Criterios

Protección de datos · reglamento · https://eur-lex.europa.eu/eli/reg/2016/679/oj

• OLos responsables y encargados deben aplicar medidas técnicas y organizativas apropiadas para garantizar una seguridad adecuada al riesgo, incluida la protección frente al tratamiento no autorizado o ilícito y frente a pérdida, destrucción o daño accidental, mediante medidas como confidencialidad, integridad, disponibilidad, resiliencia, seudonimización, cifrado y procesos periódicos de verificación cuando proceda. En contexto cuántico, esta obligación no se traduce automáticamente en un mandato universal de criptografía poscuántica, sino en un análisis de seguridad conforme al riesgo, al estado de la técnica, a los costes, a la naturaleza, al alcance, al contexto y a los fines del tratamiento. El fundamento se encuentra en los artículos 5.1.f y 32 RGPD. (responsable, encargado)
• ILa transición progresiva a criptografía poscuántica debe formularse como medida interpretativa de gestión del riesgo HNDL, priorizable cuando la criticidad de los datos, su vida útil de confidencialidad, la exposición criptográfica y el estado de la técnica lo justifiquen. El RGPD no impone, por sí mismo, una obligación automática y universal de migración PQC para todo responsable o encargado. (responsable, encargado)
• IEl responsable debe aplicar protección de datos desde el diseño y por defecto al determinar los medios del tratamiento y durante el propio tratamiento. En sistemas con exposición criptográfica relevante, esa obligación puede justificar inventario criptográfico, cripto-agilidad, minimización y controles de seguridad si resultan proporcionados al riesgo, pero esas medidas concretas deben mantenerse como desarrollo interpretativo y no como requisito uniforme para todos los tratamientos. El fundamento de diseño y defecto se encuentra en el artículo 25 RGPD. (responsable)
• ILa evaluación de impacto relativa a la protección de datos debe realizarse antes del tratamiento cuando sea probable que un tipo de tratamiento, en particular con nuevas tecnologías, entrañe un alto riesgo para los derechos y libertades de las personas físicas. El uso de tecnología cuántica o de técnicas de machine learning cuántico no activa por sí solo la EIPD si no concurre la probabilidad de alto riesgo exigida por el artículo 35 RGPD. (responsable)
• ILa reidentificación de datos anonimizados mediante técnicas cuánticas debe describirse como hipótesis técnica que exige evaluación con evidencia y con los medios razonablemente utilizables, y no como capacidad general demostrada ni como consecuencia jurídica automática. Se mantiene la distinción entre datos anónimos fuera de los principios de protección de datos y datos seudonimizados o reidentificables que siguen pudiendo vincularse a una persona física mediante información adicional. (responsable)

Capítulo del Informe: §4.3, §3.1, §5.5 · Fecha de ficha: 27-07-2026

Ciberseguridad y resiliencia · directiva · https://eur-lex.europa.eu/eli/dir/2022/2555/oj

• OLas entidades esenciales e importantes comprendidas en NIS2 deben adoptar medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos de ciberseguridad, incluidas políticas sobre criptografía y, cuando proceda, cifrado, sin que ello convierta ninguna tecnología concreta en obligación universal. (entidades esenciales e importantes)
• ILa migración a criptografía poscuántica o a soluciones híbridas puede formar parte de las medidas exigibles bajo NIS2 cuando el análisis de riesgo, la vida útil de los datos, el estado de la técnica y la criticidad del servicio lo justifiquen, pero NIS2 no impone literalmente PQC a toda entidad ni a todo sistema. (entidades incluidas)
• OLas entidades incluidas deben gestionar la seguridad de la cadena de suministro respecto de proveedores directos, incluidos proveedores de computación, componentes o servicios cuánticos cuando soporten redes y sistemas relevantes, con alcance condicionado por actividad, tamaño, sector, establecimiento, excepciones y norma nacional aplicable. (entidades incluidas)
• OLas entidades incluidas notificarán incidentes significativos conforme al art. 23.4 NIS2: alerta temprana sin demora indebida y a más tardar24h, notificación a más tardar72h desde conocimiento y actualización/informe intermedio a solicitud. El informe final se presenta a más tardar un mes tras la notificación; si el incidente continúa, informe de situación y final en un mes desde haberlo gestionado. Para incidentes significativos de prestadores de servicios de confianza que afecten a sus servicios, la notificación de la letra b) se adelanta a24h. Estos relojes se distinguen del aviso contractual del proveedor al cliente. (entidades incluidas)

Capítulo del Informe: §4.2.1, §6.1 · Fecha de ficha: 27-07-2026

Ciberseguridad y resiliencia · reglamento · https://eur-lex.europa.eu/eli/reg/2022/2554/oj

