. 1.40.b difiere el capítulo III, secciones 1 a 3, salvo art. 6.5: para alto riesgo del art. 6.2/anexo III desde el 2 de diciembre de 2027 y del art. 6.1/anexo I desde el 2 de agosto de 2028. Deben examinarse las transitorias del art. 111 y demás excepciones y calendarios; no se confunden con propuestas del paquete que sigan en tramitación. El original histórico permanece preservado y esta fe de erratas se atribuye a Codex. **Riesgos si se ignora:** según la norma y el supuesto concreto, pueden producirse multas, retirada o prohibición de productos, pérdida de certificaciones, responsabilidad civil y bloqueos de exportación, entre otras consecuencias; véase el cap. 6 para el detalle sancionador. A continuación se analiza la posible aplicación de cada pilar al ecosistema cuántico. ## 4.2. Ciberseguridad y Resiliencia (NIS2, DORA, CRA) La legislación europea en materia de ciberseguridad y resiliencia es relevante para las tecnologías cuánticas tanto por el riesgo que pueden plantear para la criptografía actual como por los requisitos aplicables a determinadas entidades, productos y servicios. ## 4.2.1. Directiva NIS2 (Seguridad de las Redes y Sistemas de Información) La Directiva (UE) 2022/2555 (NIS2) establece el marco de ciberseguridad para entidades de sectores críticos y otros sectores incluidos en sus anexos. Su aplicación efectiva debe examinarse junto con la legislación nacional de transposición. **Aplicabilidad a las Tecnologías Cuánticas:** - **Ámbito de aplicación:** NIS2 distingue entre entidades «esenciales» e «importantes». Los proveedores de servicios de computación en nube figuran entre los tipos de entidades cubiertos, pero alojar o prestar acceso a una plataforma cuántica no determina por sí solo la clasificación: deben verificarse la actividad, el tamaño, el establecimiento, las excepciones y la transposición nacional aplicable. - **Gestión de riesgos (art. 21):** NIS2 exige medidas técnicas, operativas y organizativas adecuadas y proporcionadas. Entre las medidas mínimas figuran políticas y procedimientos sobre criptografía y, en su caso, cifrado. A la vista del riesgo *harvest now, decrypt later* (HNDL), la migración a PQC puede formar parte de las medidas exigibles **(I)** según el riesgo, el estado de la técnica y el calendario europeo aplicable; NIS2 no impone literalmente PQC a toda entidad. - **Seguridad de la cadena de suministro:** Las entidades comprendidas deben gestionar los riesgos de sus proveedores y prestadores directos. Al contratar computación cuántica o adquirir componentes cuánticos, procede evaluar las prácticas de seguridad del proveedor en función de la relación y del riesgo, sin convertir al proveedor en sujeto de NIS2 por ese único hecho. ## 4.2.2. Reglamento DORA (Resiliencia Operativa Digital del Sector Financiero) El Reglamento (UE) 2022/2554 (DORA) impone requisitos de resiliencia operativa digital a las entidades financieras comprendidas en su ámbito. DORA es aplicable desde el 17 de enero de 2025 (art. 64), conforme a sus sujetos y exclusiones del art. 2. **Aplicabilidad a las Tecnologías Cuánticas:** - **Gestión de riesgos TIC (arts. 6 y 9):** Las entidades financieras sujetas a DORA deben identificar y gestionar sus riesgos TIC. El riesgo de obsolescencia criptográfica y una eventual migración a PQC pueden integrarse en ese marco **(I)** cuando sean materiales para los activos, funciones y horizontes de confidencialidad de la entidad; DORA no prescribe de forma general un algoritmo poscuántico concreto. - **Gestión de riesgos de terceros (Capítulo V):** El uso de una plataforma cuántica como servicio TIC debe incluirse, cuando proceda, en la gestión contractual y de concentración. Un proveedor no se convierte automáticamente en «proveedor tercero crítico»: la criticidad requiere la designación prevista en DORA conforme a sus criterios. - **Pruebas de resiliencia (arts. 24-27):** Los escenarios de compromiso criptográfico pueden resultar pertinentes según el perfil de riesgo. Las pruebas avanzadas de penetración basadas en amenazas del art. 26 solo se exigen a las entidades identificadas para ese régimen, no a todas las entidades financieras ni a todo proveedor cuántico. ## 4.2.3. Reglamento de Ciberresiliencia (CRA) El Reglamento (UE) 2024/2847 (CRA, *Cyber Resilience Act*) establece requisitos horizontales de ciberseguridad para los productos con elementos digitales comercializados en la UE cuya finalidad prevista o uso razonablemente previsible incluya una conexión de datos directa o indirecta, lógica o física, a un dispositivo o red. **Aplicabilidad a las Tecnologías Cuánticas:** - **Ámbito de aplicación:** Un hardware, una librería, un SDK u otro software cuántico quedará sujeto al CRA si encaja en la definición de «producto con elementos digitales», se introduce en el mercado y no concurre una exclusión. La etiqueta «cuántico» no basta: un sensor autónomo sin la conexión exigida, un servicio puro o una actividad de investigación no comercial requieren un análisis específico. - **Requisitos esenciales (Anexo I):** Los productos incluidos deben cumplir requisitos de ciberseguridad por diseño y por defecto, proporcionados al riesgo, y gestionar sus vulnerabilidades durante el periodo de soporte. El uso de PQC o de mecanismos de cripto-agilidad puede ser una respuesta adecuada **(I)** cuando el análisis de riesgos y el estado de la técnica lo justifiquen; el CRA no impone PQC de forma universal. Los requisitos generales se aplican desde el 11 de diciembre de 2027, con las transitorias del art. 69; deben distinguirse de la notificación del art. 14 ya aplicable desde el 11 de septiembre de 2026. - **Gestión de vulnerabilidades y SBOM (art. 13 y anexo I):** El fabricante debe identificar y documentar los componentes del producto, incluso mediante una lista de materiales de software (SBOM) en un formato de lectura mecánica de uso común. No existe una obligación general de publicar la SBOM ni de entregarla indiscriminadamente a todos los clientes, sin perjuicio del acceso que corresponda a las autoridades y de otros compromisos aplicables. La base precisa de la SBOM es el anexo I, parte II.1, que comprende al menos las dependencias de nivel superior; estos requisitos generales se aplican desde el 11 de diciembre de 2027, conforme a los regímenes transitorios pertinentes. - **Notificación (art. 14):** Los fabricantes deben notificar vulnerabilidades explotadas activamente e incidentes graves que afecten a la seguridad del producto mediante los avisos y plazos escalonados establecidos en el artículo. El CRA será aplicable con carácter general desde el 11 de diciembre de 2027; el art. 14 se aplica desde el 11 de septiembre de 2026 y el capítulo IV desde el 11 de junio de 2026. ## 4.3. Privacidad y Protección de Datos (RGPD) El Reglamento (UE) 2016/679 (RGPD) es aplicable cuando una actividad cuántica implica tratamiento de datos personales y se cumplen sus criterios territorial y material. La computación cuántica puede ser relevante tanto para la seguridad de datos conservados a largo plazo como para determinados tratamientos avanzados. **Aplicabilidad a las Tecnologías Cuánticas:** **Como riesgo para la seguridad de los datos:** - **Seguridad del tratamiento y PQC (arts. 5.1.f y 32):** El principio de integridad y confidencialidad y el art. 32 exigen un nivel de seguridad adecuado al riesgo, atendiendo, entre otros factores, al estado de la técnica, los costes, el contexto y las finalidades. El riesgo HNDL puede justificar una transición progresiva a PQC **(I)** para categorías de datos y horizontes de confidencialidad determinados; no convierte PQC en una obligación automática para todo tratamiento. - **Protección de datos desde el diseño y por defecto (art. 25):** Deben adoptarse medidas técnicas y organizativas apropiadas desde el diseño. Según el caso, pueden incluir inventario criptográfico, cripto-agilidad o PQC, si resultan proporcionadas al riesgo y eficaces para aplicar los principios del RGPD. **Como medio o herramienta de tratamiento:** - **Principios del tratamiento y reidentificación (art. 5):** Una reidentificación efectiva podría afectar, según el tratamiento, a los principios de limitación de la finalidad, minimización de datos, exactitud e integridad y confidencialidad. La posibilidad de que técnicas cuánticas alteren la eficacia de una anonimización es una hipótesis que debe evaluarse con evidencia y atendiendo a los medios razonablemente utilizables; no cabe presumir que todo dato anonimizado se convierta por ello en dato personal. - **Evaluación de impacto (EIPD) (art. 35):** La EIPD es obligatoria cuando sea probable que el tratamiento entrañe un alto riesgo para los derechos y libertades, incluidos los supuestos del art. 35.3 y los listados del art. 35.4. El uso de tecnología cuántica, incluso en salud o finanzas, no activa por sí solo la EIPD: deben examinarse finalidad, escala, categorías de datos, decisiones y demás criterios de riesgo. ## 4.4. Inteligencia Artificial y Sistemas de Alto Riesgo (Reglamento de IA) El Reglamento (UE) 2024/1689 (Reglamento de IA) adopta un enfoque basado en el riesgo. Solo será aplicable a una solución cuántica si esta constituye o integra un «sistema de IA» conforme a su definición y se cumplen los demás presupuestos de ámbito; la infraestructura o el cálculo cuántico no son IA por naturaleza. **Aplicabilidad a las Tecnologías Cuánticas (IA cuántica):** - **Clasificación de alto riesgo:** Una solución de IA cuántica será de alto riesgo cuando encaje en los criterios del art. 6 y, según corresponda, en el anexo I o en un caso de uso del anexo III, teniendo también en cuenta las excepciones aplicables. La calificación crediticia, ciertos usos médicos o la gestión de infraestructuras críticas pueden requerir este análisis, pero el ámbito «crítico» o la tecnología cuántica no determinan automáticamente la clasificación. - **Obligaciones para sistemas de alto riesgo (arts. 9-15):** Los proveedores de sistemas clasificados como de alto riesgo deben cumplir los requisitos correspondientes según el ámbito, el rol y el calendario del RIA reformado por el Reglamento (UE) 2026/1744 (anexo III: 2 de diciembre de 2027; anexo I: 2 de agosto de 2028, con excepciones y transitorias). La complejidad técnica («opacidad») de un modelo cuántico no exime de: - Sistema de gestión de riesgos continuo (art. 9). - Gobernanza de los datos de entrenamiento, validación y prueba (art. 10). - Documentación técnica detallada (art. 11). - Capacidad de registro automático de eventos (art. 12), con conservación de registros según los roles y deberes de los arts. 19 y 26.6 cuando correspondan. - Transparencia e información a los responsables del despliegue (art. 13). - Supervisión humana efectiva (art. 14). - Precisión, solidez y ciberseguridad (art. 15). - **Honestidad epistémica y documentación:** Cuando sean exigibles la documentación técnica y el Anexo IV, deben reflejarse los límites de validez, las incertidumbres del modelo, el impacto del ruido cuántico y las tasas de error con el grado de detalle requerido. - **Sistema de gestión de la calidad (QMS) (art. 17):** Los proveedores de sistemas de IA de alto riesgo deben implementar un QMS documentado que asegure el cumplimiento normativo durante todo el ciclo de vida. Esta exigencia corresponde al proveedor de alto riesgo conforme al art. 17 y al calendario reformado por (UE) 2026/1744; no equivale a certificar un modelo de referencia QT-QMS ni a una certificación implementada para todo el ecosistema cuántico. ## 4.5. Identidad Digital y Servicios de Confianza (eIDAS2) El Reglamento (UE) 2024/1183 (eIDAS2) modifica y amplía el marco europeo de identidad digital y servicios de confianza. La amenaza cuántica puede afectar a la verificabilidad futura y a la preservación probatoria de firmas, sellos y evidencias electrónicas. **Aplicabilidad a las Tecnologías Cuánticas:** - **Validez, verificabilidad y conservación:** La obsolescencia futura de un algoritmo no permite concluir por sí sola la invalidez retroactiva de una firma o un sello válido en el momento de su creación; deben examinarse la validación, los datos pertinentes y la prueba conservada. Sí puede comprometer su verificabilidad futura y la preservación de su valor probatorio si no se aplican mecanismos adecuados de conservación, resellado y migración criptográfica. - **Obligaciones de los QTSP:** Los prestadores cualificados de servicios de confianza deben gestionar el riesgo criptográfico y mantener los requisitos de seguridad y cualificación que les resulten aplicables. La transición concreta a PQC dependerá de los estándares, actos de ejecución, esquemas y calendarios aplicables; eIDAS2 no impone por sí solo un algoritmo PQC único e inmediato. - **Cartera de Identidad Digital Europea (EUDI Wallet):** La cripto-agilidad y la preparación para algoritmos resistentes a ataques cuánticos son medidas prudentes **(I/P)** para preservar la confianza a largo plazo, sujetas a la arquitectura y especificaciones regulatorias aplicables. ## 4.6. Control de Exportaciones y Doble Uso (Reglamento (UE) 2021/821) El Reglamento (UE) 2021/821 establece el régimen de la UE para el control de exportaciones, corretaje, asistencia técnica, tránsito y transferencia de productos de doble uso. Su Anexo I fue sustituido por el Reglamento Delegado (UE) 2025/2003. La actualización adoptada por la Comisión el 14 de septiembre de 2026 está sujeta a escrutinio y posterior publicación/vigencia; no reemplaza por la sola adopción la lista aplicable. En operaciones españolas deben comprobarse asimismo los controles nacionales vigentes, incluida la actualización de la Orden ECM/536/2026. **Aplicabilidad a las Tecnologías Cuánticas:** - **Productos listados (Anexo I):** La entrada 4A506 comprende determinados ordenadores cuánticos y conjuntos electrónicos y componentes relacionados que alcancen sus parámetros técnicos. No toda tecnología cuántica está controlada: la clasificación exige comprobar la entrada, sus umbrales y notas técnicas, y puede alcanzar asimismo software o tecnología vinculados mediante sus entradas correspondientes. - **Licencia y controles no listados:** La necesidad de autorización depende de la clasificación, la operación, el destino, el usuario y el uso final. Además de los productos listados, deben examinarse los controles *catch-all* y las medidas nacionales aplicables; no cabe inferir una licencia automática por la mera naturaleza cuántica del producto. - **Tecnología y asistencia técnica:** El control puede extenderse a transferencias intangibles de tecnología, conocimiento técnico y asistencia técnica relacionadas con productos controlados, conforme a las definiciones y condiciones del Reglamento. ## 4.7. Normas y estándares técnicos internacionales (NIST, ETSI, CEN-CENELEC) Los estándares técnicos desempeñan un papel fundamental en la implementación práctica de la regulación y la interoperabilidad, pero su fuerza jurídica debe distinguirse de la de una obligación legal expresa. **NIST (EE. UU.) — Criptografía poscuántica (PQC):** En 2024, NIST publicó: - **FIPS 203 (ML-KEM):** mecanismo de encapsulación de claves. - **FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA):** esquemas de firma digital. Estos estándares **(S)** son referencias técnicas de primer orden, pero no se convierten automáticamente en obligaciones de la UE. FALCON no corresponde a FIPS 204 ni a FIPS 205; cualquier referencia a FN-DSA/FIPS 206 debe ajustarse a su estado oficial en la fecha de consulta. Al 3 de octubre de 2026, las páginas oficiales NIST contrastadas mantienen FN-DSA/FIPS 206 en desarrollo y HQC seleccionado para estandarización adicional, sin presentarlos como estándares finales. **ETSI (Europa) - Comunicaciones Cuánticas (QKD):** El Instituto Europeo de Normas de Telecomunicaciones (ETSI) desarrolla especificaciones para QKD. - **ETSI GS QKD 014:** define una interfaz API REST para la entrega de claves generadas por QKD a aplicaciones, con interoperabilidad como objetivo de la especificación y supuestos de seguridad/autenticación definidos; no prueba un despliegue real. **CEN-CENELEC (Europa) - Componentes y Metrología:** Estos organismos abordan la normalización técnica de componentes cuánticos y metrología. - **Rol de los estándares armonizados:** Una norma armonizada puede generar presunción de conformidad solo cuando se haya elaborado a petición de la Comisión, adoptado y su referencia se haya publicado en el *Diario Oficial de la Unión Europea*, y únicamente dentro de su ámbito. Las especificaciones técnicas no armonizadas siguen siendo evidencia útil del estado de la técnica, pero no producen por sí solas esa presunción. **Iniciativas políticas de la UE:** La Comisión publicó la Recomendación (UE) 2024/1101, de 11 de abril de 2024, relativa a una hoja de ruta de aplicación coordinada para la transición a la criptografía poscuántica. La hoja de ruta coordinada de 23 de junio de 2025, elaborada por el Grupo de Cooperación NIS, desarrolla prioridades e hitos comunes. Ambos instrumentos son orientación no vinculante **(R)** y no sustituyen el análisis de obligaciones aplicables a cada entidad. El documento es Part 1, versión 1.1, con fecha interna 11 de junio compatible con su publicación web de 23 de junio de 2025. Su p. 7 recomienda primeros pasos/pilotos nacionales para finales de 2026, transición completa de alto riesgo para finales de 2030 y de riesgo medio para finales de 2035, más bajo riesgo en la medida factible. ## 4.8. Responsabilidad por productos defectuosos La Directiva (UE) 2024/2853 incluye el software en el concepto de «producto» y contempla, entre otros elementos, la incidencia de las actualizaciones de seguridad y de la complejidad técnica en la prueba de la defectuosidad y la causalidad. Su aplicación a productos cuánticos debe analizarse junto con el CRA y con la normativa nacional de transposición. Debe respetarse su umbral temporal corregido: productos introducidos en el mercado o puestos en servicio después del 8 de diciembre de 2026 (art. 2.1, fe de erratas de 2026); la transposición se exige hasta el 9 de diciembre de 2026. No se proyecta ese régimen nuevo como responsabilidad ya aplicable a todo producto a la fecha del contraste. No todo fallo, error de cálculo o vulnerabilidad cuántica determina por sí solo la existencia de un producto defectuoso. Deben examinarse la seguridad que legítimamente cabe esperar, la presentación y el uso razonablemente previsible, el momento de comercialización, la capacidad de actualización y las demás circunstancias del caso. ## 4.9. Servicios financieros, criptoactivos e infraestructuras DLT El riesgo cuántico puede afectar a servicios financieros, criptoactivos e infraestructuras de mercado, pero el régimen aplicable depende del papel y la actividad de cada actor, no de una categoría jurídica autónoma de «QDLT». - **MiCA (Reg. (UE) 2023/1114):** Puede resultar aplicable a emisores de criptoactivos y proveedores de servicios de criptoactivos comprendidos en su ámbito. La custodia de claves, la continuidad, la seguridad y la información al cliente deben analizarse conforme a la actividad concreta y a las exclusiones del Reglamento. - **Régimen piloto DLT (Reg. (UE) 2022/858):** Se aplica a determinadas infraestructuras de mercado basadas en DLT para instrumentos financieros. Una adaptación criptográfica de la red debe preservar las condiciones de autorización, la integridad del mercado y la protección de participantes e inversores. - **DORA, MiFID II y MAR:** DORA rige la resiliencia operativa digital de las entidades financieras incluidas; MiFID II y MAR pueden resultar aplicables según el instrumento, el servicio, la negociación y la conducta. Ninguno se activa automáticamente por incorporar tecnología cuántica. - **Alcance técnico del riesgo:** Los algoritmos cuánticos afectan de forma asimétrica a firmas, intercambio de claves, cifrado simétrico y funciones hash; no implican la ruptura simultánea de toda cadena de bloques. La transición debe diseñarse según el protocolo, la custodia, la gobernanza, la interoperabilidad y el horizonte de riesgo de cada red **(I/P)**. # 5. Gobernanza, Ética Aplicada y Cumplimiento Tras analizar el marco jurídico vinculante (*hard law*) en la Sección 4, nos referimos a los mecanismos de gobernanza, los marcos de ética aplicada como la Investigación e Innovación Responsables (RRI), el papel del *soft law* y la implementación práctica de los requisitos de cumplimiento normativo y ético. ## 5.1. El papel de la gobernanza en la ética cuántica La gobernanza de las tecnologías cuánticas comprende las estructuras, procesos y mecanismos —públicos y privados— destinados a dirigir, gestionar y supervisar su desarrollo y despliegue, de modo que se alineen con los valores éticos y con las normas que resulten aplicables según el producto, el rol, los datos, la finalidad, el sector y el territorio. **Gobernanza corporativa y cumplimiento (*hard law*)** La gobernanza debe ir más allá de los principios voluntarios o de los comités de ética consultivos. Cuando una organización quede incluida en el ámbito de una norma, debe poder acreditar responsabilidades, controles y evidencias proporcionados al riesgo. - **Sistemas de gestión de la calidad (QMS):** Los proveedores de sistemas de IA de alto riesgo deben implantar el sistema de gestión de la calidad documentado previsto en el art. 17 del Reglamento de IA. La presencia de un componente cuántico no activa por sí sola esta obligación: primero debe existir un sistema de IA y concurrir la clasificación y el rol pertinentes. Debe respetarse el calendario reformado por (UE) 2026/1744 (alto riesgo anexo III: 2 de diciembre de 2027; anexo I: 2 de agosto de 2028, con excepciones y transitorias). El QMS del art. 17 no convierte por sí solo QT-QMS beta en una certificación implementada. - **Marcos de gestión de riesgos:** DORA (art. 6), NIS2 (art. 21) y el Reglamento de IA (art. 9) establecen, dentro de sus respectivos ámbitos, procesos de gestión de riesgos continuos e iterativos. La exposición cuántica debe integrarse cuando sea material por la criticidad del activo, la vida útil de la información, el estado de la técnica y el modelo de amenaza. **Gobernanza pública y estrategia nacional** - **Estrategia de Tecnologías Cuánticas de España 2025-2030:** Aprobada por el Consejo de Ministros el 15 de abril de 2025, articula las áreas de computación, comunicaciones y sensórica cuánticas. Su presupuesto estimado asciende a 808 millones de euros, sujeto a las disponibilidades presupuestarias de cada ejercicio, con financiación prevista mediante fondos FEDER y el Plan de Recuperación, Transformación y Resiliencia. La alineación de las iniciativas sectoriales con esta estrategia debe combinar soberanía tecnológica, transferencia al mercado, talento, seguridad y evaluación ética. ## 5.2. Investigación e Innovación Responsables (RRI) como marco operativo La RRI es un marco promovido por las instituciones europeas para alinear los procesos y resultados de investigación e innovación con los valores, necesidades y expectativas de la sociedad, especialmente útil en tecnologías emergentes. - **Condiciones de financiación pública:** La RRI puede adquirir fuerza contractual cuando la convocatoria, el convenio o el acuerdo de subvención aplicable incorpore obligaciones concretas de ética e integridad científica, ciencia abierta, igualdad, participación o gobernanza. No debe presumirse una obligación universal para todo proyecto cuántico financiado con fondos públicos. Cuando no exista una condición contractual verificable, la RRI opera como marco recomendado de buena gobernanza. - **Dimensiones clave (Stilgoe et al., 2013):** - **Anticipación:** identificación temprana de posibles impactos sociales, éticos y ambientales. - **Reflexividad:** evaluación crítica de los compromisos y supuestos del proyecto. - **Inclusión:** participación proporcionada de los grupos de interés relevantes. - **Capacidad de respuesta (*responsiveness*):** adaptación de la innovación ante nueva evidencia, riesgos o preocupaciones sociales. La aplicación sistemática y proporcionada de estas dimensiones desde las fases iniciales facilita la «ética desde el diseño» y deja evidencias útiles para la toma de decisiones. ## 5.3. El rol complementario del *soft law* y la autorregulación El *soft law* —códigos de conducta, principios voluntarios y guías no vinculantes— desempeña un papel relevante en la ética cuántica, pero no sustituye a las obligaciones legales aplicables. - **Prioridad del *hard law*:** La estrategia de cumplimiento debe partir del RGPD, el Reglamento de IA, NIS2, DORA, el Reglamento de Ciberresiliencia y las demás normas aplicables al caso. - **Función complementaria:** El *soft law* permite desarrollar expectativas éticas más allá del mínimo legal, orientar la implementación sectorial y favorecer la armonización internacional. También puede informar el estándar de diligencia, sin convertirse por ello en una obligación autónoma. - **Iniciativas relevantes:** Los Principios de Gobernanza de la Computación Cuántica del Foro Económico Mundial (2022), centrados en el bien común, la rendición de cuentas, la transparencia y la sostenibilidad, constituyen una referencia útil de autorregulación. ## 5.4. Ética, Privacidad y Seguridad desde el Diseño (*By Design*) La «ética desde el diseño» propone incorporar las consideraciones éticas desde las primeras fases del desarrollo. Es un criterio de gobernanza; algunas de sus manifestaciones se traducen en obligaciones jurídicas concretas cuando concurre el ámbito de la norma correspondiente. - **Protección de datos desde el diseño (art. 25 RGPD):** El responsable debe aplicar medidas técnicas y organizativas apropiadas para integrar los principios de protección de datos desde la concepción del tratamiento, atendiendo, entre otros factores, al estado de la técnica, los costes, la naturaleza del tratamiento y los riesgos. - **Ciberseguridad desde el diseño (Reglamento de Ciberresiliencia):** Los fabricantes de productos con elementos digitales incluidos en su ámbito deben integrar los requisitos esenciales de ciberseguridad durante el ciclo de vida. La calificación no depende de que el producto sea «cuántico», sino de la definición legal, su finalidad o uso previsible, su conectividad, las exclusiones aplicables y el rol del operador. Los requisitos generales del CRA se aplican desde el 11 de diciembre de 2027, con las transitorias del art. 69; la notificación del art. 14 ya se aplica desde el 11 de septiembre de 2026 y tiene supuestos propios. ## 5.5. Evaluaciones de Impacto (EIPD y EIDF) La gestión proactiva de riesgos puede requerir evaluaciones de impacto, pero la tecnología cuántica no las activa automáticamente. **Evaluación de Impacto relativa a la Protección de Datos (EIPD o DPIA)** - **Cuándo procede (art. 35 RGPD):** La EIPD es obligatoria cuando, atendiendo a la naturaleza, el alcance, el contexto y los fines del tratamiento, sea probable que este entrañe un alto riesgo para los derechos y libertades, en particular en los supuestos del art. 35.3 y de las listas adoptadas conforme al art. 35.4. La escala, sensibilidad o combinación de datos de salud, biométricos o financieros puede hacer frecuente ese resultado, pero el uso de computación cuántica no basta por sí solo. - **Contenido:** Debe describir el tratamiento, evaluar su necesidad y proporcionalidad, valorar los riesgos y concretar las medidas previstas. La cripto-agilidad o la PQC pueden formar parte de esas medidas cuando el riesgo, la vida útil de la confidencialidad y el estado de la técnica lo justifiquen. **Evaluación de Impacto sobre los Derechos Fundamentales (EIDF o FRIA)** - **Cuándo procede (art. 27 del Reglamento de IA):** Se exige, antes del despliegue, a los organismos de Derecho público y a las entidades privadas que prestan servicios públicos cuando utilicen sistemas de IA de alto riesgo del art. 6.2, con la excepción del anexo III, punto 2, así como a los desplegadores de los supuestos del Anexo III, puntos 5(b) y 5(c), relativos a evaluación de solvencia o puntuación crediticia y a evaluación de riesgos y fijación de precios en seguros de vida y salud. Debe verificarse siempre que exista un sistema de IA de alto riesgo y que el operador tenga el rol de desplegador previsto por la norma y el calendario aplicable tras (UE) 2026/1744: régimen de alto riesgo del anexo III desde el 2 de diciembre de 2027, con excepciones y transitorias. - **Contenido:** La EIDF identifica y evalúa los impactos sobre los derechos fundamentales en el contexto concreto de uso y define las medidas de mitigación, gobernanza y supervisión. Un componente cuántico se analiza solo en la medida en que afecte materialmente a esos riesgos. Los apartados 4–5 del art. 27 RIA, modificados por (UE) 2026/1744, articulan la coordinación y referencias cruzadas con la EIPD sin identificar ambas evaluaciones. Los requisitos restantes y la notificación a la autoridad se examinan según el caso y el calendario. ## 5.6. Cooperación internacional e interoperabilidad técnica Dada la naturaleza global de la ciencia y la tecnología cuántica, la cooperación internacional es esencial para abordar los desafíos éticos, garantizar la seguridad y evitar la fragmentación regulatoria. - **Foros multilaterales y acuerdos:** La participación en la OCDE, la ONU y otros foros facilita la armonización de principios y el diálogo sobre doble uso y seguridad internacional. Cualquier propuesta de acuerdos vinculantes debe distinguirse de las obligaciones hoy vigentes. - **Cooperación tecnológica europea:** - **EuroQCI:** despliegue de una infraestructura europea de comunicaciones cuánticas, combinando, cuando proceda, QKD con mecanismos criptográficos y de autenticación resistentes al adversario previsto. - **EuroHPC JU:** acceso paneuropeo a infraestructuras de supercomputación y computación cuántica, según elegibilidad, solicitud, selección y recursos del programa; el piloto cuántico abrió el 25 de junio de 2026, sin garantizar acceso inmediato o uso real por cada entidad. - **Interoperabilidad y estándares:** La cooperación debe apoyar estándares de ISO, IEC, ETSI y CEN-CENELEC que permitan comparar prestaciones, evaluar seguridad e interoperar. Los estándares PQC del NIST son una referencia técnica relevante, pero su adopción debe integrarse en los perfiles europeos y sectoriales aplicables. ## 5.7. Estrategias de migración a PQC y cripto-agilidad La transición a criptografía poscuántica es una acción prioritaria cuando existe exposición material a criptografía de clave pública vulnerable, especialmente respecto de información con larga vida de confidencialidad. - **Marco europeo:** La Recomendación (UE) 2024/1101 de la Comisión, de 11 de abril de 2024, propuso una hoja de ruta coordinada para la transición a PQC. El Grupo de Cooperación NIS publicó el 23 de junio de 2025 la hoja de ruta correspondiente. Ambos instrumentos orientan principalmente a los Estados miembros y no constituyen, por sí solos, un mandato universal y directamente exigible a todas las empresas. La versión interna Part 1 v1.1 está fechada el 11 de junio de 2025; su publicación web el 23 de junio es compatible. El calendario recomienda primeros pasos y pilotos alto/medio al cierre de 2026, transición de alto riesgo al cierre de 2030 y de riesgo medio al cierre de 2035, más bajo riesgo en lo factible, según la p. 7. - **Estándares técnicos:** El NIST publicó en agosto de 2024 FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA). La selección de algoritmos, perfiles híbridos y calendarios debe atender a la interoperabilidad, la madurez de las implementaciones y las guías aplicables. - **Acciones clave:** inventario criptográfico; cripto-agilidad; priorización por criticidad, exposición, vida del dato y dependencia de terceros; y pruebas graduales de rendimiento, interoperabilidad y reversibilidad. **Hitos jurídico-operativos 2024-2035** | **Fecha** | **Hito** | **Naturaleza** | **Implicación operativa** | |:---|:---|:---|:---| | 11.04.2024 | Recomendación (UE) 2024/1101 sobre transición a PQC | Recomendación no vinculante | Organizar la coordinación europea y preparar estrategias nacionales. | | 08.2024 | Publicación de FIPS 203, 204 y 205 | Estándares técnicos | Probar ML-KEM, ML-DSA y SLH-DSA en perfiles y productos adecuados. | | 11.06.2025 (versión 1.1); 23.06.2025 (publicación web) | Hoja de ruta coordinada del Grupo de Cooperación NIS | Hoja de ruta no vinculante | Iniciar inventarios, gobernanza y planificación nacional; a final de 2026 se prevén primeros pasos y pilotos de alto y medio riesgo iniciados. | | 02.07.2025 | Quantum Europe Strategy, COM (2025) 363 | Estrategia de política pública | Coordinar investigación, infraestructuras, industria, doble uso y capacidades. | | 15.11.2025 | Entrada en vigor del Reglamento Delegado (UE) 2025/2003 | Acto vinculante | Reclasificar productos y tecnología de doble uso con arreglo al Anexo I actualizado. | | Final de 2030 | Horizonte europeo para casos de alto riesgo | Objetivo de la hoja de ruta | Completar los casos de alto riesgo y los pilotos de riesgo medio; preparar las actualizaciones seguras por defecto. Objetivo coordinado, sin sanción automática universal. | | Final de 2035 | Horizonte europeo para casos de riesgo medio y bajo | Objetivo de la hoja de ruta | Completar la transición de riesgo medio y la de riesgo bajo en la medida de lo posible; documentar excepciones y riesgo residual. | # 6. Riesgos Normativos Las tecnologías cuánticas se desarrollan dentro de un marco horizontal y sectorial ya existente. El riesgo principal consiste tanto en incumplir una norma aplicable como en aplicar de forma automática obligaciones que dependen del producto, el rol, el dato, la finalidad, el sector o el territorio. Para evitar contradicciones con el capítulo 4, esta sección resume cada cuestión en formato «riesgo → consecuencia → mitigación». ## 6.1. Riesgos de incumplimiento del *hard law* | **Marco** | **Riesgo** | **Consecuencia** | **Mitigación proporcionada** | |:---|:---|:---|:---| | RGPD | Tratar datos sin base jurídica, sin medidas adecuadas o sin EIPD cuando sea probable que el tratamiento entrañe alto riesgo. La reidentificación mediante técnicas cuánticas debe tratarse como una hipótesis a valorar, no como una capacidad general demostrada. | Medidas correctivas, prohibición o limitación del tratamiento, responsabilidad y multas máximas de 10 M€ o 2 % en el escalón del art. 83.4, o 20 M€ o 4 % en los supuestos del art. 83.5–6; para empresas se toma la mayor cuantía aplicable. La imposición depende de las circunstancias del art. 83.2. | Clasificar tratamientos y datos; aplicar los arts. 25, 32 y 35 según el riesgo; evaluar HNDL y la vida de la confidencialidad; documentar la decisión de migrar o no a PQC. En una violación de seguridad, el responsable notifica a la autoridad, cuando proceda, dentro de las 72 horas desde que tenga constancia; la comunicación a los interesados, si existe alto riesgo, se realiza sin dilación indebida. El encargado informa al responsable sin dilación indebida. | | Reglamento de IA | Tratar cualquier componente cuántico como sistema de IA o presumir que todo uso en un sector crítico es de alto riesgo; en sentido inverso, omitir obligaciones cuando sí concurran la definición, clasificación y rol legales. | Retirada o restricción del sistema, medidas de vigilancia y sanciones: hasta 35 M€ o 7 % por prácticas prohibidas; 15 M€ o 3 % por las infracciones enumeradas en el art. 99.4; y 7,5 M€ o 1 % por información inexacta, incompleta o engañosa presentada ante una solicitud en los términos del art. 99.5. Para empresas rige la cuantía superior, con la regla menor para pymes del art. 99.6 y para pequeñas empresas de mediana capitalización respecto de los apartados 4–5 conforme al nuevo art. 99.6 bis; no existe sanción automática por usar computación cuántica. | Verificar definición, Anexo I o III y rol. Para sistemas de alto riesgo, mantener, entre otras evidencias, documentación técnica (art. 11), registros (art. 12), transparencia e información al desplegador (art. 13), supervisión humana (art. 14) y precisión, solidez y ciberseguridad (art. 15). Exigir transparencia suficiente según el riesgo, no una «explicabilidad completa». El capítulo III, secciones 1–3, salvo art. 6.5, se aplica desde el 02.12.2027 a art. 6.2/Anexo III y desde el 02.08.2028 a art. 6.1/Anexo I, con transitorios del art. 111 reformado por el Reglamento 2026/1744. | | Reglamento de Ciberresiliencia (CRA) | Presumir que todo hardware, software, sensor o servicio cuántico está incluido, o llegar tarde a seguridad, soporte, documentación de componentes y gestión de vulnerabilidades. | Restricciones de acceso al mercado, retirada o recuperación de productos, medidas correctivas y sanciones. | Clasificar el producto con elementos digitales, su conectividad, finalidad o uso previsible, exclusiones y rol de fabricante, importador o distribuidor. Documentar la SBOM en formato legible por máquina sin presumir su publicación general. Las obligaciones de notificación del art. 14 se aplican desde el 11 de septiembre de 2026 y las obligaciones principales, con carácter general, desde el 11 de diciembre de 2027. | | NIS2 | Incluir o excluir a una organización por la sola etiqueta «cuántica» y no gestionar incidentes conforme al régimen aplicable. | Supervisión, medidas correctivas y, para las categorías correspondientes, un régimen nacional cuyo máximo debe alcanzar al menos 10 M€ o 2 % para entidades esenciales y 7 M€ o 1,4 % para importantes, tomando la mayor cuantía en cada caso, por infracciones de arts. 21 o 23; son mínimos del máximo nacional, con las condiciones del art. 34 y sin acreditar aquí la transposición española. | Comprobar categoría, tamaño, establecimiento y transposición. Una plataforma cuántica en nube puede estar incluida como proveedor *cloud*, pero la mera I+D cuántica no basta. Para incidentes significativos: alerta temprana dentro de 24 horas y notificación dentro de 72 horas desde constancia, sin dilación indebida; para prestadores de servicios de confianza, la notificación del art. 23.4.b también es en 24 horas. Informe intermedio si se solicita; final dentro de un mes desde la notificación. Si el incidente sigue en curso, informe de situación en ese momento y final dentro de un mes desde su gestión. | | DORA | Considerar que cualquier proveedor cuántico es un proveedor tercero TIC crítico, que todas las entidades deben realizar TLPT o que existe un plazo general de notificación de un día hábil. | Requerimientos de supervisión, corrección de deficiencias, restricciones contractuales, sanciones nacionales y pérdida de clientes financieros. | Verificar si la entidad está incluida, si procede TLPT conforme al art. 26 y si el proveedor ha sido designado crítico según los criterios del marco. Para incidentes TIC graves, el Reglamento Delegado 2025/301 art. 5 fija inicial dentro de 4 horas desde clasificación y como máximo 24 horas desde conocimiento; si la clasificación se produce después de 24 horas, 4 horas desde clasificación. Intermedio dentro de 72 horas desde inicial y final dentro de un mes desde intermedio o último intermedio actualizado, con excepciones tasadas de días no laborables; integrar la exposición cuántica en gestión de riesgo TIC, continuidad y terceros cuando sea material. | | Responsabilidad por productos | Defectos de seguridad, falta de actualizaciones o reparto impreciso de responsabilidades entre fabricante, integrador, proveedor de software y servicio asociado. | Reclamaciones por daños y dificultades probatorias y causales, además de las medidas regulatorias del CRA. | Analizar la Directiva (UE) 2024/2853 y su transposición hasta el 09.12.2026: el nuevo régimen alcanza productos introducidos en el mercado o puestos en servicio después del 08.12.2026, conforme a la corrección de 2026. Incluye el *software* en el concepto de producto y considera la ciberseguridad y las actualizaciones entre los elementos relevantes para apreciar la defectuosidad. Definir contractualmente roles y conservar evidencia técnica. | Ninguno de estos marcos contiene, por el solo hecho de utilizar tecnología cuántica, un mandato nominal y universal de adoptar PQC. La transición puede resultar exigible o prudente según el riesgo, el estado de la técnica, los costes, la criticidad y la vida útil de la información. ## 6.2. Riesgos del control de doble uso El Reglamento (UE) 2021/821, cuyo Anexo I fue actualizado por el Reglamento Delegado (UE) 2025/2003, incluye controles específicos sobre determinados ordenadores cuánticos y componentes en la partida 4A506. No todo ordenador, criostato, sensor, sistema QKD, algoritmo, software o asistencia técnica está controlado: deben comprobarse la partida, los umbrales, las notas técnicas, el destino, el usuario y el uso final. En España debe comprobarse además la lista nacional actualizada por la Orden ECM/536/2026. La actualización de la lista UE adoptada por la Comisión el 14.09.2026 está sometida al procedimiento de escrutinio; su anuncio no sustituye al acto publicado y vigente que corresponda a la fecha de la operación. | **Riesgo** | **Consecuencia** | **Mitigación** | |:---|:---|:---| | Clasificación por analogía o por número bruto de qubits, sin aplicar las definiciones y umbrales de la lista. | Licencias innecesarias o, en el extremo opuesto, exportaciones no autorizadas. | Clasificación documentada contra el Anexo I vigente, incluida 4A506 cuando proceda; dictamen especializado para supuestos dudosos. | | Transferir equipos, software, tecnología o asistencia sin analizar el tipo de operación. | Paralización de entregas, sanciones administrativas o penales y pérdida de acceso a mercados. | Distinguir exportación fuera de la UE, transferencias intra-UE sujetas a control, intermediación, asistencia técnica, tránsito y controles *catch-all*; tramitar autorizaciones antes de la operación. | | No verificar destino, usuario final, uso final, sanciones o riesgo de desvío. | Uso militar o de proliferación no autorizado y daño reputacional grave. | Programa Interno de Cumplimiento, diligencia debida, cribado de sanciones, declaración de uso final, cláusulas de no reexportación y escalado de señales de alerta. | | Aplicar controles de forma indiscriminada a la ciencia abierta. | Retrasos, fragmentación de la investigación y pérdida de competitividad sin mejora proporcional de seguridad. | Separar investigación básica de tecnología controlada, documentar las exclusiones aplicables y establecer un canal previo de revisión para colaboraciones internacionales. | ## 6.3. Riesgos de sobrerregulación y fragmentación | **Riesgo** | **Consecuencia** | **Mitigación** | |:---|:---|:---| | Extender RGPD, Reglamento de IA, NIS2, DORA o CRA por la mera presencia de un componente cuántico. | Costes desproporcionados, incertidumbre y desincentivo a la innovación. | Aplicar una ficha de subsunción por producto, rol, dato, finalidad, sector, tamaño y territorio; distinguir obligación expresa, interpretación basada en riesgo, estándar, recomendación y propuesta. | | Imponer soluciones técnicas únicas o fechas universales antes de disponer de perfiles maduros. | Bloqueo tecnológico, dependencia de proveedor y migraciones inseguras. | Usar requisitos funcionales y basados en riesgo, pruebas piloto, interoperabilidad y revisiones periódicas. | | Confundir trazabilidad jurídica con observación física de estados cuánticos internos. | Exigencias imposibles y falsa oposición entre cumplimiento y física cuántica. | Asegurar reproducibilidad estadística y procedimental: versión de circuito y compilador, calibración, dispositivo, número de ejecuciones, distribución de resultados e intervalos, incertidumbre, verificación clásica o cruzada y umbral de confianza proporcionado al daño potencial. | | Requisitos divergentes entre Estados, sectores o compradores. | Duplicación de pruebas, barreras de mercado y menor escalabilidad. | Favorecer estándares europeos e internacionales, reconocimiento mutuo, documentación reutilizable y coordinación entre supervisores, industria y comunidad científica. | ## 6.4. Estrategias transversales de mitigación - **Cumplimiento desde el diseño:** Someter cada proyecto a una revisión temprana de aplicabilidad y riesgo. Las EIPD o EIDF se realizan cuando concurren sus presupuestos legales; otras evaluaciones pueden utilizarse voluntariamente como buena práctica. La EIPD depende del art. 35 RGPD; la EIDF/FRIA del art. 27 RIA corresponde a sistemas del art. 6.2, salvo Anexo III.2, desplegados por sujetos de Derecho público, prestadores privados de servicios públicos o desplegadores de Anexo III.5.b–c. Rigen sus referencias de coordinación con la EIPD reformadas y el calendario aplicable del capítulo III; no se exige por la mera presencia de un componente cuántico. - **Hoja de ruta PQC basada en riesgo:** Completar el inventario criptográfico, establecer una línea base, priorizar datos de larga vida y sistemas críticos, probar esquemas híbridos cuando proceda y aprobar metas internas por el órgano competente. Los horizontes europeos de 2026, 2030 y 2035 son referencias de coordinación, no sanciones automáticas ni fechas universales para todas las empresas. La hoja de ruta distingue primeros pasos nacionales y pilotos alto/medio en 2026, conclusión de alto riesgo en 2030 y de riesgo medio en 2035, con bajo riesgo en la medida de lo posible. No fija una fecha cierta de llegada de un ordenador cuántico criptográficamente relevante. - **QKD como defensa en profundidad:** Utilizarla solo cuando el caso de uso, la infraestructura, los costes y el modelo de amenaza lo justifiquen. QKD no sustituye por sí sola la migración de la criptografía asimétrica vulnerable, ni autentica por sí sola los extremos; debe combinarse con un mecanismo resistente al adversario previsto, como PQC en despliegues de clave pública o, cuando sea viable, autenticación simétrica con claves precompartidas. - **Contratos y cadena de suministro:** Incluir roles, soporte, SBOM cuando proceda, gestión de vulnerabilidades, cripto-agilidad, continuidad, auditoría, control de exportaciones y uso final. Los plazos contractuales más estrictos deben presentarse como acuerdos, no como plazos legales generales. - **Gobernanza y controles internos:** Asignar la supervisión al nivel directivo adecuado, mantener un registro de decisiones, validar de forma cruzada los resultados de alto impacto y comunicar límites, incertidumbres y condiciones de validez. Cada acción debe asociarse a un responsable, una fecha interna, una evidencia y un indicador de resultado. El objetivo no es acumular controles, sino reducir exposición verificable sin asfixiar la innovación. # 7. Recomendaciones y Pasos Futuros Planteamos algunas recomendaciones estratégicas y pasos operativos necesarios para implementar una gobernanza ética y un marco regulatorio eficaz para las tecnologías cuánticas en la Unión Europea y España. El objetivo es pasar del análisis a la acción, priorizando el cumplimiento normativo y la implementación de buenas prácticas. ## 7.1. Fomento de la Educación, el Talento Multidisciplinar y la Concienciación El desarrollo de un ecosistema cuántico responsable y competitivo depende críticamente de la disponibilidad de talento especializado y de una concienciación pública adecuada. **Recomendaciones:** - **Formación de profesionales híbridos:** Fomentar programas educativos universitarios y de formación profesional que integren la ética de la tecnología y el Derecho digital de la UE en los currículos STEM (Ciencia, Tecnología, Ingeniería y Matemáticas). Es esencial formar profesionales cuánticos con sensibilidad ética y jurídica —ingenieros, físicos, juristas y filósofos trabajando conjuntamente— capaces de implementar los principios de ética, privacidad y seguridad desde el diseño. - **Capacitación regulatoria y técnica especializada:** Desarrollar programas de formación continua para profesionales de la ciberseguridad sobre PQC y cripto-agilidad, y para responsables de cumplimiento normativo y auditores sobre la aplicación del Reglamento de IA (RIA), el CRA, DORA