Criterios

Edición 04-10-2026 · corte 27-07-2026 · revisión jurídica de las fichas por el comité editorial no acreditada

Vista agregada de los enunciados clasificados del Informe y del marco normativo cartografiado: qué dice cada fuente, con qué naturaleza jurídica, en qué estado se encuentra, qué fechas la condicionan y dónde verificarla. Los totales agrupan criterios O/I/S/R/P y no equivalen a obligaciones.

Fichas: 29
Criterios visibles: 8
Fecha de corte: 27-07-2026

O Obligación normativa expresa
I Interpretación jurídica basada en riesgo
S Estándar técnico
R Recomendación no vinculante
P Propuesta de política o buena práctica

El filtro por sector muestra las fichas que cita cada guía sectorial. Es una asociación editorial y orientativa: no determina que una norma se aplique a todas las entidades del sector.

Sector: Defensa y seguridad nacional Quitar todos los filtros

Se muestran 3 de 29 fichas y 8 criterios.

Fichas que cita la guía «Defensa y seguridad nacional». Ver la guía sectorial →

Doble uso Reglamento (UE) 2021/821 — Control de exportaciones de productos de doble uso (Anexo I sustituido por el Reglamento Delegado (UE) 2025/2003)

Norma en vigor y aplicable en sus condiciones

Control de exportaciones y doble uso · reglamento · https://eur-lex.europa.eu/eli/reg/2021/821/oj

Clasificar el bien, software o tecnología frente al Anexo I aplicable a la fecha de la operación, incluida 4A506 con sus umbrales y notas cuando corresponda; comprobar además listas nacionales aplicables. No toda tecnología cuántica está listada. (exportador)
Determinar la autorización necesaria por entrada, operación, territorio, destino, usuario y uso final; comprobar catch-all, listas nacionales y restricciones aplicables. Distinguir exportación, transferencia intra-UE, corretaje, tránsito y asistencia técnica. No nace una licencia automática de la etiqueta «cuántico». (exportador y demás sujetos según operación)
El exportador que utilice autorización global pondrá en marcha un PIC, salvo excepción de la autoridad competente conforme al art. 12.4. La diligencia y las medidas de cumplimiento se adaptan a la exposición; el cribado debe permitir cumplir las restricciones vinculantes aplicables. Los refuerzos voluntarios y cláusulas generales de no reexportación son R/P, salvo mandato concreto identificado. (exportador; PIC obligatorio bajo autorización global salvo excepción)

Fechas clave

15-11-2025Aplicación del Reglamento Delegado (UE) 2025/2003: Anexo I actualizado, con la partida 4 A506 (determinados ordenadores cuánticos y componentes)
14-09-2026Adopción por la Comisión de la actualización del Anexo I, C(2026)6323, sometida a escrutinio; no sustituye el anexo aplicablependiente de revisión editorial P1-09

Fuentes oficiales

Reglamento (UE) 2021/821 — Control de exportaciones de productos de doble uso (Anexo I sustituido por el Reglamento Delegado (UE) 2025/2003)

Capítulo del Informe: §4.6, §3.4, §6.2 · Fecha de ficha: 27-07-2026

NIST PQC (FIPS 203-206, HQC) FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA); FN-DSA/FIPS 206 en desarrollo; HQC seleccionado

Especificación técnica; sin fuerza de obligación general en la UE

Estándares técnicos · estandar · https://csrc.nist.gov/pubs/fips/203/final

Probar y planificar ML-KEM, ML-DSA y SLH-DSA en perfiles y productos adecuados, con esquemas híbridos cuando proceda (equipos técnicos y de compra)
Cualquier referencia a FN-DSA/FIPS 206 debe ajustarse a su estado oficial en la fecha de consulta (editores y prescriptores)
Planificar, como recomendación, la transición de criptografía de clave pública vulnerable al adversario cuántico teniendo en cuenta IR 8547 IPD: 112 bits desaconsejados después de 2030 y desautorización después de 2035 también para ≥ 128 bits, pendiente de versión final. Separar criptografía simétrica, perfiles y ámbito; no equiparar el calendario a deber universal europeo. (equipos técnicos y de compra)