• IIdentificar y gestionar los riesgos TIC conforme a los arts. 6 y 9 DORA, incluida la exposición criptográfica/HNDL cuando sea material. Un plan PQC en ejecución puede aportar evidencia de gestión del riesgo cuando la obsolescencia, vida útil de la información y dependencias lo justifiquen; se integra en el marco de riesgo y se formula como interpretación por riesgo, no como mandato universal de migración PQC. (entidades financieras incluidas)
• OAl contratar plataformas cuánticas como servicio, las entidades financieras deben aplicar el régimen DORA de terceros TIC, incluidas las cláusulas fundamentales del art. 30.2, los requisitos reforzados del art. 30.3 para funciones esenciales o importantes, el registro de información del art. 28.3, el análisis de concentración del art. 29 y el régimen de designación de terceros críticos de los arts. 31 y siguientes cuando proceda. (entidades financieras)
• OLas pruebas avanzadas basadas en amenazas o TLPT de DORA se aplican únicamente a las entidades financieras identificadas para ese régimen conforme a los arts. 26 y 27, y no deben presentarse como obligación general de todo cliente financiero ni como regla de designación automática de proveedor cuántico crítico. El régimen TLPT no crea un plazo general de notificación de un día hábil; las notificaciones de incidentes constituyen un régimen separado. (entidades designadas)

Capítulo del Informe: §4.2.2, §4.9, §6.1 · Fecha de ficha: 27-07-2026

Ciberseguridad y resiliencia · reglamento · https://eur-lex.europa.eu/eli/reg/2024/2847/oj

• OLos fabricantes de productos con elementos digitales comprendidos en el CRA deben cumplir los requisitos esenciales de ciberseguridad por diseño y por defecto y gestionar vulnerabilidades durante el periodo de soporte, con aplicación general desde el 11-12-2027, sin adelantar este bloque al hito de reporting de 2026. (fabricante y operadores económicos según rol)
• OLos fabricantes comprendidos deben identificar y documentar componentes, incluso mediante una lista de materiales de software en formato común y de lectura mecánica que cubra al menos las dependencias de nivel superior cuando aplique el Anexo I parte II.1, sin que ello equivalga a obligación general de publicar o entregar indiscriminadamente la SBOM. (fabricante)
• ODesde el11-09-2026, los fabricantes incluidos notificarán simultáneamente al CSIRT coordinador y ENISA, por la plataforma única, las vulnerabilidades aprovechadas activamente y los incidentes graves conocidos. Vulnerabilidades: alerta≤24h y notificación≤72h desde conocimiento; informe final≤14d tras disponer de una medida correctora o paliativa. Incidentes graves: alerta≤24h y notificación≤72h desde conocimiento; informe final en un mes tras la notificación de72h. Sin demora indebida y salvo información ya facilitada según art. 14; información adicional/provisional a solicitud e información a usuarios afectados conforme al art. 14.8 se diferencian de la copia contractual al cliente. (fabricante)
• IPQC y cripto-agilidad pueden ser respuestas adecuadas cuando el análisis de riesgos, el estado de la técnica, la exposición criptográfica y la vida útil del producto lo justifiquen, pero el CRA no impone PQC universalmente. (fabricante)

Capítulo del Informe: §4.2.3, §6.1 · Fecha de ficha: 27-07-2026

Inteligencia artificial · reglamento · https://eur-lex.europa.eu/eli/reg/2024/1689/oj

• IVerificar primero la definición de sistema de IA del artículo 3.1 y el ámbito del RIA; después, su clasificación y el rol efectivo del proveedor o responsable del despliegue. Para el artículo 6.1 deben concurrir tanto el vínculo con un producto o componente de seguridad del Anexo I como la exigencia de evaluación de conformidad por tercero. Para los usos del Anexo III, comprobar la excepción del artículo 6.3: ausencia de riesgo importante de perjuicio y una de sus condiciones de tarea limitada, mejora de actividad humana previa, detección de patrones con revisión humana adecuada o tarea preparatoria; si el sistema elabora perfiles de personas físicas, permanece clasificado como alto riesgo. En servicios financieros, precisar que Anexo III 5.b se refiere a solvencia o puntuación crediticia de personas físicas y excluye detección de fraude financiero, y 5.c a evaluación de riesgos y precios de seguros de vida y salud. Una decisión financiera genérica o usar QML no acredita por sí solo alto riesgo. Determinar las obligaciones y su fecha a partir del rol y régimen aplicables, incluidas las reglas sectoriales y transitorias pertinentes. La reforma añade al artículo 6 los apartados 1 bis, 1 ter y 1 quater: los sistemas usados únicamente para aspectos no relacionados con seguridad en asistencia al usuario, optimización del rendimiento, eficiencia del servicio, automatización, comodidad o control de calidad no se consideran componentes de seguridad; no obstante, sí se consideran tales aquellos cuyo fallo pueda poner en peligro salud/seguridad; la evaluación por tercero debida únicamente a riesgos distintos de salud/seguridad no satisface 6.1.b. Aplicar estas precisiones cuando corresponda, sin clasificar por una etiqueta tecnológica. (proveedor, desplegador)
• OLa introducción en el mercado, puesta en servicio o utilización de IA está prohibida cuando concurra un supuesto del artículo 5, con las condiciones y excepciones propias de cada letra y modalidad. Incluye la puntuación social del artículo 5.1.c cuando la evaluación o clasificación de personas o grupos por su comportamiento social o características personales produzca un trato perjudicial o desfavorable en contextos ajenos a los de obtención de los datos, o un trato injustificado o desproporcionado. No equiparar todo análisis de datos, vigilancia o uso cuántico a esas prácticas. Las prohibiciones ya existentes son aplicables desde el 02-02-2025; las nuevas letras 5.1.b bis y b ter y apartados 1 bis y 1 ter tienen aplicación desde el 02-12-2026. La política interna puede prohibir otros usos, pero esa ampliación debe identificarse separadamente como política propuesta y no atribuirse al artículo 5. (todos los operadores)
• OPara el proveedor de IA de alto riesgo efectivamente comprendido, cumplir requisitos de arts. 9–15 y QMS art. 17 según rol, sistema, régimen sectorial y calendario. Capítulo III, secciones 1–3, exceptuado 6.5: desde 02-12-2027 para 6.2/Anexo III y 02-08-2028 para 6.1/Anexo I, sin perjuicio de art. 111. A 03-10-2026, preparar esos controles no equivale a exigibilidad general actual. (proveedor de alto riesgo)
• OEIDF/FRIA del art. 27 para responsables del despliegue de alto riesgo del art. 6.2 que sean organismos de Derecho público, entidades privadas prestadoras de servicios públicos o responsables de usos Anexo III 5.b–c; excluir Anexo III 2. Verificar solvencia/puntuación crediticia de personas físicas (no detección de fraude financiero), riesgos/precios de seguros de vida/salud y excepciones 6.3. Será previa al despliegue desde fecha aplicable 02-12-2027 para estos sistemas, con régimen transitorio pertinente; QML no basta ni la FRIA es obligación inmediata universal. Art. 27.4 modificado permite referencias cruzadas/inclusión de partes EIPD pertinentes a obligaciones coincidentes, sin eliminar el resto de FRIA. (desplegadores comprendidos)
• ILa opacidad cuántica no exime de documentar límites de validez, incertidumbre, ruido y tasas de error con el detalle exigible al sistema y rol; no se exige explicabilidad completa universal. La interpretación se vincula a obligaciones concretas y calendario aplicable; no presume certificación QT-QMS ni conformidad automática. (proveedor)