y el régimen de doble uso a casos cuánticos concretos. - **Divulgación rigurosa y conciencia pública:** Promover iniciativas de divulgación basadas en el principio de información responsable: evitar expectativas exageradas (*anti-hype*) y comunicar con claridad beneficios, límites, incertidumbres y riesgos reales —como HNDL— para fomentar un debate público de calidad. ## 7.2. Fortalecimiento de la Gobernanza Institucional y la Supervisión En lugar de proponer la creación de nuevos organismos de supervisión *ad hoc*, se recomienda un enfoque pragmático y eficiente: integrar la dimensión cuántica en los mandatos de los organismos de supervisión existentes en la UE y a nivel nacional, reforzando sus capacidades técnicas. **Recomendaciones:** - **Integración en organismos existentes de la UE:** Reforzar las capacidades técnicas de las agencias, autoridades y organismos ya competentes para que puedan abordar los riesgos cuánticos dentro de sus respectivos mandatos: - **ENISA (Agencia de la UE para la Ciberseguridad):** Apoyo técnico a la transición coordinada a PQC, en línea con la Recomendación (UE) 2024/1101 y la hoja de ruta europea de 2025, y asistencia al ecosistema NIS2 y CRA. - **Oficina de IA de la UE:** Desarrollo y coordinación del marco del RIA para los sistemas comprendidos en sus competencias, incluida la orientación sobre documentación, transparencia y supervisión humana cuando exista IA cuántica. La referencia exige un sistema que cumpla la definición y ámbito del RIA. Deben distinguirse las funciones de coordinación del art. 64 y las facultades de la Comisión respecto de modelos de IA de uso general del art. 88, de las competencias de autoridades nacionales; la etiqueta «IA cuántica» no atribuye por sí sola alto riesgo ni competencia exclusiva de la Oficina. - **CEPD y autoridades de protección de datos:** Consideración del riesgo cuántico en la interpretación de la seguridad del tratamiento —art. 32 RGPD— y de las EIPD —art. 35 RGPD—, dentro de sus competencias. - **Autoridades Europeas de Supervisión (EBA, ESMA y EIOPA):** Integración proporcionada del riesgo cuántico en la supervisión de la resiliencia operativa bajo DORA cuando sea material para las entidades y funciones supervisadas. - **Coordinación nacional:** Reforzar la coordinación entre los organismos competentes. En España, el Centro Criptológico Nacional (CCN) puede seguir impulsando orientación técnica sobre transición criptográfica, mientras que las autoridades de ciberseguridad, protección de datos, supervisión financiera y control de exportaciones conservan sus competencias propias. ## 7.3. Integración de la Ética y el Cumplimiento en la Estrategia Tecnológica La ética y el cumplimiento normativo (*hard law*) deben ser elementos centrales e integrados en las estrategias de desarrollo tecnológico, tanto a nivel corporativo como nacional. **Recomendaciones:** - **Estrategia de Tecnologías Cuánticas de España 2025-2030:** Alinear las iniciativas sectoriales con la estrategia aprobada en 2025. Las notas oficiales estiman un presupuesto aproximado de **808 millones de euros**, con financiación PRTR y FEDER. La estimación y la aprobación de la estrategia no acreditan por sí solas gasto ejecutado o fondos efectivamente disponibles para un proyecto; deben comprobarse la dotación y condiciones de cada instrumento de financiación. - **Quantum Europe Strategy:** La Comunicación COM(2025) 363 articula cinco áreas conectadas: (i) investigación e innovación; (ii) infraestructuras cuánticas; (iii) fortalecimiento del ecosistema cuántico y su industrialización; (iv) espacio y tecnologías cuánticas de doble uso, seguridad y defensa; y (v) capacidades y talento cuánticos. Estas prioridades deben coordinarse con EuroHPC, EuroQCI y las políticas nacionales sin confundirse con obligaciones jurídicas individuales. - **Estado del futuro *Quantum Act*:** En el calendario oficial de la Comisión actualizado el 28.09.2026, el hito figura dentro de 2026 como «To be announced». A fecha de contraste 03.10.2026 esa página permite mantener una vigilancia regulatoria fechada; no equivale a un acto publicado ni atribuye obligaciones individuales de cumplimiento. Debe localizarse y analizarse el texto y procedimiento de cualquier propuesta o norma que llegue a publicarse, sin conservar como fecha cierta las antiguas previsiones de trimestre. - **Implementación proporcionada de RRI:** Traducir los principios de Investigación e Innovación Responsables (RRI) en condiciones de financiación, contratación y evaluación cuando el programa o proyecto correspondiente así lo prevea, evitando presentarlos como una obligación legal universal. - **Cumplimiento desde el diseño (*Compliance by Design*):** Integrar desde las fases iniciales los requisitos que resulten aplicables por producto, actividad, riesgo, calendario y rol —p. ej., QMS del proveedor de sistemas de alto riesgo del art. 17 RIA cuando proceda, o seguridad y gestión de vulnerabilidades del CRA—, conservando evidencia de las decisiones de ámbito y proporcionalidad. ## 7.4. Promoción de Buenas Prácticas y Aseguramiento del Cumplimiento (*hard law*) La promoción de buenas prácticas debe centrarse en la implementación efectiva de las obligaciones legales aplicables y los estándares técnicos pertinentes al riesgo, sector y arquitectura. **Recomendaciones Técnicas (Seguridad - Prioridad Crítica):** - **Priorizar la migración a PQC y la cripto-agilidad según el riesgo:** Elaborar planes basados en inventario, criticidad, vida de confidencialidad, dependencias y capacidad de sustitución. FIPS 203-205 son estándares técnicos relevantes, no obligaciones automáticas de la UE ni una orden de migración inmediata para toda infraestructura. - **Inventario criptográfico:** Las organizaciones expuestas al riesgo deben identificar algoritmos, protocolos, claves, certificados, proveedores, datos de larga confidencialidad y equipos heredados. El inventario debe conducir a prioridades verificables, no limitarse a un registro documental. - **Posicionamiento de QKD (defensa en profundidad):** Evaluar QKD como complemento especializado para casos de alta sensibilidad, atendiendo a distancia, tasa de claves, nodos de confianza, dispositivos, disponibilidad e interoperabilidad. QKD requiere autenticación resistente al adversario previsto, que puede basarse en PQC o, cuando resulte viable, en mecanismos simétricos con claves precompartidas; no depende exclusivamente de PQC. **Recomendaciones Regulatorias (IA y Control de Exportaciones):** - **Aplicación del RIA por ámbito, rol y calendario:** Comprobar primero si la solución constituye o integra un sistema de IA y después su categoría y el rol de cada operador. Cuando resulte aplicable, deberán respetarse las prohibiciones del art. 5 y las obligaciones correspondientes, sin tratar todo componente cuántico como IA o como sistema de alto riesgo. El Reglamento (UE) 2026/1744 modificó también prohibiciones y transitorios: no deben darse por aplicables todas las adiciones del art. 5 antes de su fecha específica del 02.12.2026. Para capítulo III, secciones 1–3, salvo art. 6.5, alto riesgo del art. 6.2/Anexo III desde 02.12.2027 y del art. 6.1/Anexo I desde 02.08.2028; revisar art. 111 y el supuesto concreto. - **Gestión proactiva del doble uso:** Implantar programas internos de cumplimiento proporcionados a la exposición real bajo el Reglamento (UE) 2021/821 y su Anexo I actualizado, con clasificación técnica, revisión de destino, usuario y uso final, control de transferencias intangibles y escalado de dudas antes de exportar. ## 7.5. Evaluación Continua y Definición de KPIs Éticos y de Cumplimiento Para apoyar la rendición de cuentas (*accountability*) y la mejora continua, se recomienda combinar evaluación cualitativa con monitorización basada en métricas verificables y proporcionadas al contexto y al daño potencial. **Recomendaciones:** - **Evaluación iterativa y gestión de riesgos:** Implementar procesos continuos a lo largo del ciclo de vida, aplicando el art. 9 del RIA, el art. 6 de DORA o el art. 21 de NIS2 únicamente cuando la organización, el sistema, el riesgo y el calendario de aplicación estén comprendidos en sus respectivos ámbitos. - **Indicadores de resultado:** Combinar indicadores de ejecución con métricas que muestren reducción efectiva del riesgo y efectos sobre las personas y el ecosistema. Entre otras: - Porcentaje de información de larga confidencialidad que continúa protegida exclusivamente con criptografía de clave pública vulnerable, ponderado por criticidad. - Reducción de vulnerabilidades críticas explotables fuera del plazo interno de remediación y tasa de reincidencia tras actualizaciones. - Cumplimiento de objetivos de recuperación en pruebas e incidentes, tiempo medio de recuperación y afectación real a funciones críticas. - Riesgo residual y número de impactos adversos sobre derechos tras las medidas definidas en EIPD o EIDF, solo cuando dichas evaluaciones sean exigibles. - Evolución de la concentración de acceso a capacidad cuántica —p. ej., utilización por pymes, centros públicos y territorios— y resultados obtenidos por unidad de recurso. - Energía, emisiones, materiales y residuos por resultado útil, comparados con la mejor alternativa clásica disponible a precisión equivalente. - **Auditoría, aprendizaje y transparencia:** Revisar periódicamente las métricas, causas raíz y eficacia de las medidas, evitando premiar el mero volumen de documentación. Solo las entidades incluidas en el ámbito de la CSRD deberán integrar la información material exigible en sus informes de sostenibilidad; las demás podrán comunicarla voluntariamente, identificando con claridad su naturaleza y metodología. La obligación debe comprobarse con la reforma de la Directiva (UE) 2026/470 y la transposición nacional aplicable. Los nuevos ESRS del Reglamento Delegado (UE) 2026/1563 están publicados desde 21.09.2026, entran en vigor 10.11.2026 y se aplican ordinariamente a ejercicios iniciados desde 01.01.2027, con opciones expresas para 2026; identificar la versión usada. El marco voluntario del Reglamento Delegado (UE) 2026/1560 tiene su propio ámbito y calendario y no convierte a toda pyme en sujeto CSRD. # 8. Bibliografía y Fuentes de Referencia **Derecho de la Unión Europea** - Unión Europea. Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (RGPD). [EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj) - Unión Europea. Reglamento (UE) 2023/2854 sobre normas armonizadas para un acceso justo a los datos y su utilización (Reglamento de Datos o *Data Act*). [EUR-Lex](https://eur-lex.europa.eu/eli/reg/2023/2854/oj) - Unión Europea. Reglamento (UE) 2024/1689 por el que se establecen normas armonizadas en materia de inteligencia artificial (Reglamento de IA). [EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) Leer con la reforma del Reglamento (UE) 2026/1744 y sus correcciones de errores; el enlace al texto original no se denomina aquí consolidado. - Unión Europea (2026). Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026, por el que se modifican los Reglamentos (UE) 2024/1689, 2018/1139 y 2023/1230 en lo que respecta a la simplificación de la aplicación de normas armonizadas en materia de inteligencia artificial (Ómnibus digital sobre IA). Publicado 24.07.2026, en vigor 27.07.2026; aplicación de cada obligación según precepto y transitorios. [Texto oficial](https://www.boe.es/buscar/doc.php?id=DOUE-L-2026-81147) - Unión Europea. Reglamento (UE) 2023/1781 por el que se establece un marco de medidas para reforzar el ecosistema europeo de semiconductores (Reglamento de Chips). [EUR-Lex](https://eur-lex.europa.eu/eli/reg/2023/1781/oj) - Unión Europea. Directiva (UE) 2022/2555 relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión (NIS2). [EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) - Unión Europea. Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero (DORA). [EUR-Lex](https://eur-lex.europa.eu/eli/reg/2022/2554/oj) - Unión Europea. Reglamento (UE) 2024/2847 relativo a los requisitos horizontales de ciberseguridad para los productos con elementos digitales (CRA). [EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - Unión Europea. Reglamento (UE) 2024/1183 por el que se modifica el Reglamento (UE) 910/2014 en lo que respecta al establecimiento del marco europeo de identidad digital (eIDAS2). [EUR-Lex](https://eur-lex.europa.eu/eli/reg/2024/1183/oj) - Unión Europea. Reglamento (UE) 2021/821 por el que se establece un régimen de control de las exportaciones, el corretaje, la asistencia técnica, el tránsito y la transferencia de productos de doble uso. [EUR-Lex](https://eur-lex.europa.eu/eli/reg/2021/821/oj) - Comisión Europea. Reglamento Delegado (UE) 2025/2003 por el que se modifica el Reglamento (UE) 2021/821 en lo que respecta a la lista de productos de doble uso. [EUR-Lex](https://eur-lex.europa.eu/eli/reg_del/2025/2003/oj) - Unión Europea. Directiva (UE) 2024/2853 sobre responsabilidad por los daños causados por productos defectuosos. [EUR-Lex](https://eur-lex.europa.eu/eli/dir/2024/2853/oj) Leer con la corrección de errores publicada el 07.05.2026: art. 2.1, productos después del 08.12.2026; plazo de transposición09.12.2026. - Comisión Europea. Recomendación (UE) 2024/1101, de 11 de abril de 2024, relativa a una hoja de ruta de aplicación coordinada para la transición a la criptografía poscuántica. [EUR-Lex](https://eur-lex.europa.eu/eli/reco/2024/1101/oj) - Unión Europea. Reglamento (UE) 2025/327 relativo al Espacio Europeo de Datos de Salud (EHDS). [EUR-Lex](https://eur-lex.europa.eu/eli/reg/2025/327/oj) Véanse además los Reglamentos de Ejecución (UE) 2026/2098 y 2026/2099, publicados en septiembre de 2026, con entrada en vigor y aplicación posteriores según sus propios artículos. El art. 105 del EHDS mantiene el despliegue escalonado. - Unión Europea. Reglamento (UE) 2023/1114 relativo a los mercados de criptoactivos (MiCA). [EUR-Lex](https://eur-lex.europa.eu/eli/reg/2023/1114/oj) - Unión Europea. Reglamento (UE) 2022/858 sobre un régimen piloto de infraestructuras del mercado basadas en la tecnología de registro descentralizado. [EUR-Lex](https://eur-lex.europa.eu/eli/reg/2022/858/oj) - Unión Europea. Directiva 2014/65/UE relativa a los mercados de instrumentos financieros (MiFID II). [EUR-Lex](https://eur-lex.europa.eu/eli/dir/2014/65/oj) - Unión Europea. Reglamento (UE) 596/2014 sobre el abuso de mercado (MAR). [EUR-Lex](https://eur-lex.europa.eu/eli/reg/2014/596/oj) - Unión Europea. Directiva (UE) 2022/2464 sobre información corporativa en materia de sostenibilidad (CSRD). [EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2464/oj) Leer con la [Directiva (UE) 2026/470](https://www.boe.es/doue/2026/470/L00001-00035.pdf), los [ESRS del Reglamento Delegado (UE) 2026/1563](https://www.boe.es/buscar/doc.php?id=DOUE-L-2026-81430) y el [marco voluntario del Reglamento Delegado (UE) 2026/1560](https://www.boe.es/buscar/doc.php?id=DOUE-L-2026-81429&lang=es), atendiendo a sus ámbitos, fechas y transposición. **Política pública y hojas de ruta** - Gobierno de España (2025). *Estrategia de Tecnologías Cuánticas de España 2025-2030*. [Documento oficial](https://digital.gob.es/content/dam/portal-mtdfp/comunicacion/comunicacion_ministro/2025/04/2025-04-24/EstrategiaTecnologiasCuanticas_compressed_24_04.pdf) - Comisión Europea (2025). *Quantum Europe Strategy*, COM(2025) 363, 2 de julio de 2025. [Shaping Europe’s Digital Future](https://digital-strategy.ec.europa.eu/en/library/quantum-europe-strategy) - Comisión Europea. Calendario de la Brújula de Competitividad, actualizado 28.09.2026: *Quantum Act* dentro de 2026 como «To be announced». Fuente de seguimiento, no acto normativo ni garantía de fecha de adopción. [Comisión Europea](https://commission.europa.eu/topics/competitiveness/competitiveness-compass/timeline_en?prefLang=hu) - Grupo de Cooperación NIS, EU PQC Workstream (2025). *A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography*, Part 1, versión 1.1 de 11.06.2025; publicación institucional 23.06.2025. [Página de la Comisión](https://digital-strategy.ec.europa.eu/en/library/coordinated-implementation-roadmap-transition-post-quantum-cryptography) [PDF oficial](https://ec.europa.eu/newsroom/dae/redirection/document/117507) **Estándares y fuentes técnicas** - National Institute of Standards and Technology (NIST) (2024). FIPS 203, *Module-Lattice-Based Key-Encapsulation Mechanism Standard* (ML-KEM). [NIST CSRC](https://csrc.nist.gov/pubs/fips/203/final) - NIST (2024). FIPS 204, *Module-Lattice-Based Digital Signature Standard* (ML-DSA). [NIST CSRC](https://csrc.nist.gov/pubs/fips/204/final) - NIST (2024). FIPS 205, *Stateless Hash-Based Digital Signature Standard* (SLH-DSA). [NIST CSRC](https://csrc.nist.gov/pubs/fips/205/final) - NIST (2025). *NIST Selects HQC as Fifth Algorithm for Post-Quantum Encryption*. [NIST](https://www.nist.gov/news-events/news/2025/03/nist-selects-hqc-fifth-algorithm-post-quantum-encryption) - NIST (2025). *FIPS 206: FN-DSA (Falcon)*, presentación de la sexta conferencia de estandarización PQC. [NIST CSRC](https://csrc.nist.gov/Presentations/2025/fips-206-fn-dsa-falcon) Ficha de presentación de Ray Perlner del 25.09.2025; FIPS 206 sigue «in development» en la página del proceso actualizada 05.08.2026, no estándar final por esta referencia. - European Telecommunications Standards Institute (ETSI) (2019). ETSI GS QKD 014 V1.1.1, *Quantum Key Distribution; Protocol and data format of REST-based key delivery API*. [ETSI](https://www.etsi.org/deliver/etsi_gs/QKD/001_099/014/01.01.01_60/gs_QKD014v010101p.pdf) Fuente relacionada: ETSI GS QKD 020 V1.1.1(2026-06), *Protocol and data format of REST-based Interoperable Key Management System API*. [PDF oficial](https://www.etsi.org/deliver/etsi_gs/QKD/001_099/020/01.01.01_60/gs_QKD020v010101p.pdf). Su API permite intercambio entre sistemas dentro de un nodo común de confianza; no sustituye automáticamente 014 ni certifica una red completa. **Ética, RRI y gobernanza de tecnologías cuánticas** - World Economic Forum (2022). *Quantum Computing Governance Principles*. [Informe](https://www.weforum.org/publications/quantum-computing-governance-principles/) - Bengoetxea, Juan Bautista y Mitcham, Carl (2010). *Ética e ingeniería*. Valladolid: Universidad de Valladolid. - Coenen, Christopher y Grunwald, Armin (2017). “Responsible research and innovation (RRI) in quantum technology”. *Ethics and Information Technology*, 19, 277-294. [DOI](https://doi.org/10.1007/s10676-017-9432-6) - Cortina, Adela (1996). “El estatuto de la ética aplicada. Hermenéutica crítica de las actividades humanas”. *Isegoría*, 13, 119-127. [DOI](https://doi.org/10.3989/isegoria.1996.i13.228) - Kop, Mauritz (2021). “Establishing a Legal-Ethical Framework for Quantum Technology”. *Yale Journal of Law & Technology*, The Record,30.03.2021. [Texto](https://law.stanford.edu/wp-content/uploads/2021/04/Mauritz-Kop_Establishing-a-Legal-Ethical-Framework-for-Quantum-Technology_Yale-YJoLT.pdf) - Ménissier, Thierry (2022). “The ethics of quantum technologies: a problematic formulation”. *QuantAlps Days*. [HAL](https://shs.hal.science/halshs-03796455v2/document) - Possati, Luca M. (2023). “Ethics of Quantum Computing: an Outline”. *Philosophy & Technology*, 36(48). [DOI](https://doi.org/10.1007/s13347-023-00651-6) Leer con la [corrección de 26.07.2023](https://link.springer.com/article/10.1007/s13347-023-00655-2), relativa a una entrada bibliográfica; el artículo principal conserva su identidad. - Stahl, Bernd Carsten; Timmermans, Job y Flick, Catherine (2017). “Ethics of Emerging Information and Communication Technologies: On the implementation of responsible research and innovation”. *Science and Public Policy*, 44(3), 369-381. [DOI](https://doi.org/10.1093/scipol/scw069) - Stilgoe, Jack; Owen, Richard y Macnaghten, Phil (2013). “Developing a framework for responsible innovation”. *Research Policy*, 42(9), 1568-1580. [DOI](https://doi.org/10.1016/j.respol.2013.05.008) ## 8.1. Glosario de Conceptos Clave ## A. Términos Técnicos y Conceptos Cuánticos **Computación cuántica:** Paradigma de computación que procesa información mediante sistemas cuánticos y explota fenómenos como superposición, interferencia y entrelazamiento. Puede ofrecer ventajas para determinadas clases de problemas y bajo condiciones concretas; no constituye una aceleración universal frente a la mejor alternativa clásica. **Cripto-agilidad (*crypto-agility*):** Capacidad organizativa y técnica para descubrir dónde se usa criptografía y actualizar o sustituir de forma controlada algoritmos, protocolos, claves, certificados y parámetros, preservando seguridad, interoperabilidad y continuidad. No presupone que el cambio sea automático ni que pueda hacerse sin adaptar la arquitectura. **Criptografía de clave pública o asimétrica:** Familia de mecanismos que emplean una clave pública y una clave privada para funciones como establecimiento de claves y firma digital. Un CRQC capaz de ejecutar Shor a escala relevante comprometería mecanismos basados en factorización o logaritmo discreto, como RSA, Diffie-Hellman y ECC. **Criptografía poscuántica (PQC):** Algoritmos criptográficos clásicos diseñados para resistir ataques de ordenadores clásicos y cuánticos conforme a los modelos y parámetros evaluados. Pueden ejecutarse en infraestructura convencional, aunque su integración requiere analizar rendimiento, claves, protocolos e interoperabilidad. NIST publicó FIPS 203 —ML-KEM—, FIPS 204 —ML-DSA— y FIPS 205 —SLH-DSA—. **CRQC (ordenador cuántico criptográficamente relevante):** Ordenador cuántico tolerante a fallos con escala y recursos suficientes para ejecutar un ataque criptográficamente relevante contra parámetros de uso real, por ejemplo mediante Shor frente a determinados sistemas de clave pública. **Distribución cuántica de claves (QKD):** Técnica basada en hardware que utiliza propiedades cuánticas para establecer material de clave entre extremos bajo un modelo de seguridad definido. Sus garantías prácticas dependen de dispositivos, canales, protocolos y operación. Requiere autenticar los extremos mediante un mecanismo resistente al adversario previsto, que puede ser PQC o, cuando sea viable, autenticación simétrica con claves precompartidas. **HNDL (*harvest now, decrypt later* / cosechar ahora, descifrar después):** Patrón de amenaza en el que un atacante intercepta y conserva información cifrada para intentar descifrarla en el futuro. Convierte la confidencialidad a largo plazo en un riesgo presente, aunque todavía no exista un CRQC operativo para el ataque considerado. **IA cuántica (*quantum AI*):** Área que estudia la integración de componentes cuánticos con sistemas de IA, incluido el aprendizaje automático cuántico. La combinación no implica por sí sola una ventaja práctica ni convierte toda infraestructura cuántica en un sistema de IA. **Qubit (bit cuántico):** Unidad básica de información cuántica cuyo estado puede ser una superposición coherente respecto de una base de medida y que puede entrelazarse con otros sistemas cuánticos. Su medición produce un resultado clásico con probabilidades determinadas por el estado y la medición. ## B. Términos Jurídicos, Regulatorios y Éticos **Control de exportaciones de doble uso:** Régimen establecido en la UE por el Reglamento (UE) 2021/821 y su lista actualizada, que puede someter a autorización determinadas operaciones sobre productos, *software* y tecnología de uso civil y militar. No toda tecnología cuántica está controlada: deben comprobarse clasificación, umbrales, operación, destino, usuario y uso final. **Ética desde el diseño (*ethics by design*):** Enfoque de gobernanza que integra valores, impactos y participación desde las fases iniciales del ciclo de vida. No constituye por sí solo una obligación jurídica universal, aunque puede apoyar el cumplimiento de obligaciones específicas de privacidad, seguridad o gestión de riesgos desde el diseño. **Evaluación de Impacto sobre los Derechos Fundamentales (EIDF / FRIA):** Evaluación estructurada exigida por el art. 27 del RIA a los responsables del despliegue y sistemas de alto riesgo comprendidos en ese precepto. No se exige a todo responsable ni a todo sistema de alto riesgo; su alcance incluye determinados organismos de Derecho público, prestadores privados de servicios públicos y ciertos casos específicos. En concreto, comprende sistemas del art. 6.2, salvo Anexo III.2, para desplegadores de Derecho público, prestadores privados de servicios públicos y casos de Anexo III.5.b–c, con coordinación EIPD del art. 27.4–5 reformado y aplicación del capítulo III correspondiente desde 02.12.2027, sin anticiparla como deber universal actual. **Evaluación de Impacto relativa a la Protección de Datos (EIPD / DPIA):** Proceso previo exigido por el art. 35 RGPD cuando sea probable que un tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas. El mero uso de tecnología cuántica no activa automáticamente esta obligación. ***Hard law* / *soft law*:** El *hard law* comprende normas jurídicamente vinculantes; en la UE, los reglamentos son directamente aplicables en sus condiciones y las directivas requieren transposición. El *soft law* comprende recomendaciones, guías y otros instrumentos sin fuerza vinculante directa, aunque pueden orientar interpretación, supervisión, contratos o diligencia. Honestidad epistémica: Criterio ético y técnico consistente en reconocer y documentar límites de validez, incertidumbres, tasas de error y condiciones de funcionamiento. No es un término jurídico autónomo del RIA, pero puede contribuir a satisfacer requisitos de documentación, transparencia, instrucciones de uso y gestión de riesgos cuando resulten aplicables. Investigación e Innovación Responsables (RRI): Enfoque que busca alinear procesos y resultados de investigación e innovación con valores, necesidades y expectativas sociales mediante prácticas como ética de la investigación, ciencia abierta, participación, igualdad y gobernanza. Su exigibilidad depende del programa, contrato o norma aplicable. **Lista de materiales de software (SBOM):** Inventario estructurado y legible por máquina de componentes. El CRA prevé identificar y documentar componentes mediante la SBOM del anexo I, parte II, punto1; no implica publicación ni entrega indiscriminada. Deben comprobarse ámbito, rol y fases: la aplicación general es11-12-2027, distinta de las obligaciones de notificación aplicables desde11-09-2026. Privacidad desde el diseño (privacy by design): Obligación del art. 25 RGPD que exige al responsable aplicar, desde la determinación de los medios y durante el tratamiento, medidas técnicas y organizativas apropiadas para aplicar eficazmente los principios de protección de datos e integrar las garantías necesarias, atendiendo al estado de la técnica, costes, naturaleza, ámbito, contexto, fines y riesgos. Seguridad desde el diseño (security by design): Enfoque consistente en integrar requisitos de seguridad durante diseño, desarrollo, mantenimiento y soporte. El CRA lo concreta para los productos con elementos digitales comprendidos en su ámbito mediante requisitos esenciales horizontales, obligaciones de ciclo de vida y procesos de gestión de vulnerabilidades. **Sistema de gestión de la calidad (QMS):** Sistema documentado previsto en el art.17 del RIA para proveedores de sistemas de IA de alto riesgo, para asegurar el cumplimiento durante el ciclo de vida. Deben comprobarse ámbito, rol, clasificación y calendario. Tras el Reglamento (UE)2026/1744, el régimen de alto riesgo del anexoIII se aplica con carácter general desde 02-12-2027 y el vinculado al anexoI desde 02-08-2028, con excepciones y disposiciones transitorias; no es un deber inmediato universal de cualquier sistema cuántico. ## 8.2. Relación de Acrónimos y Siglas **Normativa de la Unión Europea** AI Act: Denominación inglesa del Reglamento de IA; véase RIA. CRA: Cyber Resilience Act (Reglamento de Ciberresiliencia de la UE). CSRD: Corporate Sustainability Reporting Directive (Directiva(UE)2022/2464), modificada, entre otras, por la Directiva(UE)2026/470; la vigencia de la reforma europea y su transposición española deben distinguirse. DORA: Digital Operational Resilience Act (Reglamento (UE) 2022/2554 sobre resiliencia operativa digital del sector financiero). eIDAS2: Reglamento (UE)2024/1183, que modifica el Reglamento (UE)n.º910/2014 e introduce el Marco Europeo de Identidad Digital y cambios en los servicios de confianza. EHDS: European Health Data Space (Reglamento (UE) 2025/327 relativo al Espacio Europeo de Datos de Salud). MiFID II: Markets in Financial Instruments Directive (Directiva 2014/65/UE sobre mercados de instrumentos financieros). MiCA: Markets in Crypto-Assets Regulation (Reglamento (UE) 2023/1114 relativo a los mercados de criptoactivos). NIS2: Directiva (UE) 2022/2555, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión. RIA: Reglamento de Inteligencia Artificial (Reglamento (UE)2024/1689), leído con sus correcciones y con la reforma del Reglamento (UE)2026/1744 vigente desde 27-07-2026. RGPD: Reglamento General de Protección de Datos (Reglamento (UE) 2016/679). **Términos Técnicos, Éticos y Estándares** CRQC: Cryptographically Relevant Quantum Computer (ordenador cuántico criptográficamente relevante). DPIA: Data Protection Impact Assessment (véase EIPD). ECC: Elliptic Curve Cryptography (Criptografía de Curva Elíptica). EIPD: Evaluación de Impacto relativa a la Protección de Datos. EIDF: Evaluación de Impacto sobre los Derechos Fundamentales. ETSI: European Telecommunications Standards Institute (Instituto Europeo de Normas de Telecomunicaciones). FIPS: Federal Information Processing Standards (Estándares Federales de Procesamiento de la Información, EE.UU.). FRIA: Fundamental Rights Impact Assessment (véase EIDF). HNDL: Harvest Now, Decrypt Later (cosechar ahora, descifrar después). PQC: Post-Quantum Cryptography (Criptografía poscuántica). QKD: Quantum Key Distribution (Distribución de Claves Cuánticas). QMS: Quality Management System (Sistema de Gestión de la Calidad). QTSP: Qualified Trust Service Provider (Prestador Cualificado de Servicios de Confianza). RRI: Responsible Research and Innovation (Investigación e Innovación Responsables). RSA: Algoritmo criptográfico de clave pública (Rivest-Shamir-Adleman). SBOM: Software Bill of Materials (Lista de Materiales de Software). **Instituciones e Iniciativas** CCN: Centro Criptológico Nacional (España). CEPD: Comité Europeo de Protección de Datos. ENISA: Agencia de la Unión Europea para la Ciberseguridad. EuroHPC JU: European High-Performance Computing Joint Undertaking (Empresa Común Europea de Informática de Alto Rendimiento). EuroQCI: European Quantum Communication Infrastructure (Infraestructura Europea de Comunicación Cuántica). NIST: National Institute of Standards and Technology (Instituto Nacional de Estándares y Tecnología, EE.UU.). # Anexos de la edición 1.1 ## Nota de esta edición La edición1.1 del material de origen declara que conserva íntegro y sin modificaciones el cuerpo histórico del Libro Blanco sometido a revisión editorial el 27-07-2026, con incorporaciones posteriores en anexos. En esta continuación se preserva ese original inmutable y se propone una versión separada a 03-10-2026, con cambios por unidad. La declaración histórica de aprobación editorial no acredita por sí un acta de revisión del comité editorial ni autoriza publicación de la nueva propuesta. El material histórico de estos anexos atribuye su procedencia a trabajos de verificación de 27–28-07-2026: fuentes parlamentarias, gubernamentales y europeas; refuerzo de criptografía poscuántica con referencias ENISA, Europol, EUCC yNIST; dos revisiones legales; y auditoría de la analogía IA/gobernanza cuántica. Esa descripción de antecedentes debe cotejarse con sus informes y autoría. La continuación de 03-10-2026 conserva la captura Harvey y distingue sus propuestas de las correcciones documentales Codex; no identifica esos trabajos como cuatro aprobaciones editoriales verificadas. Se mantienen las tres reglas editoriales del libro. Primera: ninguna afirmación sin etiqueta, de modo que cada enunciado normativo lleva su naturaleza jurídica —O obligación expresa, I interpretación basada en riesgo, S estándar técnico, R recomendación, P propuesta o buena práctica—. Segunda: toda referencia remite a fuente primaria con fecha de verificación. Tercera: los huecos se declaran como pendientes de verificar en lugar de rellenarse con contenido no contrastado. Estos anexos tienen su continuación propuesta en el Observatorio de Regulación Cuántica, la versión viva del Libro Blanco descrita en el AnexoV. El diseño exige fecha de verificación e historial de cambios por afirmación; esta revisión documental no demuestra que cada afirmación del sitio servido esté ya actualizada ni que la trazabilidad esté implantada y comprobada. # Anexo I. Fuentes parlamentarias, gubernamentales y de la Unión Europea Este anexo recoge fuentes institucionales verificadas o sometidas a reserva expresa que amplían el marco de referencia del libro, con especial atención a la producción española, hasta ahora insuficientemente representada. ## I.1. Cortes Generales La pieza parlamentaria española de referencia es el **Informe de la Ponencia de análisis de las amenazas en el ciberespacio, en la era de la inteligencia artificial y la computación cuántica** (154/000007 Congreso;573/000003 Senado). La solicitud de creación es de 25-06-2024; la Ponencia se constituyó el 19-09-2024 y aprobó su informe el 24-02-2026. La Comisión Mixta de Seguridad Nacional lo aprobó el 24-03-2026, por 33 votos a favor,1en contra y2abstenciones (DSCG-15-CM-147, p 8). El informe se publicó enBOCG-15-CG-A-223 el 27-03-2026. Su valor para este libro es doble: aborda de modo sustantivo riesgos cibernéticos vinculados a IA y computación cuántica, y contiene recomendaciones tecnológicas útiles. Su lectura apoya una reflexión metodológica conjunta, pero no acredita la inexistencia de todo marco cuántico español ni determina el contenido del futuro Quantum Act. Las ocho recomendaciones finales de§ V.1 deben leerse con el resto del informe; destacar PQC no convierte sus propuestas en obligaciones legales. Entre las **ocho recomendaciones finales** del informe se destacan aquí tres ejes: **[R]** migración progresiva e híbrida hacia algoritmos poscuánticos; **[R]** uso estratégico de IA en detección, análisis y respuesta a incidentes; **[R]** diversidad de proveedores para reducir dependencias tecnológicas. Es una selección explicativa, no el inventario íntegro de recomendaciones ni una obligación normativa. El expediente puede incorporar testimonio experto sobre riesgos penales y probatorios derivados de la computación cuántica, pero la comparecencia concreta de la Fiscal de Sala Coordinadora contra la Criminalidad Informática, celebrada en junio de 2025, debe quedar pendiente de verificación primaria directa antes de citarse como hecho cerrado. ## I.2. Gobierno de España La **Estrategia de Tecnologías Cuánticas de España2025–2030**, aprobada el 15-04-2025 y presentada el 24-04-2025, articula computación, comunicaciones y sensórica con un presupuesto estimado de 808 millones de euros. La nota institucional incluye entre sus objetivos fomentar seguridad y reflexión sobre privacidad poscuántica: es una orientación programática, no la creación de un nuevo derecho subjetivo. La reserva presupuestaria y sus condiciones deberán precisarse con el texto íntegro de la estrategia y los instrumentos de financiación aplicables. El **Real Decreto317/2025, de 15 de abril** (BOE28-04-2025) regula subvenciones directas para el Hub de Comunicaciones Cuánticas dentro del componente16 del PRTR/PERTEChip. Su art1 identifica el programa y el art. 9.1 fija10 millones de euros; no es una convocatoria general. El RD 327/2026 modificó el art. 9.2 y el anclaje CID 253 desde 25-04-2026. El plazo de ejecución31-08-2026 del art. 10.2 ha transcurrido al corte; no se acredita aquí su cumplimiento. La denominación editorial iniciativa3.1 exige cotejo preciso con la estrategia si se conserva. En infraestructuras deben distinguirse tres proyectos y el estado probado de cada hito. **Quantum Spain:** el MTDFP anunció el 19-05-2026 la ampliación del ordenador digital del BSC a 35 cúbits y acceso mediante la Red Española de Supercomputación; el anuncio no prueba acceso efectivo de cada usuario. **EuroQCS-Spain:** EuroHPC anunció el 28-01-2025 el contrato del sistema analógico/annealer alojado enBSC, complementario del sistema digital; la nota ministerial de 28-05-2026 anunció su puesta en marcha. Las seis sedes europeas inicialmente citadas no son un inventario actual exhaustivo. **IberianQCI/EuroQCI-Spain:** el lanzamiento deLisboa enmayo2026 y la topología Vigo–Valença/Madrid/Barcelona/sur dePortugal permanecen pendientes de fuente primaria directa, sin afirmar despliegue operativo. En materia criptográfica nacional, destacan **CCN-TEC 009/BP-37**, recomendaciones para una transición poscuántica segura, julio2026, PYTEC, y **CCN-STIC 221**, mecanismos criptográficos autorizados, con contenido poscuántico y tablas de criptografía cuántica. TEC 009 es recomendación; STIC 221 puede tener relevancia exigible cuando la medidaENS o el instrumento aplicable la incorpora, según ámbito y nivel. No son una obligación PQC universal. El PDF públicoSTIC221 presenta noviembre2025 en portada y noviembre2024 enp2: conservar la discrepancia documental. ## I.3. Unión Europea La **Quantum Europe Strategy**, identificada comoCOM(2025)363 final y presentada/adoptada el 02-07-2025, es una comunicación de política industrial, investigación e infraestructuras; no es un reglamento directamente aplicable. La página institucional verifica fecha y cinco áreas de actuación. Se conserva como antecedente citado la EuropeanDeclarationonQuantum Technologies de 06-12-2023, pero la fecha, firma e impulso concreto de Presidencia española deben cotejarse con el documento primario de declaración antes de cerrarlos aquí. Sobre el futuro **Quantum Act**, el calendario actual de la Comisión actualizado el 28-09-2026 lo sitúa en 2026 con fecha **To be announced**. La expectativa de segundo trimestre citada en la edición de julio es histórica y no fecha actual confirmada. EPRS PE774.696 (20-11-2025) ySTOA PE774.707 (16-02-2026) son referencias oficiales localizadas; los PDF completos resultaron inaccesibles en el contraste independiente reutilizado. Sus propuestas de gobernanza, cooperación, propiedad intelectual, doble uso yhabilitación de seguridad, y las cifras 32%empresas/6%patentes atribuidas alJRC, deben cotejarse con páginas y denominadores antes de presentarse como verificación propia. No se acredita en este control lectura de una propuestaCOM o acto adoptado del Quantum Act. No puede inferirse una ausencia deliberada ni el diseño normativo definitivo del Quantum Act de búsquedas de términos incompletas. Sin lectura íntegra deEPRS/STOA y sin texto legislativo formal contrastado, que no se haya localizado una comparación conRIA es un límite documental, no prueba sólida de que el legislador haya descartado regulación basada en riesgo. La tesis del libro se formula como propuesta/inferencia revisable. En normalización, **CEN-CENELEC JTC 22 Quantum Technologies** se creó en**2022**, según su página oficial, y debe distinguirse deJTC21 deIA. El catálogo deJTC22 ya registra documentos técnicos cuánticos; localizar una norma publicada no prueba lectura de sus cláusulas ni certificación de un producto. La denominación del comité espejo español UNECTN71/SC14 queda pendiente de confirmación en catálogo primarioUNE. ## I.4. Contexto internacional La OCDE publicó enenero2025 **A quantum technologies policy primer**, Digital Economy Papers371. Sus pp 24–25 distinguen IA que ayuda a sensórica cuántica de las incertidumbres del aprendizaje automático cuántico; y p 51 recoge la advertencia de expertos deGFTech sobre un posible bloqueo multilateral por exceso de énfasis en seguridad. Es análisis prospectivo, no obligación ni posición normativa automática de todos sus miembros. Las referencias al informeWEF deenero2025 y al policy paperElcano deabril2025 se conservan como referencias pendientes de lectura primaria de sus pasajes; no se les atribuye aquí recomendación verificada sobre sensórica/chips ni comité espejo. ## I.5. Lagunas documentales declaradas Conforme a la tercera regla editorial, se consignan expresamente las siguientes ausencias o no-localizaciones, que no deben presentarse como inexistencias absolutas salvo que una búsqueda primaria directa y reproducible las confirme: - **OficinaC:** en la lectura realizada no se acredita un inventario exhaustivo de informes monográficos cuánticos; se propone comprobar el portal periódicamente antes de afirmar inexistencia. - **Iniciativas parlamentarias:** existe un contraejemplo positivo, PNL161/002287, BOCG-15-D-363 de 24-06-2025, pp 48–50, con objeto cuántico. No se afirma aprobación de laPNL ni exhaustividad del inventario. - **AEPD:** no se ha probado ausencia universal de guía monográfica; la fuente institucional localizada sobre actividad de 2022 no acredita toda su producción. - **CCN-STIC/QKD:** se verifican menciones y tablas deSTIC221; no se ha cerrado una búsqueda exhaustiva de guías operativasQKD y se mantiene esa reserva. # Anexo II. Analogía metodológica entre el acervo de IA y la gobernanza cuántica ## II.1. Tesis y advertencia de provisionalidad El acervo deIA (RIA, códigos, normalización, entornos de pruebas y autoridades) aporta piezas de **método** para gobernanza cuántica; no traslada automáticamente obligaciones. **[P/I]** Una comparación con política industrial comoChips Act puede servir de hipótesis de trabajo, pero no determina el futuroQuantum Act. El calendario Comisión28-09-2026 indica2026, fecha por anunciar; losPDFEPRS/STOA no están íntegramente contrastados en esta revisión. No cabe atribuirles un silencio deliberado ni concluir ausencia de propuesta formal a partir de acceso fallido. Las divergencias de análisis del material histórico son antecedentes de modelos, no aprobaciones editoriales. La hipótesis se revisará al contrastar un texto formal. Esta salvaguarda es la regla que gobierna todo el anexo: la analogía se presenta **siempre como metodológica y nunca como continuidad normativa**. El acervo de la inteligencia artificial aporta a la gobernanza cuántica piezas de método —códigos de conducta, entornos controlados de pruebas, arquitectura de estandarización—, no de contenido normativo. ## II.2. Mapa de correspondencias Cada traslado propuesto va acompañado de su advertencia de no equivalencia. La tabla debe leerse como una sola unidad: separar la columna de traslado de la de advertencia produce exactamente la sobreafirmación que este libro combate. II.2.1. Clasificación por niveles de riesgo *Estado en inteligencia artificial.* El RIA articula prohibiciones, sistemas de alto riesgo, transparencia para supuestos específicos y obligaciones deGPAI. La presentación pedagógica de cuatro niveles no son cuatro regímenes íntegramente operativos desdeagosto2024. Debe aplicarse el calendario escalonado de 2024/1689 modificado por 2026/1744: alto riesgo anexoIII02-12-2027 y anexoI02-08-2028, con excepciones ytransitorios; los demás bloques tienen sus fechas propias. Traslado metodológico propuesto. Clasificación por criticidad de caso de uso cuántico —por ejemplo, criptoanálisis de infraestructuras críticas, computación en salud o defensa, sensórica de doble uso e investigación básica— solo como herramienta interna de priorización de controles de gobernanza o QMS, no como categoría legal de riesgo cuántico. *Advertencia de no equivalencia.* No trasladar sin base normativa una categoría de usos cuánticos inaceptables. Un sistema cuántico puede generar impactos sobre personas e integrarIA o tratar datos personales; el hardware no lo excluye del RIA ni delRGPD. La aplicabilidad depende de función, definición, rol, categoría y calendario, con adaptación sustancial de cada evaluación. II.2.2. Obligaciones de transparencia *Estado en inteligencia artificial.* El RIA distingue transparencia e instrucciones de sistemas de alto riesgo (art. 13) y deberes específicos delart. 50 para determinados sistemas. Deben identificarse supuesto, rol y fecha de aplicación; riesgo limitado es una simplificación pedagógica y no un deber idéntico para todaIA. Traslado metodológico propuesto. Documentar de forma trazable origen, arquitectura, dependencias, supuestos de seguridad y limitaciones del sistema cuántico o poscuántico dentro del QT-QMS, como buena práctica de gobernanza interna y gestión de riesgos tecnológicos. *Advertencia de no equivalencia.* No se acredita una obligación horizontal autónoma de transparencia por el mero carácter cuántico. Ello no excluye obligaciones sectoriales ya existentes: RGPD, CRA, RIA o legislación del producto/servicio pueden exigir información y documentación según ámbito, rol y calendario. El QT-QMS propuesto no sustituye esos deberes ni debe crear por analogía obligaciones legales frente a terceros. II.2.3. Evaluación de conformidad y marcado CE *Estado en inteligencia artificial.* El régimenRIA de alto riesgo prevé evaluación de conformidad y marcadoCE cuando se cumplen ámbito, clasificación, rol y calendario aplicable. Deben leerse las fases modificadas por 2026/1744 y la interacción con legislación armonizada de producto; no es una obligación inmediata de todaIA/cuántica. Traslado metodológico propuesto. Protocolo de autoevaluación interna dentro del Manual QT-QMS, con documentación técnica, gestión de riesgos, trazabilidad y control de dependencias, de aplicación voluntaria salvo que el producto o sistema quede sujeto a un acto normativo aplicable como el CRA o el RIA por su propia naturaleza. *Advertencia de no equivalencia.* No anunciar un marcadoCEcuántico autónomo vigente o inminente sin norma formal contrastada. La estrategia política no lo crea. Esto no excluye el marcadoCE que pueda corresponder a un producto cuántico por la legislación ya aplicable; el análisis de ámbito y calendario debe hacerse por producto. II.2.4. Códigos de conducta voluntarios pre-regulación *Estado en inteligencia artificial.* El **GPAI Code of Practice**, publicado el 10-07-2025, es un instrumento voluntario para ayudar a proveedores de modelos deIA de propósito general a cumplir obligaciones aplicables. Debe distinguirse de la fuerza obligatoria del RIA, de la adhesión de un proveedor concreto y de un código cuántico propuesto. *Traslado metodológico propuesto.* **[P]** Elaborar un código voluntario de buenas prácticas cuánticas para computación, comunicaciones y sensórica, con controles propios de seguridad y ética. El instrumento puede ayudar a anticipar necesidades, pero no acredita cumplimiento de un futuro Quantum Act ni crea obligaciones legales. El calendario actual de la Comisión mantiene 2026 con fecha por anunciar. *Advertencia de no equivalencia.* Instrumento de transición por definición: revisable cuando se conozca el contenido definitivo del Quantum Act. “Traslado metodológico propuesto. Recomendar un «sandbox cuántico» español o europeo para ensayar en condiciones reales controles de migración PQC, seguridad de doble uso, certificación, interoperabilidad y gobernanza de ciclo de vida.” *Estado en inteligencia artificial.* El RD 817/2023 creó el entorno controlado español de pruebas de IA. El portal ministerial actualizado28-09-2026 declara finalizado el piloto y publica materiales/guías; no acredita por sí la fecha exacta01-07-2026. Debe distinguirse conclusión del piloto de la vigencia jurídica del real decreto. *Traslado metodológico propuesto.* Recomendar un «sandbox cuántico» español o europeo para ensayar en condiciones reales controles de migración PQC y de seguridad de doble uso. *Advertencia de no equivalencia.* El entorno de IA ensayaba reglas específicas de un marco en tramitación. Un entorno cuántico se propone aquí como instrumento de experimentación y política pública, con las normas ya aplicables al caso. El acceso incompleto al futuro Quantum Act no prueba ausencia universal de propuesta formal, y la estrategia no crea por sí un régimen de cumplimiento cuántico autónomo. “## II.3. Qué adoptar ya” *Estado en inteligencia artificial.