Fechas clave

13-08-2024Publicación de FIPS 203, 204 y 205
12-11-2024Borrador inicial del IR 8547 (Transition to PQC Standards); comentarios hasta el 10-01-2025
07-01-2025Borrador del SP 800-227 (recomendaciones para mecanismos de encapsulación de claves)
11-03-2025NIST selecciona HQC como quinto algoritmo (encapsulación de claves); estándar no finalizado
18-09-2025NIST SP 800-227 — Recomendaciones para mecanismos de encapsulación de clave (Recommendations for Key-Encapsulation Mechanisms). Estado documental: final (fecha del documento: 18-09-2025). El borrador se conserva como hito histórico. Revisión del comité editorial pendiente.pendiente de revisión editorial P1-14
14-05-2026Nueve candidatos históricos avanzaron a tercera ronda de firmas adicionales NIST; no estándares finales.
29-07-2026HAWK se retiró por vulnerabilidad matemática. La lista histórica de nueve de mayo no es lista actual de nueve candidatos activos.

Fuentes oficiales

Capítulo del Informe: §3.2, §4.7, §5.7 · Fecha de ficha: 27-07-2026

ETSI QKD ETSI GS QKD 014 — API REST de entrega interoperable de claves (y familia QKD de ETSI)

Especificación técnica; sin fuerza de obligación general en la UE

Estándares técnicos · estandar · https://www.etsi.org/deliver/etsi_gs/QKD/001_099/014/01.01.01_60/gs_QKD014v010101p.pdf

Como propuesta de compra, exigir conformidad de interfaz e interoperabilidad demostrada con el perfil ETSI aplicable y autenticación adecuada al adversario previsto; GS QKD 014 no acredita por sí sola seguridad de red completa. (operadores de red, compradores)
Evaluar en cada despliegue QKD: distancia y tasa de generación de claves, necesidad de nodos de confianza, seguridad de dispositivos, resistencia a denegación de servicio, interoperabilidad y certificación (operadores de red, compradores)

Fechas clave

feb 2019ETSI GS QKD 014 V1.1.1 publicada; edición 2 figura como trabajo en curso, no publicación final acreditada

Fuentes oficiales

Capítulo del Informe: §3.2, §4.7 · Fecha de ficha: 27-07-2026

Herramientas asociadas

El Manual QT-QMS es un modelo de referencia no certificable. Las cláusulas tipo son borradores orientativos sujetos a adaptación jurídica caso a caso; no son un clausulado listo para firma ni sustituyen asesoramiento legal. [Naturaleza registrada: QT-QMS: modelo de referencia beta no certificable; no es norma técnica, esquema de certificación ni presunción de cumplimiento.]

Cláusulas contractuales patrón (orientativas)

1. Seguridad criptográfica poscuántica y cripto-agilidad
2. Uso ético y limitación de finalidad
3. Protección de datos y confidencialidad cuántica
4. Auditorías, transparencia y cooperación regulatoria
5. Exportación, PI y soberanía tecnológica
6. Ciberresiliencia y cadena de suministro (CRA)
7. Portabilidad y cambio de proveedor (Ley de Datos)
8. Prestación de servicios TIC a entidades financieras (DORA)
9. Autodeclaración de conformidad con la hoja de ruta NIS de transición PQC
10. Adhesión a un código de buenas prácticas cuánticas voluntario