Capítulo del Informe: §4.4, §3.3, §5.5, §6.1 · Fecha de ficha: 27-07-2026

Identidad digital y servicios de confianza · reglamento · https://eur-lex.europa.eu/eli/reg/2024/1183/oj

• OLos prestadores cualificados de servicios de confianza deben gestionar los riesgos aplicables, incluido el riesgo criptográfico, y mantener los requisitos de seguridad y cualificación correspondientes a los servicios que prestan. El artículo 20 eIDAS exige auditoría a su propio coste al menos cada 24 meses por un organismo de evaluación de la conformidad. Además, el artículo 6.11 de 2025/2162 exige que los sistemas de evaluación prevean al menos una evaluación de vigilancia anual por servicio cualificado evaluado. La acreditación corresponde al organismo evaluador, conforme al artículo 2; no debe confundirse con la cualificación del prestador. El prestador remite el informe al organismo de supervisión en tres días laborables tras recibirlo (artículo 20.1); la gestión de riesgos se ancla en el artículo 24.2.f bis y en los requisitos del servicio. Los cambios criptográficos significativos y los planes de cese se rigen por el Reglamento de Ejecución (UE) 2025/2530, en su ámbito propio. (QTSP)
• ILa conservación, resellado y migración criptográfica deben presentarse como medidas para preservar la verificabilidad a largo plazo de firmas, sellos y evidencias, sin afirmar invalidez retroactiva de una firma válida ni imponer un algoritmo PQC único e inmediato. El Reglamento de Ejecución (UE) 2025/1946 confirma que los servicios cualificados de conservación de firmas electrónicas cualificadas y sellos electrónicos cualificados garantizan a largo plazo integridad, autenticidad, prueba de existencia y accesibilidad de las pruebas de conservación, dentro de ese ámbito específico. La medida concreta se selecciona según riesgo, periodo de retención, perfil y conformidad del servicio, en el ámbito de los artículos 34 y 40 eIDAS. La conservación preserva la fiabilidad existente y no crea cualificación retroactiva. (QTSP, partes que confían)
• ILa cripto-agilidad y la preparación poscuántica de la Cartera Europea de Identidad Digital deben conservarse como interpretación prudente de seguridad por diseño, protección de datos y resiliencia, según el riesgo y las normas y especificaciones aplicables. No implica una obligación inmediata de implementar un algoritmo poscuántico único. La eventual obligación relativa a declaraciones electrónicas de atributos se analiza separadamente para su propio servicio y destinatario. El Reglamento de Ejecución (UE) 2026/1735 se analiza en el ámbito de los emisores de declaraciones de atributos y fuentes auténticas que regula; su artículo 2 difiere únicamente el artículo 1.3 al 1 de enero de 2027 y no difiere automáticamente todo el anexo I. El Reglamento de Ejecución (UE) 2026/2099 establece identificación y autenticación para intercambio transfronterizo a través de MiSalud@UE. Publicado 22.09.2026, vigor 12.10.2026 y aplicación general 26.03.2027; art. 3.2 exige notificar conjuntos nacionales de atributos a más tardar el 26.03.2028 y arts. 3.3/5.2 aplican 26.03.2029 para emisión a petición y aceptación de atributos mediante cartera EUDI, tanto en solicitudes presenciales como en línea. Art. 4.2 exige nivel al menos sustancial en solicitudes en línea y alto desde 26.03.2030; art. 6.3 exige al menos sustancial para profesionales y alto desde 26.03.2032. No impone PQC universal, una nueva categoría de servicio cualificado ni una fecha general de migración EUDI. (emisores y proveedores de la cartera)