* La fuente oficial de AESIA confirma el inicio de su actividad presencial en A Coruña el 14-02-2025. Sus competencias deben leerse en el marco normativo aplicable. La afirmación de investigaciones activas en 2026 requiere comunicado, expediente o informe oficial específico y queda sin cerrar en este control. *Traslado metodológico propuesto.* **[P]** Estudiar el diseño institucional de AESIA, incluida su descentralización y la combinación de concienciación, asesoramiento y supervisión, como referencia parcial de arquitectura. La comparación no traslada competencias ni establece prioridad jurídica de asesoramiento sobre sanción. *Advertencia de no equivalencia.* Este libro no propone crear por analogía una autoridad cuántica con competencias sancionadoras. La eventual creación y sus funciones necesitarían base normativa propia. La decisión editorial no prueba que el legislador haya descartado ese marco ni excluye autoridades ya competentes por RGPD, RIA, ciberseguridad o regulación sectorial. ## II.3. Qué adoptar ya - **[P]** Usar la estructura de ISO/IEC42001:2023 como referencia metodológica de roles, riesgos, mejora continua y auditoría interna. El Manual QT-QMS propuesto sigue siendo beta no certificable; no se acredita una certificación cuántica por analogía con la norma de IA. - **[R/S]** Incorporar CCN-STIC 221 y CCN-TEC 009 al análisis técnico, con versión, ámbito y fuerza jurídica diferenciados. No se afirma que sean las únicas fuentes nacionales; ENS o contrato pueden incorporar requisitos específicos. - **[P]** Redactar cláusulas de inventario, plan, hitos y gradualidad híbrida. La hoja de ruta europea y TEC 009 son recomendaciones; una autodeclaración no equivale a certificación ni a obligación PQC universal en 2026/2030/2035. Los hitos contractuales deben justificarse por criticidad y capacidad. - **[P]** Elaborar un código voluntario cuántico inspirado solo formalmente en el código GPAI, con contenido propio; no trasladar las obligaciones de proveedores GPAI. - **[R]** Seguir CEN-CENELEC JTC 22 para cuántica, distinguiéndolo de JTC 21 de IA. El espejo UNE CTN 71/SC14 requiere confirmación primaria de nombre/relación; se conserva la referencia con reserva. ## II.4. Qué no trasladar No debe trasladarse la arquitectura de riesgo del RIA como clasificación jurídica vinculante de cualquier uso cuántico. La tecnología puede, por su función, quedar dentro de normas vigentes deIA, datos, producto o sector. **[P/I]** La analogía metodológica permite estudiar códigos, entornos de pruebas, normalización y gobernanza anticipatoria, pero no determina diseño, sanciones o autoridades de un futuro Quantum Act. La comparación con Chips Act es una hipótesis editorial revisable. La propuesta académica de Kop se conserva como referencia doctrinal pendiente de cotejo íntegro, sin presentarla como consenso institucional ni texto legislativo. ## II.5. Documentos que conectan ambos ámbitos “Ponencia 154/7 (Cortes Generales, 2026). La pieza española de convergencia IA-cuántica queda verificada como informe de la Ponencia de análisis de las amenazas en el ciberespacio, en la era de la inteligencia artificial y la computación cuántica, constituida en la Comisión Mixta de Seguridad Nacional. El texto debe citarla como fuente parlamentaria española que trata conjuntamente IA, computación cuántica, Q-Day, estándares NIST, criptografía poscuántica y continuidad de servicios esenciales.” “EPRS, «Future-proofing the Quantum Europe Strategy for 2040» (PE 774.696). Fuente institucional parlamentaria relevante para encuadrar la Quantum Europe Strategy y sus escenarios prospectivos; debe citarse como análisis del Parlamento Europeo, no como propuesta legislativa ni como prueba concluyente por silencio del rechazo de un enfoque de riesgo.” **OCDE, A quantum technologies policy primer**, Digital Economy Papers371, enero2025: distingue convergencia IA/sensórica y limitaciones del aprendizaje automático cuántico. Enp24 atribuye a expertos GFTech la opinión de que QML no sería viable en un horizonte de diez años; es prospectiva de ese grupo, no certeza técnica universal. Enp51 contempla que la OCDE podría elaborar una recomendación futura de principios; el informe no acredita que esa recomendación se haya adoptado. “WEF, «Embracing the Quantum Economy: A Pathway for Business Leaders» (enero de 2025). Perspectiva empresarial y no normativa sobre economía cuántica, primeros movimientos estratégicos, casos de uso sectoriales y convergencia cuántica-IA como vector de innovación y eficiencia.” “Kop, «Towards a European Quantum Act» (arXiv:2509.14262, 13-09-2025). Propuesta académica desarrollada sobre un European Quantum Act de dos pilares, con regulación estilo New Legislative Framework, política industrial tipo Chips Act, tiers de riesgo, sandboxes, QT-QMS, marcado CE y OQTA; debe emplearse como término de comparación crítica, no como posición institucional de la UE.” ## II.6. Lagunas de este ejercicio Las lagunas se declaran por alcance de búsqueda. No se prueba ausencia universal de InformeC cuántico ni de guía AEPD/QKD. La inexistencia de iniciativas cuánticas al margen de 154/000007 es falsa como afirmación general: la PNL161/002287 figura enBOCG-15-D-363,24-06-2025, pp 48–50; no se acredita aquí su aprobación. La producción restante de Congreso/Senado, OficinaC, AEPD yCCN requiere búsqueda reproducible y periódica; no se enumeran preguntas o debates concretos sin identificación primaria. STIC 221 y TEC 009 son referencias efectivamente contrastadas, con alcance y naturaleza propios. # Anexo III. Refuerzo del bloque de criptografía poscuántica ## III.1. Dos carriles que no deben confundirse El NIST publica estándares y recomendaciones técnicas con ámbito estadounidense; Europa y España añaden normas, recomendaciones y esquemas de certificación con efectos distintos. Debe indicarse qué mecanismo se analiza, a quién alcanza cada instrumento y desde cuándo. FIPS no impone por sí una obligación universal europea; una recomendación europea de transición tampoco debe etiquetarse como ley. La contratación exige además comprobar producto, perfil, compatibilidad y evidencia. ## III.2. Estándares: corte histórico de 27-07-2026 y actualización propuesta a 03-10-2026 “NIST · qué usar · Estados Unidos · estándares técnicos y transición federal” | Fecha | Hito | Detalle | Estado al03-10-2026 | |:---|:---|:---|:---| | 2020 | SP 800-208 | LMS/XMSS, firmas con estado: control estricto de claves de un solo uso y ámbito recomendado específico | Final; no sustituto universal de firmas | | 13-08-2024 | FIPS 203/204/205 | ML-KEM, ML-DSA ySLH-DSA, con perfiles y parámetros propios | Finales; no certificado automático de módulo/implementación | | 12-11-2024 | IR 8547IPD | Borrador de transición: distingue nivel112/128 bits y tipo de uso; tablas2/4, pp 13–14 | Initial Public Draft; no calendario universalUE | | 11-03-2025 | HQC | Seleccionado comoKEM adicional basado en códigos | Estandarización en curso;2027 es previsión, no estándar final ya aprobado | | 18-09-2025 | SP 800-227 | Recomendaciones para mecanismos de encapsulación de clave | Final, distinto del borrador enero2025 | | 17-11-2025 | FIPS 203Planning Note | Corrección futura anunciada; no degrada el estado final | Nota oficial | | 19-12-2025 /29-06-2026 | CSWP 39/upd1 | Cripto-agilidad en software, hardware y firmware | Final actualizado | | 14-05-2026 /29-07-2026 | Firmas adicionales, IR 8610/proceso | Nueve candidatos avanzaron inicialmente; HAWK se retiró29-07 y quedan ocho enlista actual | Investigación/selección, no FIPS final | | Al corte | FN-DSA/FIPS 206 | NIST lo mantiene en desarrollo | No se acreditaFIPS 206 final ni conformidad por usarFalcon histórico | La tabla preserva hitos históricos y separa actualizaciones posteriores a julio. Los estándares finales no prueban ejecución, interoperabilidad ni certificación de un producto. “Europa y España · cuándo, a quién y con qué valor · Recomendaciones, certificación, guías técnicas y plazos de transición” | Fecha | Hito | Detalle | Estado al03-10-2026 | |:---|:---|:---|:---| | 11-04-2024 | Recomendación (UE)2024/1101 | Promueve hoja de ruta coordinada de transiciónPQC | Recomendación, no plazo sancionador universal | | 27-02-2025 | EUCC, Reglamento2024/482 | Aplicación del esquema europeo basado enCommon Criteria | Esquema con ámbito y requisitos propios; certificado de producto concreto no probado | | 23-06-2025 | Hoja de ruta Grupo de CooperaciónNIS | La hoja Part1v1.1,11-06-2025, publicada en web23-06, recomienda primeros pasos/planes nacionales y pilotos alto/medio a fin 2026, alto a fin 2030, completar riesgo medio a fin2035 y, para riesgo bajo, enlo factible | Recomendación; dirigida primero a Estados miembros; no deber universal por ley de cada entidad privada | | 30-04-2026 | Informe hibridaciónPQC ENISA/EUCC | Documento publicado sobre estado de estandarización, sin aprobar cada implementación concreta | Informe técnico publicado; no certificado automático ni borrador del propio informe | | Julio2026 | CCN-TEC 009 ySTIC221 | TEC 009 recomienda; STIC 221 mecanismos pueden ser exigibles porENS/instrumento aplicable según ámbito/nivel | R yS/encaje normativo condicionado; no deberPQC general | | 06-05-2025 /02-06-2026 | EUCC Guidelines v2/v3 | Portal mantienev2 comoApplicable Version yv3 comoDraft for Public Review; consulta prevista hasta fin julio2026 | v2 aplicable; v3 borrador, sin afirmar consulta abierta al corte | Fechas del instrumento, publicación, vigencia y consulta no equivalen a prueba de ejecución de un calendario de migración. Dos precisiones. Primera: la nota NIST 17-11-2025 deFIPS203 anuncia corrección futura y no cambia su estado final; paraFIPS204 debe conservarse también la nota31-07-2026 sin inferir invalidez general. Segunda: FN-DSA/FIPS 206 sigue en desarrollo según la página NIST al corte; no debe atribuirse conformidad con un FIPS 206 final a una implementaciónFalcon histórica. Esto no es prohibición universal de investigar o ensayar candidatos; producción requiere política, perfil, validación y riesgos específicos. ML-DSA ySLH-DSA sí tienen estándares finales propios. ## III.3. Lo que la computación cuántica no rompe Frente a búsqueda exhaustiva de claves simétricas, Grover ofrece una mejora cuadrática idealizada, distinta de Shor sobre factorización/logaritmo discreto. No deben equipararse todas las funciones hash o todos sus problemas de seguridad al mismo ataque. AES256 y parámetros hash apropiados pueden ser opciones de una política criptográfica concreta; su suficiencia depende de perfil, protocolo, amenaza e implementación, y no certifica por sí un sistema. La prioridad sobre RSA/DH/ECC requiere además el supuesto de un ordenador cuántico suficientemente capaz. “Lo que cae es la criptografía de clave pública basada en factorización o logaritmo discreto —RSA, Diffie-Hellman, ECDH/ECDSA y esquemas análogos—, por efecto de algoritmos cuánticos como Shor cuando exista un ordenador cuántico criptográficamente relevante.” ## III.4. La asimetría que ordena las prioridades “Confidencialidad: se rompe hacia atrás. Quien captura hoy tráfico protegido con criptografía vulnerable puede descifrarlo en el futuro si obtiene capacidad cuántica suficiente y conserva el material capturado. El daño alcanza a información ya transmitida y con vida útil larga. Por eso el reloj de la confidencialidad empezó antes de la disponibilidad comercial de ordenadores cuánticos: es el escenario ‘almacena ahora y descifra después’.” “Autenticidad: se rompe hacia delante. Una firma ya verificada y preservada con evidencias adecuadas no se falsifica retroactivamente por el mero avance cuántico, pero desde el momento en que un esquema de firma vulnerable deje de ser confiable podrán generarse nuevas firmas aparentemente válidas si no se han migrado claves, certificados y mecanismos de validación. El riesgo afecta especialmente a evidencia de larga duración, firmware, actualizaciones de software, certificados y registros distribuidos.” “De esta asimetría se sigue el criterio de priorización: el reloj de la migración lo marcan la vida útil de los datos, la criticidad del sistema, la exposición, la dependencia de terceros y el tiempo real de migración, no una fecha cierta de aparición del ordenador cuántico.” ## III.5. Mitigaciones disponibles (ENISA) **Mitigaciones disponibles [R/S].** Los híbridos combinan mecanismos clásicos y poscuánticos con un protocolo y combinador concreto; concatenar resultados o usarXOR no garantiza por sí seguridad si no se analizan supuestos, autenticación, KDF y fallos. RFC 10024 define gruposPQ/T paraTLS1.3, sin probar que una sesión los negocie. Una combinación de firmas exige perfil de verificación definido. Las claves precompartidas pueden mitigar casos con distribución inicial segura y gestión de secretos adecuada; no sustituyen de modo universal la migración ni certificación. El acceso a documentación no acredita interoperabilidad o ejecución. **QKD frente aPQC.** QKD distribuye material de claves mediante propiedades cuánticas; no sustituye automáticamente cifrado, autenticación, protección de extremos niPQC. Exige un canal clásico autenticado y supuestos operativos sobre módulos, nodos y entrega de claves. La autenticación puede usar mecanismos apropiados incluidos perfilesPQC; no es necesariamente siempre física ni siempre vulnerableretativamente. ETSIQKD014 especifica una API local de entrega con supuestos de seguridad, y deja fuera gestión/relevo de la red. La Recomendación2024/1101 admite estrategias combinadas; no crea una garantía universal de inviolabilidad. La citaENISA del original queda como referencia histórica pendiente de página exacta, sin reutilizarla como lectura propia. “Qué sigue vigente y qué quedó superado. Vigente: el riesgo ‘almacena ahora y descifra después’, la prioridad de inventario criptográfico, la necesidad de hibridación transitoria, la cripto-agilidad, la atención a dispositivos difíciles de actualizar y la preservación de confidencialidad de larga duración. Superado: cualquier recomendación de esperar pasivamente al resultado del proceso NIST, porque FIPS 203, 204 y 205 son estándares finales desde 13-08-2024 y NIST afirma que pueden y deben usarse ya. En desarrollo: HQC fue seleccionado para estandarización el 11-03-2025 y FIPS 206/FN-DSA sigue pendiente.” ## III.6. Priorización de la migración (Europol / Quantum Safe Financial Forum) *Nota de atribución:* el documento de priorización es una publicación de Europol, en el marco del Quantum Safe Financial Forum y con FS-ISAC, editada por la Oficina de Publicaciones de la Unión Europea en 2026. No es un documento de ENISA, confusión que conviene evitar en las citas. **La metodología en tres pasos.** Paso 1 — Quantum Risk Score: media redondeada de tres factores 1-3: vida útil del dato protegido (la «X» del teorema de Mosca: \<2 años / 2-5 / \>5), exposición (solo infraestructura propia / terceros específicos / públicamente accesible) y severidad del impacto. Paso 2 — Migration Time Score (la «Y» de Mosca): disponibilidad de solución (ya o \<1 año / 1-3 años / incierta o \>3), coste y tiempo de ejecución (ajustes BAU / cambios moderados / actualizaciones mayores p. ej. hardware) y dependencias externas (mínimas / hojas de ruta conocidas 1-3 años / inciertas). Paso 3 — matriz 3×3 de Migration Priority con seis clases: del «low-hanging fruit» de alto riesgo con solución disponible (transición inmediata) a lo de bajo riesgo abordable en modernización estándar; en las clases intermedias, acciones «no-regret» como pre-trabajo. El valor está en los insights, no en las puntuaciones: se anima a adaptar el marco (pp. 8-11). **[R]** Es un marco sectorial adaptable; las puntuaciones no son certificación, fecha legal de cumplimiento ni pronóstico cierto deQ-Day. El descargo de responsabilidad del informe (p 6) impide presentarlo como deber financiero universal. **Casos demostrativos [R]: pagos y webs públicas.** El informeQSFF analiza enpp13–15 el caso de autenticación offline de tarjetas, con riesgo2 (vida3, exposición3, severidad1) ytiempo3 según sus supuestos. No es todoTPV ni todo pago, ni prueba daño cuántico real. Las referencias a ciclos5–7 años y dependenciasPCI/EMV/CPACE describen ese ejemplo; no fijan plazo jurídico común. EMVCo anunció el 30-01-2026 trabajo evaluativo cuántico, por lo que no cabe afirmar ausencia universal de planes. Para webs (p 18) se describe disponibilidad en navegadores desde noviembre2024, no todos los navegadores, librerías, CDN y servidores. OpenSSL3.5 introdujo mecanismosML-KEM/híbridos y puede ofrecerX25519MLKEM768 por defecto; debe verificarse versión, configuración ynegociación real en cada cadenaTLS. El piloto dep20 es propuesta/demostración, no evidencia de banco concreto en producción. **Antipatrones criptográficos [R/P].** El informeQSFF (pp 21–24) trata deuda técnica como credenciales/parámetros incrustados, gestión manual de certificados, heterogeneidadTLS, versiones obsoletas, pinning de certificados no controlados ywildcards. Su tratamiento se adapta aarquitectura y riesgo: no equivale a prohibición legal universal de cualquier wildcard o pinning. TLS1.3 es requisito delperfil híbridoRFC10024; su mera habilitación no prueba PQC negociada. Se propone inventariar, priorizar, cambiar políticas ymedir remediación conKPIs, con evidencia operativa posterior; no se declara remediación ejecutada. ## III.7. Certificación europea: el esquema EUCC “Qué son las guidelines de criptografía del EUCC. El EUCC se adopta por el Reglamento de Ejecución (UE) 2024/482, que establece el esquema europeo de certificación de ciberseguridad basado en Common Criteria; EUR-Lex muestra aplicación desde 27-02-2025 conforme al artículo 50. El subgrupo de criptografía del ECCG mantiene los mecanismos criptográficos acordados: la versión aplicable v2 es de 06-05-2025 y la versión 3 fue publicada como borrador para revisión pública el 02-06-2026 hasta finales de julio de 2026. Para el ecosistema cuántico y postcuántico, esta es una vía técnica de incorporación de mecanismos criptográficos a la certificación europea de productos TIC.” **PQC e hibridación en certificación.** ENISA publicó el informe de estado de estandarización **Hybridization of traditional cryptographic mechanisms withPQC**,30-04-2026. Debe distinguirse del borradorACMv3 y del ACMv2 aplicable; documento publicado no equivale a aceptación de todo perfil ni certificado de producto. RFC 10024 (agosto2026) fija perfilesTLS1.3 incluidosX25519MLKEM768; OpenSSL3.5 documenta disponibilidad/configuración, no negociación ni uso bancario real. El ejemploQSFF dep20 apoya diseñar pilotos; no acredita que la banca ya los haya implantado. ENISA2021 se conserva como referencia histórica con límite de lectura independiente. ## III.8. El coste real de la migración, en bytes “Esta es la razón por la que migrar no es «cambiar de librería»: las claves, firmas, certificados, paquetes y firmware pueden crecer de forma material, y ese crecimiento afecta protocolos, hardware legado, memoria, latencia y procesos de certificación. Tamaños comparados, a escala, sujetos a verificación contra los estándares técnicos citados.” | Elemento/perfil | Objeto y codificación | Tamaño(bytes) | Fuente/alcance | |:---|:---|---:|:---| | X25519 | Clave pública | 32 | Referencia técnicaRFC10024§7.1; parte dekey share híbrida | | ECDSA P-256 /ES256 | Firma raw r||s deJWS | 64 | RFC 7518§ 3.4; no tamaño universal deDER/certificado | | Falcon-512, v1.2 histórico | Firma | 666 | Especificación autores§ 3.3, p 51; no FN-DSA/FIPS 206 final | | ML-KEM-768 | Clave pública de encapsulación | 1184 | FIPS 203tabla de parámetros; ciphertext1088, objetodistinto | | ML-DSA-65 | Firma | 3309 | FIPS 204, p 16, parámetros específicos | | SLH-DSA-SHA2/SHAKE-128s | Firma | 7856 | FIPS 205, p 43; perfil128s, no todaSLH-DSA | La key share X25519MLKEM768 es1216 bytes (1184+32), objeto distinto de un certificadoTLS completo. No se presentan tamaños de Falcon histórico como parámetros de una norma final aún en desarrollo. La comparación orientativa entre7856 bytes de una firmaSLH-DSA 128s y64 bytes deES256 raw da122,75 veces, aproximadamente123. No compara certificadosDER completos ni todos los perfiles deambasfamilias. El crecimiento puede afectar memoria, MTU, latencia, firmware y compatibilidad, pero un fallo oimpacto concreto exige medir la implementación. La tabla ilustra una diferencia deobjetos/tamaños; no prueba que todo hardware legado desborde. # Anexo IV. Refuerzo del bloque de servicios financieros “El tratamiento financiero debe reforzarse porque Europol/QSFF sitúa la migración PQC de servicios financieros como un problema de priorización práctica, coordinación sectorial y planificación a largo plazo. Este anexo debe desarrollar los ángulos financiero-regulatorios que complementan el epígrafe 4.9 del cuerpo del libro, distinguiendo obligaciones jurídicas, guías técnicas y recomendaciones sectoriales.” ## IV.1. Proveedores de servicios de criptoactivos y contratos inteligentes (MiCA) **Inventario criptográfico on-chain [P/I].** Extender el plan PQC a algoritmos de firma por red (ECDSA/secp256k1, EdDSA/Ed25519), funciones hash, carteras multifirma/MPC y dependencias de contratos inteligentes. Registrar claves públicas expuestas por firma previa, reutilización o diseño del protocolo y activos de clientes afectados. Una ruptura futura de firmas con capacidad cuántica suficiente podría permitir suplantación o movimientos no autorizados; es riesgo de autenticidad/salvaguarda, distinto de descifrar tráfico capturado (HNDL). La exposición depende de cada protocolo, dirección y uso: no toda dirección publica siempre su clave ni se acredita pérdida real. **Salvaguarda de activos [O/P].** Los arts.70 y75 MiCA imponen salvaguardas según rol y servicio; art.75 corresponde a custodia/administración por cuenta de clientes. **[P/I]** Se propone vincular el plan de migración a higiene de direcciones, almacenamiento en frío, rotación, segregación y respuesta documentada ante avances criptoanalíticos. La migración de emergencia a direcciones con clave no expuesta requiere viabilidad técnica, jurídica y gobierno de red; no es mandato literal de MiCA ni garantiza seguridad. El propio art.75.8 regula responsabilidad por pérdida imputable al prestador, con sus condiciones y límites. **Plan de firmas y bifurcación [P/I].** Para cada red, documentar transición de firmas ECC a perfiles poscuánticos admitidos por su consenso y arquitectura. ML-DSA/FIPS 204 y SLH-DSA/FIPS 205 son finales; FN-DSA/FIPS 206 sigue en desarrollo y no acredita conformidad final por usar un Falcon histórico. El plan debe contemplar criterios de activación, ventanas, comunicación a clientes, gobernanza de bifurcaciones, activos no migrados, auditoría periódica de contratos y dependencias, capacidad de actualización y riesgo de pérdida. Es propuesta de diligencia; no prueba migración ejecutada ni ausencia de pérdidas, ni crea mandato nominal MiCA de usar un algoritmo. **CASP y contratos inteligentes ante Shor [I/P].** Los riesgos para continuidad y salvaguarda dependen de algoritmo, exposición de claves, red y capacidad futura del atacante. Deben analizarse inventario on-chain, artículos70/75 MiCA según servicio, auditoría de contratos y dependencias, recuperación, revocación, gobierno de red e información de riesgos material según el rol del obligado. Un CASP no es automáticamente emisor responsable de un libro blanco. La publicación de una clave y su reversibilidad dependen del protocolo. No existe en las fuentes contrastadas una regla nominal universal de pérdidas cuánticas, pero MiCA art.75.8 sí regula pérdidas imputables al custodio: contrato y hechos deben analizarse dentro de ese régimen, además de normas sectoriales y civiles. ## IV.2. Régimen piloto DLT: firmeza, claves y valor probatorio El régimen piloto como banco de pruebas QDLT. Para infraestructuras de mercado acogidas al Reglamento (UE) 2022/858, el régimen de exenciones controladas puede servir como entorno jurídico-operativo acotado para ensayar arquitecturas DLT resilientes y, cuando sea admisible en la infraestructura concreta, componentes de firma poscuántica. Los resultados deberían documentarse como evidencia de diligencia técnica y de gestión del riesgo frente a ESMA y las autoridades nacionales, sin presentar el Reglamento como autorización expresa de QDLT ni como mandato de adopción PQC. Firmeza, claves y valor probatorio. La ficha debe presentar este bloque como análisis operativo de la infraestructura de mercado DLT, más allá del objeto general del Reglamento (UE) 2022/858. Debe cubrir firmeza y corrección de la liquidación ante una ruptura criptográfica, control de claves y reversibilidad operativa, custodia, recuperación, revocación en registros persistentes, salida del régimen piloto, interoperabilidad con sistemas heredados y valor probatorio de los registros tras una migración criptográfica. La propuesta de re-anclar o re-firmar el histórico antes de que el esquema antiguo deje de ser fiable debe mantenerse como medida de diligencia probatoria y continuidad, no como obligación expresa del Reglamento. ## IV.3. MiFID II y MAR: gobernanza del riesgo de modelo **Gobernanza del riesgo de modelo [O/I/P].** MiFIDII art.17 y sus modificaciones/RTS aplican a negociación algorítmica según definición, actividad y rol, con pruebas, límites, continuidad y controles apropiados. **[I]** Optimización o aprendizaje cuántico pueden requerir esos controles si cumplen el supuesto; no por su etiqueta. MAR prohíbe conductas de abuso/manipulación conforme a sus elementos, no una ventaja de cálculo por sí sola. **[P/I]** Se propone analizar explicabilidad, validación, concentración de proveedores y acceso a recursos escasos/colocación/nube. No se atribuye a MiFID/MAR una obligación general de repartir acceso a toda infraestructura cuántica. ## IV.4. Marco prudencial y expectativas supervisoras **Plan PQC como evidencia de gestión del riesgo TIC [I/P].** Un plan con inventario, prioridades, hitos, presupuesto, responsables y terceros puede apoyar el marco DORA arts.6/9 cuando el riesgo es relevante. Un plan no prueba ejecución ni conformidad por sí mismo. La hoja NIS recomienda hitos; FINMA aporta orientación supervisora suiza específica; G7-CEG declara expresamente que su hoja no es guidance ni establece expectativas regulatorias. No se convierten en obligación DORA nominal PQC universal. **Cláusula8 y artículo30 DORA [O/P].** El contrato debe analizarse según artículo30.2: servicios/funciones y subcontratación admisible; ubicaciones y aviso de cambios; disponibilidad, autenticidad, integridad y confidencialidad; acceso, recuperación y devolución de datos personales/no personales ante insolvencia/cese o terminación; niveles de servicio; asistencia ante incidentes sin coste adicional **o con coste fijado deantemano**; cooperación con autoridades; derechos de terminación/preavisos; y condiciones de participación en formación/concienciación de seguridad. Para funciones **esenciales o importantes**, artículo30.3 añade niveles/hitos cuantitativos, cambios con impacto material, contingencia/seguridad, cooperación enTLPT cuando proceda, monitorización/acceso/inspección/auditoría ysalida con período adecuado de transición. Las modalidades deben respetar condiciones delprecepto y protecciones legítimas deotros clientes; no se prescribe acceso ilimitado universal. La localización delhardware QCaaS ylas cláusulas detalladas son propuesta contractual aajustar al servicio, no prueba decontrato compliant ya firmado. **Registro y concentración [O/P/I].** DORA art.28.3 obliga a la entidad financiera a mantener el registro de acuerdos TIC; la información yplantillas2024/2956 se aplican según servicio, función y cadena pertinentes. **[P]** El contrato puede exigir al proveedor los datos necesarios, LEI/EUID cuando procedan e información de subcontratación; no es un deber genérico de todo proveedor de presentar por sí el registro anual a la autoridad. **[I]** La concentración cuántica se evalúa bajo art.29. La designación de un tercero esencial bajo arts.31–44 exige el procedimiento y criterios propios: escasez de hardware oconcentración no designa automáticamente. **Marco prudencial y referencia comparada [O/I/R].** MiCA, DLT, DORA yMiFID/MAR pueden cubrir riesgos operacionales, modelos, concentración, materialidad ydivulgación según ámbito y rol. FINMA Guidance05/2026, de 09-07-2026, se refiere aentidades bajo supervisión suiza yrecomienda hojaPQC aprobada por órgano de gobierno a mediados de 2027. G7-CEG, enero2026, ofrece coordinación no prescriptiva y declara que no es guidance ni establece expectativas regulatorias. El régimen FINMA no se traslada automáticamente aEspaña/UE, yel G7 no debe llamarse expectativa supervisora obligatoria. # Anexo V. El Observatorio: la versión viva de este Libro Blanco ## V.1. Por qué un observatorio Un libro blanco fija una fotografía. El ritmo de cambio del entorno regulatorio cuántico hace que esa fotografía pueda envejecer antes de publicarse, como ilustra el historial interno de actualizaciones del inventario normativo durante la última semana de julio de 2026. El Observatorio de Regulación Cuántica traslada la trazabilidad del nivel de documento, con una fecha de actualización global, al nivel de registro: cada norma, estándar o instrumento de política pública debe tener una ficha con identificador oficial, estado, fechas clave, relevancia cuántica, obligaciones etiquetadas, fecha de verificación propia e historial de cambios. La arquitectura editorial debe seguir siendo deliberada: el dataset es el producto y la web es una vista. El anexo y el sitio en línea deben generarse de la misma fuente para reducir el riesgo de divergencia, aunque la ausencia de divergencia solo puede afirmarse tras control técnico o revisión de publicación. ## V.2. Criterios de verificación La fecha de extracción registra procedencia ypermite comprobar fidelidad documental frente aloriginal conservado; no certifica exactitud jurídica delLibro Blanco ni aprobación del comité editorial. La verificación normativa debe registrarse por ficha contra la fuente primaria, con versión, fecha, pasaje, autoría, resultado yreservas. Una capturaHarvey, un hash o un inventario completo no equivalen a certificación ni a revisión legal aceptada. Las normas e instrumentos más volátiles deben recibir recontraste más frecuente que las fichas estables. La cadencia puede ser mensual si la verificación editorial de un ciclo cabe en unas dos horas, y trimestral declarada si no. Debe existir además una vía de alta urgente fuera de ciclo para hitos con ventana breve —cierres de consulta pública, fechas de aplicación inminentes o cambios de estado jurídico— que no puedan esperar al siguiente número. Regla de publicación: sin firma no hay publicación. Cada cambio propuesto debe validarlo una persona identificable contra la fuente primaria antes de trasladarse a la web, y el historial de cada ficha debe quedar registrado de forma permanente. ## V.3. Índice de fichas | Ficha | Área | Estado | Criterios | |:---|:---|:---|---:| | RGPD | Protección de datos | Norma en vigor y aplicable en sus condiciones | 5 | | NIS2 | Ciberseguridad y resiliencia | Directiva: obliga al resultado, aplica vía Derecho nacional | 4 | | DORA | Ciberseguridad y resiliencia | Norma en vigor y aplicable en sus condiciones | 3 | | CRA | Ciberseguridad y resiliencia | En vigor con fechas de aplicación por fases | 4 | | RIA | Inteligencia artificial | En vigor, reformado por 2026/1744 desde 27-07-2026; fases y excepciones de alto riesgo | 5 | | eIDAS2 | Identidad digital y servicios de confianza | Norma en vigor y aplicable en sus condiciones | 3 | | Doble uso | Control de exportaciones y doble uso | Norma en vigor y aplicable en sus condiciones | 3 | | Productos defectuosos | Responsabilidad por productos | Directiva: obliga al resultado, aplica vía Derecho nacional | 2 | | MiCA | Servicios financieros, criptoactivos y DLT | Norma en vigor y aplicable en sus condiciones | 2 | | Régimen piloto DLT | Servicios financieros, criptoactivos y DLT | Norma en vigor y aplicable en sus condiciones | 2 | | MiFID II / MAR | Servicios financieros, criptoactivos y DLT | Norma en vigor y aplicable en sus condiciones | 2 | | CSRD/ESRS | Sostenibilidad e información corporativa | CSRD modificada porDirectiva2026/470: transposición nacional; ESRS2026/1563 publicado, vigor10-11-2026 y aplicación ordinaria ejercicios2027 | 2 | | EHDS | Protección de datos | En vigor con fechas de aplicación por fases | 2 | | Data Act | Datos, cloud e industria | Norma en vigor y aplicable en sus condiciones | 2 | | Reglamento de Chips | Datos, cloud e industria | Norma en vigor y aplicable en sus condiciones | 2 | | NIST PQC (FIPS 203-206, HQC) | Estándares técnicos | FIPS 203/204/205 finales;206/HQC en desarrollo; sin obligación generalUE ni certificado deimplementación | 3 | | ETSI QKD | Estándares técnicos | Especificación técnica; sin fuerza de obligación general en la UE | 2 | | Hoja de ruta europea PQC | Política pública y hojas de ruta | RecomendaciónNIS Part1v1.1,11-06/publicación23-06-2025; hitos diferenciados, sin deber privado universal | 2 | | Quantum Europe Strategy | Política pública y hojas de ruta | Política pública; no debe confundirse con obligaciones legales | 1 | | Quantum Act | Política pública y hojas de ruta | Iniciativa anunciada; calendarioComisión28-09-2026:2026fecha por anunciar; no texto formal leído en este control | 1 | | Estrategia España 2025-2030 | Política pública y hojas de ruta | Política pública; no debe confundirse con obligaciones legales | 1 | | Paquete Ómnibus Digital | Política pública y hojas de ruta | ÓmnibusIA2026/1744 ya publicado/envigor; otraspropuestas separadas, no estadoúnico delpaquete | 1 | | Ponencia 154/7 (Cortes) | Política pública y hojas de ruta | Instrumento no vinculante (soft law institucional) | 3 | | CCN: TEC 009 + STIC 221 | Estándares técnicos | TEC 009recomendación; STIC 221mecanismos con encajeENS/instrumento según ámbito y nivel | 2 | | CEN-CENELEC JTC 22 | Estándares técnicos | Especificación técnica; sin fuerza de obligación general en la UE | 2 | | EUCC (criptografía) | Ciberseguridad y resiliencia | Reglamento2024/482 aplicable; ACMv2aplicable yv3draft, consulta fin julio, no abierta al corte | 3 | | ENISA PQC (2021) | Ciberseguridad y resiliencia | Instrumento no vinculante (soft law institucional) | 4 | | Europol QSFF: priorización PQC | Servicios financieros, criptoactivos y DLT | Instrumento no vinculante (soft law institucional) | 4 | Índice de 28fichas y72criterios del corte histórico, no inventario actualizado certificado. Los estados propuestos separan directiva/reglamento, versión, rol y calendario; cada ficha exige su control documental yrevisión del comité editorial. Total histórico del corte de 27 de julio de 2026: 28 fichas y 72 criterios etiquetados conforme a la taxonomía O/I/S/R/P. A 3 de octubre de 2026, ese total debe tratarse como recuento histórico pendiente de revalidación ficha a ficha, no como recuento actualizado del Observatorio. ## V.4. Etiquetas | Etiqueta | Significado | |:---------|:-----------------------------------------| | **O** | Obligación normativa expresa | | **I** | Interpretación jurídica basada en riesgo | | **S** | Estándar técnico | | **R** | Recomendación no vinculante | | **P** | Propuesta de política o buena práctica | # Anexo VI. Manual de aplicación QT-QMS *Anexo operativo del Libro Blanco: propuesta genérica e ilustrativa de controles, procesos yherramientas para gestión ética, de seguridad ycalidad en tecnologías cuánticas. Su contenido es orientativo yrequiere adaptación técnica, jurídica y sectorial.* El ManualQT-QMS es una propuesta **beta no certificable**; no crea presunción legal deconformidad, marcadoCE ni sello cuántico. Se organiza en controles por tipología, gobernanza, guías operativas yaplicaciones sectoriales, con cripto-agilidad como prioridad transversal. No se declara implantación, pruebas, certificación o aprobación del comité editorial. Estructurado en secciones temáticas —controles por tipología, gobernanza, guías operativas y aplicaciones sectoriales—, ofrece controles, procesos y herramientas prácticas que las organizaciones pueden adaptar a su contexto. Prioriza la cripto-agilidad como capacidad transversal para migrar y sustituir algoritmos, claves y dependencias criptográficas sin rediseñar por completo los sistemas. La implementación operativa de la ética y la regulación en tecnologías cuánticas requiere acciones concretas adaptadas a cada realidad tecnológica y sectorial. Este Manual QT-QMS desgrana, con vocación ilustrativa y práctica, controles, procesos y guías para construir esa confianza paso a paso. La cripto-agilidad aparece como un elemento transversal crítico, especialmente en finanzas, administraciones públicas y defensa, mientras que la neutralidad tecnológica recuerda no descartar herramientas como PQC, QKD, computación, comunicaciones o sensores, siempre que se incorporen con salvaguardas jurídicas, técnicas y operativas. Cada organización deberá priorizar según su contexto una estrategia particular, pero todas comparten el desafío de navegar la segunda revolución cuántica sin perder de vista derechos, seguridad, justicia y sostenibilidad. Con sistemas de gestión de la calidad ética como el aquí propuesto, las organizaciones estarán mejor preparadas para que la promesa cuántica se materialice de forma beneficiosa y controlada. ### 1. Controles por Tipología de Tecnología Cuántica Como se describe en el Libro Blanco, a efectos de este manual se adopta una categorización de las tecnologías cuánticas por ámbitos de implantación en la sociedad y la economía, incluidos computación, comunicaciones, sensórica y metrología. A continuación se proponen, con carácter ilustrativo y vocación práctica, controles de seguridad, calidad y ética para cada tipología, con el fin de favorecer un desarrollo y una implantación responsables y conformes con la normativa aplicable. #### 1.1 Criptografía Post‑Cuántica (PQC) La criptografía poscuántica agrupa algoritmos clásicos de encapsulación, cifrado yfirma diseñados para resistir amenazas clásicas ycuánticas bajo sus supuestos de seguridad. Puede requerir cambios desoftware, hardware, firmware, protocolos, PKI y gestión de claves; no equivale a cambiar solo una librería. La prioridad se determina por vida útil de datos, autenticidad, criticidad, exposición ytiempo de migración, sin afirmar fecha cierta ni inminencia de un ordenador criptográficamente relevante. Los controles clave son los siguientes, sin perjuicio de su adaptación al sector, al caso de uso y al estado de los estándares aplicables: **[R/P] Controles propuestos; pruebas y pilotos aún no ejecutados en esta revisión.** - **Inventario de algoritmos y claves:** Identificar todos los mecanismos criptográficos actualmente en uso (protocolos, bibliotecas, certificados, módulos hardware, servicios gestionados y dependencias de terceros) susceptibles de quedar comprometidos por capacidades cuánticas. El inventario debe registrar algoritmos de clave pública vulnerables, incluidos RSA, Diffie-Hellman y criptografía de curva elíptica, así como su ubicación en sistemas, comunicaciones, certificados, firmware y procesos de firma, para priorizar qué activos requieren migración. - **Evaluación de riesgos y clasificación de datos:** Analizar qué datos o sistemas serían más críticos si se vieran comprometidos por un ataque cuántico futuro. Deben priorizarse los datos personales de riesgo elevado o categorías especiales cuando proceda una evaluación de impacto conforme al RGPD, los secretos empresariales de larga vida, claves maestras, historiales médicos, información clasificada o regulada y cualquier información con vida útil de confidencialidad superior al horizonte de migración. La evaluación debe incluir el escenario "almacena ahora y descifra después" o "harvest now, decrypt later", en el que un atacante captura tráfico cifrado actual para descifrarlo cuando disponga de capacidad cuántica suficiente. - **Cripto-agilidad en el diseño:** Asegurar que los nuevos desarrollos de software, hardware, servicios cloud, productos conectados y sistemas de firma sean *crypto-agile*, es decir, capaces de sustituir algoritmos, tamaños de clave, bibliotecas y perfiles criptográficos sin rediseñar la solución completa. Esto implica usar módulos criptográficos actualizables, abstracciones de gestión de claves, inventarios mantenibles, pruebas de regresión criptográfica y arquitecturas modulares preparadas para incorporar nuevos estándares y retirar primitivas vulnerables. - **Selección e implementación de algoritmos PQC:** Adoptar preferentemente los algoritmos estandarizados o recomendados para cada caso de uso, usando la denominación vigente de los estándares. NIST aprobó en 2024 FIPS 203, **ML-KEM**, derivado de CRYSTALS-Kyber, para encapsulación de claves; FIPS 204, **ML-DSA**, derivado de CRYSTALS-Dilithium, para firmas digitales; y FIPS 205, **SLH-DSA**, derivado de SPHINCS+, para firmas hash-based sin estado. Las referencias a "Kyber", "Dilithium" o "SPHINCS+" deben conservarse solo como equivalencia histórica de las propuestas que originaron los estándares, no como nombre principal de cumplimiento. Otras primitivas pueden incorporarse en fases posteriores, por lo que la planificación debe prever sustitución y coexistencia de algoritmos conforme evolucionen NIST, ENISA, ETSI, IETF, ISO/IEC, ITU-T y las autoridades nacionales competentes. - **Estrategia híbrida de cifrado y establecimiento de claves:** Durante la transición, emplear soluciones híbridas que combinen algoritmos tradicionales ampliamente desplegados con algoritmos postcuánticos, de modo que la seguridad no dependa exclusivamente de una familia criptográfica nueva ni de primitivas clásicas vulnerables a un ordenador cuántico criptográficamente relevante. En TLS 1.3, la referencia histórica a borradores IETF debe actualizarse: el intercambio híbrido ECDHE-MLKEM definido inicialmente en el borrador del grupo TLS fue publicado como RFC 10024, mientras que otros perfiles o usos de ML-KEM pueden seguir teniendo estado de borrador o documento específico según el protocolo. La política interna debe distinguir los estándares ya publicados de los Internet-Drafts, que por definición son documentos de trabajo y no deben citarse como referencia estable salvo indicando su estado. - **Validación y pruebas continuas:** Establecer un entorno de pruebas para nuevos algoritmos y perfiles PQC. Deben realizarse pruebas de rendimiento, interoperabilidad, tamaño de mensajes, compatibilidad con sistemas legados, manejo de errores, impacto en disponibilidad y comportamiento bajo cargas reales. También conviene participar en pilotos sectoriales o de administración pública cuando existan, siempre que se documenten hipótesis, versiones de estándar, proveedores, resultados y límites de extrapolación. - **Cumplimiento y hoja de ruta [R/P]:** Documentar inventario, prioridades, responsables, presupuesto, hitos, dependencias, excepciones y revisión. La Recomendación2024/1101 no fija por sí los plazos de la hoja NIS Part1v1.1. Sus hitos recomendados se dirigen primero a Estados: primeros pasos/planes/pilotos antes de fin 2026, alto riesgo antes de fin 2030, completar riesgo medio antes de fin2035 y, para riesgo bajo, enlo factible. TEC 009 de julio2026 es recomendación técnica; su fecha22-07 es anterior al corte histórico27-07, no una novedad posterior. STIC 221 puede ser exigible porENS/instrumento según ámbito, nivel ymedida; no afirmar migración universal obligatoria por un comunicado. Los ejemplos internos2025/2028 son objetivos ilustrativos, no hechos ejecutados ni fechas legales. **Nota [R].** La preparaciónPQC debe atender fuentes yámbitos distintos. La ficha **Quantum-Readiness** pertenece aCISA, NSA yNIST; es orientación de preparación, no obligación financiera europea. CNSA2.0 ysu calendario deben limitarse a su ámbito estadounidense de sistemas nacionales de seguridad, y requieren documento primario si se cita un hito concreto. ANSSI recomienda inventario, priorización crítica ehibridación, y su postura sobre compras2030 se formula en contexto francés, con ámbitos regulados propios. EnEspaña, TEC 009 de julio2026 recomienda transición según riesgo; STIC 221/ENS pueden incorporar requisitos específicos. Ni la fecha22-07-2026 es posterior al corte27-07 ni una nota general crea deberPQC universal. #### 1.2 Distribución Cuántica de Claves (QKD) La QKD permite generar y distribuir claves secretas compartidas utilizando propiedades cuánticas de señales ópticas, con mecanismos que pueden revelar interferencias o intentos de observación del canal bajo las condiciones técnicas del sistema. No sustituye a la criptografía matemática ni cifra por sí misma el contenido de las comunicaciones: protege la distribución de claves y debe integrarse con algoritmos, protocolos, autenticación, gestión de claves y controles operativos. Puede servir como complemento de la PQC en estrategias de ciberseguridad por capas para enlaces o infraestructuras críticas, especialmente cuando se busque diversificar los principios de seguridad frente a riesgos residuales de soluciones puramente algorítmicas. Controles para QKD: **[R/P/S] ControlesQKD propuestos, con ámbito de cada referencia ysin certificación de producto inferida.