Checklist PQC

1. Nombrar equipo PQC con patrocinio de dirección, líder CISO o Crypto Officer, equipo multidisciplinar y mandato documentado.
2. Inventariar criptografía vulnerable, incluyendo RSA, Diffie-Hellman, ECC, IoT, VPN, tarjetas, PKI, firmas de firmware y escaneo TLS automatizado, sin registrar secretos ni claves.
3. Clasificar y priorizar por vida útil de confidencialidad, exposición HNDL, impacto y tiempo de migración, con prioridad para secretos de más de cinco a diez años y sistemas de alto riesgo. Las bandas internas crítico <2 años, medio 3–5 y bajo >5 son propuestas P, no plazos legales ni equivalencia automática con los horizontes CCN. No basta que un dato sea público o efímero para descartar riesgo de autenticidad, integridad o disponibilidad.
4. Seleccionar familias, función y parámetros por caso de uso: ML-KEM para establecimiento de secreto y ML-DSA o SLH-DSA para firma, según estándar final y guías aplicables; valorar construcción híbrida estandarizada y pruebas. Distinguir algoritmo, protocolo, módulo validado y servicio completo. No tratar FALCON/FIPS 206 en desarrollo como estándar final ni a HQC seleccionado como FIPS final. Conservar versión, modelo de amenaza, interoperabilidad, límites y prescripción ENS concreta. En un pliego público describir prestaciones verificables, equivalencias y prueba admisible cuando proceda.
5. Inventariar y actualizar PKI, HSM, bibliotecas, dependencias y SBOM con versiones soportadas y política de parches. La referencia OpenSSL 3.x+ es insuficiente: OpenSSL 3.5 incorpora ML-KEM, ML-DSA y SLH-DSA; comprobar rama, versión, proveedor criptográfico, parámetros, soporte y configuración efectivos. Las pruebas deben acreditar negociación y conexión interoperable, además de autenticación y firmas/certificados que correspondan; tener la biblioteca o un KEM híbrido no prueba que todo el canal sea poscuántico. FIPS 140-3 es validación de módulo/configuración y entorno concretos, distinta de FIPS 203–205; comprobar certificado y alcance cuando el régimen o contrato lo requiera, sin afirmarlo para todo módulo PQC ni imponerlo universalmente. En pliegos, justificar requisitos y alternativas conforme a LCSP y ENS aplicable.
6. Ejecutar pilotos en entorno controlado, con compatibilidad hacia atrás, métricas de rendimiento, interoperabilidad, coste operativo, reversión y criterios de parada.
7. Formar y comunicar internamente a TI, desarrollo, compras, dirección, jurídico y privacidad; en entidades financieras DORA, incluir al proveedor tercero TIC en formación cuando proceda conforme al art. 30.2.i.
8. Migrar por fases con opción de rollback, documentación de cada cambio, control de versiones y evidencia que permita auditoría posterior.
9. Monitorizar continuamente latencias, errores, compatibilidad, degradación, incidencias y sistemas inviables, con reevaluación formal del riesgo.
10. Cerrar cada caso con evaluación final de eslabones débiles, políticas actualizadas, evidencia trazable ante DORA cuando aplique y proceso de mejora continua. No se declara cierre sin eslabones débiles a partir de una checklist; registrar alcance, ensayos, resultados, limitaciones y aceptación reales.
11. Puntuar cada caso de uso con matriz de riesgo cuántico y tiempo de migración, considerando vida útil del dato, exposición, severidad, disponibilidad de solución, coste y dependencias externas. QSFF/Europol y G7 son referencias sectoriales de priorización R; no metodología legal obligatoria para todo sector ni fecha nueva de migración.
12. Catalogar mecanismos y prácticas vulnerables o mal gestionados con evidencia: protocolos obsoletos según versión/configuración, claves o credenciales embebidas, gestión manual sin control de ciclo de vida y certificados wildcard con exposición relevante. No prohibir universalmente todo certificado manual o wildcard por su etiqueta. Documentar riesgo, excepciones justificadas, responsable, remediación proporcional, fecha y medida de efectividad; las prohibiciones derivarán de norma, política aprobada o contrato identificados. Evitar almacenar secretos en el inventario.
13. Cuando sea pertinente EUCC, contrastar mecanismos con la versión ENISA designada aplicable: la página consultada mantiene ACM v2 de 06-05-2025. La v3 de 02-06-2026 es borrador cuya consulta terminó en julio; no se invita a participar ni se presenta como versión final. Separar el informe ENISA de hibridación PQC publicado 30-04-2026 como referencia técnica complementaria, sin convertirlo en certificación de una implementación ni obligación PQC universal. Registrar versión, productos y ámbito que efectivamente se evalúan.

Caja de herramientas completa →Texto completo del Informe →