Capítulo del Informe: §4.5, §2.4 · Fecha de ficha: 27-07-2026

Control de exportaciones y doble uso · reglamento · https://eur-lex.europa.eu/eli/reg/2021/821/oj

• OClasificar el bien, software o tecnología frente al Anexo I aplicable a la fecha de la operación, incluida 4A506 con sus umbrales y notas cuando corresponda; comprobar además listas nacionales aplicables. No toda tecnología cuántica está listada. (exportador)
• ODeterminar la autorización necesaria por entrada, operación, territorio, destino, usuario y uso final; comprobar catch-all, listas nacionales y restricciones aplicables. Distinguir exportación, transferencia intra-UE, corretaje, tránsito y asistencia técnica. No nace una licencia automática de la etiqueta «cuántico». (exportador y demás sujetos según operación)
• OEl exportador que utilice autorización global pondrá en marcha un PIC, salvo excepción de la autoridad competente conforme al art. 12.4. La diligencia y las medidas de cumplimiento se adaptan a la exposición; el cribado debe permitir cumplir las restricciones vinculantes aplicables. Los refuerzos voluntarios y cláusulas generales de no reexportación son R/P, salvo mandato concreto identificado. (exportador; PIC obligatorio bajo autorización global salvo excepción)

Capítulo del Informe: §4.6, §3.4, §6.2 · Fecha de ficha: 27-07-2026

Seguridad y responsabilidad de producto · directiva · https://eur-lex.europa.eu/eli/dir/2024/2853/oj

• IIdentificar los roles legales de fabricante, integrador, proveedor de software o servicio conexo y demás operadores; definir cooperación contractual y preservación de evidencia proporcional. Los pactos no redefinen frente al perjudicado los sujetos responsables ni limitan sus derechos. Comprobar producto, actividad comercial y régimen nacional aplicable. (cadena de producto según rol legal)
• IValorar ciberseguridad y actualizaciones necesarias bajo control del fabricante como elementos de defectuosidad según las circunstancias y las reglas nacionales aplicables. No todo fallo cuántico es defecto ni la Directiva crea un deber universal de actualización. La prueba y las presunciones se rigen por sus condiciones judiciales. (fabricante y operadores responsables según régimen aplicable)

Capítulo del Informe: §4.8, §6.1 · Fecha de ficha: 27-07-2026

Servicios financieros, criptoactivos y DLT · reglamento · https://eur-lex.europa.eu/eli/reg/2023/1114/oj

• IEmisores y proveedores de servicios de criptoactivos comprendidos deben analizar custodia de claves, continuidad, seguridad e información al cliente frente al riesgo cuántico según actividad y exclusiones aplicables. Para custodia, existe la regla general del artículo 75.8 sobre pérdidas atribuibles al proveedor; su aplicación a un incidente cuántico exige examinar control, causalidad y pruebas. La ausencia de una regla cuántica especial no elimina ese régimen ni crea un mandato universal PQC (Emisores y CASP.)
• ILa transición criptográfica debe diseñarse según protocolo, custodia, gobernanza, interoperabilidad y horizonte de riesgo de cada red, documentando dependencias técnicas y de consenso sin presentar el plan como mandato legal nominal de MiCA. (CASP y operadores de red.)

Capítulo del Informe: §4.9, §3.4 · Fecha de ficha: 27-07-2026

Servicios financieros, criptoactivos y DLT · reglamento · https://eur-lex.europa.eu/eli/reg/2022/858/oj

• ICualquier migración criptográfica de una infraestructura acogida al régimen piloto debe preservar las condiciones de autorización, la integridad del mercado y las medidas de protección de inversores, sin presentar la migración PQC como obligación nominal autónoma. (Operadores de infraestructuras DLT.)
• ILa infraestructura debe analizar los efectos de cualquier adaptación criptográfica sobre protección de participantes e inversores, continuidad, reversibilidad operativa, interoperabilidad con sistemas heredados y valor probatorio de registros migrados. (Operadores de infraestructuras DLT.)

Capítulo del Informe: §4.9 · Fecha de ficha: 27-07-2026

Servicios financieros, criptoactivos y DLT · mixto · https://eur-lex.europa.eu/eli/dir/2014/65/oj

• IDebe analizarse caso a caso la aplicación de MiFID II/MAR a negociación algorítmica con componentes cuánticos y a la prevención del abuso de mercado, sin activar automáticamente el régimen por incorporar tecnología cuántica. (Empresas de servicios de inversión y participantes sujetos a MiFID II/MAR.)
• ILos modelos cuánticos empleados en negociación deben someterse a los controles de gobernanza algorítmica y prevención del abuso de mercado que resulten aplicables, pero la etiqueta correcta es interpretación de obligaciones vigentes, no mandato cuántico nominal. (Empresas de servicios de inversión.)