** - **Evaluación de aplicabilidad:** Determinar en qué escenarios la QKD aporta valor real frente a alternativas exclusivamente postcuánticas o híbridas. Puede ser relevante en enlaces gubernamentales, de defensa, financieros, sanitarios, industriales o de infraestructuras críticas donde existan claves maestras, datos de larga vida o requisitos de resiliencia especialmente altos. La evaluación debe incluir distancia, tasa de generación de claves, topología, necesidad de nodos confiables, coste, dependencia de equipos especializados, disponibilidad del enlace, seguridad física, interoperabilidad y ciclo de vida de certificación. Debe evitarse fijar una cifra única de distancia como regla general si no está respaldada por la arquitectura concreta, el equipo seleccionado y los resultados de ensayo. - **Interoperabilidad y estandarización:** Adoptar soluciones QKD compatibles con estándares y especificaciones abiertas en la medida aplicable. ETSI GS QKD 014 define un protocolo y formato de datos de API REST para entrega de claves y se relaciona con ETSI GS QKD 004, que define una interfaz de aplicación para QKD. ETSI GS QKD 015 trata interfaces de gestión para integrar QKD en arquitecturas de plano de control desagregadas, especialmente SDN. ETSI GS QKD 016 contiene un perfil de protección Common Criteria para pares de módulos QKD de tipo prepare-and-measure. Los catálogos públicos deISO/IEC23837-1/-2:2023 describen requisitos/métodos de evaluaciónQKD, pero no se han leído sus cláusulas completas de pago ni evaluado unproducto. El catálogoITU-TY.3800 confirma aprobación25-10-2019, corrección2020 y estado en vigor; el resumen describe redesQKD, sin equivaler alectura íntegra de cláusulas. En adquisiciones se propone exigir, según objeto, proporcionalidad yequivalencia, evidencia de conformidad, ensayos o certificación bajo el esquema aplicable, evitando referencias genéricas a un "sello ETSI" si no existe una certificación concreta identificada. - **Integración con la gestión de claves existente:** Incorporar la QKD dentro del sistema de gestión de claves organizativo como una fuente o módulo controlado, no como un circuito paralelo sin gobierno. Deben definirse procedimientos para recibir claves QKD, asociarlas a identidades y sesiones, combinarlas con material criptográfico simétrico mediante funciones derivadoras de clave estándar, renovar y caducar claves, registrar eventos y gestionar indisponibilidades. Si se opta por un esquema de *one-time pad*, deben cumplirse estrictamente sus condiciones: clave verdaderamente aleatoria, del mismo tamaño que el mensaje, secreta y de uso único. En la práctica ordinaria, será más prudente usar las claves QKD como material de entrada en KDFs y políticas de rotación que mantener generadores o combinadores no estandarizados. La operación debe ser transparente para el usuario final, pero auditable por seguridad, cumplimiento y continuidad de negocio. - **Seguridad física y operacional:** Si se despliega QKD, debe protegerse físicamente la infraestructura QKD, incluidos emisores, detectores, extremos de fibra, equipos satelitales, salas técnicas, alimentación, sincronización y enlaces auxiliares. La seguridad de QKD puede verse degradada si un atacante accede al hardware, manipula componentes ópticos o explota defectos de implementación, por lo que deben aplicarse controles de acceso, vigilancia, evidencias de manipulación, procedimientos de calibración, segregación de funciones, gestión de vulnerabilidades y formación específica del personal. La evaluación de seguridad debe cubrir tanto componentes ópticos cuánticos como componentes de red convencionales y la implementación completa del protocolo. - **Planes de contingencia (*fall-back*):** Asegurar que una interrupción del enlace QKD no compromete la disponibilidad ni obliga a volver a primitivas vulnerables sin control. El plan de contingencia debe establecer alternativas PQC o híbridas, criterios de conmutación, umbrales operativos, registro del evento, validación posterior y comunicación a responsables de seguridad. El uso temporal de RSA, ECDH o ECC solo debe aceptarse como excepción justificada y documentada si cumple la política transitoria aplicable; la regla editorial no debe presentar RSA/ECC como respaldo estructural "robusto" frente a la amenaza cuántica. - **Monitoreo legal, regulatorio y de certificación:** En la UE debe vigilarse la evolución de eIDAS, los esquemas europeos de certificación de ciberseguridad y las normas sectoriales. El Reglamento (UE) 2024/1183 modifica eIDAS para el marco europeo de identidad digital y servicios de confianza, pero no se ha localizado en el texto leído una categoría autónoma de servicio de confianza basada en QKD. EUCC está adoptado y operativo para productos TIC como hardware, software y componentes, mientras que el estado formal deEUCS requiere registro primario actualizado antes de atribuir esquema vigente decloud. QKD podría quedar sometida a evaluación o certificación si el producto, componente, servicio o infraestructura encaja en el ámbito de un esquema aplicable, pero no debe afirmarse que exista ya un régimen europeo específico de certificación QKD de aplicación general. La seguridad de un one-time pad exige además autenticación e implementación adecuadas; la longitud, aleatoriedad yuso único no prueban seguridad de todos los extremos. ETSI014/API no acredita interoperabilidad integral ni certificado de red. Una prueba de conformidadISO/ETSI no se inventa a partir de la mera referencia de catálogo. **Ejemplo:** EuroQCI no debe fecharse como una iniciativa comenzada en 2024. La Comisión Europea indica que EuroQCI fue lanzada en 2019 con la Declaración EuroQCI y que, a 2026, la Comisión trabaja con los 27 Estados miembros y la ESA para diseñar, desarrollar y desplegar una infraestructura de comunicación cuántica segura que abarque la UE, incluidos territorios de ultramar. EuroQCI se compone de un segmento terrestre basado en redes de fibra que conectan emplazamientos estratégicos nacionales y transfronterizos, y de un segmento espacial basado en satélites. La primera fase de implementación terrestre se desarrolló de 2023 a 2025 con apoyo de Digital Europe; desde enero de 2024 la Comisión lanzó NOSTRADAMUS como infraestructura de ensayo y evaluación para tecnologías y servicios QKD; y el segmento espacial se apoya en una primera generación de satélites EuroQCI, incluido Eagle-1, previsto para finales de 2027. Las organizaciones de sectores críticos podrían conectarse en el futuro a redes o servicios vinculados a EuroQCI, pero esa posibilidad deberá evaluarse según elegibilidad, disponibilidad nacional, gobernanza, requisitos técnicos y certificación aplicable. #### 1.3 Computación Cuántica & Inteligencia Artificial Cuántica (Quantum‑AI) La computación cuántica comprende los ordenadores cuánticos y sus algoritmos, mientras que la IA cuántica se refiere a la aplicación de métodos cuánticos o híbridos cuántico-clásicos para acelerar, optimizar o modificar procesos de inteligencia artificial, como aprendizaje automático cuántico u optimización combinatoria. Estas áreas plantean controles orientados a asegurar resultados fiables, seguros, explicables cuando proceda, no discriminatorios y alineados con la normativa de IA. La aplicación del Reglamento (UE) 2024/1689 no depende de que la tecnología subyacente sea clásica o cuántica, sino de que el sistema encaje en la definición y en los supuestos de riesgo correspondientes. El potencial no demuestra ventaja práctica, ahorro ni fiabilidad de un sistema concreto; hacen falta comparadores clásicos, datos, errores ylímites reproducibles. **[R/P] Controles propuestos; los segmentosO se activan solo por definición, rol, categoría y calendario.** - **Validación de resultados cuánticos:** Desarrollar protocolos de verificación de cálculos cuánticos o híbridos cuántico-clásicos. Dado que ciertos algoritmos cuánticos, como optimizaciones heurísticas o modelos de *Quantum Machine Learning*, pueden producir resultados que no son fácilmente comprobables por métodos clásicos a escala completa, deben implantarse *benchmarks*, validaciones cruzadas, pruebas con instancias reducidas, comparación con simuladores clásicos cuando sea viable, análisis de sensibilidad y revisión humana experta en usos de impacto significativo. Cuando existan protocolos de verificación cuántica aplicables, podrán incorporarse como controles adicionales, siempre documentando su madurez y límites. - **Transparencia algorítmica y explicabilidad:** Documentar el diseño del circuito, modelo o flujo híbrido, los datos de entrada, las salidas, la contribución de la parte cuántica y las condiciones bajo las que el resultado puede considerarse fiable. En sistemas que entren en el régimen de alto riesgo del Reglamento (UE) 2024/1689, la documentación debe permitir cumplir los requisitos aplicables de transparencia, instrucciones de uso, supervisión humana, registro y control de riesgos. Cuando el sistema trate datos personales y participe en decisiones automatizadas o elaboración de perfiles, debe coordinarse además con las obligaciones de información y garantías del RGPD, incluida la información significativa sobre la lógica aplicada cuando proceda. - **Mitigación de sesgos y equidad:** Revisar sesgos en los datos, en el planteamiento del problema, en la codificación de variables, en la función objetivo y en el postprocesado clásico. Si se emplean algoritmos variacionales, amplitud amplificada u otras técnicas cuánticas, debe comprobarse que no amplifiquen desequilibrios del conjunto de entrenamiento ni generen resultados discriminatorios indirectos. Los hallazgos de sesgo deben registrarse, investigarse y corregirse antes de producción, con participación de perfiles técnicos, jurídicos, sectoriales y de ética de IA en casos de impacto social relevante. - **Seguridad del software cuántico y del entorno clásico:** Aunque el cálculo tenga un componente cuántico, las APIs, SDKs, bibliotecas, *middleware*, controladores, nubes cuánticas, colas de trabajos, credenciales y herramientas de monitorización son software y servicios clásicos. Deben aplicarse controles de desarrollo seguro, revisión de código, gestión de dependencias, autenticación robusta, segregación de permisos, registros, límites de uso, prevención de abuso de recursos, continuidad de servicio y gestión de vulnerabilidades. Pueden emplearse estándares y marcos de ciclo de vida seguro y de gobernanza de IA como referencias de gestión, siempre verificando la versión aplicable antes de citar una norma concreta. - **ConformidadRIA ydatos [Ocondicionada/R]:** La función, definición delart3 yclasificación delart6 determinan ámbito; el hardwarecuántico no exime. Proveedores/desplegadores tienen deberes distintos. El Reglamento2026/1744 reformó el calendario: alto riesgo anexoIII02-12-2027 y anexoI02-08-2028, con excepciones ytransitorios. Revisar arts9–19,26/27 y anexos según versión. FRIAart27 corresponde aresponsables/supuestos definidos, incluidos casos pertinentes anexoIII5.b–c; no todaIA/todo banco/administración. EIPDart35RGPD exige alto riesgo deltratamiento; datos de salud pueden requerir bases arts6/9. No se declara cumplimiento ni evaluación ejecutada. - **Límites éticos en aplicaciones de IA cuántica:** Definir casos de uso prohibidos o sujetos a aprobación reforzada, especialmente vigilancia masiva, inferencia sensible, reconocimiento o clasificación de personas sin base jurídica suficiente, usos incompatibles con derechos fundamentales o decisiones de impacto significativo sin supervisión adecuada. Las prohibiciones normativas específicas delart5RIA deben identificarse individualmente y con fecha aplicable. La política interna puede ser más estricta como propuestaP; no toda vigilancia se etiqueta prohibida por ley. Estos límites internos se propone incorporarlos a políticas internas, comités de revisión, controles de contratación, evaluación de impacto y registros de riesgos, de forma coherente con el AI Act, el RGPD y las normas sectoriales aplicables. ISO/IEC42001:2023 está publicada desde diciembre2023 y puede ser referencia de gestiónIA, según catálogo público; no es futura ni certifica elQT-QMS por analogía. Sus cláusulas completas depago no fueron leídas en esta revisión. **Ejemplo sintético; no describe una prueba o auditoría ejecutada.** **Caso ilustrativo:** Un banco desarrolla un modelo híbrido cuántico-clásico de apoyo a decisiones de crédito. Antes de usarlo, realiza una auditoría de sesgos y detecta que los datos históricos favorecen la concesión de crédito en determinados barrios frente a otros. El banco reequilibra el conjunto de entrenamiento, revisa variables sustitutivas, valida el rendimiento con métricas de equidad y documenta la intervención humana. Además, prepara información comprensible sobre la lógica general, la importancia y las consecuencias previstas del tratamiento cuando el RGPD lo exija, y evita presentar esa obligación como un “derecho a explicación” absoluto o único. Finalmente, evalúa si el sistema encaja en una categoría de alto riesgo conforme al Reglamento (UE) 2024/1689; si encaja, documenta la gestión de riesgos, gobernanza de datos, transparencia, supervisión humana, robustez y ciberseguridad, y realiza la evaluación de impacto en derechos fundamentales y la DPIA cuando cada régimen resulte aplicable. La evaluación de solvencia o puntuación crediticia de personas físicas corresponde al anexoIII5.bRIA, salvo detección defraude financiero; segurosvida/salud,5.c, son supuesto distinto. Deben comprobarse función, excepciones y rol. Tras2026/1744, el calendario pertinente general de alto riesgoanexoIII es02-12-2027, con reglas especiales/transitorias. RGPDart22 solo alcanza decisiones exclusivamente automatizadas con efectos jurídicos osimilarmente significativos, con excepciones ygarantías; información significativa corresponde aarts13.2.f/14.2.g/15.1.hsegún supuesto. Una intervención humana nominal no resuelve por sí esos requisitos. #### 1.4 Sensores Cuánticos ##### 1.4 **Sensores cuánticos** Los sensores cuánticos comprenden, entre otros, relojes atómicos de alta precisión, magnetómetros, gravímetros, acelerómetros, detectores de partículas y otros dispositivos de medida que utilizan fenómenos cuánticos con potencial de mejorar ciertas mediciones; la ventaja exige comparación en condiciones y métricas equivalentes con las técnicas convencionales del caso. La Estrategia Cuántica Europea de 2025 trata la gravimetría cuántica, la imagen médica cuántica y otras aplicaciones de sensado como ámbitos de despliegue estratégico, pero no convierte por sí sola a todo sensor cuántico en producto regulado por una norma sectorial única. La calificación jurídica del sensor depende de su uso, de su conectividad, de si trata datos personales, de si incorpora software o IA, de si se integra en infraestructuras críticas, de si tiene finalidad sanitaria y de si entra en controles de doble uso o de exportación. Por ello, el control ético y normativo debe formularse como un análisis de caso de uso y ciclo de vida, no como una categoría abstracta aplicable por el solo hecho de emplear tecnología cuántica. Controles propuestos para el desarrollo y despliegue de sensores cuánticos. En calibración y verificación, cada medición crítica debe contrastarse con patrones, procedimientos o mediciones de referencia adecuados al caso de uso, como la comparación de relojes atómicos con referencias temporales oficiales o la comparación de un gravímetro cuántico con mediciones independientes del mismo emplazamiento. La trazabilidad metrológica, los registros de calibración y, cuando proceda, la acreditación de competencia de laboratorios conforme al alcance aplicable deben tratarse como controles técnicos recomendables, pero ISO/IEC17025:2017 se identifica en el folleto públicoISO como marco de competencia de laboratorios de ensayo y calibración; no es una certificación del sensor y la norma completa de pago no se ha leído. La finalidad editorial debe ser asegurar que las mediciones sean fiables, reproducibles y auditables, especialmente cuando alimenten decisiones sanitarias, industriales, energéticas, de navegación, defensa o seguridad pública. En ciberseguridad, los sensores conectados, su firmware, sus pasarelas, sus interfaces de programación, sus plataformas de análisis y sus servicios remotos deben evaluarse bajo un enfoque de producto, sistema y servicio. Si el sensor es un producto con elementos digitales o depende de soluciones remotas necesarias para sus funciones, el Reglamento de Ciberresiliencia exige considerar requisitos esenciales de ciberseguridad, gestión de vulnerabilidades y evaluación de riesgos, con aplicación escalonada y no plena aplicación general hasta el 11-12-2027. Si el operador está comprendido en los sectores o tipos de entidad de NIS2, deberán considerarse medidas de gestión de riesgos de ciberseguridad, notificación de incidentes significativos y comunicación a destinatarios afectados, sin asumir automáticamente que cualquier proyecto de sensor cuántico queda incluido por sí mismo en NIS2. En España, a 03-10-2026 debe formularse la transposición de NIS2 con cautela, porque las fuentes BOE recuperadas hablan de anteproyecto en tramitación o citan NIS2 como marco europeo, pero no verifican en esta revisión una ley española de transposición publicada. En protección de datos y privacidad, debe evaluarse si los datos captados, inferidos o enriquecidos por el sensor permiten identificar a personas, revelar datos de salud, perfilar conductas o inferir información sensible. Los datos relativos a la salud son datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, cuando revelen información sobre su estado de salud. Cuando el tratamiento utilice nuevas tecnologías y probablemente entrañe alto riesgo para los derechos y libertades de las personas, debe realizarse una evaluación de impacto relativa a la protección de datos antes del tratamiento. La protección de datos desde el diseño y por defecto exige integrar medidas técnicas y organizativas apropiadas, como la seudonimización y la minimización, desde la determinación de los medios del tratamiento y durante el tratamiento. En aplicaciones sanitarias debe identificarse la base del artículo6 y la excepción del artículo9 RGPD; el consentimiento explícito puede ser una vía de este último, pero no debe presentarse como la única base posible, porque el propio régimen contempla tratamientos por razones de asistencia sanitaria, salud pública, investigación científica u otras bases previstas en Derecho de la Unión o nacional. En uso dual y control de exportación, ciertos sensores cuánticos pueden tener aplicaciones civiles y de seguridad o defensa, como la navegación inercial, la gravimetría estratégica, la detección remota o la integración en infraestructuras espaciales o militares. El Reglamento (UE) 2021/821 establece el régimen de control de exportaciones, corretaje, asistencia técnica, tránsito y transferencia de productos de doble uso, y el Reglamento Delegado (UE) 2025/2003 sustituyó el anexo I de ese régimen en relación con la lista de productos de doble uso. La afirmación editorial correcta no es que todo sensor cuántico avanzado requiera licencia, sino que debe comprobarse si el producto, software, tecnología, componente, asistencia técnica o transferencia entra en alguna categoría del anexo I vigente, incluyendo categorías de sensores, navegación, electrónica, telecomunicaciones, seguridad de la información, láseres, materiales o equipos asociados cuando proceda. Si la operación afecta a tecnología o equipo militar debe revisarse por separado el régimen militar aplicable; la referencia a la Posición Común2008/944/PESC queda pendiente de lectura de su versión vigente y no acredita autorización de exportación. En impacto ambiental y seguridad física, los sensores cuánticos que utilicen criogenia, láseres, radiación óptica, superconductores, componentes electrónicos, sustancias químicas o materiales escasos deben integrar controles de salud laboral, seguridad industrial, sustancias, residuos y sostenibilidad. En España, el Real Decreto 486/2010 regula disposiciones mínimas para proteger a los trabajadores frente a riesgos derivados de la exposición a radiaciones ópticas artificiales durante el trabajo, y define expresamente la radiación láser y los valores límite de exposición. Para residuos de aparatos eléctricos y electrónicos, el Real Decreto 110/2015 transpone y desarrolla el marco RAEE en España, según el aparato, las exclusiones del artículo2 y el rol de cada actor; entre ellas figuran ciertos equipos exclusivamente deI+D y uso profesional. No se presupone que todo equipo cuántico entre en su ámbito. Cuando el producto incorpore sustancias o mezclas químicas, deben considerarse REACH y CLP como marcos de registro, evaluación, autorización, restricción, clasificación, etiquetado y envasado, sin convertir esta mención general en un dictamen de cumplimiento químico específico. La propuesta de actualización de la lista de doble uso adoptada el 14-09-2026 se distingue de la normativa publicada/aplicable; no se aplica anticipadamente por anuncio. El CRA ya aplica notificaciones del artículo14 desde 11-09-2026 a los sujetos y disparadores previstos; sus restantes requisitos se sujetan a sus fases. Nota editorial. Aunque muchos sensores cuánticos continúan en fases de investigación, piloto o escalado, anticipar su control ético y normativo forma parte de un enfoque de ética, seguridad y cumplimiento desde el diseño. Un sensor cuántico con finalidad sanitaria debe analizarse bajo el Reglamento (UE) 2017/745 si es producto sanitario, o bajo el Reglamento (UE) 2017/746 si se destina a diagnóstico in vitro, según finalidad prevista y modo de uso. Si el sensor incorpora software que proporciona información para decisiones diagnósticas o terapéuticas, la regla 11 del anexo VIII del MDR puede clasificarlo al menos como clase IIa, con posible elevación a IIb o III según el impacto de las decisiones. Las guías MDCG sobre software sanitario son una referencia institucional relevante, pero deben describirse como guías no vinculantes y no como normas jurídicas obligatorias, porque la propia guía MDCG 2019-11 Rev.1 declara que no es documento de la Comisión ni interpretación jurídicamente vinculante. La evaluación clínica y la evidencia clínica deben ser proporcionadas a la naturaleza, clasificación, finalidad prevista y riesgos del producto, y deben documentarse para apoyar la evaluación de conformidad cuando proceda. La regla11 se refiere al software con la función descrita por la norma; no clasifica automáticamente todo sensor físico. Su integración y finalidad deben analizarse con las demás reglas aplicables. El checklist ético propuesto no sustituye evaluación de conformidad, evaluación clínica, autorización de investigación ni protección de datos. #### 1.5 Materiales y Componentes Cuánticos El avance cuántico depende de materiales y componentes como superconductores, semiconductores especiales, diamante con centros NV, chips de trampa de iones, circuitos fotónicos, componentes criogénicos, detectores de fotones y otras tecnologías de hardware avanzado. La gestión responsable de estos insumos debe combinar calidad, trazabilidad, seguridad, control de exportaciones, sostenibilidad, prevención de dependencias estratégicas y tratamiento adecuado al final de vida. La Estrategia Cuántica Europea de 2025 identifica la resiliencia de cadenas de suministro y el fortalecimiento del ecosistema cuántico como áreas de acción, por lo que el texto debe tratar los materiales cuánticos como cuestión industrial y estratégica, además de técnica. Esta aproximación no sustituye la comprobación jurídica caso por caso de sustancias, residuos, exportación, seguridad laboral y contratación de proveedores. Como propuesta interna de calidad y diligencia, los controles siguientes usan «deben» para el programa recomendado; solo son obligaciones jurídicas los requisitos expresamente aplicables por ámbito, sujeto y operación. En calidad y trazabilidad de la cadena de suministro, los proyectos cuánticos deben exigir controles documentados sobre especificaciones, procedencia, lotes, pruebas de aceptación, mantenimiento, cambios de diseño y no conformidades de componentes críticos. La referencia a ISO 9001, Six Sigma u otros modelos de calidad debe conservarse solo como ejemplo técnico pendiente de verificación directa, salvo que el expediente incorpore la norma concreta o la certificación del proveedor. En componentes altamente sensibles, pequeñas impurezas, variaciones de fabricación o defectos pueden afectar al rendimiento, por lo que las pruebas de aceptación deben vincularse a métricas técnicas verificables, como coherencia, ruido, estabilidad, pérdida óptica, eficiencia de detección o vida útil según el componente. La trazabilidad debe permitir reconstruir proveedor, lote, especificación, ensayo, aceptación, incidencia, sustitución y destino final, especialmente cuando el componente pueda entrar en exportación controlada, producto sanitario, infraestructura crítica o producto con elementos digitales. En seguridad y dualidad de materiales, determinados materiales, tecnologías de fabricación, software, equipos de ensayo o componentes cuánticos pueden ser estratégicos o quedar afectados por controles de doble uso, aunque no todo material cuántico esté automáticamente controlado. La actualización de 2025 del régimen europeo de doble uso se debe citar con precisión como Reglamento Delegado (UE) 2025/2003, que sustituyó el anexo I del Reglamento (UE) 2021/821 en relación con la lista de productos de doble uso, no como una afirmación genérica de que “varios materiales cuánticos ahora lo están” sin comprobación de partida arancelaria, categoría o descripción técnica. Cuando exista posible uso civil y de seguridad o defensa, el expediente debe documentar clasificación, jurisdicción de exportación, usuario final, destino, uso final, asistencia técnica, transferencia intangible de tecnología y restricciones contractuales. En dependencia externa, la recomendación editorial debe formularse como gestión de riesgo de suministro y continuidad, no como conclusión geopolítica cerrada si no hay evidencia del proveedor, país, cuota de mercado y material concreto. En sostenibilidad y obtención de materiales, las compras responsables deben exigir información suficiente sobre origen, extracción, transformación, certificaciones disponibles, riesgos sociales y ambientales, y cumplimiento contractual de estándares de suministro responsable. El Reglamento (UE) 2017/821 se refiere a importadores de la Unión de minerales o metales que contengan o consistan en estaño, tantalio, wolframio o oro, según su anexo I, y no cubre de forma general todos los metales raros o todos los materiales cuánticos. Por ello, la mención a “minerales de conflicto” debe limitarse a los minerales y metales del Reglamento o describirse como política contractual voluntaria más amplia cuando se extienda a otros insumos. La referencia a la Responsible Minerals Initiative queda como referencia privada no leída directamente en esta ronda, la declaración de lectura de recomendacionesOCDE pertenece a Harvey y no acredita aquí lectura íntegra de esos instrumentos. En economía circular, los proyectos deben prever reutilización, reparación, recuperación de componentes, gestión de helio u otros refrigerantes cuando existan, reciclaje de aparatos y tratamiento de residuos eléctricos y electrónicos. La Directiva RAEE persigue prevenir o reducir los impactos adversos de la generación y gestión de residuos de aparatos eléctricos y electrónicos y mejorar la eficiencia en el uso de recursos. En España, el Real Decreto 110/2015 regula el flujo de RAEE, la responsabilidad ampliada del productor y la recogida y tratamiento de estos residuos, con texto consolidado actualizado a 01-04-2022 en la fuente recuperada. Las referencias a REACH y CLP deben mantenerse como marco de sustancias y mezclas, clasificación, etiquetado, envasado, restricciones y protección de salud y medio ambiente, sin deducir automáticamente obligaciones concretas sin identificar sustancia, mezcla, artículo, proveedor y uso. En evaluación de riesgos de nuevos compuestos, ningún material avanzado debería escalarse a producción o comercialización sin análisis documentado de toxicidad, seguridad laboral, uso indebido razonablemente previsible, residuos, reciclabilidad, exposición ambiental y controles de cadena de suministro. Cuando el material o componente incorpore láseres o radiaciones ópticas artificiales, el expediente español debe considerar el Real Decreto 486/2010, que exige disposiciones mínimas de protección y define la radiación láser. Cuando el componente sea un producto con elementos digitales, el análisis técnico debe añadirse al de ciberseguridad del Reglamento de Ciberresiliencia si el producto entra en su ámbito de aplicación. Cuando el componente, el software o la tecnología entren en doble uso, la evaluación debe determinar clasificación, eventuales controles y necesidad de licencia según operación, destino, usuario/uso final y supuesto legal. En propiedad intelectual, estandarización y ética del acceso, la protección de invenciones debe equilibrarse con interoperabilidad, seguridad, métricas abiertas y participación en foros de estandarización cuando sea útil para reducir dependencia, lock-in o riesgos de seguridad. ETSI mantiene actividad de estandarización en distribución cuántica de claves y tecnologías asociadas, y sus documentos deben tratarse como estándares o especificaciones técnicas, no como Derecho primario ni como normativa obligatoria salvo incorporación normativa específica. La referencia a IEEE queda en esta ronda como referencia técnica parcialmente identificada mediante material de IEEE Xplore, no como fuente normativa primaria leída en detalle para sensores cuánticos o materiales. El texto debe evitar afirmar monopolios o desigualdad como hecho consumado sin evidencia de mercado, y debe formularlo como riesgo de gobernanza que conviene prevenir mediante interoperabilidad, competencia, licencias razonables y participación en estándares. La actualización2026 adoptada por la Comisión el 14-09-2026 se registra como acto sujeto a escrutinio y publicación; no sustituye por anticipado la lista aplicable. Para el Reglamento2017/821 deben verificarse importador de la Unión, mineral/metal del anexoI y umbral de volumen; el germanio no forma parte de 3TG. Una política voluntaria puede ampliar diligencia a otros insumos sin atribuirle esa obligación legal. La Recommendation of the Council on Quantum Technologies, OECD/LEGAL/0508, figura adoptada el 28-05-2026 e In force en el índiceOCDE. El resumen oficial2026 identifica cuatro principios y cinco recomendaciones paraGobiernos; se utiliza como gobernanza internacional, sin deber privado universal ni atribución de cláusulas no leídas. Ejemplo práctico. Un consorcio europeo que desarrolla un chip fotónico para comunicaciones cuánticas puede integrar controles de calidad, trazabilidad de materiales, ensayos de rendimiento, controles de exportación y participación en estándares técnicos de interoperabilidad. Si utiliza germanio, tantalio, wolframio, oro, estaño u otros insumos críticos, el expediente debe distinguir entre obligaciones legales de minerales 3TG bajo el Reglamento (UE) 2017/821 y compromisos contractuales voluntarios aplicables a otros materiales. Si el producto o sus componentes están conectados, incorporan software o se suministran con servicios remotos necesarios, el análisis debe incorporar ciberseguridad de producto, soporte, vulnerabilidades y calendario del Reglamento de Ciberresiliencia cuando proceda. Si se exporta a terceros países, el consorcio debe comprobar el anexo I vigente del Reglamento (UE) 2021/821, actualizado por el Reglamento Delegado (UE)2025/2003 (con la corrección aplicable2026/1405), y analizar separadamente el régimen militar cuando exista tecnología o equipo militar, sin sustituir la clasificación/exportación concreta. La actualización2026 adoptada por la Comisión el 14-09-2026 se registra como acto sujeto a escrutinio y publicación; no sustituye por anticipado la lista aplicable. Para el Reglamento2017/821 deben verificarse importador de la Unión, mineral/metal del anexoI y umbral de volumen; el germanio no forma parte de 3TG. Una política voluntaria puede ampliar diligencia a otros insumos sin atribuirle esa obligación legal. #### 2. **Procesos de Gobernanza en la Gestión Cuántica** Propuesta de gobernanza del Informe: las medidas organizativas y los verbos «debe» siguientes expresan el modelo recomendado, salvo obligación sectorial identificada para un supuesto concreto. Para sostener una gestión ética, segura y de calidad en proyectos cuánticos, deben definirse procesos de gobernanza que cubran evaluación previa, seguimiento, registros, escalado, métricas, revisión de incidentes y rendición de cuentas. Estos procesos deben coordinar a las áreas técnica, jurídica, de protección de datos, ciberseguridad, export control, compras, sostenibilidad, prevención de riesgos laborales y negocio, porque los riesgos cuánticos se distribuyen entre tecnología, uso, cadena de suministro y entorno regulatorio. La gobernanza debe diferenciar hechos históricos, decisiones adoptadas, propuestas internas y referencias no verificadas, de modo que el expediente no confunda soft law o estrategia institucional con obligaciones jurídicas vinculantes. Los tres instrumentos mínimos son un comité especializado, un registro de incidencias éticas y de cumplimiento, y KPIs o indicadores que permitan revisar el desempeño del programa cuántico sin sustituir el juicio técnico y jurídico del caso concreto. ##### *2.1 **Comité Ético Cuántico*** Propuesta de gobernanza del Informe: las medidas organizativas y los verbos «debe» siguientes expresan el modelo recomendado, salvo obligación sectorial identificada para un supuesto concreto. Se recomienda constituir un Comité de Ética y Gobernanza de Tecnologías Cuánticas dentro de la organización, o a nivel de consorcio cuando el proyecto sea interinstitucional. Su mandato debe ser proporcional al riesgo del programa y debe coordinarse con los comités existentes de ética, riesgos, seguridad de la información, protección de datos, investigación, ESG, export control y compliance. La recomendación se apoya en fuentes de gobernanza y soft law, como WEF, OCDE y la estrategia europea, pero debe identificarse como mecanismo organizativo recomendado y no como órgano exigido de forma horizontal por una norma cuántica europea vigente. Cuando el proyecto incorpore IA, datos personales, producto sanitario, doble uso o infraestructura crítica, el comité no sustituye a las obligaciones sectoriales, sino que coordina su cumplimiento y eleva decisiones de riesgo. Propuesta de gobernanza del Informe: las medidas organizativas y los verbos «debe» siguientes expresan el modelo recomendado, salvo obligación sectorial identificada para un supuesto concreto. La composición del comité debe ser multidisciplinar e incluir perfiles científicos y de ingeniería cuántica, ciberseguridad, protección de datos, IA, producto sanitario cuando proceda, export control, compras responsables, sostenibilidad, prevención de riesgos laborales, ética tecnológica y representantes de grupos afectados cuando sea razonable. En proyectos sanitarios, la participación de perfiles clínicos, regulatorios y de protección de datos resulta especialmente relevante por el posible tratamiento de datos de salud y por la eventual calificación del producto bajo MDR o IVDR. En proyectos de seguridad, defensa, navegación o espacio, la participación de export control y seguridad debe incorporarse desde la fase de diseño, porque el Reglamento (UE) 2021/821 y la Posición Común 2008/944/PESC pueden afectar a exportaciones, transferencias, asistencia técnica, usuario final y uso final. En proyectos conectados o IoT, ciberseguridad y seguridad de producto deben participar antes de adquisición o despliegue, por el CRA, NIS2 y los marcos españoles de seguridad de sistemas de información cuando sean aplicables. El mandato del comité debe constar por escrito e indicar qué proyectos revisa, qué información recibe, qué decisiones recomienda, qué asuntos eleva y qué grado de vinculación tienen sus recomendaciones dentro de la organización. El comité debe poder revisar proyectos en etapas iniciales, emitir recomendaciones, exigir planes de mitigación y elevar riesgos no mitigados a la alta dirección. La referencia a un “veto consultivo” debe formularse como posibilidad de gobernanza interna, no como exigencia legal general, salvo que una política corporativa o norma sectorial lo convierta en requisito específico. La dirección debe decidir expresamente si el comité es consultivo, preceptivo, vinculante para determinadas clases de riesgo o mecanismo de escalado. La periodicidad debe combinar reuniones ordinarias, por ejemplo trimestrales, con reuniones extraordinarias ante incidentes graves, exportaciones sensibles, cambios sustantivos de finalidad, hallazgos de seguridad, desviaciones clínicas o tratamiento de datos de alto riesgo. El informe anual de ética y gobernanza cuántica puede integrarse en informes de sostenibilidad, riesgos, seguridad, cumplimiento o I+D, siempre que distinga entre cumplimiento legal, gestión de riesgos, soft law y compromisos voluntarios. Los indicadores deben medir incidentes, cierres de acciones, formación, auditorías de proveedores, evaluación de privacidad, clasificación de exportación, vulnerabilidades de producto, residuos y desempeño de seguridad laboral cuando sean materiales. La transparencia externa puede consistir en resúmenes no confidenciales, participación de expertos externos o explicaciones de gobernanza, pero debe proteger secretos empresariales, seguridad, datos personales y controles de exportación. La integración con la gobernanza corporativa debe conectar el comité cuántico con el comité de riesgos, el comité de ética, seguridad de la información, protección de datos, compras, sostenibilidad y consejo de administración cuando el proyecto sea estratégico. Cualquier decisión de inversión, adquisición, exportación, comercialización sanitaria, despliegue crítico o contratación pública debe incluir una nota de riesgos cuánticos proporcional a la materialidad del proyecto. En contratación de productos con elementos digitales, el Reglamento de Ciberresiliencia prevé que los Estados miembros tengan en cuenta los requisitos esenciales de ciberseguridad del anexo I y la capacidad de los fabricantes para abordar vulnerabilidades. En cadena de suministro, el comité debe coordinarse con compras para verificar trazabilidad, seguridad, continuidad, minerales 3TG, RAEE, sustancias y cláusulas contractuales. Las funciones específicas del comité deben incluir revisión de proyectos, seguimiento de mitigaciones, elaboración de directrices internas, formación, revisión de proveedores críticos, revisión de incidentes, clasificación preliminar de riesgo y preparación de escalados. En IA cuántica o IA asociada a sensores, el comité debe verificar que el expediente distingue el sistema de IA de la parte puramente sensórica y que aplica el AI Act solo cuando proceda. En protección de datos, debe revisar si se requiere evaluación de impacto, minimización, seudonimización, privacidad desde el diseño y consulta previa cuando persista alto riesgo no mitigado. En software sanitario, debe comprobar si el software conduce o influye en el uso de un producto, si tiene finalidad médica y si la guía MDCG aplicable se cita como no vinculante. La transparencia y la participación deben diseñarse con grados diferenciados de apertura, porque la investigación cuántica puede combinar interés público, secreto industrial, seguridad nacional, propiedad intelectual, datos personales y controles de exportación. La publicación de resúmenes no confidenciales puede reforzar la confianza pública, pero no debe revelar especificaciones sensibles, vulnerabilidades, información de usuario final, datos personales o know-how controlado. La participación de sociedad civil, pacientes, clientes, expertos académicos o usuarios debe priorizarse cuando los impactos sociales o sobre derechos fundamentales sean relevantes. Esta participación debe quedar documentada como insumo de decisión y no como sustituto de la responsabilidad de dirección o del cumplimiento regulatorio. La previsión de contratación pública del artículo71 CRA sigue la fase general11-12-2027; no es obligación general plenamente aplicable a 03-10-2026. El informe ético anual es una propuesta organizativa: no equivale a reporteCSRD. La Directiva2026/470 modifica ámbito y condiciones deCSRD con transposición hasta 19-03-2027; los ESRS del Reglamento2026/1563 publicados21-09-2026 entran en vigor10-11-2026 y se aplican a ejercicios iniciados desde 01-01-2027, con opciones específicas para2026. No se presupone obligación de toda organización ni habilitación nacional de exenciones. Referencia editorial. Las fuentes internacionales e institucionales apuntan a la necesidad de gobernanza responsable de tecnologías cuánticas, pero su naturaleza jurídica es heterogénea. La Estrategia Cuántica Europea de 2025 es una comunicación estratégica de la Comisión, no una norma horizontal de obligaciones cuánticas, y se centra en investigación, infraestructuras, ecosistema, espacio, doble uso y capacidades. La Declaración Europea sobre Tecnologías Cuánticas es un compromiso político de cooperación entre Estados miembros y reconoce la importancia estratégica de las tecnologías cuánticas para la competitividad científica e industrial de la Unión. El Quantum Flagship es una iniciativa de investigación e innovación a largo plazo, lanzada en 2018, con áreas como computación, simulación, comunicación, sensado y metrología, y no debe citarse como fuente normativa obligatoria. WEF y OCDE deben describirse como soft law o gobernanza internacional según el documento concreto, mientras que ETSI debe describirse como organismo de estandarización técnica y sus especificaciones como estándares o documentos técnicos salvo incorporación normativa específica. Se añade la Recommendation of the Council on Quantum Technologies, OECD/LEGAL/0508: adopción28-05-2026 y estado In force según índice primarioOCDE. El Annual Update2026 confirma cuatro principios y cinco recomendaciones orientadas aGobiernos. La vigencia dentro del sistemaOCDE no convierte este instrumento en reglamentoUE ni demuestra una obligación horizontal de crear comité. Su texto íntegro no se ha leído en esta revisión. ##### *2.2 **Registro de Incidencias Éticas (Issue Log)*** Propuesta de gobernanza del Informe: las medidas organizativas y los verbos «debe» siguientes expresan el modelo recomendado, salvo obligación sectorial identificada para un supuesto concreto. Debe implantarse un registro centralizado de incidencias éticas, de seguridad y de cumplimiento relacionadas con proyectos cuánticos. Este registro debe funcionar de forma análoga a un registro de riesgos, pero con foco en dilemas éticos, impacto social, protección de datos, ciberseguridad, doble uso, seguridad física, sostenibilidad, cadena de suministro, producto sanitario, IA y cumplimiento normativo. El registro debe distinguir incidentes reales, riesgos potenciales, desviaciones de diseño, referencias no verificadas, consultas jurídicas pendientes y acciones correctoras cerradas. La finalidad es aprender, corregir y escalar riesgos, no sustituir los canales legales de notificación de incidentes de seguridad, protección de datos, producto sanitario o cualquier otro régimen sectorial aplicable. Propuesta de gobernanza del Informe: las medidas organizativas y los verbos «debe» siguientes expresan el modelo recomendado, salvo obligación sectorial identificada para un supuesto concreto. La cobertura del registro debe ser amplia e incluir privacidad, reidentificación, sesgo, discriminación, errores de medición, vulnerabilidades de firmware, debilidades de protocolos, desviaciones de calibración, consumo energético, materiales peligrosos, residuos, export control, usuario final sensible y uso indebido razonablemente previsible. En privacidad, un ejemplo de incidencia sería la posible reidentificación de datos supuestamente anonimizados o la captación indirecta de datos de salud o conducta. En IA o aprendizaje automático cuántico, un ejemplo sería una diferencia persistente de tasas de error entre grupos que requiera revisión de datos, finalidad, supervisión humana y mitigaciones. En ciberseguridad, un ejemplo sería una vulnerabilidad en protocolo, firmware, interfaz o servicio remoto que active gestión de vulnerabilidades, comunicación interna y, si procede, obligaciones sectoriales de notificación. El proceso de reporte debe permitir que cualquier miembro del equipo o stakeholder autorizado comunique una incidencia, preocupación o desviación sin represalias y por canales adecuados al nivel de confidencialidad. En asuntos de datos personales, el canal debe permitir activar la revisión por protección de datos, la evaluación de impacto, la consulta previa o las obligaciones de brecha cuando proceda, sin mezclar la incidencia interna con comunicaciones regulatorias externas no evaluadas. En asuntos de ciberseguridad, el canal debe diferenciar vulnerabilidad, cuasiincidente, incidente significativo y comunicación a destinatarios, con prioridad a la gestión del incidente antes que a cargas formales que detraigan recursos de respuesta. En asuntos de doble uso, el canal debe activar bloqueo preventivo de transferencia, clasificación técnica y revisión de usuario final cuando exista sospecha razonable de producto, tecnología o asistencia técnica controlada. El formato del registro debe incluir fecha, proyecto afectado, descripción, categoría, severidad preliminar, reportante o canal, responsable de análisis, evidencias, normas o fuentes aplicables, plan de mitigación, fecha objetivo, estado, decisión de escalado y cierre documentado. Cuando la incidencia derive de una referencia normativa o técnica dudosa, el registro debe marcarla como “referencia no verificada” hasta que se lea la fuente primaria o el estándar completo. Cuando la incidencia sea un riesgo sanitario o de software médico, el registro debe conectar con evaluación clínica, clasificación, vigilancia, evidencia clínica y guía MDCG aplicable. Cuando la incidencia sea de sostenibilidad o residuos, debe conectar con RAEE, REACH, CLP, minerales 3TG o prevención de riesgos laborales según el caso. El seguimiento y cierre de incidencias debe recaer en el comité o en un responsable designado, con revisión periódica y escalado de incidencias no mitigadas. Las incidencias cerradas deben documentar la medida aplicada, la versión de diseño o software afectada, la verificación interna realizada y la decisión de no escalar cuando proceda. Si una incidencia se repite en varios proyectos, debe incorporarse al mapa de riesgos corporativo como riesgo sistémico, por ejemplo falta de diversidad de datos, dependencia de proveedor, déficit de formación o fallo de clasificación de exportación. Las lecciones aprendidas deben retroalimentar políticas, formación, cláusulas contractuales, arquitectura de seguridad, criterios de privacidad desde el diseño y requisitos de proveedores. Las revisiones periódicas deben identificar tendencias, tiempos de cierre, categorías recurrentes, incidencias graves, riesgos pendientes y acciones estructurales necesarias. Si varias incidencias muestran desconocimiento de RGPD, AI Act, MDR, export control, CRA, RAEE o seguridad laboral, debe reforzarse la formación especializada y actualizarse el checklist de revisión previa. Si varias incidencias afectan a proveedores, debe revisarse la diligencia debida contractual, la trazabilidad y los controles de aceptación. Si varias incidencias afectan a conectividad o firmware, debe revisarse la arquitectura de actualización, soporte y gestión de vulnerabilidades conforme al calendario aplicable del CRA. El registro deberá minimizar datos personales del reportante y de afectados, limitar accesos por función, definir conservación, proteger evidencias y distinguir denuncia interna de publicación externa; se aplicarán las bases y garantíasRGPD cuando contenga datos personales. La identidad se solicita solo cuando sea necesaria y proporcionada. Los plazos externos dependen del régimen y disparador: RGPD33 (riesgo/excepción y72horas), DORA2025/301art5 para incidenteTICgrave, CRA14 para vulnerabilidad activamente explotada/incidentegrave y NIS2 para sujeto/incidentesignificativo. Ningún plazo interno sustituye esos relojes y se requiere análisis del caso. **Ejemplo ilustrativo:** Una empresa detecta mediante el registro de incidencias éticas que, en varios proyectos, los equipos no sabían con seguridad si debían realizar una EIPD/DPIA antes de iniciar el tratamiento de datos personales. Aparecieron incidencias del tipo “no se evaluó la necesidad de EIPD al iniciar el proyecto cuántico Q”. El comité ético, al identificar el patrón, recomienda una acción preventiva: aprobar una **checklist de cumplimiento normativo y ético** obligatoria al arrancar cada iniciativa cuántica, alineada con la matriz A2 y con el art. 35 RGPD cuando exista tratamiento de datos personales. La checklist debe distinguir entre proyectos sin datos personales, proyectos con datos personales sin alto riesgo aparente, proyectos que requieren EIPD por alto riesgo, y proyectos que además puedan quedar sujetos a obligaciones específicas del Reglamento de IA o de resiliencia operativa digital. Así, el Issue Log no se limita a resolver casos puntuales, sino que impulsa mejoras sistémicas y trazables. Es un ejemplo hipotético y una checklist interna propuesta, no una obligación de EIPD para cualquier dato personal. La EIPD del artículo35RGPD depende del alto riesgo; FRIA del artículo27RIA tiene sujetos y sistemas determinados, con el calendario modificado por 2026/1744. Una EIEC voluntaria no sustituye ninguna de ellas. ##### *2.3 **Indicadores Clave de Rendimiento (KPIs) Éticos y de Gobernanza*** Definir **KPIs** que permitan medir y seguir en el tiempo la efectividad del QT-QMS en la integración de ética, seguridad, protección de datos, criptoagilidad y gobernanza responsable en los proyectos cuánticos. El QT-QMS del Informe es una propuesta/beta de gestión; sus indicadores no acreditan certificación, implantación o conformidad del programa. Algunos KPIs propuestos: - **Formación y sensibilización:** número de personas formadas en ética cuántica, protección de datos, ciberseguridad, criptoagilidad, Reglamento de IA y normativa sectorial aplicable, dividido por el total de personal involucrado en iniciativas cuánticas. Meta: 100% del equipo cuántico formado anualmente, o cada dos años si el riesgo del programa lo permite. Este KPI impulsa una cultura preventiva y ayuda a que los equipos distingan entre obligaciones jurídicas exigibles, recomendaciones no vinculantes y estándares técnicos. - **Cumplimiento normativo específico:** porcentaje de proyectos que cuentan con EIPD cuando manejan datos personales y el tratamiento pueda entrañar alto riesgo, porcentaje de proyectos de IA cuántica o asistida por técnicas cuánticas que han sido clasificados frente al Reglamento de IA, y porcentaje de sistemas financieros o críticos que incorporan controles de resiliencia digital y criptoagilidad conforme al mapa regulatorio aplicable. En los casos aplicables, el objetivo debería ser 100%. Otro KPI puede ser “sistemas que han incorporado PQC según el plan interno”: mide cuántos activos, certificados, protocolos o servicios han migrado o están preparados para migrar a criptografía postcuántica conforme al roadmap interno y al calendario europeo. - **Innovación ética y segura:** número de patentes, publicaciones, prototipos o pilotos que incorporan seguridad, privacidad, mitigación de sesgos o controles de uso responsable desde el diseño. Por ejemplo, si un departamento de I+D desarrolla una solución QKD con autenticación robusta, o un algoritmo QML con mitigación de sesgos y trazabilidad documental, debe registrarse como evidencia de innovación responsable. Este indicador fomenta que la organización no solo cumpla mínimos, sino que innove en seguridad, protección de derechos y gobernanza. - **Impacto social y ambiental positivo:** número de proyectos cuánticos que acreditan beneficios verificables en sostenibilidad, eficiencia energética, salud, investigación científica, servicios públicos o colaboración con universidades y administraciones. Cuando sea posible, el impacto debe cuantificarse, por ejemplo, reducción estimada de consumo energético, mejora de eficiencia operativa o número de colaboraciones de interés público. Cuando no sea posible cuantificarlo con fiabilidad, debe registrarse como evidencia cualitativa y no como ahorro o beneficio confirmado. Las metas de formación y los objetivos porcentuales son decisiones internas propuestas, no frecuencias legales uniformes. Se separarán activos inventariados, preparados, pilotados y efectivamente migrados con aceptación documentada; «preparado» no cuenta como migración ejecutada. El número de patentes/publicaciones no prueba seguridad ni ausencia de sesgo. Para energía se especificarán frontera de medición (QPU, cómputo clásico, criogenia, red), carga comparable, baseline, incertidumbre y evidencia; sin medición no se afirma ventaja ni neutralidad climática. EIPD y FRIA se aplican solo a sus supuestos, no a todo proyecto cuántico. Cada KPI debe acompañarse de una **meta u objetivo** y revisarse en reuniones periódicas de gobernanza. Los resultados se representarán en **dashboards** accesibles a la dirección y al comité competente, como parte de la monitorización del programa cuántico. Los KPIs no deben verse solo como números internos: también pueden alimentar la comunicación corporativa externa, informes de sostenibilidad, informes de ciberresiliencia o comunicaciones a órganos de gobierno, siempre que se separen claramente los datos verificados de las aspiraciones o planes en curso. El dashboard y el informe ético propuestos no garantizan cumplimiento ni sustituyen reporteCSRD. El ámbito/reporting legal depende del sujeto y ejercicio:2026/470 requiere transposición hasta 19-03-2027; ESRS2026/1563 publicado21-09 entra en vigor10-11-2026 y se aplica desde ejercicios iniciados01-01-2027 con opciones específicas para2026. Se distinguirán estimaciones de resultados, hipótesis de ahorros y datos verificados. **Nota:** Establecer KPIs éticos es una práctica emergente y debe refinarse con el tiempo. Es importante evitar incentivos perversos: un KPI formulado como “cero incidentes éticos” podría desalentar la notificación de problemas, mientras que un KPI de “incidencias comunicadas y cerradas con plan de acción” puede favorecer la transparencia y la mejora continua. Por ello, la selección de indicadores debe revisarse por el Comité Ético, el responsable de seguridad, protección de datos y compliance, según proceda. Como guía, conviene combinar indicadores de **cumplimiento** —procedimientos implantados, EIPD realizadas, inventario criptográfico completado— con indicadores de **resultado** —reducción de vulnerabilidades, cierre de incidencias, avance real de la migración PQC— para obtener una visión equilibrada. #### 3. **Guías Operativas para la Implementación Cuántica Responsable** Esta sección proporciona **guías paso a paso** para acciones operativas críticas en la adopción de tecnologías cuánticas. Incluye una estrategia de migración a criptografía postcuántica, pautas para auditorías de sistemas cuánticos —técnicas, éticas y legales— y criterios de compras responsables de tecnología cuántica. Son orientaciones prácticas que complementan los controles y la gobernanza descritos previamente, y deben aplicarse de forma proporcional al riesgo, al sector y a la criticidad del sistema. ##### *3.1 **Plan de Migración a Criptografía Post-Cuántica*** Etapa propuesta de un plan internoPQC, adaptable a riesgo, inventario, perfiles aplicables y decisiones aprobadas; el verbo «debe» expresa esta propuesta cuando no se cita un requisito legal específico. Migrar la infraestructura criptográfica actual, especialmente la basada en criptografía de clave pública vulnerable a ataques cuánticos futuros, hacia algoritmos y arquitecturas resistentes a quantum es una tarea compleja que debe ejecutarse de forma programada. A continuación se resumen las **etapas clave de un Plan de Migración PQC**, que deberán adaptarse a los estándares vigentes, al inventario de activos, a la exposición “store now, decrypt later” y a los calendarios europeos. La hoja de rutaNIS, Part1v1.1,11-06-2025, recomienda primeros pasos de los Estados miembros y pilotos de alto/medio riesgo hacia finales2026 y completar alta prioridad hacia finales2030. Son hitos coordinados recomendados, no mandato legislativo privado universal. Etapa propuesta de un plan internoPQC, adaptable a riesgo, inventario, perfiles aplicables y decisiones aprobadas; el verbo «debe» expresa esta propuesta cuando no se cita un requisito legal específico. 