Capítulo del Informe: §4.9, §3.4 · Fecha de ficha: 27-07-2026

Sostenibilidad e información corporativa · directiva · https://eur-lex.europa.eu/eli/dir/2022/2464/oj

• OInformar conforme a CSRD y a la versión de los ESRS aplicable cuando la entidad esté incluida, según la legislación nacional, el ejercicio y el grupo. La Directiva (UE) 2026/470, adoptada el 24-02-2026, publicada el 26-02-2026 y en vigor desde el 18-03-2026, modifica ámbito y calendario; el nuevo umbral europeo combina más de 450 millones de euros de volumen neto y más de 1.000 empleados, con condiciones individuales o de grupo. La transposición de sus arts. 1–3 vence el 19-03-2027: no se atribuye automáticamente una exención a una entidad española. El Reglamento Delegado (UE) 2026/1563 está publicado, pero a 03-10-2026 aún no vigente; prevé entrada el 10-11-2026, aplicación ordinaria a ejercicios iniciados desde 01-01-2027 y opciones expresas para ejercicios iniciados en 2026. Energía y recursos se informan según la materialidad y requisitos aplicables. (entidades incluidas por norma nacional, ejercicio y grupo)
• PComo propuesta metodológica del Observatorio, antes de afirmar una ventaja ambiental de una solución cuántica se documentará una comparación por unidad funcional y sistema completo frente a una alternativa clásica pertinente, incluyendo QPU, criogenia, láseres, control, HPC de apoyo, red, fabricación y materiales, con evidencia y límites. No se afirma una ventaja sin medirla ni se convierte este análisis en una obligación CSRD universal de todo proyecto; el reporting de entidades incluidas se rige por materialidad, ejercicio y versión aplicable. (ecosistema cuántico como pauta editorial)

Capítulo del Informe: §2.5, §7.5 · Fecha de ficha: 27-07-2026

Protección de datos · reglamento · https://eur-lex.europa.eu/eli/reg/2025/327/oj

• ILos sistemas cuánticos o híbridos que traten datos de salud electrónicos personales deben alinearse con el EHDS cuando entren en su ámbito y resulten aplicables sus disposiciones por fase, sujeto y categoría, y deben operar junto con una base jurídica del artículo 6 RGPD y una excepción del artículo 9 RGPD cuando se traten categorías especiales de datos. El EHDS complementa derechos del RGPD y establece un marco jurídico y técnico para datos de salud electrónicos, pero no sustituye las bases de licitud ni las garantías de protección de datos. El Reglamento de Ejecución (UE) 2026/2098 desarrolla los metadatos mínimos de descripciones de conjuntos de datos para uso secundario: los tenedores y, en su caso, participantes autorizados en DatosSalud@UE utilizan HealthDCAT-AP según arts. 1–3 y anexo. Se refiere a descripciones y vocabularios, no a publicación universal del contenido de los datos ni autorización de uso. Publicado 21.09.2026, vigor 11.10.2026 y aplicación 26.03.2029 (art. 4); al 03.10.2026 no es una obligación actual general. El Reglamento de Ejecución (UE) 2026/2099 establece identificación y autenticación para intercambio transfronterizo a través de MiSalud@UE. Publicado 22.09.2026, vigor 12.10.2026 y aplicación general 26.03.2027; art. 3.2 exige notificar conjuntos nacionales de atributos a más tardar el 26.03.2028 y arts. 3.3/5.2 aplican 26.03.2029 para emisión a petición y aceptación de atributos mediante cartera EUDI, tanto en solicitudes presenciales como en línea. Art. 4.2 exige nivel al menos sustancial en solicitudes en línea y alto desde 26.03.2030; art. 6.3 exige al menos sustancial para profesionales y alto desde 26.03.2032. No impone PQC universal, una nueva categoría de servicio cualificado ni una fecha general de migración EUDI. (responsables y encargados en salud)
• ILa priorización criptográfica en salud debe formularse como interpretación de gestión del riesgo HNDL por la sensibilidad de los datos de salud y sus largos periodos de conservación. La migración poscuántica puede ser prioritaria en salud por vida útil de confidencialidad y criticidad, pero el EHDS no convierte por sí solo esa priorización en obligación inmediata de PQC para todos los agentes sanitarios. El análisis y las medidas proporcionadas se encuadran en los artículos 25 y 32 RGPD y en el régimen sectorial pertinente cuando sea aplicable. (responsables y encargados en salud)

Capítulo del Informe: §3.4 · Fecha de ficha: 27-07-2026

Datos, cloud e industria · reglamento · https://eur-lex.europa.eu/eli/reg/2023/2854/oj

• IAl contratar capacidad cuántica como servicio, considerar los derechos de portabilidad y cambio de proveedor mediante una calificación funcional de la oferta. Si encaja en servicio de tratamiento de datos del art. 2.8, identificar los derechos y obligaciones del capítulo VI y las excepciones del art. 31: determinados servicios a medida no ofrecidos a gran escala en catálogo quedan fuera de obligaciones concretas, y las versiones no destinadas a producción para ensayo y evaluación durante tiempo limitado quedan fuera del capítulo. El proveedor informará antes de contratar qué obligaciones no aplican. Esta interpretación no sustituye el CR por el acceso desde el diseño del art. 3.1, que se analiza separadamente para productos conectados y servicios relacionados introducidos en el mercado después del 12-09-2026. (clientes y proveedores de servicios de tratamiento de datos; definición y excepciones comprobadas)
• IIncluir requisitos de portabilidad y salida al contratar capacidad cuántica como servicio para mitigar dependencia y fragmentación. Cuando aplique el capítulo VI, el contrato concretará datos exportables y activos digitales, formatos, asistencia razonable, continuidad, seguridad, preaviso, transición y extracción, y posterior supresión conforme al art. 25. Distinguir los límites de propiedad intelectual, secretos y seguridad del art. 30.6, y el alcance de equivalencia funcional del art. 30.1. Hasta el 12-01-2027 pueden cobrarse costes por cambio reducidos sin superar costes directamente relacionados; desde esa fecha no se cobran en los supuestos comprendidos, salvo las excepciones aplicables del art. 31. La supresión de costes por cambio no elimina automáticamente los precios ordinarios ni las penalidades de terminación anticipada transparentes. La certificación de supresión y la migración de credenciales resistentes se precisan como condiciones adicionales P cuando proceda. (clientes de servicios cloud cuánticos, según funciones y condiciones de prestación)

Capítulo del Informe: §1.1, §3.6 (tabla) · Fecha de ficha: 27-07-2026

Datos, cloud e industria · reglamento · https://eur-lex.europa.eu/eli/reg/2023/1781/oj

• PEl Chips Act vigente incorpora capacidades y apoyo a tecnologías cuánticas y chips cuánticos, incluidos diseño, líneas piloto, ingeniería, prueba y validación (arts. 4.2.c y 5.c y Anexo I III). No se identifica una obligación horizontal que nazca del mero uso de tecnología cuántica. Las condiciones de reconocimiento, financiación y medidas de crisis se examinan por destinatario y situación; no se concluye que el Reglamento carezca de todo deber aplicable a un fabricante o integrador comprendido. La compra común del art. 27 requiere crisis activada y petición de al menos dos Estados miembros. (ecosistema cuántico; operadores concretos requieren análisis de rol y situación)
• PAl planificar la cadena de suministro y las dependencias del hardware cuántico, considerar las capacidades, programas y resiliencia del ecosistema europeo de semiconductores. Es una propuesta de planificación industrial, sin imponer una preferencia general de compra europea, certificación, financiación o localización por el mero uso de cuántica. La propuesta Chips Act 2.0, COM(2026)504, se mantiene como seguimiento separado y no como modificación vigente del Reglamento (UE) 2023/1781 a 03-10-2026. (fabricantes e integradores)

Capítulo del Informe: §1.1 · Fecha de ficha: 27-07-2026

Estándares técnicos · estandar · https://csrc.nist.gov/pubs/fips/203/final

• RProbar y planificar ML-KEM, ML-DSA y SLH-DSA en perfiles y productos adecuados, con esquemas híbridos cuando proceda (equipos técnicos y de compra)
• PCualquier referencia a FN-DSA/FIPS 206 debe ajustarse a su estado oficial en la fecha de consulta (editores y prescriptores)
• RPlanificar, como recomendación, la transición de criptografía de clave pública vulnerable al adversario cuántico teniendo en cuenta IR 8547 IPD: 112 bits desaconsejados después de 2030 y desautorización después de 2035 también para ≥ 128 bits, pendiente de versión final. Separar criptografía simétrica, perfiles y ámbito; no equiparar el calendario a deber universal europeo. (equipos técnicos y de compra)

Capítulo del Informe: §3.2, §4.7, §5.7 · Fecha de ficha: 27-07-2026

Estándares técnicos · estandar · https://www.etsi.org/deliver/etsi_gs/QKD/001_099/014/01.01.01_60/gs_QKD014v010101p.pdf

• PComo propuesta de compra, exigir conformidad de interfaz e interoperabilidad demostrada con el perfil ETSI aplicable y autenticación adecuada al adversario previsto; GS QKD 014 no acredita por sí sola seguridad de red completa. (operadores de red, compradores)
• REvaluar en cada despliegue QKD: distancia y tasa de generación de claves, necesidad de nodos de confianza, seguridad de dispositivos, resistencia a denegación de servicio, interoperabilidad y certificación (operadores de red, compradores)

Capítulo del Informe: §3.2, §4.7 · Fecha de ficha: 27-07-2026

Política pública y hojas de ruta · recomendacion · https://eur-lex.europa.eu/eli/reco/2024/1101/oj

• RIniciar inventarios criptográficos, gobernanza y planificación de la migración alineados con los hitos 2026/2030/2035 (Estados miembros; empresas por derivación de riesgo)
• PComo propuesta contractual propia, solicitar a proveedores de infraestructura cuántica o poscuántica un plan y evidencias de transición adaptados al riesgo y al sistema, tomando como referencias institucionales 2026/2030 y el horizonte 2035 para completar riesgo medio y, para riesgo bajo, en la medida de lo posible. Una autodeclaración, si se pacta, debe precisar alcance, hitos, prueba y revisión; no es certificación ni obligación universal impuesta por los hitos NIS. (compradores públicos y privados)

Capítulo del Informe: §5.7 (tabla de hitos), §3.2, §7.2 · Fecha de ficha: 27-07-2026