1. **Conformar un equipo de migración cuántica:** designar un *Quantum Readiness Manager*, *PQC Migration Lead* o función equivalente, y constituir un equipo multifuncional con perfiles de criptografía, sistemas, arquitectura, legal, protección de datos, compliance, compras y proveedores. El plan debe contar con patrocinio de la alta dirección, idealmente del CIO, CISO o comité de riesgos tecnológicos, para dotarlo de recursos, autoridad y capacidad de coordinación transversal. En entidades financieras, operadores críticos o administraciones públicas, el equipo debe coordinarse además con las funciones responsables de resiliencia operativa, continuidad, auditoría interna y seguridad de la información. Etapa propuesta de un plan internoPQC, adaptable a riesgo, inventario, perfiles aplicables y decisiones aprobadas; el verbo «debe» expresa esta propuesta cuando no se cita un requisito legal específico. 2. **Inventario criptográfico exhaustivo:** registrar todos los componentes en los que se usan algoritmos, certificados, claves, protocolos, librerías, módulos de seguridad, dispositivos o servicios de terceros que dependan de criptografía vulnerable o que deban evaluarse frente a la amenaza cuántica. No deben olvidarse certificados en dispositivos IoT, VPN, PKI, tarjetas inteligentes, HSM, sistemas de firma, canales TLS, APIs, entornos cloud, aplicaciones móviles y dependencias de proveedores. Herramientas automatizadas pueden ayudar a identificar configuraciones TLS, bibliotecas criptográficas, certificados y algoritmos, pero sus resultados deben validarse porque el inventario será la base de la priorización y de la contratación responsable. Etapa propuesta de un plan internoPQC, adaptable a riesgo, inventario, perfiles aplicables y decisiones aprobadas; el verbo «debe» expresa esta propuesta cuando no se cita un requisito legal específico. 3. **Evaluación de riesgo y priorización:** por cada elemento del inventario, evaluar criticidad, exposición, vida útil de la información, dependencia de terceros, facilidad de sustitución y consecuencias de una ruptura futura de la criptografía. Deben priorizarse los sistemas que protegen información que deba permanecer confidencial durante largos periodos, los que soportan funciones críticas, los que afectan a autenticación, firma o integridad documental, y los que estén expuestos a ataques “store now, decrypt later”. Una categorización operativa puede distinguir entre activos críticos, medios y bajos, pero los plazos concretos deben alinearse con la hoja de ruta de la UE, el apetito de riesgo y la normativa sectorial aplicable. La priorización incluye tiempo de migración y vida de confidencialidad; puede exigir actuar antes del hito orientativo. Integridad/autenticidad y HNDL se analizan como riesgos diferentes. La hojaNIS no convierte franjas internas como2/3–5/>5 años en calendario normativo. Etapa propuesta de un plan internoPQC, adaptable a riesgo, inventario, perfiles aplicables y decisiones aprobadas; el verbo «debe» expresa esta propuesta cuando no se cita un requisito legal específico. 4. **Selección de estándares y arquitecturas:** decidir qué algoritmos, protocolos y arquitecturas PQC adoptar para cada caso de uso, distinguiendo intercambio de claves, firma digital, autenticación, certificados y cifrado de datos. A 03-10-2026, los estándares NIST aprobados incluyen FIPS 203 para ML-KEM, FIPS 204 para ML-DSA y FIPS 205 para SLH-DSA; por tanto, las referencias históricas a Kyber, Dilithium o SPHINCS+ deben tratarse como nombres de las propuestas de origen o referencias técnicas, no como la nomenclatura normativa preferente. Cuando sea necesario, debe evaluarse un enfoque híbrido transitorio que combine mecanismos clásicos y postcuánticos, así como la posible interacción con QKD en casos específicos. Un mecanismo híbrido necesita perfil, combinación, autenticación y compatibilidad documentados; elegir algoritmosFIPS no demuestra certificación, interoperabilidad o resistencia de la integración. QKD distribuye claves bajo hipótesis y no sustituye firmas, autenticación niPQC; la disponibilidad de certificación depende del esquema y alcance concretos. Etapa propuesta de un plan internoPQC, adaptable a riesgo, inventario, perfiles aplicables y decisiones aprobadas; el verbo «debe» expresa esta propuesta cuando no se cita un requisito legal específico. 5. **Actualización de infraestructuras, PKI, hardware y software:** asegurar que las infraestructuras que gestionan claves, certificados, firmas, autenticación y comunicaciones soportan PQC o tienen una ruta clara de actualización. Deben revisarse HSM, PKI, servidores web, VPN, clientes, librerías criptográficas, sistemas de firma, dispositivos embebidos, servicios cloud y dependencias de terceros. También deben evaluarse impactos técnicos como tamaños de claves y firmas, rendimiento, compatibilidad, consumo de memoria, interoperabilidad, certificación y soporte de proveedor. Cuando una actualización no sea viable, debe documentarse una ruta de sustitución o aislamiento. OpenSSL3.5 incorpora ML-KEM y los grupos híbridos documentados; X25519MLKEM768 es el primer grupo predeterminado de esa versión. La funciónEVP_PKEY_fromdata existe desde 3.0, pero esos tiposPQC se añaden en 3.5. Ni versión, configuración ni grupo predeterminado prueban por sí solos negociaciónPQC: se verificará handshake, pares, proveedor, certificados y fallback en el piloto. Etapa propuesta de un plan internoPQC, adaptable a riesgo, inventario, perfiles aplicables y decisiones aprobadas; el verbo «debe» expresa esta propuesta cuando no se cita un requisito legal específico. 6. **Pruebas piloto y compatibilidad:** no debe migrarse en masa sin pruebas controladas. Conviene seleccionar sistemas no críticos o entornos de preproducción para pilotos, por ejemplo una conexión interna con TLS híbrido o un servicio de firma de bajo impacto, y medir latencia, interoperabilidad, errores, consumo de recursos y comportamiento ante clientes legacy. La compatibilidad hacia atrás debe gestionarse con cuidado: mantener cifrados antiguos puede ser necesario de forma transitoria, pero debe quedar documentado como excepción temporal, con responsables y fecha de revisión. La compatibilidad no habilita degradación automática insegura. Una excepción legacy requiere justificación de riesgo, acotación, controles compensatorios, aprobación y vencimiento; si rompe la protección requerida deberá bloquearse o aislarse según el caso. Los pilotos recomendados no se presentan como resultados ejecutados. Etapa propuesta de un plan internoPQC, adaptable a riesgo, inventario, perfiles aplicables y decisiones aprobadas; el verbo «debe» expresa esta propuesta cuando no se cita un requisito legal específico. 7. **Despliegue progresivo según prioridad:** iniciar la migración efectiva por los sistemas priorizados en la fase de riesgo y seguir un enfoque escalonado. Una secuencia razonable puede comenzar por comunicaciones internas críticas, sistemas de autenticación y firma, VPN, PKI, certificados y servicios expuestos, aunque el orden debe depender del inventario real. En cada fase, operaciones, seguridad, legal, compras y proveedores deben coordinarse para evitar interrupciones, pérdida de interoperabilidad o incumplimientos contractuales. Los certificados y perfiles deberán ser compatibles con emisor, verificador y servicio; PQC no otorga automáticamente cualificacióneIDAS, conformidadENS ni certificaciónEUCC. Se conservará evidencia del alcance real de cada evaluación. Etapa propuesta de un plan internoPQC, adaptable a riesgo, inventario, perfiles aplicables y decisiones aprobadas; el verbo «debe» expresa esta propuesta cuando no se cita un requisito legal específico. 8. **Monitoreo y ajustes:** durante y después de la migración, monitorizar métricas de latencia, tasa de errores, interoperabilidad, incidencias, disponibilidad, rendimiento, aceptación de usuarios y reducción real de exposición criptográfica. Deben revisarse parámetros, algoritmos y configuraciones cuando cambien los estándares, aparezcan vulnerabilidades, se publiquen erratas o el proveedor modifique su soporte. La criptoagilidad exige capacidad real de sustitución, no solo una decisión inicial de algoritmo. Etapa propuesta de un plan internoPQC, adaptable a riesgo, inventario, perfiles aplicables y decisiones aprobadas; el verbo «debe» expresa esta propuesta cuando no se cita un requisito legal específico. 9. **Formación y concienciación:** acompañar la migración técnica con formación a administradores de sistemas, desarrolladores, equipos de compras, responsables de cumplimiento y usuarios clave. Los desarrolladores deben conocer cambios en APIs, bibliotecas y patrones de integración; los equipos de compras deben saber exigir soporte PQC, criptoagilidad y evidencias de roadmap; y los responsables legales y de compliance deben distinguir entre obligaciones normativas, recomendaciones oficiales y estándares técnicos. La transición debería ser transparente para usuarios finales, pero los cambios relevantes de certificados, firma, autenticación o disponibilidad deben comunicarse cuando afecten a su operativa. Etapa propuesta de un plan internoPQC, adaptable a riesgo, inventario, perfiles aplicables y decisiones aprobadas; el verbo «debe» expresa esta propuesta cuando no se cita un requisito legal específico. 10. **Gobernanza y cumplimiento:** documentar el proceso completo, actualizar políticas de seguridad, continuidad, gestión de claves, contratación, clasificación de información, arquitectura y control de proveedores. La alta dirección y el órgano competente deben recibir información periódica sobre avance, riesgos residuales, excepciones legacy y decisiones pendientes. En entidades financieras, DORA puede exigir evidencias de gestión del riesgo TIC, pruebas y seguimiento de terceros TIC; en administraciones y prestadores sujetos al ENS, deberán considerarse los requisitos de seguridad, auditoría y mejora continua; y en cualquier organización con datos personales, el plan debe coordinarse con seguridad del tratamiento, protección de datos y EIPD cuando proceda. DORA y ENS se aplican a sus sujetos y sistemas; no nombran este planPQC como obligación idéntica para toda organización. La referencia CCN-TEC 009 es recomendación técnica, salvo incorporación específica exigible en el ámbitoENS correspondiente. Este plan también se alinea con los marcos europeos de gestión de riesgos tecnológicos y con la política europea de transición PQC. En el sector financiero, DORA exige un marco robusto, completo y documentado de gestión del riesgo TIC, pruebas de resiliencia operativa digital y seguimiento del riesgo derivado de terceros TIC; por ello, un plan PQC puede servir como evidencia de anticipación frente a un riesgo criptográfico emergente, sin convertirlo en una obligación textual autónoma para todos los casos. La **Checklist PQC** del anexo debe resumir estos pasos como lista operativa. La migración no es “one-shot”: deberá revisarse continuamente. La tecnología cuántica, los estándares PQC y las implementaciones evolucionan, y pueden surgir mejores algoritmos, erratas, debilidades, requisitos de interoperabilidad o necesidades de rotación más frecuente de claves. La organización debe incorporar la criptoagilidad a su ADN de seguridad, igual que incorpora la gestión de parches, vulnerabilidades y continuidad. Finalmente, debe mantenerse atención a la coordinación nacional e internacional. La Recomendación (UE) 2024/1101 no es un reglamento vinculante, pero impulsó una hoja de ruta coordinada; la hoja de ruta de junio de 2025 recomienda primeros pasos/planes nacionales y pilotos de alto/medio riesgo hacia fin 2026, alta prioridad hacia fin 2030 y transición de riesgo completar riesgo medio hacia fin2035 y, para riesgo bajo, enlo factible. Por tanto, el texto debe presentar esas fechas como hitos de hoja de ruta oficial, no como mandato legislativo general ya vigente. Estos hitos recomendados no establecen por sí solos que todo pliego público de 2030 deba admitir únicamente soluciones «quantum-safe». La compra pública exige objeto, proporcionalidad, equivalencia y régimen aplicable, yENS solo dentro de su ámbito. ##### *3.2 **Auditoría de Sistemas y Algoritmos Cuánticos*** La **auditoría** en contexto cuántico tiene dos vertientes complementarias: (a) *auditoría técnica* de seguridad, fiabilidad, rendimiento e interoperabilidad de sistemas cuánticos, criptográficos o híbridos; y (b) *auditoría ética y legal* para comprobar cumplimiento normativo, trazabilidad de decisiones y alineamiento con principios de gobernanza responsable. Un programa integral de QT-QMS debe incluir ambas vertientes con alcance proporcional al riesgo y con independencia suficiente. Se trata de un programa de auditoría propuesto, sin certificación, evaluación o test ejecutado por esta revisión. El alcance debe indicar sistema, versiones, amenazas, exclusiones y evidencia, sin garantía absoluta de ausencia de fallos. **a) Auditoría técnica (seguridad, calidad e interoperabilidad):** Controles de auditoría técnica propuestos; serán concretados por alcance y riesgo antes de ejecución. - **Alcance:** incluir los componentes cuánticos, criptográficos y de integración dentro del plan anual de auditoría TI. Si existen auditorías de vulnerabilidades, pentesting o revisión de arquitectura, deben extenderse a interfaces cuánticas, APIs de computación cuántica en la nube, canales de gestión de QKD, módulos PQC, PKI, HSM, certificados, servicios de firma y dependencias de terceros. Si hay revisión de calidad de datos, deben incluirse los datos usados para entrenar, validar o explotar algoritmos cuánticos o QML. - **Equipo auditor especializado:** la auditoría técnica puede requerir apoyo de expertos externos por la novedad tecnológica y criptográfica. Puede recurrirse a laboratorios, criptógrafos, especialistas en seguridad, auditores ENS/DORA cuando proceda, o expertos académicos para validar implementaciones, supuestos de amenaza y pruebas de interoperabilidad. La independencia del auditor debe documentarse. - **Revisión de implementaciones PQC:** verificar que los algoritmos postcuánticos implementados corresponden a estándares o especificaciones apropiadas, que la nomenclatura es correcta —ML-KEM, ML-DSA, SLH-DSA cuando se trate de FIPS 203, 204 y 205— y que no se usan variantes experimentales en producción sin justificación y controles. Deben comprobarse parámetros, generación y custodia de claves, aleatoriedad, gestión de certificados, rotación, destrucción y compatibilidad. También debe revisarse el código para evitar fallos clásicos, incluidas vulnerabilidades de memoria, errores de integración y ataques por canal lateral. - **Pruebas de estrés y rendimiento:** en sistemas de computación cuántica, realizar benchmarks periódicos para comprobar SLAs, fidelidad, ruido, errores, disponibilidad y condiciones de operación. En criptografía PQC, medir impacto de tamaños de claves, firmas y mensajes, latencia y compatibilidad con clientes, dispositivos y servicios legacy. En sensores cuánticos, verificar robustez ante condiciones ambientales relevantes, como temperatura, vibración, interferencias y calibración. - **Informe técnico:** documentar hallazgos, severidad, evidencias, sistemas afectados, desviaciones frente a estándares o políticas internas, riesgos residuales y plan de remediación. El informe debe identificar responsables, plazos, dependencias de proveedor, excepciones aprobadas y fecha de seguimiento. Los hallazgos críticos deben activar acciones de contención o remediación inmediata. Las pruebas de QKD incluyen autenticación clásica, implementación física, gestores de claves, nodos confiables e interfaces dentro del alcance; un perfilETSI o ensayo no acredita por sí solo certificado de una red completa. Un informe con muestreo y límites no demuestra inexistencia de toda fuga o vulnerabilidad. **b) Auditoría ética y legal:** Controles de auditoría ética y legal propuestos; obligaciones por sujeto, rol, función y fase. - **Cumplimiento RGPD, Reglamento de IA, DORA, ENS y normativa sectorial:** revisar que cada proyecto ha sido clasificado frente a los marcos aplicables y que se han realizado las evaluaciones correspondientes cuando proceda. En protección de datos, debe comprobarse si existe tratamiento de datos personales, si puede entrañar alto riesgo y si se requiere EIPD conforme al art. 35 RGPD y a los criterios orientativos de la AEPD. En IA, debe verificarse si el sistema es de alto riesgo, si existen obligaciones de documentación, registros, evaluación de conformidad o evaluación de impacto sobre derechos fundamentales, y si la EIPD se coordina con esas obligaciones cuando proceda. En entidades financieras, debe revisarse el encaje con DORA; en administraciones o sujetos vinculados al ENS, deben revisarse auditoría, seguridad y contratación. - **Verificación de principios éticos:** la auditoría debe examinar si la organización aplica los principios del Libro Blanco, en particular libertad, justicia, transparencia, rendición de cuentas, seguridad y beneficio social. Puede hacerse mediante entrevistas, revisión documental, muestreo de decisiones, análisis de accesibilidad, evaluación de sesgos y revisión de políticas de acceso. La auditoría no debe convertir aspiraciones éticas en afirmaciones de cumplimiento legal si no existe obligación jurídica específica. - **Seguimiento de recomendaciones del Comité Ético:** la auditoría revisa el Issue Log ético y verifica si las recomendaciones se han implementado. Si el comité indicó “no lanzar producto X sin cifrado PQC”, la auditoría debe comprobar si el lanzamiento se suspendió, se rediseñó o se autorizó con una excepción formal. Toda desviación debe documentarse con responsable, justificación, riesgo residual y fecha de cierre. - **Conformidad contractual y estándares voluntarios:** si la organización se adhirió a códigos de conducta, certificaciones, compromisos sectoriales o cláusulas éticas en contratos, debe verificarse su cumplimiento. En contratos con proveedores, puede exigirse evidencia de soporte PQC, gestión segura de claves, notificación de incidentes, derecho de auditoría, subcontratación controlada y roadmap de transición. Las obligaciones voluntarias deben identificarse como tales y separarse de las exigencias legales. - **Auditor externo frente a auditor interno:** para aumentar credibilidad, pueden utilizarse auditores externos en materias técnicas, éticas o legales, especialmente cuando haya alto riesgo, impacto público, datos sensibles, infraestructuras críticas o dependencia relevante de proveedores. La auditoría externa no sustituye la responsabilidad de la organización ni la revisión por órganos internos competentes. **Resultados de auditoría:** las auditorías técnicas, éticas y legales culminan en informes documentados. Los hallazgos críticos deben dar lugar a acciones inmediatas, y los hallazgos menores deben cerrarse con plazos razonables. Los resultados deben comunicarse a la alta dirección, al Comité de Ética y a los stakeholders internos pertinentes, respetando confidencialidad, secreto empresarial, protección de datos y privilegios legales cuando proceda. EnRGPD se identificarán base delartículo6 y, para datos especiales, excepción delartículo9; consentimiento no es la única vía, ni seudonimización equivale a anonimización. EIPD35 y consulta36 dependen de sus supuestos. EnRIA, elartículo18 exige al proveedor documentación durante10 años para el régimen aplicable; logsartículos19/26 tienen roles y períodos distintos (al menos6 meses salvo régimen aplicable). FRIA27 se limita a sus sujetos y sistemas. Se aplicará el calendario modificado por 2026/1744: alto riesgo anexoIII desde 02-12-2027 y anexoI desde 02-08-2028, con disposiciones y transitorios específicos; no deber uniforme de conservar todo expediente10 años ya en 2026. Si se evalúa un QTSP, su cualificacióneIDAS depende de proveedor, servicio, supervisión y Trusted List; un proveedor cuántico no es QTSP por su tecnología. **Ejemplo hipotético de mejora continua (no caso ejecutado):** En2026 una auditoría detecta que, aunque la empresa ha migrado buena parte de sus sistemas críticos a PQC o a arquitecturas híbridas, algunos dispositivos IoT antiguos siguen usando RSA o ECC sin plan claro de sustitución. El hallazgo se clasifica como riesgo relevante si esos dispositivos protegen credenciales, comunicaciones, actualizaciones de firmware o información con vida útil prolongada. Tras el hallazgo, la empresa acelera un programa de sustitución, segmenta los dispositivos afectados, actualiza el Plan PQC y exige al proveedor un roadmap documentado. Al año siguiente, la auditoría verifica si el riesgo se ha mitigado y si las excepciones pendientes tienen fecha de cierre. Este bucle propone tratar los riesgos residuales, incluidos los aspectos técnicos y contractuales pendientes, dentro de un proceso de mejora continua; su eficacia requiere evidencia de aplicación y seguimiento. La organización debe mantener un registro de hallazgos, responsables, fechas de remediación, excepciones aceptadas y verificación posterior. La finalidad no es declarar un estado definitivo de seguridad cuántica, sino demostrar que el sistema de gobernanza detecta desviaciones, prioriza su tratamiento y actualiza controles conforme evolucionan amenazas, estándares y obligaciones aplicables. ##### *3.3 **Compras y Contrataciones Responsables de Tecnología Cuántica*** Dada la complejidad de la cadena de suministro cuántica —startups especializadas, grandes proveedores tecnológicos, laboratorios, integradores, servicios cloud, fabricantes de hardware, desarrolladores de software y consultoras—, es importante incorporar criterios de responsabilidad en **los procesos de adquisición**. Esto abarca tanto la compra de **hardware o software cuántico** como la contratación de **servicios cuánticos**, por ejemplo acceso a computadores cuánticos en la nube, servicios de optimización, QKD, sensores cuánticos, consultoría especializada o módulos de criptografía postcuántica. Recomendaciones para compras: Los criterios de compra se concretarán por objeto, rol, riesgo y contrato. No se atribuye cualificaciónQTSP a todo servicio cuántico ni obligatoriedad universal a estándares voluntarios; la tecnología y el servicio deben identificarse antes de exigir evidencias. Criterios y cláusulas de compra responsable propuestos. En contratación pública, su exigibilidad depende del régimen aplicable, objeto, proporcionalidad, equivalencia y pliego; en contratación privada, de normas imperativas y pacto. Los verbos «debe» relativos a este modelo no crean obligaciones universales. - **Especificaciones éticas y de seguridad en RFP:** Al redactar pliegos, solicitudes de propuesta o procedimientos de compra de tecnología cuántica, los requisitos deben formularse como prescripciones técnicas, criterios de adjudicación, etiquetas o condiciones especiales de ejecución vinculadas al objeto del contrato, proporcionadas, verificables y no discriminatorias. En tecnología cuántica no basta con describir la funcionalidad esperada, porque el riesgo regulatorio se proyecta sobre criptografía, protección de datos, resiliencia operativa, cadena de suministro, interoperabilidad, seguridad de producto y posibles usos de IA o analítica avanzada. Ejemplos de redacción prudente son: “el sistema deberá documentar su dependencia criptográfica, soportar criptoagilidad y prever una hoja de ruta de migración a criptografía poscuántica alineada con estándares NIST FIPS 203, 204 y 205 y con la hoja de ruta de la UE cuando resulte aplicable”. También puede exigirse que el licitador describa sus medidas de privacidad desde el diseño, seguridad del tratamiento y evaluación de impacto cuando el servicio implique datos personales, decisiones automatizadas o sistemas de IA de alto riesgo. La referencia a certificaciones como ISO/IEC 27001, Common Criteria, esquemas nacionales o europeos de ciberseguridad debe presentarse como medio de prueba o criterio técnico admisible cuando guarde relación con el objeto y admita equivalentes, no como una barrera cerrada de acceso al procedimiento. - **Debida diligencia de proveedores o Quantum Due Diligence:** Antes de contratar, la organización debe evaluar si el proveedor puede operar de forma segura, lícita y responsable durante todo el ciclo de vida del servicio cuántico, incluyendo subcontratistas, dependencias cloud, componentes de hardware, modelos algorítmicos, gestión de vulnerabilidades, inventario criptográfico y capacidad de migración. Si el proveedor tratará datos personales, la diligencia debe revisar roles de responsable y encargado, medidas de seguridad, privacidad desde el diseño, minimización, registro, transferencias internacionales y necesidad de evaluación de impacto relativa a la protección de datos. Si el proveedor presta servicios a una entidad financiera, la revisión debe integrarse en la gestión del riesgo de terceros TIC de DORA y no confundirse con una “certificación” automática del proveedor. En proveedores para administraciones públicas españolas, la diligencia debe comprobar compatibilidad con el ENS, las guías CCN-STIC y los requisitos de seguridad de los sistemas que soportan servicios electrónicos públicos. - **Cláusulas contractuales específicas:** Los contratos con proveedores de tecnología cuántica deben incorporar cláusulas de criptoagilidad, inventario criptográfico, migración PQC, notificación de vulnerabilidades, cooperación en auditorías, subcontratación controlada, uso lícito, respeto de derechos fundamentales, protección de datos, continuidad, reversibilidad, portabilidad e interoperabilidad. La cláusula de criptoagilidad debe obligar al proveedor a mantener un inventario de activos criptográficos, evaluar exposición a “store now, decrypt later”, soportar esquemas híbridos cuando proceda y actualizar algoritmos conforme al estado de la técnica y a la hoja de ruta pactada. La cláusula de uso legítimo debe impedir que entregables, acceso cloud, modelos o resultados se empleen para finalidades ilícitas, discriminatorias, no autorizadas o contrarias a derechos fundamentales. La cláusula de cadena de suministro debe exigir identificación de subproveedores críticos, trazabilidad de componentes, controles sobre trabajo forzoso y condiciones de sustitución cuando el proveedor no pueda cumplir seguridad, resiliencia o continuidad. - **Evaluación durante la ejecución:** La responsabilidad no debe terminar con la adjudicación o firma del contrato, porque la tecnología, los estándares y los riesgos cuánticos evolucionan durante la vida del servicio. Deben preverse indicadores de seguimiento sobre parcheo, gestión de vulnerabilidades, cumplimiento de hoja de ruta PQC, respuesta a incidentes, calidad de soporte, auditorías, cambios de subcontratistas y revisión de impacto sobre datos personales o derechos fundamentales. En proyectos ágiles o de I+D, cada hito o sprint debe incluir una revisión de seguridad, ética, datos, dependencia criptográfica y desviaciones de la arquitectura aprobada. Cuando se trate de entidades financieras, los indicadores deben conectarse con resiliencia operativa y riesgo de terceros TIC; cuando se trate de administraciones, deben conectarse con ENS, seguridad del servicio público electrónico y continuidad. - **Fomentar competencia responsable y evitar lock-in:** La compra debe reducir dependencias cerradas, evitar monopolios técnicos, preservar reversibilidad, portabilidad e interoperabilidad, y permitir sustitución o coexistencia de proveedores cuando sea razonable. Esta cautela es especialmente importante en hardware cuántico, cloud cuántico, librerías propietarias, chips cuánticos y servicios de identidad o confianza que puedan convertirse en infraestructuras estratégicas. La neutralidad tecnológica no significa indiferencia regulatoria, sino selección abierta a varias soluciones siempre que cumplan seguridad, resiliencia, protección de datos, explicabilidad y derechos fundamentales cuando proceda. - **Alianzas sectoriales de compra ética e innovadora:** En sectores públicos, financieros o consorciados puede ser adecuado acudir a compra pública innovadora, compra precomercial, acuerdos marco o colaboración sectorial para probar tecnologías cuánticas bajo reglas comunes de seguridad, ética, privacidad y estandarización. En España, la Estrategia de Tecnologías Cuánticas 2025-2030 incluye el fomento de la compra pública innovadora, el acompañamiento hacia la criptografía poscuántica y la certificación nacional en ciberseguridad de productos cuánticos como iniciativas diferenciadas. En la UE, la estrategia cuántica de 2025 es una estrategia política, no una obligación legal directamente aplicable, y debe citarse como marco de orientación hasta que exista un acto legislativo adoptado. Las alianzas de compra pueden enviar señales de mercado, pero no deben sustituir el análisis jurídico de cada pliego, la verificación de proporcionalidad ni la evaluación de riesgos de cada caso. ISO/IEC27001 se refiere a un sistema de gestión de seguridad de la información, no a certificación genérica de seguridad del producto. Common Criteria yEUCC requieren alcance, objetivo de seguridad, versión y certificado efectivo; NISTFIPS no equivale a una aprobación generalETSI ni a certificado del servicio. Se admitirán medios equivalentes segúnLCSP126–128. FIPS 203/204/205 ya están publicados; la cláusula de actualización fijará perfil, aceptación, compatibilidad, plazo y mantenimiento pactados, en lugar de esperar indefinidamente un «estándar futuro». La compra precomercial y la asociación para innovación no son procedimientos intercambiables ni aplican por mera denominación del proyecto; se verificará su régimen concreto antes de elegir modalidad. **Insight:** La referencia del original a Quantum Computing Governance Principles del Foro Económico Mundial se conserva como antecedente de gobernanza pendiente de lectura directa de sus pasajes. Ese tipo de guía debe distinguirse de una norma y puede ser útil para convertir compromisos éticos en obligaciones contractuales verificables frente a proveedores, desarrolladores y usuarios de tecnología cuántica. Aplicar estas guías en compras responsables permite extender el QT-QMS a colaboradores externos y construir una cadena de ética cuántica basada en diligencia, trazabilidad, cooperación y auditoría. En el sector financiero, esta lógica se refuerza por DORA, que exige a sus entidades sujetas gestionar el riesgoTIC y el riesgo de tercerosTIC; los proveedores designados críticos tienen además un régimen de supervisión específico, y por la posición del QSFF, que insiste en coordinación, inventario criptográfico y criptoagilidad para la transición PQC. QSFF es un foro/informe de recomendaciones y coordinación, no regulador ni fuente de una obligación uniforme dePQC. La incorporación de compromisos a contrato exige objeto y criterios verificables; no convierte el QT-QMS propuesto en certificación. Como orientación de compra responsable, las compras de tecnología cuántica deberían incorporar seguridad, privacidad, resiliencia y ética desde la fase de diseño del expediente hasta la ejecución y salida contractual. El expediente debe distinguir obligaciones jurídicas vinculantes, como RGPD, DORA, ENS o LCSP, de recomendaciones y estrategias, como la hoja de ruta PQC de la UE, la Estrategia Cuántica europea de 2025 o las guías del Foro Económico Mundial. La organización mantiene neutralidad tecnológica cuando admite soluciones equivalentes, pero debe exigir evidencia suficiente de seguridad, interoperabilidad, gobernanza, minimización de datos, supervisión humana y reversibilidad cuando esos elementos sean relevantes para el objeto contratado. Con esta aproximación, la adquisición responsable permite aprovechar ventajas cuánticas sin desplazar a terceros proveedores, usuarios, clientes o ciudadanos los riesgos que la entidad contratante puede prever y gestionar razonablemente. Las obligaciones legales se exigen solo a los sujetos, sistemas, funciones y contratos comprendidos en cada régimen. La preparaciónPQC y los criterios éticos añadidos se documentan como recomendación o compromiso contractual cuando no exista mandato concreto. #### 4. **Aplicación Sectorial de las Tecnologías Cuánticas** Las tecnologías cuánticas pueden tener impactos y casos de uso diferenciados en sectores económicos y sociales, por lo que el QT-QMS debe adaptarse a la función crítica, al tipo de datos, al grado de dependencia criptográfica, al perfil de usuarios afectados y al régimen regulatorio aplicable. Esta sección aborda finanzas, administraciones públicas, defensa, energía, salud y proveedores de servicios cuánticos conforme a sus respectivos casos de uso y marcos aplicables. En cada subsector se distinguen oportunidades, riesgos y controles, porque una misma capacidad técnica puede tener efectos muy distintos si se usa para optimizar carteras, gestionar servicios públicos, proteger identidad digital o desplegar sistemas de defensa. La regla editorial es no presentar como obligación legal lo que sea una estrategia, recomendación, guía o posición sectorial, y no presentar como hecho verificado una referencia secundaria o no leída. El QT-QMS es un modelo/beta propuesto, no sistema acreditado. Aquí «proveedor de servicios cuánticos» designa la actividad técnica, por ejemploQaaS; «QTSP» en eIDAS significa prestador cualificado de servicios de confianza y no cualquier proveedor cuántico. ##### *4.1 **Sector Financiero*** El sector bancario, asegurador, de mercados financieros y de infraestructuras financieras es especialmente sensible a la revolución cuántica por su dependencia de criptografía, datos confidenciales, comunicaciones seguras, terceros tecnológicos y continuidad operativa. Además, el sector busca ventajas de cálculo en optimización de carteras, valoración de riesgos, detección de fraude, simulación y eficiencia operativa, aunque muchos casos siguen siendo exploratorios o precomerciales. La aplicación del QT-QMS en finanzas debe priorizar seguridad criptográfica, resiliencia operativa, gobernanza de terceros TIC, protección de datos, trazabilidad de modelos y coordinación sectorial. El modelo sectorial es una propuesta de gestión. No se atribuyen ventajas cuantitativas aQML ni estado productivo, y no se consideran todos los subsectores comprendidos enDORA sin verificarartículo2 y exenciones aplicables. Propuesta sectorial de preparación y diligencia; obligaciones concretas solo por sujeto, rol, finalidad y supuesto. - **Priorizar la seguridad criptográfica y la resiliencia operativa según el riesgo:** En finanzas, la transición a criptografía poscuántica debe incorporarse a la resiliencia operativa digital, a la gestión de activos, a la continuidad de negocio y a la gestión de terceros, no tratarse como un proyecto aislado de laboratorio. DORA establece un marco armonizado de resiliencia operativa digital para entidades financieras y cubre gobierno, riesgo TIC, incidentes, pruebas de resiliencia, terceros TIC e intercambio de información. El artículo 31 de DORA permite designar proveedores terceros TIC críticos y nombrar un supervisor principal, por lo que la redacción debe hablar de designación y supervisión, no de “certificación” o “autorización” del proveedor. La Recomendación (UE) 2024/1101 y la hoja de ruta UE de junio de 2025 son instrumentos de coordinación y preparación PQC, con hitos recomendados de primeros pasos/planes nacionales y pilotos alto/medio hacia fin 2026, alta prioridad hacia fin 2030 y completar riesgo medio hacia fin2035 y, para riesgo bajo, enlo factible, pero no sustituyen las obligaciones sectoriales de DORA, RGPD o NIS2. NIST publicó FIPS 203, FIPS 204 y FIPS 205 el 13-08-2024, y esos estándares deben citarse como fuente técnica oficial estadounidense, no como norma europea obligatoria por sí misma. - **Protección del dato financiero y del cliente:** El dato financiero, las credenciales, los historiales bancarios, la información de inversión, los contratos y las comunicaciones interbancarias pueden verse afectados por amenazas de “store now, decrypt later” cuando deban permanecer confidenciales durante largos periodos. El RGPD no impone una técnica criptográfica concreta, pero exige medidas técnicas y organizativas apropiadas al riesgo, incluida en su caso seudonimización, cifrado, confidencialidad, integridad, disponibilidad y resiliencia. En scoring crediticio, detección de fraude o decisiones automatizadas con efectos sobre clientes, el análisis debe cubrir el artículo 22 RGPD y, cuando proceda, los requisitos de sistemas de IA de alto riesgo del Reglamento de IA. La seudonimización, la minimización y el control de acceso son especialmente relevantes cuando datos de clientes se envían a proveedores cloud o a entornos de experimentación cuántica. - **Casos de uso beneficiosos y gobernanza:** Los casos de uso financieros más citados incluyen optimización, valoración de riesgos, simulación, detección de fraude y análisis de datos, pero deben describirse como oportunidades en evolución salvo que existan pruebas operativas concretas en la entidad analizada. Si se usa aprendizaje automático cuántico o inspirado en cuántica para fraude, crédito, seguros de vida o salud, debe verificarse si el caso entra en el anexo III del Reglamento de IA y si requiere supervisión humana, evaluación de impacto en derechos fundamentales o controles reforzados de datos. La trazabilidad de decisiones, el registro de versiones y la explicación al usuario deben evaluarse con RGPD, normativa financiera sectorial y Reglamento de IA, porque las obligaciones no nacen de la “cuántica” como tal sino del impacto del tratamiento y de la decisión. En consecuencia, el QT-QMS financiero debe permitir experimentar con ventajas cuánticas, pero debe condicionar su paso a producción a pruebas de robustez, sesgo, seguridad, protección de datos, continuidad y supervisión humana. - **Interdependencia y colaboración sectorial:** Ningún banco, aseguradora, gestor de activos o infraestructura de mercado puede completar por sí solo la transición a criptografía resistente a ataques cuánticos, porque depende de proveedores, contrapartes, protocolos, redes, clientes y reguladores. El QSFF subraya que la coordinación entre instituciones, proveedores y autoridades es esencial, y recomienda inventario criptográfico, políticas comunes, criptoagilidad y colaboración global. La referencia del original a un plazo del Banco de Inglaterra «antes de 2025» no se da por verificada y requiere fuente primaria; la coordinación descrita aquí se apoya en el informeQSFF. En el entorno europeo, la coordinación debe convivir con DORA, NIS2, RGPD y la hoja de ruta PQC, evitando duplicidades regulatorias y distinguiendo obligaciones vinculantes de recomendaciones sectoriales. - **Comunicación y confianza del cliente:** La comunicación externa debe reconocer el desafío cuántico sin alarmismo y explicar que la entidad mantiene planes de inventario, priorización, migración, pruebas y seguimiento de estándares. Ocultar el riesgo sería incompatible con una gestión diligente de la resiliencia y la confianza, pero exagerar la inminencia de la ruptura criptográfica puede generar desconfianza injustificada. La comunicación a inversores, clientes o supervisores debe distinguir entre estándares NIST ya publicados, hoja de ruta UE de coordinación, obligaciones DORA y pruebas internas que todavía no equivalen a despliegue productivo. La frase segura es que el sector financiero debe integrar la preparación cuántica en sus hojas de ruta actuales de ciberseguridad y resiliencia, no dejarla para una fecha futura indeterminada. El RGPD22 alcanza decisiones exclusivamente automatizadas con efectos jurídicos o significativamente similares, sujeto a excepciones y garantías; no todo scoring o detección de fraude activa por sí solo ese artículo. Información y acceso se revisan también conforme a 13.2.f,14.2.g y15.1.h cuando proceda. La seudonimización mantiene el carácter personal del dato y no habilita por sí sola cesión a nube: requieren bases6/9 cuando corresponda, roles, contratos y transferencias. El anexoIII5.b RIA se refiere a solvencia/puntuación crediticia de personas físicas, con excepción para detección de fraude financiero;5.c cubre evaluación de riesgo y tarificación en seguros de vida y salud. Se analizaránartículo6, FRIA27 y el calendario2026/1744 (anexoIII02-12-2027/anexoI02-08-2028 y excepciones), sin clasificar como alto riesgo cualquierQML financiero. DORA no impone nominalmentePQC/QKD ni una fecha idéntica para todo banco. No se presenta una redSWIFT protegida medianteQKD como despliegue acreditado, ni capacidad de obtener claves como garantía de seguridad integral. Orientación del modelo QT-QMS financiero propuesto, sin certificación legal o ética de la entidad. En resumen, en finanzas el QT-QMS se centra en resiliencia, criptografía, datos, continuidad y terceros, con un sentido de urgencia superior al de sectores menos dependientes de criptografía y servicios digitales críticos. Una entidad financiera cuánticamente responsable debe inventariar criptografía, priorizar activos de alto riesgo, coordinarse con proveedores y contrapartes, adoptar criptoagilidad y alinear su transición con DORA, RGPD, NIS2, estándares NIST y la hoja de ruta PQC de la UE cuando proceda. El uso de IA cuántica o de modelos inspirados en cuántica para clientes exige controles reforzados de no discriminación, privacidad, explicabilidad, supervisión humana y evaluación de impacto si afecta significativamente a personas físicas. Debe eliminarse toda afirmación que presente referencias no leídas del original como prueba directa; esas referencias solo pueden mantenerse como antecedentes pendientes de verificación si no han sido contrastadas con una fuente primaria o institucional accesible. La clasificación y las evaluaciones se determinan por función y riesgo (RGPD35 yRIA6/27), con fases del RIA1744; efectos significativos no convierten cualquier caso enFRIA obligatoria. Los criterios de urgencia se justifican en datos, criticidad y duración de la migración, no por tecnología de forma automática. ##### *4.2 **Administraciones Públicas*** Las Administraciones Públicas abarcan Administración General del Estado, comunidades autónomas, entidades locales, organismos públicos y entidades del sector público, con funciones de prestación de servicios, regulación, contratación, identidad digital, custodia de datos, infraestructuras críticas y seguridad nacional. Su adopción cuántica tiene una doble dimensión: usar tecnología cuántica o inspirada en cuántica para mejorar servicios públicos y actuar como comprador, regulador, financiador y coordinador del ecosistema. El QT-QMS público propuesto debería coordinar los requisitos concretos deENS, RGPD, eIDAS2, contratación pública y demás regímenes aplicables por sujeto y función, distinguiéndolos de estrategias/recomendaciones y de la transposiciónNIS2 cuya publicación española no se acredita en esta revisión. Medidas de gobernanza pública recomendadas por el Informe; las obligaciones sectoriales se aplican según sujeto, sistema y función. - **Rol ejemplarizante en seguridad y ética:** Las Administraciones Públicas deben ser modelo de cumplimiento porque gestionan datos, servicios esenciales, identidad, registros, procedimientos y comunicaciones que sustentan derechos de la ciudadanía. En España, el ENS regula la política de seguridad en el uso de medios electrónicos y se apoya en principios básicos, requisitos mínimos, instrucciones técnicas de seguridad y guías CCN-STIC. La Estrategia de Tecnologías Cuánticas de España 2025-2030 declara prioridades sobre privacidad postcuántica, compra pública innovadora, acompañamiento en la transición PQC, certificación nacional y gobernanza del ecosistema cuántico. Por ello, el texto debe sustituir “por exigencia legal futura” por una formulación más precisa: existe obligación presente de seguridad y gestión de riesgos conforme al ENS y RGPD, mientras que la transición PQC opera hoy como estrategia, recomendación y preparación coordinada salvo incorporación sectorial o contractual concreta. - **Protección de infraestructuras críticas y servicios públicos esenciales:** Los gobiernos operan o supervisan energía, agua, transporte, salud, identidad, comunicaciones y otros servicios que NIS2 clasifica en sectores de alta criticidad u otros sectores críticos, aunque el alcance exacto depende de la transposición nacional y de la identificación de entidades. En España, la Orden PJC/522/2025 indicaba que NIS2 estaba en proceso de transposición mediante el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, y fuentes de 2026 seguían refiriéndose al anteproyecto o a su tramitación. Por prudencia editorial, el texto no debe afirmar que una norma española de transposición NIS2 concreta esté plenamente en vigor si no se cita el BOE de la ley finalmente publicada. Las administraciones deben impulsar guías, inventarios, priorización y apoyo a sectores esenciales para que la preparación PQC no quede limitada a bancos o grandes tecnológicas. - **Uso de computación cuántica para políticas públicas:** Los casos potenciales incluyen simulación climática, optimización de tráfico, logística de emergencias, investigación sanitaria, análisis de genomas y planificación de recursos, pero deben presentarse como usos potenciales o pilotos salvo evidencia del despliegue concreto. Cuando estos usos traten datos personales, la Administración debe aplicar RGPD, privacidad desde el diseño, seguridad del tratamiento y, si existe alto riesgo, evaluación de impacto relativa a la protección de datos. Cuando el sistema sea IA de alto riesgo en servicios públicos esenciales, infraestructuras críticas o decisiones que afecten a prestaciones, deben considerarse supervisión humana, obligaciones del desplegador y evaluación de impacto en derechos fundamentales. La regla editorial adecuada es mantener control humano significativo en decisiones asistidas por IA o algoritmos cuánticos que afecten derechos, evitando una analogía genérica con el Reglamento de IA si no se identifica el supuesto concreto del anexo III. - **Desarrollo de capacidades propias:** La inversión pública en capacidades cuánticas se justifica por soberanía tecnológica, seguridad, competitividad, talento y reducción de dependencia de terceros países. En España, la Estrategia de Tecnologías Cuánticas 2025-2030 contempla el refuerzo de Quantum Spain, comunicaciones cuánticas, sensórica, metrología, chips cuánticos, infraestructuras, investigación, talento y gobernanza. El Real Decreto 317/2025 regula subvenciones directas para entidades de referencia en comunicaciones cuánticas y describe Quantum Spain, infraestructuras cuánticas y colaboración con EuroHPC y Chips JU. Estas inversiones deben incorporar evaluación de impacto social, ética, privacidad, divulgación, acceso al talento y gestión de riesgos, porque la Estrategia española se presenta como desarrollo sostenible, ético, regulado e inclusivo. - **Servicios de confianza e identidad digital:** Las Administraciones Públicas son proveedoras o habilitadoras de sistemas de identificación, firma, sede electrónica y certificados, y eIDAS 2 introduce el Marco Europeo de Identidad Digital y las Carteras Europeas de Identidad Digital. eIDAS 2 prevé que la cartera permita autenticación y compartición de datos vinculados a la identidad, con control del usuario, atributos electrónicos y salvaguardas de privacidad. El texto debe evitar la expresión “QTSPs cuánticos” como categoría jurídica adoptada si no existe fuente normativa específica; la formulación segura es que los servicios de confianza y los sistemas de identidad deberán adaptarse a riesgos de ciberseguridad, privacidad y, cuando proceda, criptografía poscuántica. La acreditación corresponde al organismo de evaluación de la conformidad en el marco aplicable. La cualificación de un prestador y de cada servicio exige evaluación, decisión del organismo supervisor y constancia en la Trusted List; no se acredita automáticamente un servicio por ser cuántico. - **Transparencia y participación ciudadana:** La Administración debe publicar información comprensible sobre sistemas relevantes, riesgos, beneficios, protección de datos, criterios de decisión y mecanismos de recurso o reclamación cuando la tecnología afecte a personas o servicios públicos. En la Estrategia española, la cooperación, el diálogo, la implicación de la sociedad civil y la creación de un ecosistema responsable se presentan como elementos centrales del marco cuántico nacional. En proyectos públicos de IA o algoritmia cuántica, la transparencia debe complementarse con documentación técnica, gobernanza interna, evaluación de impacto, supervisión humana y protección de datos desde el diseño. La publicación de informes de impacto cuántico es una recomendación editorial razonable, pero debe presentarse como buena práctica salvo que una norma sectorial o convocatoria concreta lo imponga. El régimenENS se delimita porartículo2 y, para proveedores privados, por los sistemas/servicios comprendidos; CCN-TEC 009 es recomendación técnica salvo incorporación específica exigible. Un ministerio no tiene por la estrategia sola una fecha/algoritmoPQC universal. EIPD35 no se exige para todo dato personal, y FRIA27 tiene sujetos/sistemas determinados; el calendarioRIA2026/1744 modifica la aplicación de alto riesgo (anexoIII02-12-2027 y anexoI02-08-2028, con disposiciones específicas). RequisitosRRI para financiación pública nacen de programa/convocatoria/contrato aplicable, no de todas las subvenciones. Wallet y servicios de confianza requieren identificar actos de ejecución, perfil y fecha del servicio; PQC no otorga cualificación. Los informes de impacto cuántico y el comité especializado siguen como buenas prácticas salvo mandato concreto, con minimización, confidencialidad y límites de seguridad/exportación para publicación. En definitiva, el sector público tiene un doble papel de política y gobernanza: actuar como adoptante responsable de tecnologías cuánticas y como comprador, regulador, financiador y coordinador del ecosistema. El QT-QMS público debe apoyarse en ENS, RGPD, eIDAS 2, NIS2, LCSP, la Estrategia española 2025-2030 y la hoja de ruta PQC de la UE, distinguiendo siempre normas vinculantes de estrategias o recomendaciones. La Estrategia española2025-2030 fue adoptada enabril2025 y la hojaNISPart1v1.1 tiene fecha11-06-2025 (publicación web23-06-2025): ambas preceden al corte histórico27-07-2026. Su incorporación se registra como precisión/corrección del original, no como novedad posterior a ese corte. El expediente mantiene pendiente la verificación de cualquier norma española de transposición NIS2 finalmente publicada si el cierre editorial exige confirmar el BOE vigente exacto a 03-10-2026. También se mantienen los límites de normas técnicas íntegramente no leídas, certificaciones individuales y despliegues no demostrados: no se declara cierre documental global por conservar estas fuentes. La hoja de ruta recomienda hitos coordinados y la estrategia orienta política; ninguna crea por sí sola un comité público universal. ##### *4.3 **Defensa y Seguridad (Sector Militar)*** El ámbito de defensa y seguridad es uno de los más afectados por las tecnologías cuánticas, porque combina comunicaciones seguras, sensores avanzados, navegación sin GNSS, nuevos materiales, inteligencia, ciberdefensa y riesgo de carrera tecnológica. Las oportunidades incluyen distribución cuántica de claves, comunicaciones gubernamentales y militares más protegidas, sensores de alta precisión y aplicaciones en vigilancia, navegación, metrología y detección. Los riesgos incluyen ruptura futura de criptografía de clave pública, “store now, decrypt later”, dependencia de proveedores estratégicos, opacidad por secreto, proliferación dual-use y desequilibrio entre actores con y sin acceso a capacidades cuánticas. La regulación y la ética en defensa deben reconocer el secreto y la seguridad nacional, pero no por ello eliminar controles de responsabilidad, proporcionalidad, trazabilidad, cadena de mando, revisión de usos, seguridad de suministro y compatibilidad con derechos fundamentales cuando existan impactos civiles o sobre datos personales. La referencia a la estrategia cuántica europea debe formularse como política y orientación estratégica, no como obligación directamente aplicable en materia de defensa, y cualquier mención a una futura Quantum Act debe tratarse como propuesta esperada o iniciativa anunciada si no se verifica su adopción. La seguridad deQKD/comunicaciones exige hipótesis, autenticación, integración, nodos y controles físicos; no es «inviolabilidad». La posición vigente deComisión al28-09-2026 sitúa Quantum Act como«2026: To be announced», no como ley adoptada. RIAartículo2.3 excluye los usos y sistemas comprendidos en su supuesto de defensa, militar y seguridad nacional, con límites para usos mixtos/civiles: esa exclusión no elimina todos los restantes controles de datos, exportación, contratación o responsabilidad. Se requiere análisis del caso y del régimen especializado, sin dictamen de conformidad militar en esta propuesta. Uso dual y control de armamentos: Muchas tecnologías cuánticas son de uso dual y pueden tener aplicaciones civiles y militares, como la optimización logística, el refuerzo o la ruptura de sistemas criptográficos, las comunicaciones seguras y la sensórica avanzada. Un enfoque ético y jurídico prudente exige distinguir entre el hecho histórico de que existen marcos de ciberseguridad, control de exportaciones y conducta estatal responsable, y la propuesta de crear instrumentos específicos para limitar usos ofensivos de tecnologías cuánticas. En el plano vigente, el Reglamento (UE) 2021/821 establece un régimen de control de exportaciones, corretaje, asistencia técnica, tránsito y transferencia de productos de doble uso, y sus anexos se actualizan con arreglo a compromisos multilaterales, incluido el Arreglo de Wassenaar. En el plano político y de lege ferenda, puede proponerse un acuerdo internacional específico sobre no proliferación o uso responsable de capacidades cuánticas ofensivas, pero debe presentarse como propuesta editorial y no como tratado adoptado. Las Fuerzas Armadas y los órganos responsables de seguridad nacional deberían incorporar criterios internos de revisión ética, necesidad, proporcionalidad, distinción y control democrático cuando evalúen proyectos cuánticos con impacto operativo o de inteligencia. Esa revisión no sustituye al Derecho internacional aplicable ni a las normas de control de exportaciones, sino que opera como capa adicional de gobernanza para usos de alto impacto. Seguridad de la información clasificada: Los ejércitos, servicios de inteligencia y agencias de seguridad deben priorizar la migración criptográfica porque manejan información cuya confidencialidad puede seguir siendo relevante durante décadas. La Comisión Europea recomienda a los Estados miembros coordinar una hoja de ruta para la transición a la criptografía postcuántica en las administraciones públicas y otras infraestructuras críticas, con participación del Grupo de Cooperación SRI/NIS y ENISA. NIST publicó en 2024 sus primeros estándares finalizados de criptografía postcuántica y recomienda que las organizaciones empiecen ya la transición, debido al tiempo que exige sustituir algoritmos y al riesgo de captura de datos ahora para descifrarlos más tarde. NSA remite a CNSS Policy 15 y a su paquete CNSA 2.0 para sistemas nacionales estadounidenses, mientras que BSI recomienda agilidad criptográfica y, cuando sea posible, esquemas híbridos durante la transición. En defensa, el plan no debería limitarse a “claves más largas”, sino inventariar dependencias criptográficas, priorizar información de vida larga, exigir criptoagilidad en adquisiciones, coordinar proveedores y probar interoperabilidad antes de retirar algoritmos clásicos. Las redes QKD gubernamentales pueden considerarse en casos de uso concretos, especialmente cuando estén vinculadas a iniciativas europeas como EuroQCI, pero no deben presentarse como solución universal ni como sustituto automático de la criptografía postcuántica. NSA no recomienda QKD o criptografía cuántica para proteger transmisiones en sistemas nacionales estadounidenses salvo que se superen limitaciones técnicas, y BSI afirma que QKD solo es apta para casos nicho y no está suficientemente madura desde la perspectiva de seguridad. Innovación responsable en proyectos militares cuánticos: La investigación e innovación responsables en defensa exige equilibrar secreto, control parlamentario, legalidad operacional y escrutinio técnico independiente. Es aconsejable crear comités o paneles con habilitación de seguridad, capacidades técnicas y mandato jurídico claro para revisar proyectos como simulación cuántica de materiales estratégicos, sensórica de vigilancia, apoyo a cibercapacidades o análisis de datos de inteligencia. Esos órganos deberían evaluar finalidad, necesidad, proporcionalidad, riesgos de escalada, impacto en derechos fundamentales, dependencia de proveedores y trazabilidad de decisiones. La colaboración con expertos externos puede ser útil si se articula mediante reglas de confidencialidad, control de conflictos y límites de acceso a información clasificada. El objetivo editorial debe ser evitar una “tierra de nadie ética” en la que el carácter emergente de la tecnología retrase la aplicación de principios ya vigentes de responsabilidad estatal, ciberseguridad y Derecho internacional. Sector defensa como impulsor de estándares: El sector defensa puede impulsar estándares técnicos, criptoagilidad e interoperabilidad, pero esa función debe formularse con cautela porque no todo estándar militar es trasladable al sector civil ni toda tecnología cuántica es suficientemente madura para despliegue crítico. En la UE, la estandarización relevante debe conectarse con la hoja de ruta de criptografía postcuántica, la evaluación de algoritmos con ENISA y el Grupo de Cooperación SRI, las iniciativas EuroQCI y los trabajos de normalización asociados. La brecha de seguridad civil-militar debe minimizarse mediante transferencia responsable de conocimiento, requisitos de seguridad en contratación pública, protección de infraestructuras críticas y coordinación con autoridades civiles. En España, el ENS se aplica en su ámbito del artículo 2 del RD 311/2022, incluido el sector público y, en las condiciones legales, sistemas de entidades privadas que prestan servicios o proveen soluciones al sector público, por lo que puede operar como referencia de gobernanza cuando un proyecto cuántico se integre en sistemas administrativos o servicios públicos. Esta función de impulso no autoriza a presentar como obligatorios estándares que sean únicamente guías, recomendaciones o iniciativas de I+D. Preparación contra amenazas cuánticas de terceros: Un sistema de gestión de tecnologías cuánticas en defensa debe incluir inteligencia tecnológica, vigilancia de cadena de suministro, seguimiento de avances de otros Estados y evaluación periódica de escenarios de amenaza contra criptografía, comunicaciones, sensores e infraestructuras críticas. No debe fijarse una fecha cerrada para la ruptura de RSA o ECC si no procede de una fuente primaria específica, porque NIST señala que nadie sabe cuándo aparecerá un ordenador cuántico criptográficamente relevante y que las estimaciones varían ampliamente. La prioridad operativa debe ser proteger hoy la información de vida larga frente a ataques de tipo “harvest now, decrypt later”, inventariar activos criptográficos, y exigir capacidad de actualización en productos y servicios. Cualquier cibercapacidad ofensiva asistida por tecnología cuántica debe someterse al Derecho internacional aplicable, a las normas de comportamiento responsable de los Estados en el uso de TIC y a controles internos de necesidad, proporcionalidad y atribución. En suma, la defensa debe integrar las tecnologías cuánticas con control democrático, seguridad reforzada y prudencia estratégica, de modo que lo cuántico fortalezca la seguridad humana y no agrave la inestabilidad global ni facilite la represión. La revisión de nuevas armas, medios o métodos de guerra del artículo 36 del Protocolo adicional I es una obligación en su ámbito; la creación de comités éticos para otros proyectos cuánticos constituye una propuesta de gobernanza. El examen de exportaciones requiere clasificar cada producto, software, tecnología, destino y uso final frente al Reglamento 2021/821 y al anexo vigente, sin presumir que toda tecnología cuántica está controlada. En resumen, el sector defensa debe integrar las tecnologías cuánticas bajo control democrático, evaluación técnica rigurosa y revisión jurídica continua. Un sistema de gestión cuántica en este ámbito probablemente tendrá menor transparencia pública que en sectores civiles, pero internamente debería exigir los estándares más altos de seguridad, trazabilidad y supervisión ética por la letalidad potencial y el impacto estratégico de ciertos usos. El objetivo debe ser que lo cuántico refuerce la seguridad humana, la resiliencia de las instituciones y la protección de infraestructuras críticas, y no que se convierta en un factor de carrera armamentística, inestabilidad o represión. ##### *4.4 **Sector Energía y Medio Ambiente*** En energía, la computación cuántica, la simulación cuántica y la sensórica cuántica ofrecen posibilidades de I+D para optimizar redes eléctricas, mejorar materiales de almacenamiento, diseñar catalizadores para energías limpias y reforzar la seguridad de comunicaciones críticas. En medio ambiente, los sensores cuánticos y la metrología avanzada pueden contribuir a mediciones de gravedad, campos magnéticos, tiempo y otros parámetros físicos con mayor precisión, con aplicaciones en observación terrestre, recursos subterráneos o submarinos y actividad volcánica. Estas aplicaciones deben presentarse como potenciales o en desarrollo salvo que exista un piloto o despliegue primario identificado, y no como obligaciones jurídicas vigentes. La aplicación sectorial exige combinar oportunidad climática, ciberresiliencia, seguridad industrial, protección de datos y control de efectos distributivos. Optimización cuántica de redes y sistemas energéticos: La computación cuántica puede explorarse para problemas de optimización, simulación y planificación compleja en redes eléctricas, almacenamiento, mantenimiento predictivo o integración de renovables. Esta promesa debe formularse como línea de I+D y validación, no como garantía de mejora operativa inmediata. Un sistema de gestión cuántica en empresas de energía debería exigir pruebas en entornos controlados antes de aplicar recomendaciones a sistemas reales, porque un error de cálculo o integración puede afectar a continuidad de suministro, seguridad industrial y confianza pública. Si los algoritmos usan datos de consumo o perfiles de usuarios, el tratamiento debe cumplir el RGPD, incluida seguridad del tratamiento, minimización, privacidad desde el diseño y evaluación de impacto cuando proceda. La optimización energética solo será socialmente aceptable si sus beneficios, límites y riesgos se explican de manera transparente a operadores, reguladores y usuarios. Cripto-seguridad en infraestructuras críticas: En entidades energéticas y proveedores incluidos en los marcos de ciberseguridad aplicables, la seguridad criptográfica debe gestionarse conforme al riesgo. Se recomienda planificar la transición poscuántica mediante inventario, priorización y pruebas; NIS2 no impone un algoritmo PQC horizontal por el mero carácter cuántico o energético. NIS2 amplía el enfoque europeo de ciberseguridad para sectores críticos y proveedores relevantes, y su lógica debe integrarse con seguridad industrial, continuidad de negocio y gestión de cadena de suministro. En España, el acuerdo publicado en 2025 para elaborar una nueva Estrategia Nacional de Ciberseguridad indicaba que la Directiva NIS2 estaba en proceso de transposición mediante un anteproyecto de ley de coordinación y gobernanza en ciberseguridad, por lo que la referencia nacional debe distinguir entre derecho vigente y texto en tramitación. El ENS español es relevante para los sistemas incluidos en el artículo 2 del RD 311/2022, incluidas las relaciones con entidades privadas en los términos de ese artículo, pero no sustituye por sí solo a todos los requisitos sectoriales de energía. Para comunicaciones críticas y redes 5G o posteriores, el ENS5G refuerza seguridad nacional, funcionamiento continuado y seguro, análisis de riesgos, diversificación de suministradores y medidas nacionales de gestión de riesgos. Las empresas deben priorizar inventarios criptográficos, criptoagilidad, segmentación, autenticación robusta, supervisión de proveedores y planes de migración poscuántica antes de desplegar soluciones QKD. Sensores cuánticos ambientales: Los sensores cuánticos pueden aportar datos de mayor precisión para políticas ambientales, seguimiento de recursos, observación terrestre y medición de fenómenos físicos difíciles de captar con tecnologías clásicas. Las administraciones que los utilicen deberían exigir calibración, trazabilidad metrológica, documentación del método y validación independiente antes de fundar decisiones regulatorias, sancionadoras o de emergencia en mediciones nuevas. La admisibilidad procesal de datos obtenidos por sensores cuánticos experimentales debe tratarse como cuestión jurídica pendiente si no existe una regla o jurisprudencia específica aplicable. En el plano editorial, la afirmación correcta no es que tales mediciones ya sean automáticamente prueba suficiente, sino que pueden requerir guías técnicas, criterios probatorios y estándares de calidad para evitar decisiones basadas en mediciones no validadas. Nuevos materiales para energía limpia: La computación y simulación cuánticas pueden contribuir al descubrimiento de materiales, baterías, catalizadores y soluciones industriales relacionadas con la transición energética. Cuando el desarrollo se financie con fondos públicos o se realice en consorcios europeos, la política de explotación debería equilibrar incentivos de propiedad intelectual, transferencia tecnológica, competencia y acceso razonable a resultados de interés público. La recomendación de licencias no exclusivas o condiciones justas para tecnologías críticas debe formularse como opción de política pública o compromiso voluntario, no como regla general obligatoria si no se cita el instrumento de financiación concreto. Este enfoque se alinea con sostenibilidad e interés intergeneracional, pero requiere una base contractual o normativa específica para imponerse en cada proyecto. Sostenibilidad del propio ecosistema cuántico: El desarrollo de ordenadores cuánticos, criogenia, salas limpias, chips especializados y centros de datos puede tener consumo energético y huella ambiental relevantes. Las entidades del ecosistema cuántico deberían medir su huella de carbono, seleccionar fuentes renovables cuando sea viable, reutilizar calor residual y diseñar infraestructuras con criterios de eficiencia. Una iniciativa “Green Quantum” puede proponerse como código voluntario de buenas prácticas o requisito de compra pública cuando el pliego lo prevea, pero no debe describirse como estándar jurídico vigente si no se identifica una norma adoptada. El vínculo entre tecnología cuántica y sostenibilidad debe apoyarse en indicadores verificables, no solo en narrativa reputacional. Responsabilidad ante la población: Los cambios en sistemas energéticos afectan a hogares, empresas y servicios esenciales, por lo que el uso de algoritmos cuánticos en operación de red, tarificación o mercados energéticos aconseja auditoría y explicabilidad proporcionadas al riesgo; las obligaciones de supervisión y mercado dependen de la actividad y de la norma aplicable. El caso de precios de mercado eléctrico acelerados por cómputo cuántico debe mantenerse como hipótesis si no se aporta fuente primaria directa sobre un despliegue real. La autoridad reguladora y los operadores deben verificar que la tecnología no genera discriminaciones, manipulación, asimetrías de información o fallos sistémicos. La transparencia hacia la ciudadanía debe explicar beneficios, límites y salvaguardas de los proyectos, especialmente cuando se utilicen datos de consumo o infraestructura crítica. Cuando el uso constituya negociación algorítmica en mercados mayoristas de energía, el artículo 5 bis de REMIT, introducido por el Reglamento 2024/1106, establece controles, pruebas, notificación y registros en su ámbito. Esta regla no se extiende automáticamente a toda tarificación o cálculo energético. La autogeneración renovable y las compensaciones no acreditan por sí solas neutralidad de carbono: deben medirse emisiones, límites y ciclo de vida del proyecto. La nota de la Comisión de 09-07-2026 acredita la decisión de remitir España al TJUE por falta de notificación de transposición completa NIS2; no prueba por sí sola todo el estado normativo español posterior. En energía y medio ambiente, la narrativa “quantum for climate solutions” puede ser legítima si se acompaña de pruebas, evaluación de riesgos y métricas verificables. El sistema de gestión cuántica debe evitar efectos secundarios negativos en seguridad, continuidad de suministro, equidad tarifaria, protección de datos y sostenibilidad ambiental. La integración de proyectos cuánticos en objetivos de desarrollo sostenible y transición verde puede mejorar legitimidad y apoyo público, pero no sustituye la necesidad de validación técnica, control regulatorio y distinción entre piloto, despliegue y obligación legal. ##### *4.5 **Sector Salud*** La sanidad y las ciencias de la vida pueden beneficiarse de tecnologías cuánticas en diseño de fármacos, simulación química, optimización de flujos hospitalarios, análisis de datos genómicos y sensores avanzados para diagnóstico o imagen médica. Estas aplicaciones deben presentarse como potenciales o en validación salvo que exista una fuente primaria que acredite su uso clínico concreto. Su régimen regulatorio dependerá de la finalidad prevista por el fabricante, de si el sistema trata datos personales o categorías especiales de datos, de si constituye producto sanitario o diagnóstico in vitro, y de si incorpora un sistema de IA de alto riesgo. La aplicación ética-regulatoria debe centrarse en seguridad del paciente, confidencialidad, validez clínica, supervisión profesional y acceso equitativo. Privacidad, base jurídica y transparencia: Los datos de salud y genéticos, y los biométricos utilizados para identificar de manera unívoca a una persona, son categorías especiales y exigen una base jurídica adecuada, una excepción aplicable a la prohibición de tratamiento de categorías especiales cuando proceda, seguridad reforzada y transparencia clara. El RGPD define los datos genéticos como datos personales relativos a características genéticas heredadas o adquiridas que proporcionan información única sobre la fisiología o salud de una persona. El RGPD también exige medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta estado de la técnica, costes, naturaleza, alcance, contexto, fines y riesgos para derechos y libertades. En investigación sanitaria, no debe afirmarse que siempre será necesario consentimiento explícito para cualquier análisis cuántico de datos médicos, porque deben concurrir una base del artículo 6 y una condición del artículo 9.2 RGPD: el consentimiento explícito es una vía, pero existen otras, incluida la investigación del artículo 9.2.j con base legal y garantías del artículo 89. En España, la disposición adicional 17.ª LOPDGDD regula condiciones de investigación sanitaria, reutilización y seudonimización, incluidos separación funcional, compromisos de confidencialidad, medidas contra reidentificación y dictamen del comité cuando resulte exigible. La anonimización fuerte puede excluir el dato del ámbito del RGPD si no existe probabilidad razonable de identificación, pero la seudonimización mantiene la condición de dato personal porque permite identificar mediante información adicional. En formularios, hojas informativas y consentimientos, un hospital debe explicar finalidades, bases jurídicas, medidas de seguridad, posibles usos secundarios, derechos y riesgos relevantes de forma comprensible, especialmente cuando use tecnologías complejas o inesperadas. Validación clínica y encaje regulatorio: Un algoritmo cuántico que recomiende tratamientos, clasifique imágenes, priorice pacientes o apoye diagnóstico puede entrar en el régimen de producto sanitario, diagnóstico in vitro o IA de alto riesgo si cumple los presupuestos legales aplicables. El MDR aclara que los programas informáticos por sí mismos son productos sanitarios cuando el fabricante los destina específicamente a una finalidad médica incluida en la definición de producto sanitario. El software que proporciona información usada para decisiones diagnósticas o terapéuticas puede clasificarse como clase IIa o superior según el impacto de esas decisiones. El AI Act exige que los sistemas de IA de alto riesgo se diseñen para ser supervisados eficazmente por personas físicas durante su uso, con el fin de prevenir o minimizar riesgos para salud, seguridad o derechos fundamentales. Por ello, la validación no debe limitarse a precisión matemática o rendimiento computacional, sino que debe incluir evidencia clínica, gestión de riesgos, ciberseguridad, trazabilidad, supervisión humana y seguimiento poscomercialización cuando el régimen aplicable lo exija. No maleficencia y calidad asistencial: El principio de no maleficencia exige que una herramienta cuántica o híbrida no se use en decisiones clínicas sin validación suficiente, supervisión profesional y controles de seguridad. Un planificador de radioterapia, un sistema de apoyo al diagnóstico o una herramienta de optimización hospitalaria pueden causar daños si calcula mal dosis, prioriza incorrectamente pacientes o introduce sesgos en el flujo asistencial. Las salvaguardas deben incluir redundancia razonable, comparación con métodos estándar, revisión humana, documentación de limitaciones y mecanismos de parada o escalado cuando el sistema no se comporte como previsto. La equidad también es parte de la calidad, por lo que las políticas públicas deben evitar que la tecnología cuántica solo beneficie a grandes hospitales urbanos o proyectos de alto presupuesto. Formación de profesionales sanitarios: La innovación responsable requiere formar a médicos, enfermería, personal técnico, comités de ética y delegados de protección de datos en las capacidades y límites de las tecnologías cuánticas usadas en salud. La formación debe permitir confiar en la herramienta cuando proceda y detectar fallos, sesgos, usos fuera de finalidad, resultados implausibles o problemas de seguridad. En un sistema sanitario, la capacitación debe integrarse en educación médica continuada, protocolos de validación y gobierno de datos. El personal clínico no necesita dominar la física cuántica, pero sí comprender cuándo un resultado es experimental, cuándo es apoyo a la decisión y cuándo requiere confirmación por métodos clínicos ordinarios. Ensayos, comités y aprobaciones regulatorias: Las herramientas cuánticas novedosas que se prueben con pacientes, muestras biológicas o datos de salud deben integrarse en los circuitos existentes de ética de la investigación, protección de datos, productos sanitarios y ensayos clínicos cuando correspondan. La Ley 14/2007 configura los Comités de Ética de la Investigación como garantes de aspectos metodológicos, éticos y jurídicos en investigaciones que impliquen intervenciones en seres humanos o uso de muestras biológicas de origen humano. El Real Decreto 1090/2015 regula ensayos clínicos con medicamentos, Comités de Ética de la Investigación con medicamentos y el Registro Español de Estudios Clínicos, con el objetivo de proteger a los participantes y asegurar calidad y transparencia. Para calificar una herramienta concreta, deben consultarse a MDR, IVDR, AI Act, RGPD, normativa nacional sanitaria y criterios de autoridades competentes, sin extrapolar guías de IA como si fueran automáticamente vinculantes para toda tecnología cuántica. Dilemas éticos emergentes: El análisis cuántico o híbrido de datos genómicos y clínicos podría revelar correlaciones, riesgos o hallazgos incidentales que hoy no se comprenden plenamente. La comunicación de hallazgos incidentales debe tratarse mediante protocolos de investigación, consentimiento, asesoramiento genético cuando proceda y revisión bioética. No debe trasladarse al paciente una predicción experimental como si fuera diagnóstico consolidado, porque ello puede generar ansiedad, decisiones clínicas erróneas o discriminación. Los comités de bioética y ética de la investigación deben incorporar perfiles técnicos suficientes para entender límites, incertidumbre y sesgos de modelos cuánticos o híbridos. La evaluación clínica y la investigación clínica son procedimientos distintos. El MDR se aplica por finalidad prevista y clasificación, con las excepciones y condiciones pertinentes; no toda herramienta requiere un ensayo clínico equivalente al de un medicamento. El Delegado 2026/1451 modifica la lista de determinados implantes/clase III exentos de investigación del artículo 61.6.b, sin eliminar la evaluación clínica. También deben analizarse las condiciones específicas de productos fabricados y usados en instituciones sanitarias (artículo 5.5 MDR/IVDR). El Reglamento de IA 2024/1689 fue modificado por 2026/1744: capítulo III, secciones 1–3, aplica desde 02-12-2027 para alto riesgo del artículo 6.2/anexo III y 02-08-2028 para artículo 6.1/anexo I, con reglas transitorias; no se atribuye ya plena exigibilidad a todos esos requisitos por citar el texto adoptado. En salud, la prioridad es la seguridad del paciente, la confidencialidad y la confianza en el acto médico. El sistema de gestión cuántica debe entrelazarse con marcos existentes de protección de datos, ética de la investigación, calidad asistencial, productos sanitarios, diagnóstico in vitro, IA de alto riesgo cuando proceda y ciberseguridad clínica. Esta integración evita reinventar controles y permite extenderlos a riesgos específicos de tecnologías cuánticas, como incertidumbre técnica, criptoamenaza, interpretabilidad, validación clínica y dependencia de infraestructuras avanzadas. Así se podrá aprovechar el potencial de diagnósticos, terapias y descubrimientos científicos sin comprometer derechos fundamentales ni la confianza del paciente. **4.6 Proveedores de servicios cuánticos y servicios de confianza** En esta sección conviene distinguir dos categorías que el texto histórico aproximaba bajo una sigla potencialmente equívoca. Por un lado, existen proveedores de servicios de tecnologías cuánticas, como computación cuántica en la nube, acceso a simuladores, servicios de comunicaciones cuánticas, consultoría de algoritmos, sensórica o integración de infraestructura cuántica. Por otro lado, en el marco eIDAS, “QTSP” significa qualified trust service provider o prestador cualificado de servicios de confianza, una categoría jurídica de servicios de confianza electrónicos que no debe confundirse con un proveedor cuántico por el mero uso de la sigla. Si un proveedor cuántico presta servicios cloud, centro de datos, servicios gestionados, seguridad gestionada o servicios de confianza, su encaje en NIS2 dependerá de esa actividad funcional y no de que la tecnología sea cuántica. Si un prestador cualificado de servicios de confianza incorpora mecanismos criptográficos avanzados, debe atender a eIDAS, eIDAS 2, NIS2, RGPD y mejores prácticas criptográficas vigentes, incluidas las relativas a transición poscuántica cuando sean pertinentes. Cumplimiento normativo integral. Un proveedor de servicios cuánticos deberá diseñar su cumplimiento como un sistema transversal que abarque protección de datos, ciberseguridad, seguridad de producto, servicios de confianza, resiliencia operativa de clientes regulados y, cuando proceda, controles de exportación y uso dual. Si trata datos personales, el RGPD y, en España, la LOPDGDD serán el eje mínimo de cumplimiento, con privacidad desde el diseño y por defecto, minimización, seguridad adecuada al riesgo y evaluación de impacto cuando el tratamiento, en particular por nuevas tecnologías, pueda entrañar alto riesgo para los derechos y libertades de las personas físicas. Si presta servicios incluidos en el perímetro NIS2, el análisis debe distinguir entre entidades esenciales e importantes, servicios expresamente cubiertos, tamaño, excepciones sectoriales y transposición nacional, porque NIS2 es una directiva adoptada y aplicable en la Unión, pero España mantenía en fuentes oficiales una transposición mediante anteproyecto en tramitación. Si el proveedor de servicios cuánticos comercializa hardware o software con elementos digitales, el Cyber Resilience Act es derecho adoptado, aunque debe tratarse temporalmente como régimen de aplicación escalonada: sus obligaciones generales se aplican desde el 11 de diciembre de 2027, mientras que las obligaciones de notificación de vulnerabilidades explotadas activamente e incidentes severos se aplican desde el 11 de septiembre de 2026. Si presta servicios a entidades financieras, DORA no convierte por sí solo al proveedor de servicios cuánticos en entidad financiera regulada, pero sí puede hacer que el cliente financiero le exija información, derechos de acceso, inspección y auditoría, estándares de seguridad, registro documental, continuidad, subcontratación controlada y planes de salida cuando el servicio TIC apoye funciones críticas o importantes. Si el proveedor de servicios cuánticos presta servicios de confianza cualificados, como firmas, sellos, validación, conservación, entrega electrónica certificada o servicios de confianza regulados, deberá atender al marco eIDAS y a su reforma por el Reglamento (UE) 2024/1183, incluida la auditoría de los prestadores cualificados por un organismo de evaluación de conformidad, a su costa, al menos cada 24 meses. Por tanto, su sistema de gestión cuántica, o QT-QMS, debe poder someterse a evaluaciones externas periódicas y conservar evidencias verificables de control, tales como documentación de seguridad, registros de auditoría, análisis de riesgos, decisiones de diseño, pruebas, incidentes, acciones correctivas y revisiones por la dirección. Esta exigencia debe formularse como recomendación de gobierno interno cuando no derive directamente de una norma sectorial aplicable, porque las fuentes contrastadas en este expediente no acreditan a 03-10-2026 un estatuto europeo horizontal específico de proveedor cuántico equivalente a entidad financiera, prestador cualificado eIDAS o fabricante CRA; deben analizarse las categorías legales por actividad y objeto. La referencia a certificaciones debe mantenerse, pero con precisión: ISO/IEC 27001:2022 es un estándar internacional de sistemas de gestión de seguridad de la información cuya certificación puede demostrar capacidad de gestión segura ante clientes y terceros, mientras que ISO 9001 se refiere a sistemas de gestión de calidad y puede reforzar confianza operativa, pero ninguna de las dos certificaciones sustituye por sí sola el cumplimiento de RGPD, eIDAS, DORA, NIS2, CRA, AI Act o controles de exportación cuando sean aplicables. SLA y responsabilidad contractual. Los acuerdos de nivel de servicio deben definir con claridad disponibilidad, continuidad, soporte, reversibilidad, niveles de seguridad, cifrado, ubicación y tratamiento de datos, subcontratación, confidencialidad, propiedad intelectual, uso de resultados, límites de responsabilidad, indemnidades, cooperación en incidentes, auditorías, cambios técnicos y terminación. En un modelo de computación cuántica como servicio, o QCaaS, el contrato debe especificar si los datos enviados al entorno cuántico se cifran o se seudonimizan, qué datos quedan en claro para ejecutar el servicio, qué telemetría conserva el proveedor, quién puede reutilizar resultados, modelos o benchmarks, y qué ocurre si el cliente obtiene un descubrimiento patentable o un resultado científicamente relevante usando la plataforma. Éticamente, el proveedor debe evitar cláusulas opacas o abusivas, porque el cliente puede no comprender plenamente la tecnología, sus límites, sus dependencias físicas y sus riesgos residuales, y esa asimetría técnica exige explicaciones contractuales claras y asignación equilibrada de responsabilidades. La responsabilidad por fallos debe tratar supuestos concretos, como sesgos o defectos en un generador cuántico de números aleatorios, indisponibilidad de infraestructura, errores de calibración, fuga de información, resultados irreproducibles, incumplimiento de niveles de servicio o vulnerabilidades explotadas, siempre vinculando la responsabilidad a las garantías asumidas y a las limitaciones expresamente comunicadas. La cláusula de uso ético puede operar en doble dirección: el cliente se compromete a no usar el servicio para fines ilícitos, discriminatorios, represivos, de vigilancia abusiva, elusión de controles o vulneración de derechos fundamentales, y el proveedor garantiza que no incorporará funciones ocultas, reutilizaciones no pactadas, tratamientos secundarios o transferencias no autorizadas. Transparencia sobre limitaciones y riesgos. Un proveedor de servicios cuánticos diligente debe informar a sus clientes de los riesgos residuales y de los supuestos de confianza de su tecnología, distinguiendo entre propiedades demostradas, dependencias operativas, hipótesis de amenaza, limitaciones físicas, limitaciones de modelo y zonas de incertidumbre científica. Un proveedor de distribución cuántica de claves, por ejemplo, podría advertir que el sistema ayuda a detectar escucha en el canal, pero requiere confiar en los nodos terminales, no protege frente a acceso físico al receptor y debe integrarse con controles clásicos de seguridad, continuidad y gestión de claves. Esta transparencia conecta con la honestidad epistémica y evita que el cliente delegue ciegamente la seguridad en una etiqueta cuántica que no elimina todos los riesgos. Los documentos de “Quantum Risk Disclosure” pueden conservarse como recomendación editorial prospectiva, análoga a las divulgaciones de riesgo en sectores regulados, pero no deben presentarse como obligación legal europea específica ni como práctica común jurídicamente verificada a 03-10-2026. Certificaciones y estándares. Para ganar confianza, un proveedor de servicios cuánticos debería buscar certificaciones y evaluaciones reconocidas cuando encajen con el servicio, especialmente ISO/IEC 27001:2022 para seguridad de la información, ISO 9001 para calidad, certificaciones eIDAS si presta servicios de confianza cualificados, evaluaciones exigidas contractualmente por clientes DORA y futuras evaluaciones de conformidad CRA cuando sus productos con elementos digitales entren en el calendario de aplicación. La referencia a trust labels o a un eventual sello europeo “Quantum Ready” debe mantenerse como hipótesis de futuro o ejemplo de mercado, no como etiqueta oficial verificada, salvo que el editor incorpore una fuente primaria posterior que la establezca. Participar en pilotos, consultas públicas, esquemas de certificación o trabajos de normalización puede ser una buena práctica de madurez, pero debe describirse como opción voluntaria salvo que una norma, un contrato o una autoridad competente lo imponga en un caso concreto. Contribución al ecosistema y educación. Los proveedores de servicios cuánticos son actores bien situados para contribuir a la alfabetización cuántica de clientes, reguladores, desarrolladores y público especializado mediante guías, formación, documentación de límites, programas de prueba responsable y centros de excelencia. Esta contribución reduce el riesgo de mal uso por ignorancia técnica, mejora la trazabilidad de decisiones y facilita que clientes regulados integren la tecnología en sus propios marcos de cumplimiento. El texto debe conservar el enfoque de bien común, pero conviene formularlo como deber ético y de gobernanza, no como obligación legal autónoma salvo que exista una base contractual, regulatoria o sectorial. Protección de la confianza pública. Un incidente grave en un proveedor de servicios cuánticos, como un compromiso de infraestructura, una debilidad criptográfica, una fuga de datos, una salida errónea en un servicio crítico o una revocación tardía de credenciales, podría perjudicar no solo al proveedor sino también la confianza en la industria cuántica emergente. Los proveedores punteros podrían establecer mecanismos sectoriales de respuesta coordinada a incidentes cuánticos, intercambio de información, divulgación responsable, revocación de claves, aprendizaje común y comunicación pública transparente. La comparación con foros de certificación digital puede mantenerse como analogía de autorregulación, pero no debe implicar que exista ya un “Consorcio de Respuesta a Incidentes Cuánticos” oficial o reconocido jurídicamente. En síntesis, los proveedores de servicios cuánticos pueden aspirar a ser garantes de confianza cuántica, pero esa función debe apoyarse en cumplimiento verificable, contratos claros, seguridad por diseño, transparencia de riesgos, diligencia de uso dual, auditoría, estándares y cooperación sectorial. Los requisitos básicos contractuales de DORA artículo 30.2 se diferencian de los adicionales para funciones críticas o importantes del artículo 30.3. La supervisión de proveedores terceros críticos requiere designación conforme al artículo 31. El Reglamento de Ejecución 2025/2162 contempla