Política pública y hojas de ruta · estrategia · https://digital-strategy.ec.europa.eu/en/library/quantum-europe-strategy

• PSeguimiento estratégico; sin obligaciones directas para operadores privados (—)

Capítulo del Informe: §4.1, §7.3 · Fecha de ficha: 27-07-2026

Política pública y hojas de ruta · iniciativa · https://commission.europa.eu/topics/competitiveness/competitiveness-compass/timeline_en?prefLang=hu

• PVigilancia del estado en el rastreador de la Comisión; actualizar la ficha cuando exista propuesta formal (editores del observatorio)

Capítulo del Informe: §4.1, §7.3 · Fecha de ficha: 27-07-2026

Política pública y hojas de ruta · estrategia · https://digital.gob.es/content/dam/portal-mtdfp/comunicacion/comunicacion_ministro/2025/04/2025-04-24/EstrategiaTecnologiasCuanticas_compressed_24_04.pdf

• PAlinear iniciativas sectoriales con la estrategia (soberanía, transferencia, talento, seguridad y evaluación ética) (ecosistema español)

Capítulo del Informe: §5.1, §7.3 · Fecha de ficha: 27-07-2026

Política pública y hojas de ruta · propuesta · https://digital-strategy.ec.europa.eu/en/policies/digital-rulebook

• PDistinguir el Ómnibus IA, Reglamento (UE) 2026/1744 publicado 24-07-2026 y en vigor 27-07-2026, de la propuesta digital restante sobre datos/ciberseguridad/privacidad en tramitación propia. Verificar acto, rol y fecha de cada obligación antes de usarlo como base de cumplimiento; no inferir que la reforma IA modifica ya el concepto de dato personal RGPD. (editores, asesores)

Capítulo del Informe: §4.1 · Fecha de ficha: 27-07-2026

Política pública y hojas de ruta · informe parlamentario · https://www.congreso.es/en/busqueda-de-publicaciones?_publicaciones_id_texto=BOCG-15-CG-A-223.CODI.&_publicaciones_legislatura=XV&_publicaciones_mode=mostrarTextoIntegro&p_p_id=publicaciones&p_p_lifecycle=0&p_p_mode=view&p_p_state=normal

• RMigración gradual e híbrida hacia algoritmos poscuánticos (operadores y administraciones públicas)
• RIntegración intensiva y estratégica de la IA en la detección, análisis y respuesta a incidentes de ciberseguridad (operadores de ciberseguridad)
• RDiversidad de proveedores para reducir dependencias tecnológicas (compradores públicos y privados)

Capítulo del Informe: pendiente de anclar (fuente incorporada en jul-2026) · Fecha de ficha: 27-07-2026

Estándares técnicos · guía técnica nacional · https://www.ccn.cni.es/eu/docman/documentos-publicos/boletines-pytec/495-ccn-tec-009-recomendaciones-transicion-postcuantica-segura/file

• RPlanificar la transición postcuántica conforme al CCN-TEC 009 (inventario criptográfico, priorización, esquemas híbridos) (administraciones públicas y proveedores del sector público)
• OEmplear mecanismos criptográficos autorizados del CCN en sistemas del ámbito ENS cuando la medida y el nivel aplicables lo exijan, identificando versión/prescripción CCN-STIC 221; por ejemplo [mp.com.2.r1.1] para protección de comunicaciones de confidencialidad MEDIA/ALTA. No extrapolar a todo sistema o contrato privado. (responsables de seguridad)

Capítulo del Informe: pendiente de anclar (fuente incorporada en jul-2026) · Fecha de ficha: 27-07-2026

Estándares técnicos · comité de normalización · https://standards.cencenelec.eu/ords/f?cs=1066809BE01B5D4C6C5F09BEBB99C7257&p=205:32:::::FSP_ORG_ID,FSP_LANG_ID:3197951,25

• PVigilar los trabajos del JTC 22 y del CTN 71/SC 14 como vía de estandarización técnica cuántica, en paralelo y sin subordinación al JTC 21 de IA (responsables de normalización y calidad)
• PIncorporar como propuesta editorial los entregables ya publicados del JTC 22 (TR 18202:2025 y EAS 18433:2026,18434:2026,18435-1:2026), identificando versión/fecha/tipo; conservar la vigilancia de nuevas publicaciones, sin crear ficha ni declarar norma armonizada o conformidad por esta propuesta. (editores del observatorio)

Capítulo del Informe: pendiente de anclar (fuente incorporada en jul-2026) · Fecha de ficha: 27-07-2026

Ciberseguridad y resiliencia · reglamento de ejecución + guía de certificación · https://certification.enisa.europa.eu/publications/eucc-guidelines-cryptography_en

• ILa certificación EUCC es voluntaria salvo que una norma, pliego, contrato o requisito de certificación aplicable la exija, y quien someta productos TIC a certificación debe tratar las EUCC Guidelines como recomendaciones técnicas preferentes para los mecanismos criptográficos evaluados, no como obligación universal del documento entero. (fabricantes y laboratorios de evaluación)
• RLa acción editorial correcta es vigilar la publicación de una v3 final y la sustitución formal de la v2, porque la página oficial mantiene v2 como versión aplicable y v3 como borrador de 02-06-2026 sometido a public review hasta finales de julio de 2026. (grupo de trabajo y ecosistema cuántico)
• RSeguir el informe ENISA de 30-04-2026 sobre hibridación de mecanismos tradicionales con PQC es una acción recomendada para responsables técnicos y de producto, mientras que el documento puede describirse como referencia técnica sobre estado de estandarización. (responsables técnicos y de producto)