vigilancia anual por el organismo de evaluación de conformidad en su ámbito; no convierte la auditoría del prestador cualificado del artículo 20.1 eIDAS, al menos cada 24 meses, en una auditoría anual universal. La cualificación corresponde al prestador y servicio conforme al marco eIDAS, no a la mera tecnología empleada. En resumen, los proveedores de servicios cuánticos pueden contribuir a la confianza mediante controles verificables, contratos claros, seguridad por diseño, divulgación de límites y revisión continua. Se propone un QT-QMS exigente como herramienta voluntaria de gestión que complemente las obligaciones aplicables; no constituye por sí solo una certificación oficial, garantía de seguridad absoluta ni prueba de cumplimiento. Su madurez debe acreditarse con evidencias del servicio concreto, no con la etiqueta cuántica. ------------------------------------------------------------------------ **ANEXO_EIEC.csv – Evaluación de Impacto Ético‑Cuántico (Plantilla)** Tabla para realizar una Evaluación de Impacto Ético-Cuántico (EIEC) de proyectos. Cada fila representa una dimensión ética, preguntas orientativas y mitigaciones para identificar riesgos y documentar decisiones antes del diseño o despliegue. Esta plantilla es una propuesta de gobernanza (P); no sustituye la EIPD del artículo 35 RGPD ni la evaluación de impacto en derechos fundamentales del artículo 27 RIA cuando sus presupuestos y fechas de aplicación concurran, ni los análisis sectoriales correspondientes. La fecha 24/09/2025 identifica la revisión histórica de la plantilla; este candidato incorpora contraste editorial a 03/10/2026, sin atribuir aprobación del comité editorial a esa fecha. **Aspecto ético**; **Preguntas de evaluación**; **Consideraciones y mitigaciones sugeridas** Libertad y autonomía (respeto al individuo); ¿La tecnología cuántica respeta la autonomía de las personas afectadas, por ejemplo evitando decisiones automatizadas irreversibles sin intervención humana significativa cuando estén en juego derechos o intereses relevantes? ¿Podría restringir libertades de movimiento, expresión, asociación, acceso a servicios o capacidad de elección mediante su uso directo o mediante integración con otros sistemas?; Mitigación: Mantener control humano significativo en decisiones críticas, documentar los puntos de intervención humana, ofrecer información comprensible a las personas afectadas y obtener consentimiento informado cuando proceda por la base jurídica del tratamiento o por el contexto ético del proyecto. Cuando el sistema cuántico se integre con inteligencia artificial de alto riesgo, la documentación deberá reflejar instrucciones de uso, supervisión humana, robustez, ciberseguridad y comunicación a personas naturales afectadas cuando el AI Act lo exija. Como propuesta ética, cuando sea viable y lícito, se recomienda incorporar opciones de exclusión voluntaria, revisión humana, vías de reclamación y mecanismos de reversión proporcionados al impacto potencial del sistema. Justicia y equidad (no discriminación y acceso justo); ¿El desarrollo o uso de esta tecnología cuántica beneficia o perjudica de forma desproporcionada a algún grupo social, territorio, edad, género, perfil económico, sector o región? ¿Podría ampliar la brecha digital o concentrar poder en quienes poseen capacidad técnica, datos, capital o acceso preferente a infraestructura cuántica?; Mitigación: Realizar pruebas de sesgo y evaluación de impacto distributivo, segmentar resultados por grupos relevantes cuando sea lícito y proporcionado, ajustar datos o modelos si se detecta inequidad, y documentar las decisiones metodológicas que afecten a igualdad de trato, acceso y explicabilidad. En servicios comerciales, deben considerarse políticas de precios, licencias, documentación y soporte que eviten excluir de manera injustificada a pymes, instituciones públicas, centros de investigación o países con menor capacidad tecnológica. Privacidad y protección de datos (intimidad y control sobre información personal); ¿Se emplean datos personales, datos seudonimizados, datos inferidos o conjuntos que puedan reidentificarse mediante correlación con otras fuentes? ¿Están los datos adecuadamente minimizados, anonimizados, seudonimizados o cifrados durante la preparación, transmisión, ejecución, almacenamiento y eliminación? ¿La potencia cuántica o la combinación con modelos de IA podría permitir reidentificar datos previamente anonimizados o explotar correlaciones no previstas? ¿Debe realizarse una evaluación de impacto en protección de datos?; Mitigación: Aplicar privacidad desde el diseño y por defecto, minimización, limitación de finalidad, limitación de conservación, controles de acceso, cifrado, segregación de entornos, evaluación de riesgo de reidentificación residual y revisión continua de cambios relevantes. Si es probable que el tratamiento entrañe alto riesgo, en particular por el uso de nuevas tecnologías, por su naturaleza, alcance, contexto o fines, el responsable debe realizar una EIPD antes del tratamiento, recabar asesoramiento del delegado de protección de datos si lo hubiera y documentar medidas para afrontar los riesgos. En España, la EIEC debe coordinarse con el RGPD y la LOPDGDD, y no debe presentarse como sustituto de las obligaciones de responsabilidad activa del responsable o encargado. Transparencia y explicabilidad (información responsable); ¿Se informa de forma adecuada a usuarios, clientes, empleados, autoridades o ciudadanía de que se usa tecnología cuántica y de cómo puede afectar a resultados, decisiones, seguridad, costes o derechos? ¿El algoritmo, modelo o proceso cuántico es explicable en términos suficientes para el uso previsto, o funciona como una caja negra que impide evaluar sesgos, errores, límites o responsabilidades?; Mitigación: Proporcionar documentación clara y verificable, en lenguaje adaptado al destinatario, sobre finalidad, funcionamiento general, supuestos de confianza, límites, datos usados, incertidumbres, métricas de calidad, riesgos residuales y vías de revisión. Para sistemas de IA de alto riesgo, la documentación técnica, las instrucciones de uso, la información a desplegadores y, cuando proceda, la información a personas naturales afectadas deben alinearse con las obligaciones del AI Act. La honestidad epistémica debe incluir no solo lo que el sistema puede hacer, sino también lo que no puede garantizar, los escenarios en los que falla y las dependencias que siguen siendo clásicas, físicas, organizativas o humanas. Responsabilidad y seguridad (accountability y no maleficencia); ¿Está claro quién responde si la tecnología falla, produce un resultado incorrecto, causa un daño, incumple un nivel de servicio, expone datos, facilita abuso o degrada la seguridad de un tercero? ¿Existen mecanismos de seguimiento, auditoría, trazabilidad, reporte, corrección y aprendizaje para detectar mal uso o efectos no previstos? ¿La tecnología podría provocar daños físicos, económicos, digitales o sociales si es saboteada, mal configurada o usada fuera de su finalidad?; Mitigación: Definir contractual e internamente la responsabilidad de proveedor, desarrollador, integrador, cliente y usuarios autorizados, con protocolos de reporte inmediato, investigación, mitigación, notificación, corrección, reversión y comunicación. Se recomienda definir auditorías técnicas y éticas proporcionadas al caso, además de las legalmente exigibles, planes de contingencia, pruebas de resiliencia, registros de eventos y posibilidad de volver a métodos tradicionales cuando las salidas sean anómalas o inseguras. Si el proyecto incluye productos con elementos digitales, la planificación debe anticipar el Cyber Resilience Act y su calendario de aplicación, especialmente la notificación de vulnerabilidades explotadas activamente e incidentes severos desde el 11 de septiembre de 2026. Sostenibilidad y desarrollo responsable (impacto ambiental y social a largo plazo); ¿Cuál es la huella energética del sistema cuántico, incluidas criogenia, centros de datos, refrigeración, ciclos de prueba, redundancia y comunicaciones asociadas? ¿Se utilizan materiales escasos, críticos o contaminantes, y existe plan de fin de vida, reciclaje, recuperación o sustitución? ¿El caso de uso contribuye a objetivos sociales o ambientales legítimos, o podría obstaculizarlos?; Mitigación: Medir y optimizar eficiencia energética, programar cargas de trabajo de manera eficiente, priorizar energías renovables cuando sea posible, diseñar planes de fin de vida del hardware, recuperar recursos críticos y exigir aprovisionamiento responsable en la cadena de suministro. La referencia al Pacto Verde Europeo y a los ODS debe formularse como alineamiento estratégico y ético, no como obligación sectorial específica del QTSP salvo que resulte de normativa ambiental, contratación, financiación, taxonomía, información de sostenibilidad o compromisos asumidos. En el diseño de proyectos, deben priorizarse usos con impacto social o ambiental positivo y evitarse aplicaciones que, aunque técnicamente eficientes, contradigan compromisos climáticos o intensifiquen daños ambientales. Uso dual y posibles fines maliciosos (abuso, militarización y desviaciones éticas); ¿Puede la tecnología utilizarse para fines distintos de los previstos que resulten perjudiciales, como optimización de logística ilícita, vulneración de cifrado, vigilancia abusiva, apoyo a represión, discriminación, intrusión, fraude, sabotaje, proliferación o aplicaciones militares no autorizadas? ¿Existe riesgo de apropiación por terceros hostiles, transferencia no controlada de conocimiento sensible o uso indebido por clientes, subcontratistas o colaboradores?; Mitigación: Implementar controles de uso en contratos y licencias, prohibir usos ilícitos o contrarios a derechos fundamentales, monitorizar patrones anómalos de uso respetando la legalidad, aplicar diligencia debida de cliente y destino, y cooperar con autoridades cuando proceda. Cuando la tecnología, el software, la asistencia técnica o el conocimiento puedan constituir productos de doble uso o cibervigilancia, debe analizarse el Reglamento (UE) 2021/821 y las listas o autorizaciones aplicables, incluida la posibilidad de autorización para cibervigilancia no listada si existe riesgo de represión interna o graves violaciones de derechos humanos. En I+D sensible, debe evaluarse si conviene limitar la difusión de ciertos detalles técnicos, publicar solo resultados generales, escalonar divulgaciones o establecer revisión de seguridad previa, equilibrando esa cautela con apertura científica, reproducibilidad y rendición de cuentas. Al aplicar estas siete dimensiones, las garantías de decisiones automatizadas de los artículos 13–15 y 22 RGPD dependen de sus supuestos; no existe un derecho universal a explicación de cualquier cálculo cuántico. En IA, deben verificarse finalidad, clasificación, sujeto y calendario del Reglamento 2024/1689 modificado por 2026/1744 (02-12-2027 y 02-08-2028 para los grupos de alto riesgo señalados). La sostenibilidad requiere medición de ciclo de vida; renovables o compensaciones no demuestran neutralidad por sí solas. Los contratos éticos y la selección de socios no sustituyen clasificación y licencias de doble uso. La EIEC debe adaptarse a cada caso y no debe utilizarse como formulario mecánico ni como sustituto de análisis jurídicos, técnicos o sectoriales obligatorios. Tras completarla, los responsables del proyecto se recomienda elaborar un informe de impacto ético detallado con las respuestas, las evidencias revisadas, las incertidumbres, las decisiones adoptadas, las medidas de mitigación, los responsables internos, los plazos, los riesgos residuales y el criterio de revisión periódica. Cuando existan tratamientos de datos personales, el informe ético debe enlazarse con la gestión de riesgos y, si procede, con la EIPD exigida por el RGPD, de forma que las conclusiones éticas no contradigan ni rebajen los controles de protección de datos. Consideraciones sectoriales específicas. A continuación pueden incorporarse preguntas y riesgos éticos particulares según el ámbito del proyecto cuántico, distinguiendo sanidad, finanzas, administración pública, defensa, energía, telecomunicaciones, investigación, educación, industria, logística, seguros, identidad digital y servicios de confianza cuando proceda. En finanzas, debe revisarse si el cliente está sujeto a DORA y si el servicio cuántico apoya funciones críticas o importantes, porque ello puede activar exigencias contractuales, auditoría, registro, gestión de terceros, subcontratación y planes de salida. En identidad digital y servicios de confianza, debe revisarse eIDAS y la reforma del marco europeo de identidad digital, incluyendo auditorías de prestadores cualificados cuando el servicio sea cualificado. En productos con elementos digitales, debe revisarse el CRA y su calendario de aplicación, sin presentarlo como plenamente aplicable a todas las obligaciones generales antes del 11 de diciembre de 2027. En inteligencia artificial, debe revisarse el AI Act cuando el componente cuántico se integre en un sistema de IA, especialmente si es de alto riesgo o si afecta a personas naturales mediante decisiones o asistencia a decisiones. En defensa, vigilancia, criptografía, transferencia tecnológica y uso dual, debe revisarse el Reglamento (UE) 2021/821, las listas aplicables y las obligaciones de autorización o notificación. Sector Financiero (Banca): ¿La introducción de algoritmos cuánticos o híbridos cuántico-IA en procesos financieros podría generar sesgos, discriminación indirecta o exclusión financiera de determinados clientes? Por ejemplo, un modelo avanzado de scoring crediticio podría rechazar de forma desproporcionada solicitudes de personas mayores, residentes en determinados barrios o colectivos con historiales financieros menos completos si los datos de entrenamiento, las variables proxy o la lógica de inferencia reproducen sesgos históricos. En la edición histórica, la mitigación se formulaba como una auditoría de equidad y supervisión humana; esa mitigación se conserva, pero debe actualizarse con el marco vigente de la Unión sobre IA, protección de datos y servicios financieros. Cuando el sistema sea de IA de alto riesgo por estar comprendido en el anexo III del RIA, y especialmente si efectúa perfilado de personas físicas o se usa para calificación crediticia o servicios esenciales, la organización debe documentar gestión de riesgos, calidad de datos, trazabilidad, transparencia, supervisión humana efectiva y evaluación del impacto en derechos fundamentales cuando proceda. La mitigación revisada exige realizar pruebas de equidad antes de producción y durante la explotación, verificar tasas de aprobación y denegación por segmentos relevantes, justificar las variables utilizadas, controlar proxies geográficos o socioeconómicos y mantener un canal de revisión humana con capacidad real para modificar la decisión. Esa revisión humana no debe ser simbólica, porque la AEPD recuerda que, para que exista intervención humana, la revisión ha de hacerla una persona competente y autorizada para modificar la decisión mediante una acción significativa. Si el tratamiento entra en el artículo 22 del RGPD por producir efectos jurídicos o afectar significativamente de modo similar a una persona, el interesado tiene derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado salvo excepciones, y en los supuestos permitidos deben existir garantías como intervención humana, posibilidad de expresar el punto de vista e impugnación de la decisión. En todo caso, las comunicaciones al cliente deben proporcionar información significativa sobre la lógica aplicada, así como sobre la importancia y consecuencias previstas del tratamiento cuando concurran decisiones automatizadas o elaboración de perfiles relevantes. ¿Podría el uso de computación cuántica por parte de una entidad financiera introducir riesgos sistémicos o ventajas injustas en el mercado? Por ejemplo, si una entidad empleara capacidades cuánticas o híbridas para negociación algorítmica, optimización de carteras, detección de señales o ejecución de alta frecuencia, podría obtener una capacidad de reacción superior a la de competidores y alterar la igualdad de condiciones si el uso no se integra en los marcos de gobernanza, resiliencia y supervisión de mercado. La afirmación histórica sobre coordinación sectorial y vigilancia por bancos centrales o supervisores se mantiene como orientación de política pública, pero debe conectarse con el Derecho vigente sobre resiliencia digital financiera. DORA reconoce que la digitalización del sector financiero comprende negociación electrónica y algorítmica, operaciones de préstamo, financiación y calificación crediticia, y que la interconexión de las TIC puede crear vulnerabilidades sistémicas. La mitigación revisada consiste en someter esos sistemas a la gobernanza del riesgo TIC, al inventario y clasificación de activos, a controles de continuidad, a pruebas de resiliencia y a revisión periódica por el órgano de dirección cuando la entidad esté comprendida en DORA. Las entidades financieras deben disponer de un marco interno de gobernanza y control que garantice una gestión efectiva y prudente del riesgo TIC, y el órgano de dirección debe definir, aprobar y supervisar las disposiciones del marco de gestión de ese riesgo. Como parte del marco de gestión del riesgo TIC, deben identificar, clasificar y documentar funciones, activos de información, activos TIC, dependencias y procesos sustentados por terceros TIC, manteniendo inventarios actualizados. En España, la CNMV ha publicado preguntas frecuentes DORA no normativas para entidades financieras sujetas al Reglamento y destaca que DORA se aplica desde el 17-01-2025 y cubre gestión del riesgo TIC, incidentes, pruebas de resiliencia y terceros TIC. Sector Salud: ¿Se garantiza la información al paciente, la base jurídica adecuada y la comprensión clínica cuando se utilizan tecnologías cuánticas o híbridas en atención sanitaria? Por ejemplo, si un hospital utiliza un algoritmo cuántico o un sistema híbrido cuántico-IA para predecir riesgos de enfermedad, el paciente puede no comprender qué papel desempeña el sistema ni si el resultado es una ayuda clínica, una recomendación o una decisión automatizada. La mitigación histórica hablaba de consentimiento informado específico y aprobación explícita; debe matizarse para no convertir el consentimiento en requisito universal cuando la base jurídica o el deber de información puedan derivar de otra norma sanitaria, de protección de datos o de producto sanitario. El texto candidato debe exigir información comprensible, identificación de la intervención tecnológica en el circuito asistencial, comunicación de beneficios y limitaciones, y obtención del consentimiento cuando sea exigible por la normativa clínica, de investigación, protección de datos o producto sanitario aplicable. La mitigación revisada consiste en explicar al paciente, en lenguaje accesible, si el resultado procede de una herramienta cuántica o híbrida, qué datos utiliza, qué grado de fiabilidad tiene, qué profesional lo interpreta y cómo puede solicitar aclaraciones o revisión. Si el sistema trata datos personales de salud, debe integrarse en el cumplimiento del RGPD, con evaluación de riesgos, transparencia, minimización, exactitud, seguridad y, cuando proceda, evaluación de impacto en protección de datos. Si la herramienta adopta o apoya decisiones que afectan significativamente al paciente, el circuito clínico debe evitar que una recomendación automatizada sustituya sin control la decisión profesional, y debe quedar documentado quién revisa, valida o descarta la salida del sistema. ¿Cómo se asegura la validez, seguridad y conformidad regulatoria de las herramientas cuánticas antes de integrarlas en decisiones clínicas? Por ejemplo, un software de diagnóstico asistido por computación cuántica puede ofrecer resultados prometedores en laboratorio y, aun así, no estar validado clínicamente en población suficiente ni en el entorno real de uso. La mitigación histórica de ensayos rigurosos, marcado CE y vigilancia poscomercialización se conserva, pero debe referirse al MDR como marco principal de la Unión para productos sanitarios cuando la finalidad prevista sea médica. El MDR exige que los productos cumplan los requisitos generales de seguridad y funcionamiento del anexo I, que la demostración de conformidad incluya evaluación clínica conforme al artículo 61 y que los fabricantes establezcan gestión de riesgos y seguimiento clínico poscomercialización cuando proceda. La mitigación revisada exige clasificar la herramienta desde su finalidad prevista, determinar si es producto sanitario, producto sanitario para diagnóstico in vitro o software no regulado como producto sanitario, y no desplegarla de forma generalizada hasta completar la evaluación de conformidad aplicable. El MDR actualiza las normas de introducción en el mercado, comercialización, puesta en servicio e investigaciones clínicas de productos sanitarios, e introduce procedimientos más estrictos de evaluación de conformidad y seguimiento poscomercialización para mejorar la seguridad de los pacientes. El plan poscomercialización debe recoger rendimiento en entorno real, incidentes, retroalimentación de profesionales y pacientes, y medidas correctoras, incluida la suspensión o actualización de la herramienta cuando el riesgo residual no sea aceptable. Administraciones Públicas: ¿Se distribuyen equitativamente entre la ciudadanía los beneficios de las aplicaciones cuánticas en el sector público? Por ejemplo, si una ciudad utiliza optimización cuántica para gestión de tráfico, sanidad, prestaciones o asignación de recursos, podría priorizar zonas con mejor infraestructura digital y dejar fuera a barrios periféricos, zonas rurales o colectivos con menor capacidad de interacción electrónica. La mitigación histórica sobre justicia social y territorial se mantiene, pero debe anclarse en planificación pública, evaluación de impacto, accesibilidad, seguridad y rendición de cuentas. Los proyectos deben definir objetivos de servicio público, indicadores de distribución territorial y social, medidas de inclusión y mecanismos de revisión para evitar que el piloto consolide brechas preexistentes. La mitigación revisada exige que cualquier despliegue público tenga análisis de impacto sobre colectivos, datos representativos, objetivos verificables de reducción de brechas y criterios de ampliación progresiva. En el ámbito de la administración electrónica española, el Real Decreto 203/2021 persigue mejorar la eficiencia administrativa, incrementar transparencia y participación, garantizar servicios digitales fácilmente utilizables y mejorar la seguridad jurídica. Si el sistema encaja como IA de alto riesgo en el RIA y es desplegado por un organismo público o por una entidad privada que presta servicios públicos, debe valorarse la obligación de evaluación de impacto en derechos fundamentales antes del despliegue, con especial atención a decisiones que afecten a personas físicas. ¿Se asegura la transparencia, trazabilidad y rendición de cuentas en el uso gubernamental de tecnologías cuánticas? Por ejemplo, si un ministerio emplea un algoritmo cuántico o híbrido para asignar ayudas, priorizar inspecciones o detectar fraude, puede existir opacidad sobre los criterios aplicados y sobre la vía de recurso del ciudadano. La mitigación histórica de publicar información técnica, análisis de impacto, canales de impugnación y auditorías se conserva y se precisa con el régimen español de actuación administrativa automatizada. La Ley 40/2015 define la actuación administrativa automatizada como cualquier acto o actuación realizada íntegramente por medios electrónicos por una Administración pública en el marco de un procedimiento administrativo sin intervención directa de empleado público, y exige determinar órganos competentes para especificaciones, programación, mantenimiento, supervisión, control de calidad y, en su caso, auditoría del sistema y de su código fuente. La mitigación revisada exige que, en el ámbito estatal, la determinación de una actuación administrativa como automatizada se autorice por resolución del titular competente y se publique en la sede electrónica o sede asociada. Esa resolución debe expresar los recursos procedentes, el órgano administrativo o judicial ante el que presentarlos y el plazo, y debe establecer medidas adecuadas para salvaguardar derechos, libertades e intereses legítimos de las personas interesadas. Además, los sistemas del sector público deben cumplir el ENS cuando corresponda, porque el Real Decreto 311/2022 regula una política de seguridad basada en principios, requisitos mínimos, análisis de riesgos, vigilancia continua, auditoría, respuesta a incidentes y actualización permanente. Cuando concurran los presupuestos de decisiones únicamente automatizadas con efectos jurídicos o similares significativos del artículo 22 RGPD, deben examinarse prohibición, excepciones y salvaguardas, además de la información de los artículos 13–15. La intervención humana y la publicación de código no son obligaciones universales de cualquier automatización administrativa. Defensa: ¿Se evalúan las aplicaciones cuánticas militares bajo principios éticos, Derecho internacional humanitario y control democrático antes de su desarrollo y despliegue? Por ejemplo, una capacidad cuántica de comunicaciones, sensores, cálculo, inteligencia o criptoanálisis podría aportar ventajas militares decisivas y, si se despliega sin límites, afectar a estabilidad estratégica, proporcionalidad, distinción, necesidad militar o protección de civiles. La mitigación histórica se conserva, pero debe evitar formular como hecho una categoría especulativa de “armas cuánticas de destrucción masiva” no verificada en las fuentes leídas. El texto candidato debe hablar de capacidades cuánticas militares, medios o métodos de guerra, sistemas de apoyo a la decisión y capacidades ofensivas o de inteligencia, sujetas a revisión jurídica, ética y operativa antes de su adopción. Como gobernanza se propone revisión jurídica y ética proporcionada al riesgo de cada proyecto de defensa; cuando se estudien, desarrollen, adquieran o adopten nuevas armas, medios o métodos de guerra, procede el examen jurídico del artículo 36 del Protocolo adicional I en su ámbito, con participación de asesores especializados y documentación de necesidad, proporcionalidad, distinción, efectos previsibles e impactos sobre civiles. España ratificó el Protocolo adicional I a los Convenios de Ginebra, y la práctica del CICR sobre el artículo 36 destaca la necesidad de evaluar nuevas armas, medios o métodos de guerra en el momento de su estudio, desarrollo, adquisición o adopción. El artículo 35 del Protocolo I se relaciona con reglas básicas sobre medios y métodos de guerra y con la prohibición de daños superfluos o sufrimientos innecesarios, lo que refuerza la necesidad de revisión previa de tecnologías militares emergentes. ¿Existen medidas para prevenir el abuso, la proliferación no deseada o el uso interno contrario a derechos de tecnologías cuánticas militares o de inteligencia? Por ejemplo, una capacidad de criptoanálisis cuántico o sensores avanzados podría utilizarse para vigilancia masiva interna, represión o acceso no autorizado a comunicaciones privadas si no se establecen límites normativos, operativos y de control. La mitigación histórica de doctrinas de uso, orden judicial cuando proceda, compartimentación, supervisión civil y planes de contingencia se conserva. Debe añadirse que el RIA no se aplica a sistemas de IA introducidos en el mercado, puestos en servicio o utilizados exclusivamente con fines militares, de defensa o seguridad nacional, lo que obliga a no presentar el RIA como control jurídico directo de esas aplicaciones. La mitigación revisada exige definir desde el inicio supuestos de uso permitidos y prohibidos, controles de acceso, registro de operaciones, segregación de funciones, evaluación de impacto sobre derechos y supervisión parlamentaria o gubernamental compatible con la clasificación de seguridad. La exclusión del RIA para fines militares, defensa o seguridad nacional no elimina la aplicación de Derecho internacional humanitario, Derecho constitucional, protección de derechos fundamentales ni controles nacionales aplicables. También debe existir un plan de protección, neutralización o destrucción segura de activos cuánticos avanzados en caso de riesgo de captura, fuga, sabotaje o uso por terceros no autorizados. Precisiones para los cuatro sectores: en finanzas, la negociación algorítmica que cumpla el artículo 4.1.39 MiFID II se somete a su artículo 17, incluida notificación a las autoridades correspondientes, según su redacción modificada por 2022/2556 y su relación con DORA; no todo uso financiero de IA o computación cuántica exige esa notificación. En salud, investigación clínica, evaluación clínica, marcado CE y las excepciones de fabricación/uso institucional requieren análisis separado MDR/IVDR; 2026/1451 no exime de evaluación clínica. En el sector público, artículo 41 Ley 40/2015 y artículo 13 RD 203/2021 determinan órganos, impugnación y publicación en sus ámbitos, con límites de protección de datos, seguridad y transparencia. En IA, la evaluación de impacto del artículo 27 se limita a los sujetos y sistemas allí contemplados; la EIEC propuesta es distinta. El calendario del capítulo III, secciones 1–3, tras 2026/1744 es 02-12-2027 para artículo 6.2/anexo III y 02-08-2028 para artículo 6.1/anexo I. La exclusión de fines exclusivamente militares, defensa o seguridad nacional debe analizarse conforme al artículo 2.3 RIA; no elimina el resto del Derecho aplicable. ------------------------------------------------------------------------ **ANEXO_CHECKLIST_PQC.csv – Lista de Verificación Paso a Paso para Migración PQC** Pasos recomendados para planificar y ejecutar la migración a criptografía poscuántica. La checklist debe adaptarse a riesgo, sector, arquitectura y obligaciones de la entidad; facilita una transición ordenada, pero no garantiza por sí sola seguridad ni cumplimiento. La hoja de ruta europea orienta la coordinación de los Estados miembros y recomienda iniciar la transición antes de fin de 2026 y priorizar los usos de alto riesgo para completarla lo antes posible y, como máximo, a fin de 2030. Son hitos de coordinación recomendada, no plazos empresariales universales. Última revisión histórica: 24/09/2025; contraste de este candidato: 03/10/2026, pendiente de revisión del comité editorial. La fuente primaria recuperada identifica en su portada Part1, Version1.1, EU PQC Workstream,11.06.2025; la difusión web23.06.2025 es compatible. Su p.7 recomienda hitos: fin2026 inicio de estrategias nacionales y pilotos alto/medio; fin2030 completar alto riesgo; fin2035 completar riesgo medio y, para riesgo bajo, en lo prácticamente factible. Se trata de recomendaciones de coordinación dirigidas principalmente a Estados miembros, no fechas obligatorias universales para empresas. **Paso**; **Acción/Descripción**; **Detalles/Notas** 1; **Nombrar equipo PQC**; Designar liderazgo y equipo de criptografía, infraestructura, seguridad, legal, compras, riesgos y negocio, con mandato y recursos. Integrar la migración en la gobernanza ya aplicable (por ejemplo DORA artículo 5 para entidades financieras incluidas), sin presentar esta lista como norma autónoma. 2; **Inventariar criptografía**; Registrar algoritmos, parámetros, finalidad (establecimiento de claves, firmas, cifrado simétrico), protocolos, certificados, claves, PKI, HSM, bibliotecas, dispositivos, aplicaciones, terceros, dependencias y conservación de información. Distinguir RSA/DH/ECC amenazados por Shor de criptografía simétrica y funciones hash: sus efectos y medidas no son idénticos. Documentar activos y funciones en el ámbito DORA/ENS cuando proceda. 3; **Clasificar y priorizar**; Cruzar vida de confidencialidad, tiempo de migración, exposición, criticidad, conservación de evidencia, interoperabilidad y riesgo de capturar hoy para descifrar después. Establecer fechas justificadas del proyecto, sin plazos universales de dos, cinco o diez años. La hoja de ruta UE aporta hitos de coordinación recomendada para Estados miembros, con inicio antes de fin de 2026 y alto riesgo antes de fin de 2030; no sustituye obligaciones específicas. 4; **Seleccionar algoritmos y arquitecturas**; Usar ML-KEM/FIPS 203 para encapsulación de claves, ML-DSA/FIPS 204 y SLH-DSA/FIPS 205 para firmas, con parámetros y perfiles adecuados al caso. Kyber/Dilithium son antecedentes de los estándares, no denominaciones intercambiables de cualquier implementación. SP 800-227 final (septiembre 2025) orienta el uso de KEM. No confundir estandarización, implementación, protocolo, certificado y aprobación legal. 5; **Actualizar infraestructura y criptoagilidad**; Verificar soporte real de cliente, servidor, PKI, HSM, biblioteca y proveedor. OpenSSL 3.5 incorpora ML-KEM, ML-DSA y SLH-DSA; una API disponible desde 3.0 no demuestra soporte nativo de esos tipos ni negociación PQC. RFC 10024 (agosto 2026, Standards Track/Proposed Standard) normaliza mecanismos híbridos de acuerdo de claves TLS 1.3, incluido X25519MLKEM768; no demuestra autenticación con firma/certificado PQC, uso por el sitio ni ausencia de fallback. Documentar combinador, políticas y dependencias. FIPS 140-3 exige comprobar certificado del módulo, versión, configuración y alcance; no certifica por sí solo cualquier algoritmo o sistema como seguro frente a todo ataque cuántico. CRA: artículo 14 desde 11-09-2026, aplicación general 11-12-2027, por ámbito y exclusiones. 6; **Probar compatibilidad y seguridad**; Ensayar en entorno controlado rendimiento, tamaños, validación de certificados, sistemas heredados y de recursos limitados, degradación, fallos de negociación, rechazo de downgrade, observabilidad, recuperación y plan de reversión. Los híbridos requieren construcción y protocolo adecuados; no basta yuxtaponer algoritmos. No imponer fallback inseguro para lograr compatibilidad. No se presupone una regla universal CA/Browser Forum sobre certificados duales. 7; **Formar y comunicar**; Capacitar a equipos técnicos, negocio, dirección y compras para interpretar riesgos, estándares, resultados y límites; adaptar obligaciones de formación sectorial cuando procedan. Comunicar cambios y requisitos a terceros afectados con información verificable. 8; **Migrar por fases**; Definir responsables, ventanas, criterios de aceptación, dependencias, evidencias y reversión controlada por cada sistema priorizado. Acordar tratamiento de excepciones y riesgo residual, evitando que el retorno a algoritmos vulnerables quede automático o indefinido. La coexistencia de certificados exige formatos y validadores soportados; no se garantiza un formato universal de doble firma. 9; **Monitorizar y revisar**; Registrar errores de handshake y validación, latencia, tamaños, incidentes, versiones y métricas del inventario. Revisar algoritmos, implementaciones, perfiles, estándares y cambios de proveedores; no asumir que la mera actualización a una biblioteca prueba una conexión PQC efectiva. 10; **Evaluar después de cada fase**; Contrastar evidencias con criterios de aceptación, identificar elementos fuera de inventario y riesgos residuales, actualizar políticas e informar al órgano competente. Mantener evaluación continua; una auditoría no prueba ausencia absoluta de puntos débiles. El plan ayuda a gestionar riesgo, pero no acredita por sí solo cumplimiento DORA, ENS, RGPD o seguridad de producción. La fuente primaria recuperada identifica en su portada Part 1, Version 1.1, EU PQC Workstream,11.06.2025; la difusión web 23.06.2025 es compatible. Su p.7 recomienda hitos: fin 2026 inicio de estrategias nacionales y pilotos alto/medio; fin 2030 completar alto riesgo; fin2035 completar riesgo medio y, para riesgo bajo, en lo prácticamente factible. Se trata de recomendaciones de coordinación dirigidas principalmente a Estados miembros, no fechas obligatorias universales para empresas. (Esta checklist sirve de guía genérica y no constituye por sí sola asesoramiento jurídico, certificación técnica ni prueba de cumplimiento. Debe adaptarse al tamaño, sector, jurisdicción, perfil de riesgo y arquitectura de cada organización. Una entidad financiera deberá añadir validaciones específicas bajo DORA, incluidas gobernanza, inventarios TIC, gestión de terceros, incidentes y pruebas de resiliencia. Una administración pública deberá integrar ENS, actuación administrativa automatizada, publicación de resoluciones, recursos, órgano responsable y salvaguardas de derechos. Una pyme podrá simplificar el alcance operativo, pero no debería omitir inventario, priorización, pruebas, documentación de excepciones y revisión periódica. ) **ANEXO_CLAUSULAS_TIPO.md – Plantillas contractuales orientativas (Quantum-Tech)** Plantillas de cláusulas para contratos relacionados con tecnología cuántica, orientadas a documentar y pactar salvaguardas éticas, de seguridad, resiliencia, trazabilidad, gestión de riesgos, protección de datos, cumplimiento regulatorio y transición criptográfica. Pueden incorporarse, adaptarse o utilizarse como punto de partida en contratos de adquisición de sistemas cuánticos, prestación de servicios cuánticos en la nube, consultoría, integración tecnológica, I+D, licencias de software, outsourcing TIC o proyectos piloto con administraciones públicas, entidades financieras, sector salud o defensa. Las referencias normativas incluidas en las cláusulas deben tratarse como contexto de diligencia y no necesariamente como citas literales del contrato final. Para contratos financieros deben revisarse DORA, los acuerdos con terceros TIC y las funciones esenciales o importantes; para salud debe verificarse si el sistema es producto sanitario o software con finalidad médica bajo MDR; para sector público deben revisarse ENS y actuación administrativa automatizada; y para defensa deben incorporarse límites de Derecho internacional humanitario y control de uso conforme al destino del sistema. Las cláusulas sobre criptografía deben usar denominaciones actualizadas ML-KEM, ML-DSA y SLH-DSA cuando se remitan a FIPS 203, 204 y 205, y deben prever criptoagilidad, inventario, sustitución de algoritmos, gestión de vulnerabilidades, pruebas de compatibilidad y cooperación para migración PQC. Cada cláusula constituye una propuesta contractual (P). Las referencias legales tienen efectos únicamente dentro de su ámbito y calendario, y no certifican cumplimiento. Antes de firmar deben concretarse partes, objetos, anexos técnicos, roles de datos, niveles de servicio, costes, límites lícitos, procedimiento de incidentes y derechos imperativos. No se conoce ni se declara ningún contrato real formalizado. Cláusula 1. Seguridad criptográfica post-cuántica y cripto-agilidad. El Proveedor garantiza que los sistemas, productos o servicios entregados incorporan mecanismos criptográficos adecuados al estado del arte, al riesgo del caso de uso y a la normativa aplicable en la fecha de firma, incluyendo una hoja de ruta de migración a criptografía post-cuántica cuando el nivel de confidencialidad, la vida útil de los datos o la exposición a riesgo “harvest now, decrypt later” lo justifiquen. En particular, todo intercambio de información confidencial o personal empleará cifrado, firma digital y mecanismos de establecimiento de claves robustos, con parámetros de seguridad proporcionados al riesgo y, cuando proceda, con algoritmos post-cuánticos o híbridos recomendados por organismos técnicos competentes. A la fecha de contraste, los estándares NIST aprobados comprenden FIPS 203 para ML-KEM, derivado de CRYSTALS-Kyber, FIPS 204 para ML-DSA, derivado de CRYSTALS-Dilithium, y FIPS 205 para SLH-DSA, derivado de SPHINCS+. La referencia a NIST se incorpora como estándar técnico oficial y no como obligación legal europea autónoma, sin perjuicio de que las Partes puedan exigir su aplicación contractual o sustituirla por estándares europeos o sectoriales equivalentes cuando existan y sean aplicables. El Proveedor se obliga a mantener la cripto-agilidad de sus soluciones durante la vigencia contractual, documentando inventario criptográfico, dependencias, ciclos de actualización, compatibilidad hacia atrás y procedimientos de sustitución de algoritmos o parámetros. Si se aprueban nuevos estándares aplicables, se identifican vulnerabilidades relevantes o cambia de forma material el estado de la técnica, el Proveedor propondrá sin demora injustificada un plan de adaptación, con calendario, medidas transitorias, pruebas y asignación de responsabilidades. Cuando el Cliente sea una entidad financiera sujeta a DORA, el Proveedor facilitará además la información necesaria para que el Cliente pueda integrar estos controles en su gestión del riesgo TIC y en sus acuerdos contractuales con terceros proveedores de servicios TIC. Cuando el servicio constituya o incorpore un producto con elementos digitales sujeto al CRA, el Proveedor tendrá en cuenta las obligaciones aplicables de gestión de vulnerabilidades y notificación desde la fecha en que resulten exigibles. El incumplimiento material de esta cláusula se considerará un fallo grave de seguridad contractual cuando comprometa la confidencialidad, integridad, disponibilidad o autenticidad de la información o del servicio. En tal caso, el Proveedor indemnizará los daños directos acreditados y asumirá las responsabilidades contractuales, regulatorias o administrativas que le sean imputables, incluidas las derivadas del RGPD cuando se vean comprometidos datos personales por medidas de seguridad inadecuadas. Esta previsión no altera la responsabilidad propia del Cliente cuando actúe como responsable del tratamiento, ni desplaza la obligación de cada Parte de cumplir las normas imperativas que le sean directamente aplicables. El anexo técnico identificará sistemas y flujos cubiertos, algoritmos, parámetros, protocolos, pruebas de aceptación, conservación y riesgos residuales. ML-KEM establece un secreto compartido: no es por sí solo cifrado de datos ni firma. La resistencia declarada se limita al perfil y evidencias acordados, sin garantía absoluta frente a todo adversario. La actualización se someterá a gestión de cambios, pruebas, calendario y asignación expresa de costes; la aparición de un nuevo estándar no impone automáticamente a una Parte todos los costes. La compatibilidad o reversión no autoriza degradaciones de seguridad no aprobadas. Motivación. Esta cláusula conserva el núcleo histórico de seguridad post-cuántica y cripto-agilidad, pero precisa que los estándares NIST son una referencia técnica oficial y no una obligación legal europea general por sí mismos. La mención a FIPS 203, FIPS 204 y FIPS 205 debe mantenerse porque la fuente oficial NIST confirma su aprobación y su correspondencia con ML-KEM, ML-DSA y SLH-DSA. La referencia a RGPD se conserva, pero se formula en términos de seguridad adecuada al riesgo y estado de la técnica, porque el RGPD promueve medidas como seudonimización y cifrado sin imponer en abstracto una tecnología post-cuántica concreta. La referencia a DORA se acota a clientes financieros sujetos a ese Reglamento y a la gestión contractual del riesgo TIC de terceros, evitando sugerir que DORA imponga por sí misma algoritmos post-cuánticos específicos. El cambio principal es sustituir una afirmación categórica por una obligación operativa auditable de inventario, plan de migración, sustitución de algoritmos y actualización sin demora injustificada. Este enfoque protege mejor al Cliente frente a obsolescencia criptográfica porque obliga al Proveedor a mantener una capacidad de cambio y no solo a declarar conformidad inicial. También evita sobregeneralizar la responsabilidad sancionadora bajo RGPD, ya que la sanción administrativa dependerá de los roles de tratamiento, de la infracción concreta y de la imputabilidad de cada Parte. La versión propuesta queda lista para revisión del comité editorial, sin publicación ni pruebas de implantación. Cláusula 2. Uso ético, legalidad y limitación de finalidad. El Proveedor declara y garantiza que la tecnología, sistema o servicio cuántico entregado se configurará y suministrará para finalidades legítimas, determinadas y pactadas en el contrato, sin perjuicio de los usos adicionales que las Partes autoricen por escrito y que sean compatibles con la normativa aplicable. El Cliente se compromete a no emplear la tecnología cuántica para fines ilícitos, discriminatorios, engañosos, lesivos de derechos fundamentales o incompatibles con restricciones regulatorias, sanciones, controles de exportación o instrucciones de uso documentadas. Si el Cliente utiliza la tecnología de forma ilícita o materialmente contraria al contrato, el Proveedor podrá suspender o limitar el uso afectado, previa notificación fehaciente cuando sea razonablemente posible y siempre en la medida estrictamente necesaria para prevenir o mitigar el riesgo. La suspensión no exonerará al Proveedor de sus obligaciones de continuidad, portabilidad, preservación de datos y cooperación cuando sean necesarias para evitar daños desproporcionados o incumplimientos normativos del Cliente. El Proveedor se compromete a incorporar y documentar controles razonables en el alcance pactado para prevenir usos previsiblemente indebidos, sesgos injustificados, impactos sociales negativos y fallos de gobernanza en el diseño, entrenamiento, validación, documentación y suministro de la tecnología, en la medida en que tales riesgos sean aplicables al servicio concreto. Cuando el servicio incorpore un sistema de IA de alto riesgo sujeto al AI Act, las Partes cooperarán para permitir el cumplimiento de las obligaciones aplicables de documentación, transparencia, supervisión humana, información al responsable del despliegue y, en su caso, evaluación de impacto en derechos fundamentales. Cuando las obligaciones del AI Act coincidan con una evaluación de impacto relativa a la protección de datos, las Partes podrán usar referencias cruzadas o integrar partes pertinentes de la DPIA, en los términos previstos por el artículo 27 del AI Act. La referencia histórica al “Libro Blanco de Ética y Regulación en Tecnologías Cuánticas (AMETIC, 2025)” queda sustituida, salvo aportación y verificación de fuente primaria, por una referencia abierta a guías sectoriales o documentos expresamente incorporados como anexo contractual. Los usos prohibidos y compromisos éticos se describirán en anexo con criterios verificables. Salvo urgencia legal o riesgo grave que exija actuación inmediata, se prevén aviso, oportunidad de alegación y subsanación, alcance limitado de la suspensión y continuidad lícita. Los deberes legales de cada Parte subsisten; la cláusula no concede facultad discrecional de suspensión por una desaprobación ética indeterminada. Las menciones al artículo 27 RIA se aplicarán por sujeto, finalidad y calendario tras 2026/1744; fuera de esos supuestos pueden pactarse evaluaciones voluntarias, identificadas como tales. Motivación. La cláusula conserva la obligación bilateral de uso legítimo y ético, pero desplaza la referencia AMETIC 2025 a un régimen de incorporación expresa por anexo porque no ha quedado verificada como fuente pública primaria en esta revisión. El cambio evita que una fuente sectorial no localizada se presente como documento conocido y vinculante por ambas Partes. La inclusión del AI Act se formula condicionalmente, ya que no toda tecnología cuántica es IA ni todo sistema de IA será de alto riesgo. La evaluación de impacto en derechos fundamentales se menciona solo cuando concurran los supuestos del artículo 27 del AI Act, incluidos determinados responsables del despliegue públicos o privados que prestan servicios públicos y ciertos sistemas de alto riesgo en banca y seguros. La redacción propuesta evita convertir estándares éticos genéricos en declaraciones absolutas de ausencia de sesgo o de ausencia de impacto negativo. En su lugar, exige controles razonables, documentación y