Capítulo del Informe: pendiente de anclar (fuente incorporada en jul-2026) · Fecha de ficha: 28-07-2026

Ciberseguridad y resiliencia · informe técnico de agencia UE · https://www.enisa.europa.eu/publications/post-quantum-cryptography-current-state-and-quantum-mitigation

• RPara datos que deban permanecer confidenciales durante más de diez años y puedan ser capturados, ENISA 2021 recomienda valorar esquemas híbridos pre-poscuánticos y mezcla de claves precompartidas, con análisis de riesgo y coste-beneficio y sin convertir esos mecanismos en instrucciones universales de implementación segura. (responsables de seguridad)
• RSe recomienda elaborar un catálogo de dónde y para qué se usa criptografía de clave pública, incluidas actualizaciones de software y productos de terceros, como base para priorizar migración PQC según riesgo, sin presentarlo como obligación legal universal fuera del régimen sectorial aplicable. (todas las organizaciones)
• REn dispositivos difíciles de alcanzar o actualizar, ENISA 2021 recomienda incluir ya un esquema de firma poscuántico para continuidad de servicio y riesgo de “fake upgrade”, actualizado editorialmente por FIPS 204 y FIPS 205 como estándares NIST finalizados de firma poscuántica. (fabricantes y operadores)
• RAdoptar claves simétricas más largas como AES-256 debe figurar como recomendación de mitigación simétrica frente a Grover, mientras que el algoritmo o referencia técnica subyacente puede etiquetarse como estándar técnico cuando se cite una especificación concreta. (equipos técnicos)

Capítulo del Informe: pendiente de anclar (fuente incorporada en jul-2026) · Fecha de ficha: 28-07-2026

Servicios financieros, criptoactivos y DLT · guía sectorial · https://doi.org/10.2813/9782176

• RCrear y mantener un inventario de todos los casos de uso de negocio que dependen de criptografía de clave pública como primer paso crítico, sin presentar el inventario como obligación legal universal derivada del informe. (Entidades financieras, CISO, riesgo, criptografía y arquitectura.)
• RPuntuar cada caso de uso por riesgo cuántico y tiempo de migración en una matriz 3×3 de prioridad, usando la puntuación como herramienta de decisión y no como cumplimiento automático. (Gestión de riesgos, CISO, criptografía y arquitectura.)
• RPilotar el esquema híbrido X25519MLKEM768 en webs representativas no críticas y desplegarlo tras remediar problemas detectados, siempre como recomendación de priorización y no como mandato normativo. (Plataformas web y canales digitales.)
• RCatalogar y prohibir formalmente antipatrones criptográficos con métricas de remediación, como recomendación de gobernanza criptográfica y no como obligación universal PQC. (Líderes de criptografía, arquitectura y operaciones.)

Capítulo del Informe: pendiente de anclar (fuente incorporada en jul-2026) · Fecha de ficha: 28-07-2026

Seguridad y responsabilidad de producto · reglamento · https://eur-lex.europa.eu/eli/reg/2023/988/oj/spa

• OIntroducir o comercializar únicamente productos seguros dentro del ámbito del GPSR; comprobar sus exclusiones y la cobertura sectorial. Fabricantes, importadores y distribuidores cumplen obligaciones distintas; los prestadores de mercados en línea tienen las obligaciones propias del art. 22. (operadores económicos; mercados en línea conforme a su régimen propio)
• OEl fabricante sujeto al art. 9.2 realizará análisis interno de riesgos y documentación técnica antes de la introducción en el mercado. La evaluación considera la ciberseguridad y funcionalidades evolutivas cuando la naturaleza y seguridad del producto lo requieran. Para productos armonizados se comprueban las exclusiones del art. 2.1, incluida la sección 1 del capítulo III. (fabricante al que resulte aplicable art. 9.2)
• OAnte accidente notificable por muerte o efectos adversos graves, el fabricante asegurará la notificación sin dilación mediante Safety Business Gateway; importadores y distribuidores informarán al fabricante y notificarán conforme a instrucciones, y la persona responsable asumirá el deber del art. 20.4 cuando proceda. Producto peligroso, medidas correctoras, avisos y recuperaciones se gestionan conforme al rol y a arts. 9.8, 11.8, 12.4, 22 y 35–37, sin esperar un accidente. (fabricante, importador, distribuidor, persona responsable y mercado en línea según disparador)
• IValorar obsolescencia criptográfica y fin de soporte cuando puedan afectar a la seguridad del producto de consumo durante su vida útil. Coordinar con CRA solo para elementos digitales dentro de su ámbito y calendario: aplicación general 11-12-2027, art. 14 desde 11-09-2026 y capítulo IV desde 11-06-2026. No deriva de ello un mandato universal PQC. (fabricante e integrador según producto y riesgo)

Capítulo del Informe: pendiente de anclar (fuente incorporada en jul-2026) · Fecha de ficha: 28-07-2026