cooperación, que son más defendibles en revisión contractual y más compatibles con regímenes de cumplimiento basados en riesgo. También conserva la facultad de suspensión frente a uso ilícito, pero añade proporcionalidad y continuidad para reducir riesgo operativo para el Cliente. La versión queda como propuesta editorial pendiente de revisión del comité editorial. **Cláusula 3. Protección de datos y confidencialidad** Las Partes documentarán finalidades, medios y flujos para determinar los roles reales, sin que la etiqueta contractual los sustituya. Si existe encargo de tratamiento se formalizará un anexo conforme al artículo 28 RGPD; si hay corresponsabilidad se regulará el acuerdo del artículo 26 y su esencia accesible al interesado; responsables independientes identificarán sus propias bases, información y obligaciones. El anexo de encargo detallará objeto, duración, naturaleza, finalidad, tipos de datos, categorías de interesados y derechos y obligaciones del responsable. El encargado tratará únicamente conforme a instrucciones documentadas, incluidas transferencias internacionales, salvo obligación legal aplicable, informando previamente salvo prohibición. Garantizará confidencialidad de las personas autorizadas y seguridad conforme al artículo 32. La subcontratación de tratamiento exigirá autorización escrita específica o general previa; en esta última se informarán incorporaciones o sustituciones para permitir oposición. Se impondrán al subencargado obligaciones equivalentes, manteniendo el encargado inicial la responsabilidad del artículo 28.4. El encargado asistirá, atendiendo a naturaleza y medios disponibles, al ejercicio de derechos y al cumplimiento de artículos 32–36. A elección del responsable, devolverá o eliminará los datos y copias al finalizar, salvo conservación legal exigida, documentando el alcance efectivo. Facilitará información y auditorías, incluidas inspecciones, conforme al artículo 28.3.h y comunicará de inmediato instrucciones que considere contrarias a la normativa de protección de datos. La confidencialidad no podrá vaciar los derechos imperativos de control. Las medidas se definirán por riesgo y estado de la técnica: accesos, segregación, registros, continuidad, seudonimización y cifrado cuando proceda. Se podrán pactar PQC o QKD con alcance, autenticación, implementación, costes, pruebas y riesgo residual; ninguna etiqueta cuántica garantiza confidencialidad absoluta. La información confidencial no personal se protegerá según el contrato y Derecho aplicable. El anexo de brechas distinguirá aviso del encargado sin demora indebida al responsable (artículo 33.2), obligación del responsable de notificar a autoridad, salvo excepción legal, y comunicación a afectados cuando concurra alto riesgo. Se prestará cooperación para EIPD/consulta previa y, si concurren los sujetos, sistemas y calendario del artículo 27 RIA modificado por 2026/1744, para la evaluación de impacto en derechos fundamentales; no se presume exigible para toda IA cuántica. El incumplimiento grave activará las medidas y resolución pactadas conforme a la ley, con transición y seguridad proporcionadas. Daños, indemnidades y eventual recuperación de sanciones se limitarán a lo legalmente admisible, acreditado y atribuible; el contrato no desplaza responsabilidades imperativas ante autoridades o interesados. Motivación. Esta cláusula adapta las obligaciones clásicas de protección de datos al contexto cuántico, pero evita presumir de forma rígida el rol del Proveedor como encargado o corresponsable. La corrección es necesaria porque el rol RGPD depende de quién determine fines y medios, no del tipo de proveedor ni de la etiqueta contractual elegida por las Partes. La referencia al cifrado post-cuántico se mantiene como obligación condicionada al riesgo, al estado de la técnica y a la vida útil de la información, lo que encaja mejor con el enfoque del RGPD sobre medidas apropiadas. La asistencia en DPIA y, en su caso, evaluación de impacto en derechos fundamentales se conserva, pero se limita a los supuestos en que RGPD y AI Act resulten realmente aplicables. La redacción conserva la protección reforzada de información confidencial no personal y la posibilidad de QKD o PQC, pero exige que el contrato asigne costes, alcance y responsabilidades. El ajuste reduce ambigüedad operativa y evita imponer al Proveedor todos los costes por defecto cuando la tecnología escogida responda a una decisión conjunta o a requisitos específicos del Cliente. También corrige la imputación de multas de protección de datos para que solo se trasladen al Proveedor cuando sean legal y contractualmente recuperables y deriven de incumplimientos atribuibles a él. La versión propuesta queda pendiente de validación de negocio, seguridad y protección de datos. **Cláusula 4. Auditorías, transparencia y cooperación en incidentes** El Proveedor facilitará las evidencias, acceso, inspección y auditoría que correspondan al contrato y a las normas aplicables, con coordinación operativa y protección proporcionada de información de terceros, seguridad y secretos. Estas salvaguardas no podrán impedir el artículo 28.3.h RGPD, los derechos sin restricciones del artículo 30.3.e DORA en su ámbito, ni el acceso de autoridades. Los informes independientes o certificaciones complementan el control; no sustituyen por defecto derechos imperativos. Se documentarán alcance, canales, responsables y medidas de remediación, con plazo contractual máximo de treinta días únicamente si la criticidad o ley no exige actuación anterior. El Proveedor avisará al Cliente sin demora indebida y, como límite contractual adicional, dentro de doce horas desde conocimiento del hecho cubierto, transmitiendo la información disponible y actualizaciones. Si la ley, la criticidad o un plazo del Cliente exige aviso anterior, prevalece ese plazo; doce horas no concede derecho a retrasar. El aviso incluirá hechos, alcance, usuarios/productos afectados, clasificación disponible, hora de conocimiento, medidas, continuidad y preservación de evidencias. No toda incidencia técnica activa todas las notificaciones legales. El anexo regulatorio determinará sujeto obligado, umbral, autoridad y reloj de cada régimen. DORA: incidente TIC grave de entidad financiera cubierta; Delegado 2025/301 artículo 5 exige inicial lo antes posible, dentro de cuatro horas de clasificación y como máximo veinticuatro desde conocimiento; si se clasifica como grave después de veinticuatro horas, opera la excepción de cuatro horas desde clasificación (5.2). Intermedio dentro de setenta y dos horas desde inicial, aun sin cambios, con actualizaciones pertinentes; final un mes desde intermedio o último intermedio actualizado. Se aplican condiciones de retrasos y fines de semana/festivos de 5.3–6 cuando correspondan. Externalizar la notificación no elimina responsabilidad de la entidad. NIS 2: para incidentes significativos de sujetos incluidos y conforme a transposición aplicable, alerta temprana veinticuatro horas desde constancia y notificación setenta y dos; el prestador de servicios de confianza, para incidentes significativos de sus servicios de confianza, tiene la excepción de notificación en veinticuatro horas. Informe intermedio si se solicita; final un mes desde la notificación del artículo 23.4.b. Si continúa el incidente, informe de situación y final un mes desde su gestión. Comprobar lex specialis DORA (artículo 4) y 2024/2690 por tipo de entidad; no duplicar regímenes automáticamente. RGPD: el responsable notifica a la autoridad, salvo improbable riesgo, sin demora indebida y cuando sea posible dentro de setenta y dos horas desde conocimiento, justificando retrasos; el encargado avisa al responsable sin demora indebida. Afectados: sin demora indebida cuando haya alto riesgo y no concurra excepción del artículo 34. No se traslada el reloj de una Parte a otra sin analizar cuándo tuvo conocimiento. CRA: desde 11-09-2026, artículo 14 para fabricante/producto incluido. Vulnerabilidad explotada activamente: alerta veinticuatro y notificación setenta y dos horas desde conocimiento; final no más tarde de catorce días desde disponibilidad de medida correctora o mitigadora. Incidente grave que afecta a la seguridad del producto: alerta veinticuatro y notificación setenta y dos horas desde conocimiento; final un mes desde la notificación de setenta y dos horas. Son dos supuestos y dos finales distintos; también procede informar a usuarios afectados según 14.8. El contrato preverá cooperación y no confundirá comunicación al Cliente con presentación legal. El Proveedor comunicará requerimientos materiales de autoridades salvo prohibición legal y cooperará en su cumplimiento. La falta imputable de cooperación material podrá activar remedios contractuales proporcionados. Las Partes mantendrán un anexo actualizado de clasificación, escalado, calendario y evidencias para el servicio concreto. *Motivación:* La cooperación permite al Cliente ejercer control y cumplir plazos propios, pero el aviso contractual de doce horas es un techo adicional, no una habilitación de demora. Cada régimen utiliza sujetos, incidentes y momentos distintos: la tabla contractual debe identificar quién conoce y clasifica, qué se notifica, ante quién y qué informe sigue. DORA 2025/301 incorpora la clasificación tardía y excepciones temporales; NIS2 contiene una notificación especial de veinticuatro horas para servicios de confianza; CRA distingue finales de vulnerabilidad e incidente; RGPD diferencia encargado, responsable y afectados. La protección de secretos no vacía derechos legales de auditoría. La nota oficial de 09-07-2026 sobre la remisión de España al TJUE por falta de notificación de transposición NIS2 es evidencia histórica, no comprobación exhaustiva de cualquier cambio posterior. La cláusula es propuesta pendiente de adaptación al servicio y revisión jurídica. Cláusula 5. Exportación, propiedad intelectual, soberanía tecnológica y responsabilidad por productos. El Proveedor declara que la entrega, acceso, soporte, transferencia, exportación, reexportación o puesta a disposición de los bienes, software, tecnología, documentación técnica, resultados o conocimientos cuánticos objeto del contrato se realizará de conformidad con el Reglamento (UE) 2021/821, las normas nacionales de control de exportaciones, sanciones y demás restricciones aplicables. Antes de la operación, el Proveedor documentará si requiere y, en su caso, obtendrá las licencias, autorizaciones, clasificaciones o evaluaciones necesarias para las operaciones que le correspondan, sin perjuicio de la cooperación del Cliente cuando la autorización dependa del usuario final, destino, uso final o información bajo control del Cliente. Las Partes reconocen que la determinación de si un componente, software, tecnología o know-how cuántico está sujeto a control exige una clasificación caso por caso frente al anexo I vigente y frente a los controles catch-all o nacionales aplicables. El Proveedor informará prontamente al Cliente si una restricción, sanción, control de exportación o condición de autorización afecta a la entrega, soporte, mantenimiento, actualización o uso continuado del producto o servicio. Como opción contractual a concretar por las Partes, el Proveedor podrá conceder al Cliente una licencia no exclusiva, con territorio, duración, alcance y condiciones expresamente acordados sobre los entregables contractuales, en la medida necesaria para usar, mantener, auditar, integrar, migrar, sustituir y adaptar los resultados para las finalidades pactadas. La licencia incluirá el derecho a realizar o encargar adaptaciones necesarias para mantener compatibilidad, seguridad, continuidad operativa, cumplimiento normativo, cripto-agilidad y sustitución de algoritmos o componentes obsoletos, siempre respetando los derechos preexistentes del Proveedor y de terceros. El Proveedor retiene la titularidad de sus tecnologías, herramientas, librerías, modelos, métodos y materiales preexistentes, salvo cesión expresa, pero no ejercerá sus derechos de propiedad intelectual de forma que impida injustificadamente al Cliente usar, mantener, auditar o migrar la tecnología en los términos contratados. Si un tercero reclama que el uso contractual de la tecnología suministrada infringe derechos de propiedad intelectual, el Proveedor defenderá e indemnizará al Cliente frente a reclamaciones fundadas en incumplimientos imputables al Proveedor, con las limitaciones, procedimientos y exclusiones que el contrato establezca. Si una orden gubernamental, sanción, restricción de exportación, medida de seguridad nacional o cambio regulatorio impone límites al uso, soporte o transferencia de la tecnología, el Proveedor lo notificará sin demora al Cliente, salvo prohibición legal, y las Partes negociarán de buena fe una solución que preserve la continuidad lícita y el equilibrio económico del contrato. Si la continuidad lícita no fuera posible o la restricción privara al Cliente de una funcionalidad esencial, el Cliente podrá resolver anticipadamente el contrato sin penalización y exigir las medidas razonables de transición, portabilidad, devolución o destrucción de datos que procedan. La resolución no afectará a derechos adquiridos, obligaciones de confidencialidad, cooperación regulatoria, indemnidad por infracción de propiedad intelectual o responsabilidades devengadas antes de la terminación. El Proveedor reconoce que los sistemas de hardware, software, actualizaciones, archivos de fabricación digital y productos conectados pueden quedar sujetos a responsabilidad por productos defectuosos cuando encajen en la normativa aplicable. La Directiva (UE) 2024/2853 debe transponerse para 09-12-2026 y distingue los productos introducidos en el mercado o puestos en servicio después del 08-12-2026 (desde 09-12-2026), conforme a la corrección de errores de 07-05-2026; la Directiva 85/374/CEE conserva su régimen para los anteriores a esa fecha. Debe comprobarse norma nacional y corte temporal de cada producto, sin presentar el nuevo régimen como obligación horizontal española ya plenamente aplicable a 03-10-2026. La Directiva (UE) 2024/2853 aclara que los programas informáticos son productos a efectos de responsabilidad objetiva con independencia de que se suministren en dispositivo, red, nube o SaaS, y también contempla archivos de fabricación digital funcionales. El Proveedor cooperará en la investigación de fallos, conservará registros técnicos razonables y facilitará pruebas necesarias para determinar la causa de daños, vulnerabilidades o defectos durante el periodo exigido por la ley o por el contrato. Si el servicio o producto se presenta como prestador cualificado de servicios de confianza, servicio de confianza cualificado o componente sujeto a eIDAS, las Partes deberán evitar la ambigüedad del acrónimo “QTSP”, que en eIDAS identifica a los prestadores cualificados de servicios de confianza y no a proveedores de tecnología cuántica. En ese supuesto, el Proveedor deberá acreditar el cumplimiento de eIDAS, incluidas las auditorías por organismo de evaluación de la conformidad y las obligaciones de informe cuando procedan. Si el contrato usa “QTSP” solo como abreviatura de proveedor de servicios cuánticos, las Partes deberán definirlo expresamente como tal y excluir cualquier inferencia automática de cualificación eIDAS. Motivación. Esta cláusula conserva la estructura histórica de exportación, propiedad intelectual, soberanía tecnológica y responsabilidad por productos, pero introduce cautelas técnicas y temporales necesarias a 03-10-2026. En control de exportaciones, la corrección esencial es no afirmar de forma genérica que toda tecnología cuántica requiere o no requiere licencia, sino exigir clasificación caso por caso frente al Reglamento (UE) 2021/821, su anexo I vigente y los controles catch-all o nacionales. En propiedad intelectual, el texto ofrece una licencia como opción contractual, cuyo alcance deben pactar las Partes, respetando tecnología preexistente y derechos de terceros; su amplitud no viene impuesta por una norma general. En soberanía tecnológica, la versión propuesta transforma la idea histórica de equilibrio contractual en mecanismos concretos de continuidad lícita, portabilidad y resolución sin penalización cuando una restricción prive al Cliente de una funcionalidad esencial. La actualización más relevante es la responsabilidad por productos, porque la Directiva (UE) 2024/2853 ya está adoptada pero su transposición vence el 09-12-2026 y la derogación de la Directiva 85/374/CEE opera desde esa fecha. Por tanto, a 03-10-2026 no se acredita en este control la norma española de transposición ni la aplicación plena del nuevo régimen a un producto concreto. La falta de medidas notificadas no prueba por sí sola inexistencia de transposición; debe comprobarse el Derecho nacional aplicable. El artículo 2.1 corregido el 07-05-2026 alcanza productos introducidos o puestos en servicio después del 8 de diciembre de 2026 (desde el 9); el régimen anterior subsiste para los previos. La inclusión de software, SaaS y archivos de fabricación digital se mantiene porque la nueva Directiva lo confirma expresamente. También se añade una cautela terminológica sobre “QTSP”, ya que el mismo acrónimo puede inducir confusión con los prestadores cualificados de servicios de confianza eIDAS. **Cláusula 6. Ciberresiliencia y cadena de suministro** Las Partes identificarán los productos con elementos digitales cubiertos por el Reglamento 2024/2847 y el papel de fabricante, importador, distribuidor o integrador de cada Parte, atendiendo a exclusiones y fechas. Las obligaciones generales CRA se aplican desde 11-12-2027; el artículo 14 ya aplica desde 11-09-2026, incluso a los productos previos en los términos del artículo 69.3. No toda prestación cuántica o servicio puramente remoto es producto CRA por su etiqueta. El Proveedor asumirá los compromisos contractuales de seguridad por diseño y por defecto, gestión de vulnerabilidades y documentación que se definan en el anexo, además de sus obligaciones legales efectivas. Mantendrá procedimientos para identificar, evaluar, mitigar y corregir vulnerabilidades; documentación de versiones, configuración, medidas y avisos; y coordinación diligente con proveedores. No garantiza ausencia absoluta de vulnerabilidades ni de todos los ataques. Cuando el CRA imponga período de soporte, se determinará conforme al artículo 13.8: al menos cinco años, salvo vida de uso esperada inferior, atendiendo a los factores legales. El anexo definirá período, parches, accesibilidad y condiciones, sin reducir mínimos imperativos ni inventar soporte prestado. Las ampliaciones voluntarias se identifican como pacto. La documentación de composición del software se ajustará a los requisitos CRA aplicables, incluida SBOM en formato de uso común y legible por máquina que cubra al menos dependencias de nivel superior (anexo I, parte II.1). Este deber no equivale a publicar toda la SBOM ni a revelar indiscriminadamente secretos; se delimitarán destinatarios y acceso preservando derechos de autoridades y obligaciones legales. En incidentes, el fabricante cumplirá artículo 14: vulnerabilidad explotada activamente, alerta veinticuatro/notificación setenta y dos horas desde conocimiento y final catorce días desde medida correctora o mitigadora disponible; incidente grave de seguridad del producto, alerta veinticuatro/notificación setenta y dos desde conocimiento y final un mes desde esta última notificación. Comunicará a usuarios afectados información y medidas según 14.8, y al Cliente según el pacto sin demora indebida. La diligencia de la cadena no transfiere sin más todos los deberes propios a un subcontratista. Si el Cliente está sujeto a DORA, se facilitará cooperación conforme al servicio y función contratados, diferenciando artículo 30.2 de 30.3 y designación de tercero crítico. No se declara que los controles, soporte o pruebas estén ya implantados: esta es una plantilla que requiere objeto, responsabilidades, anexos y evidencia antes de su uso. *Motivación:* La seguridad de hardware, firmware, software de control y dependencias exige gestión durante el ciclo de vida. El CRA adoptado tiene un calendario diferenciado: el artículo 14 ya es aplicable al corte de este candidato y el régimen general comienza en diciembre de 2027. Los deberes recaen por producto y rol; el período de soporte y la SBOM tienen condiciones precisas y no justifican garantías absolutas de ausencia de puertas traseras o vulnerabilidades. Los compromisos adicionales de cadena, parches y documentación son pactos a concretar, sin sustituir obligaciones imperativas ni acreditar implantación. DORA se incorpora por ámbito financiero y función contratada. Esta motivación acompaña la cláusula 6, no la sustituye ni se desplaza a otro ID. **Cláusula 7. Portabilidad y cambio de proveedor** Las Partes identificarán si el servicio es un servicio de tratamiento de datos del artículo 2.8 del Reglamento 2023/2854 y el capítulo VI resulta aplicable; no basta la etiqueta cloud o cuántica. Se analizarán las excepciones del artículo 31: determinados servicios a medida excluyen solo las obligaciones allí enumeradas, y los servicios no productivos limitados de prueba/evaluación tienen un régimen distinto. Fuera del ámbito legal, las Partes podrán pactar reversibilidad adicional, expresamente identificada como compromiso contractual. Para servicios cubiertos, el contrato recogerá las categorías exportables de datos y activos digitales y las excluidas con justificación, las obligaciones de cooperación, continuidad y seguridad, las condiciones de terminación y los límites legales. El preaviso contractual máximo para iniciar el cambio no excederá dos meses; el período transitorio máximo ordinario será treinta días naturales. Si el cambio en ese plazo resulta técnicamente inviable, el Proveedor notificará al Cliente en catorce días laborables con justificación y período alternativo que no podrá superar siete meses; el Cliente conserva la extensión única que prevé el artículo 25. Se garantizará extracción durante al menos treinta días naturales después del período transitorio, en las condiciones legales, y borrado de los datos exportables y activos generados o asociados una vez terminado el plazo y realizado con éxito el cambio, salvo deber legal de conservación. La asistencia y funcionalidad se ajustarán al tipo de servicio y a los artículos 23–30: no se garantiza equivalencia de todo resultado cuántico, migración de cualquier modelo, desarrollo de nuevas tecnologías ni entrega irrestricta de activos protegidos. Se respetarán propiedad intelectual, secretos y seguridad/integridad en los términos del artículo 30.6, sin utilizar estas reservas como bloqueo indiscriminado ni ocultar categorías exportables. Se definirán formatos, documentación, pruebas y criterios de continuidad. Las credenciales y claves requieren revocación, rotación o entrega segura solo cuando legal y técnicamente proceda; no se transferirán sin control todas las claves privadas. Los costes de cambio se regirán por el artículo 29: hasta 12-01-2027 pueden existir costes reducidos que no excedan los costes directamente relacionados; desde esa fecha no se cobrarán costes de cambio para servicios sujetos a la regla, salvo las excepciones aplicables. Si se pacta gratuidad anterior, será un compromiso adicional. Se distinguirán cargos ordinarios del servicio y penalizaciones lícitas de terminación anticipada de los costes de cambio; no se declara nulidad universal de cualquier coste de salida. La portabilidad del RGPD artículo 20 conserva su propio ámbito y no equivale a la reversibilidad de servicios del Reglamento de Datos. El anexo concretará bases, acceso, conservación, transferencias, derechos de terceros y evidencia de devolución/borrado sin prometer supresión de lo legalmente conservado. Este texto es una propuesta: no acredita servicios migrados, contratos firmados ni borrados realizados. *Motivación:* La reversibilidad evita dependencias injustificadas y protege continuidad, pero exige determinar qué datos y activos son exportables y qué funcionalidad puede trasladarse. El Reglamento de Datos es aplicable por tipo de servicio; los servicios a medida o no productivos tienen excepciones distintas y la etiqueta cuántica no decide. Los artículos 25 y 29 diferencian preaviso, transición, extracción, alternativa técnica y costes. A 03-10-2026 todavía opera el período de costes reducidos; la gratuidad general de costes de cambio comienza 12-01-2027 dentro de su ámbito. Un pacto más favorable puede adelantarla. Portabilidad no concede automáticamente propiedad sobre modelos, secretos o claves de terceros ni elimina obligaciones RGPD. La cláusula mantiene el objetivo de salida viable con límites y pruebas concretos, sin declarar cumplimiento o migración real. ------------------------------------------------------------------------ Las cláusulas anteriores son plantillas orientativas. Deberán adaptarse a las Partes, producto o servicio, anexos técnicos, roles de datos, propiedad de resultados, niveles de servicio, soporte, plazos, costes, uso final y responsabilidades legalmente admisibles. Las obligaciones legales operan por ámbito y calendario; los compromisos adicionales requieren pacto expreso y verificable. Las referencias temporales de la edición histórica de 2025 se conservan como antecedentes; este candidato se contrasta a 03/10/2026 y no modifica retrospectivamente el documento fuente. No sustituye revisión jurídica, técnica y de negocio del contrato ni acredita firma, despliegue o cumplimiento. ------------------------------------------------------------------------ *Las cláusulas anteriores son orientativas y requieren adaptación al contexto contractual, con identificación de las Partes, objetos, anexos, obligaciones aplicables y compromisos adicionales. No sustituyen asesoramiento jurídico ni revisión técnica, y este candidato está pendiente de revisión del comité editorial antes de su uso o publicación.* ------------------------------------------------------------------------ [*\[1\]*](https://www.europol.europa.eu/cms/sites/default/files/documents/Quantum-safe-financial-forum-2025.pdf) [*\[52\]*](https://www.europol.europa.eu/cms/sites/default/files/documents/Quantum-safe-financial-forum-2025.pdf) [*\[53\]*](https://www.europol.europa.eu/cms/sites/default/files/documents/Quantum-safe-financial-forum-2025.pdf) [*\[54\]*](https://www.europol.europa.eu/cms/sites/default/files/documents/Quantum-safe-financial-forum-2025.pdf) [*\[59\]*](https://www.europol.europa.eu/cms/sites/default/files/documents/Quantum-safe-financial-forum-2025.pdf) europol.europa.eu Referencia histórica del expediente. Para el contraste actual se utiliza Europol/QSFF, edición 2026, “Prioritising post-quantum cryptography migration activities in financial services”, guía no obligatoria (p. 6); su metodología depende de riesgo y tiempo. El enlace histórico no se da por inexistente ni por verificado íntegramente. [*https://www.europol.europa.eu/cms/sites/default/files/documents/Quantum-safe-financial-forum-2025.pdf*](https://www.europol.europa.eu/cms/sites/default/files/documents/Quantum-safe-financial-forum-2025.pdf) Fuente actual de contraste: (2026; pp. 6, 8–11, 13–15 y 18 según materia). [*\[2\]*](https://www.cryptomathic.com/blog/cryptographic-key-management-in-2025) Cryptographic Key Management in 2025 and Beyond - Cryptomathic Fuente privada o sectorial secundaria. Se conserva para trazabilidad y contexto; no fundamenta por sí sola una obligación legal, fecha de exigibilidad o ventaja técnica demostrada. Las citas materiales no contrastadas directamente permanecen pendientes. [*https://www.cryptomathic.com/blog/cryptographic-key-management-in-2025*](https://www.cryptomathic.com/blog/cryptographic-key-management-in-2025) [*\[3\]*](https://www.coit.es/sites/default/files/archivobit/pdf/bit_236_estado_actual_de_la_criptografia_postcuantica_20-23.pdf) [*\[7\]*](https://www.coit.es/sites/default/files/archivobit/pdf/bit_236_estado_actual_de_la_criptografia_postcuantica_20-23.pdf) [*\[30\]*](https://www.coit.es/sites/default/files/archivobit/pdf/bit_236_estado_actual_de_la_criptografia_postcuantica_20-23.pdf) [*\[34\]*](https://www.coit.es/sites/default/files/archivobit/pdf/bit_236_estado_actual_de_la_criptografia_postcuantica_20-23.pdf) [*\[35\]*](https://www.coit.es/sites/default/files/archivobit/pdf/bit_236_estado_actual_de_la_criptografia_postcuantica_20-23.pdf) [*\[36\]*](https://www.coit.es/sites/default/files/archivobit/pdf/bit_236_estado_actual_de_la_criptografia_postcuantica_20-23.pdf) [*\[37\]*](https://www.coit.es/sites/default/files/archivobit/pdf/bit_236_estado_actual_de_la_criptografia_postcuantica_20-23.pdf) [*\[40\]*](https://www.coit.es/sites/default/files/archivobit/pdf/bit_236_estado_actual_de_la_criptografia_postcuantica_20-23.pdf) coit.es Fuente privada o sectorial secundaria. Se conserva para trazabilidad y contexto; no fundamenta por sí sola una obligación legal, fecha de exigibilidad o ventaja técnica demostrada. Las citas materiales no contrastadas directamente permanecen pendientes. [*https://www.coit.es/sites/default/files/archivobit/pdf/bit_236_estado_actual_de_la_criptografia_postcuantica_20-23.pdf*](https://www.coit.es/sites/default/files/archivobit/pdf/bit_236_estado_actual_de_la_criptografia_postcuantica_20-23.pdf) [*\[4\]*](https://www.globalsign.com/en/blog/Impact-of-eidas-2-digital-digital-identity) [*\[5\]*](https://www.globalsign.com/en/blog/Impact-of-eidas-2-digital-digital-identity) The Impact of eIDAS 2.0: A New Era of Digital Identity Fuente privada o sectorial secundaria. Se conserva para trazabilidad y contexto; no fundamenta por sí sola una obligación legal, fecha de exigibilidad o ventaja técnica demostrada. Las citas materiales no contrastadas directamente permanecen pendientes. [*https://www.globalsign.com/en/blog/Impact-of-eidas-2-digital-digital-identity*](https://www.globalsign.com/en/blog/Impact-of-eidas-2-digital-digital-identity) Fuente jurídica primaria para eIDAS: Reglamento 910/2014 modificado por 2024/1183, con ámbito, cualificación y aplicación propios: . [*\[6\]*](https://www.bakermckenzie.com/en/insight/publications/2025/09/eu-commissions-updating-annex-dual-use-regulation) [*\[47\]*](https://www.bakermckenzie.com/en/insight/publications/2025/09/eu-commissions-updating-annex-dual-use-regulation) The EU Commission’s Delegated Regulation Updating Annex I of the EU Dual-Use Regulation \| Other \| Baker McKenzie Fuente privada o sectorial secundaria. Se conserva para trazabilidad y contexto; no fundamenta por sí sola una obligación legal, fecha de exigibilidad o ventaja técnica demostrada. Las citas materiales no contrastadas directamente permanecen pendientes. [*https://www.bakermckenzie.com/en/insight/publications/2025/09/eu-commissions-updating-annex-dual-use-regulation*](https://www.bakermckenzie.com/en/insight/publications/2025/09/eu-commissions-updating-annex-dual-use-regulation) Fuente jurídica primaria de doble uso: Reglamento 2021/821, clasificación del anexo vigente y operación concreta: . Los anuncios de propuestas o actualizaciones de 2025 no acreditan por sí solos el estado normativo al corte. [*\[8\]*](https://digital-strategy.ec.europa.eu/en/library/recommendation-coordinated-implementation-roadmap-transition-post-quantum-cryptography) [*\[9\]*](https://digital-strategy.ec.europa.eu/en/library/recommendation-coordinated-implementation-roadmap-transition-post-quantum-cryptography) [*\[10\]*](https://digital-strategy.ec.europa.eu/en/library/recommendation-coordinated-implementation-roadmap-transition-post-quantum-cryptography) [*\[41\]*](https://digital-strategy.ec.europa.eu/en/library/recommendation-coordinated-implementation-roadmap-transition-post-quantum-cryptography) Recommendation on a Coordinated Implementation Roadmap for the transition to Post-Quantum Cryptography \| Shaping Europe’s digital future Distinguir Recomendación (UE) 2024/1101, publicada en abril de 2024, de la hoja de ruta coordinada difundida por la Comisión el 23-06-2025. Son coordinación/recomendaciones (R), no mandato empresarial horizontal. La fuente primaria recuperada identifica en su portada Part1, Version1.1, EU PQC Workstream,11.06.2025; la difusión web23.06.2025 es compatible. Su p.7 recomienda hitos: fin2026 inicio de estrategias nacionales y pilotos alto/medio; fin2030 completar alto riesgo; fin2035 completar riesgo medio y, para riesgo bajo, en lo prácticamente factible. Se trata de recomendaciones de coordinación dirigidas principalmente a Estados miembros, no fechas obligatorias universales para empresas. [*https://digital-strategy.ec.europa.eu/en/library/recommendation-coordinated-implementation-roadmap-transition-post-quantum-cryptography*](https://digital-strategy.ec.europa.eu/en/library/recommendation-coordinated-implementation-roadmap-transition-post-quantum-cryptography) Referencias primarias complementarias: y . [*\[11\]*](https://thequantuminsider.com/2024/04/13/european-commission-publishes-recommendation-on-post-quantum-cryptography/) [*\[31\]*](https://thequantuminsider.com/2024/04/13/european-commission-publishes-recommendation-on-post-quantum-cryptography/) [*\[32\]*](https://thequantuminsider.com/2024/04/13/european-commission-publishes-recommendation-on-post-quantum-cryptography/) European Commission Publishes Recommendation on Post-Quantum Cryptography Fuente privada o sectorial secundaria. Se conserva para trazabilidad y contexto; no fundamenta por sí sola una obligación legal, fecha de exigibilidad o ventaja técnica demostrada. Las citas materiales no contrastadas directamente permanecen pendientes. [*https://thequantuminsider.com/2024/04/13/european-commission-publishes-recommendation-on-post-quantum-cryptography/*](https://thequantuminsider.com/2024/04/13/european-commission-publishes-recommendation-on-post-quantum-cryptography/) El contenido normativo debe contrastarse en la Recomendación 2024/1101 citada arriba; la noticia se conserva como difusión secundaria. [*\[12\]*](https://www.etsi.org/deliver/etsi_gs/QKD/001_099/014/01.01.01_60/gs_qkd014v010101p.pdf) [*\[13\]*](https://www.etsi.org/deliver/etsi_gs/QKD/001_099/014/01.01.01_60/gs_qkd014v010101p.pdf) [*\[42\]*](https://www.etsi.org/deliver/etsi_gs/QKD/001_099/014/01.01.01_60/gs_qkd014v010101p.pdf) GS QKD 014 - V1.1.1 - Quantum Key Distribution (QKD); Protocol and data format of REST-based key delivery API ETSI GS QKD 014 V1.1.1 (febrero 2019), §§1 y 4: interfaz de entrega de claves. Estándar técnico (S), no legislación, certificación global de QKD ni prueba de interoperabilidad o seguridad de cualquier despliegue. [*https://www.etsi.org/deliver/etsi_gs/QKD/001_099/014/01.01.01_60/gs_qkd014v010101p.pdf*](https://www.etsi.org/deliver/etsi_gs/QKD/001_099/014/01.01.01_60/gs_qkd014v010101p.pdf) *\[14\]* *\[21\]* *\[22\]* *\[23\]* *\[24\]* *\[25\]* *\[26\]* *\[43\]* *\[44\]* *\[45\]* *\[46\]* *\[48\]* *\[49\]* *\[50\]* *\[51\]* *\[55\]* *\[57\]* *\[62\]* *\[65\]* *\[66\]* *\[67\]* *\[68\]* DOCUMENTO VIVO FINAL ÉTICA CUÁNTICA v2.docx Documento interno no publicado identificado por el expediente; no se ha recuperado el texto íntegro de esta referencia ni se presume contraste de sus afirmaciones. *(Documento interno de trabajo — referencia no publicada; pendiente de sustitución por fuente pública verificable.)* [*\[15\]*](https://gdpr-info.eu/art-22-gdpr/) Art. 22 GDPR – Automated individual decision-making, including … Para el contenido jurídico se cita el texto oficial: RGPD, artículos 13–15 y 22; distinguir decisiones únicamente automatizadas con efectos jurídicos o similares significativos, excepciones y garantías aplicables. No toda optimización o inferencia cuántica encaja en el artículo 22. [*https://gdpr-info.eu/art-22-gdpr/*](https://gdpr-info.eu/art-22-gdpr/) Fuente oficial: . El enlace privado se conserva como referencia histórica secundaria. *\[16\]* *\[17\]* *\[18\]* *\[19\]* *\[60\]* *\[61\]* *\[63\]* *\[64\]* AMETIC_EstudioCasosDeUso_v241025_VF_edv4.pdf El nombre v241025 es un identificador del archivo interno, no prueba de disponibilidad, lectura íntegra o publicación. Las referencias a pilotos o cifras no se convierten en hechos acreditados por este nombre. *(AMETIC, Estudio de Casos de Uso, v. 24.10.2025 — documento interno; pendiente de sustitución por fuente pública verificable.)* [*\[20\]*](https://www.riskinsight-wavestone.com/en/2025/03/quantum-computing-and-post-quantum-cryptography-how-to-deal-with-these-issues/) [*\[27\]*](https://www.riskinsight-wavestone.com/en/2025/03/quantum-computing-and-post-quantum-cryptography-how-to-deal-with-these-issues/) [*\[28\]*](https://www.riskinsight-wavestone.com/en/2025/03/quantum-computing-and-post-quantum-cryptography-how-to-deal-with-these-issues/) [*\[29\]*](https://www.riskinsight-wavestone.com/en/2025/03/quantum-computing-and-post-quantum-cryptography-how-to-deal-with-these-issues/) [*\[33\]*](https://www.riskinsight-wavestone.com/en/2025/03/quantum-computing-and-post-quantum-cryptography-how-to-deal-with-these-issues/) [*\[38\]*](https://www.riskinsight-wavestone.com/en/2025/03/quantum-computing-and-post-quantum-cryptography-how-to-deal-with-these-issues/) [*\[39\]*](https://www.riskinsight-wavestone.com/en/2025/03/quantum-computing-and-post-quantum-cryptography-how-to-deal-with-these-issues/) [*\[56\]*](https://www.riskinsight-wavestone.com/en/2025/03/quantum-computing-and-post-quantum-cryptography-how-to-deal-with-these-issues/) Quantum computing and post-quantum cryptography: what strategy should companies adopt to deal with these issues? - RiskInsight Fuente privada o sectorial secundaria. Se conserva para trazabilidad y contexto; no fundamenta por sí sola una obligación legal, fecha de exigibilidad o ventaja técnica demostrada. Las citas materiales no contrastadas directamente permanecen pendientes. [*https://www.riskinsight-wavestone.com/en/2025/03/quantum-computing-and-post-quantum-cryptography-how-to-deal-with-these-issues/*](https://www.riskinsight-wavestone.com/en/2025/03/quantum-computing-and-post-quantum-cryptography-how-to-deal-with-these-issues/) [*\[58\]*](https://www.appviewx.com/blogs/how-financial-institutions-can-meet-dora-compliance-with-crypto-agility/) How Financial Institutions Can Meet DORA Compliance with Crypto … Fuente privada o sectorial secundaria. Se conserva para trazabilidad y contexto; no fundamenta por sí sola una obligación legal, fecha de exigibilidad o ventaja técnica demostrada. Las citas materiales no contrastadas directamente permanecen pendientes. [*https://www.appviewx.com/blogs/how-financial-institutions-can-meet-dora-compliance-with-crypto-agility/*](https://www.appviewx.com/blogs/how-financial-institutions-can-meet-dora-compliance-with-crypto-agility/) Fuentes normativas actuales: DORA y Delegado 2024/1774 , arts. 6–7 sobre criptografía por riesgo. No imponen por sí solos un algoritmo PQC universal. # Anexo VII. Bibliografía ampliada de esta edición Fuentes incorporadas o verificadas después de la edición histórica de 27 de julio de 2026, ordenadas por ámbito. Su inclusión bibliográfica no equivale a contraste íntegro de todas las tesis. Debe distinguirse fuente normativa, estrategia, guía, estándar, análisis secundario y documento interno; cada afirmación decisoria se vincula a versión y localizador concretos en el expediente de contraste. Las reservas de lectura y evidencia que se indican se mantienen abiertas y no se atribuye aprobación o publicación por la presencia de una referencia. ## Cortes Generales y Gobierno de España - Diario de Sesiones DSCG-15-CM-147 (texto de aprobación, votación y recomendaciones). - Ficha de la iniciativa 154/000007 (expediente completo). - Comparecencia de la Fiscal de Sala contra la Criminalidad Informática (jun-2025). - Crónica de las recomendaciones (Demócrata). - Estrategia de Tecnologías Cuánticas de España 2025-2030 (España Digital). - Nota de prensa MTDFP, 24-04-2025. - RD 317/2025 (BOE-A-2025-8418): subvenciones a entidades de referencia en comunicaciones cuánticas. - Clausura del Plan Complementario de Comunicación Cuántica (MICIU, nov-2025). - Quantum Spain (SEDIA/BSC/CESGA). - EuroHPC JU: contrato del ordenador cuántico EuroQCS-Spain en el BSC (28-01-2025). - IberianQCI / EuroQCI-Spain. - Portal del Hub de Tecnologías Cuánticas (SEDIA). - CCN-TEC 009 (documento). - Nota CCN-CERT sobre el CCN-TEC 009. - Nota sobre la guía CCN-STIC 221. - INCIBE-CERT: supercomputación y computación cuántica en ciberseguridad (complemento operativo). Clasificación de estas entradas: DSCG y ficha del Congreso son fuentes parlamentarias primarias; sus informes/recomendaciones no constituyen por sí mismos ley. Control Congreso y Demócrata son referencias secundarias: no sustituyen el Diario para citas materiales. La Estrategia 2025–2030 y las notas de ministerios son política/comunicación institucional; Quantum Spain, EuroHPC e IberianQCI son fuentes de iniciativas y hechos concretos, no regímenes jurídicos generales. RD 317/2025 regula subvenciones de concesión directa a sus beneficiarios; el portal no acredita una convocatoria abierta a cualquier solicitante. CCN-TEC009 es guía de buenas prácticas; CCN-STIC221 exige distinguir instrucciones y recomendaciones según ámbito/versionado. INCIBE aporta orientación técnica. La existencia del enlace no acredita lectura íntegra, resultados del proyecto ni aplicación al caso. - Actualización normativa: Real Decreto 327/2026, de 22 de abril (BOE-A-2026-8958), modifica el preámbulo y artículo 9.2 del RD317/2025: hito CID253 en lugar de objetivo CID457; efectos de actualización de la resolución según disposición final primera y vigencia desde25-04-2026 (DFsegunda). . El plazo de actuaciones del artículo13.2 RD317/2025 es31-08-2026; su transcurso no demuestra cumplimiento, ejecución de fondos o cierre de proyectos. ## Unión Europea - COM(2025) 363 final (EUR-Lex). - Quantum Europe Strategy (biblioteca de la Comisión). - Factsheet oficial (jul-2025). - European Declaration on Quantum Technologies (06-12-2023). - Quantum Flagship, SRIA 2030. - «Shaping a European Strategy in Quantum Technology» (orientaciones previas). - Legislative Train Schedule: ficha «EU Quantum Strategy» (enlace vivo). - EPRS, «Future-proofing the Quantum Europe Strategy for 2040» (PE 774.696, nov-2025). - STOA, «Quantum technologies: Can they boost the EU’s decarbonisation?» (PE 774.707, feb-2026). - Legislative Train Schedule: ficha «Quantum Act» (enlace vivo). - Kop, «Towards a European Quantum Act» (arXiv 2509.14262) — contraste crítico, no consenso institucional. - Resumen de la hoja de ruta del Grupo de Cooperación NIS (Quantum Policy Forum). - ENISA, PQC: Current State and Quantum Mitigation (mitigaciones: híbridos y PSK). - Europol/QSFF: metodología de priorización de la migración (matriz riesgo × tiempo). - EUCC Guidelines on Cryptography (página oficial: v2 indicada como aplicable; v3 identificada como borrador para revisión pública, con plazo anunciado hasta fin de julio de 2026). - Guidelines v2 — Agreed Cryptographic Mechanisms (PDF, 06-05-2025). - Enlace histórico de la encuesta de revisión pública de la v3; no se afirma que continúe abierta a 03/10/2026. - Reglamento de Ejecución (UE) 2024/482 (EUCC). COM(2025)363, la Declaración, agendas y orientaciones son documentos estratégicos; EPRS/STOA aportan análisis, no obligaciones. Las fichas Legislative Train son seguimiento vivo y deben fecharse: una previsión para Q2 de 2026 no demuestra propuesta formal ni ley adoptada. El contraste oficial reutilizado de L06/T01 indica “Quantum Act: To be announced” en calendario de la Comisión actualizado28-09-2026; no se da por aprobado. Kop es análisis académico crítico. Quantum Policy Forum es resumen secundario; para hitos PQC se remite a la fuente directa de la Comisión: . ENISA2021 es antecedente técnico. Europol/QSFF corresponde a la edición2026, guía no obligatoria (p.6), no borrador consultivo ni mandato PQC universal. EUCC2024/482 es acto del esquema; las guías v2/v3 son apoyo técnico y no un deber general de todas las tecnologías cuánticas. La página de ENISA seguía identificando v2 como aplicable y v3 como draft al corte, sin acreditar adopción posterior. La fuente primaria recuperada identifica en su portada Part1, Version1.1, EU PQC Workstream,11.06.2025; la difusión web23.06.2025 es compatible. Su p.7 recomienda hitos: fin2026 inicio de estrategias nacionales y pilotos alto/medio; fin2030 completar alto riesgo; fin2035 completar riesgo medio y, para riesgo bajo, en lo prácticamente factible. Se trata de recomendaciones de coordinación dirigidas principalmente a Estados miembros, no fechas obligatorias universales para empresas. ## Estándares y organismos técnicos - NIST IR 8547 (borrador inicial): Transition to Post-Quantum Cryptography Standards. - Noticias del proyecto PQC del NIST (HQC 4ª ronda — IR 8545, 11-03-2025; SP 800-227). - Proceso de estandarización PQC del NIST. - Real Instituto Elcano, «Tecnologías cuánticas: cómo apostar y acertar desde España y la UE» (abr-2025). Actualización técnica al corte: NIST SP800-227, “Recommendations for Key-Encapsulation Mechanisms”, es final desde18-09-2025, no el borrador de enero2025: . FIPS203/204/205, finales13-08-2024, especifican ML-KEM, ML-DSA y SLH-DSA. IR8547 enlazado es el borrador inicial y sus hitos no se convierten en plazo europeo universal. La selección de HQC para estandarización en marzo2025 no equivale a publicar ya un estándar final HQC. Elcano es análisis de política pública; no acredita obligación o consenso institucional. ## Servicios financieros - Reglamento (UE)2022/2554, DORA: ámbito y aplicación desde17-01-2025; arts.2,6,8–9 y28–31. - Reglamento Delegado (UE)2024/1774, arts.6–7: gestión criptográfica y de claves según ámbito/riesgo, sin mandato horizontal de algoritmo PQC. - Reglamento Delegado (UE)2025/301, art.5: plazos y excepciones de notificación de incidentes TIC graves DORA. - MiFID II, Directiva2014/65/UE, arts.4.1.39 y17, modificada en su relación con DORA por2022/2556: negociación algorítmica, no cualquier uso financiero de tecnología cuántica. y - Europol/QSFF2026, “Prioritising post-quantum cryptography migration activities in financial services”, p.6 y matriz pp.8–11: guía voluntaria de priorización por riesgo/tiempo, no norma obligatoria. ## Inteligencia artificial - Proyecto de LO para el buen uso y la gobernanza de la IA (BOCG-15-A-97-1, expte.121/000096): documento de proyecto publicado12-06-2026, no ley adoptada por su publicación. - GPAI Code of Practice (Oficina de IA, jul-2025). - Sandbox español de IA (RD 817/2023, BOE-A-2023-22767) — el portal oficial, actualizado28-09-2026, confirma el piloto finalizado, sin acreditar aquí una fecha exacta de cierre el 01-07-2026. - AESIA: inicio de actividad presencial en A Coruña el14-02-2025, según nota oficial de la Agencia; hito distinto de su creación, constitución o designación de sede. Fuentes actuales complementarias: Reglamento de IA2024/1689 y su modificación adoptada2026/1744 . El capítuloIII,secciones1–3, aplica desde02-12-2027 paraart.6.2/anexoIII y02-08-2028 paraart.6.1/anexoI, con disposiciones transitorias; no se presenta Ómnibus digital sobreIA como simple propuesta. El códigoGPAI es voluntario y sirve a las obligaciones de modelos de propósito general en su ámbito; no rige automáticamente todo proyecto cuántico. Portal del sandbox: ; finalización del piloto no equivale sin más a derogación del RD817/2023. ## Nota final Este documento ofrece información general y no constituye asesoramiento jurídico. Las obligaciones concretas dependen de actividad, tamaño, sector, sujetos, roles, objeto, jurisdicción y calendario de la norma aplicable. Las referencias se acompañan de límites de contraste y deben revisarse antes de aplicarse a un caso. Las estrategias, recomendaciones, guías y estándares no tienen por sí solos el efecto de una disposición obligatoria. Esta actualización editorial conserva separado el documento histórico y requiere revisión del comité editorial antes de publicación; no acredita que todo el material del Observatorio esté actualizado, aprobado o desplegado.