Criterios

Protección de datos · reglamento · https://eur-lex.europa.eu/eli/reg/2016/679/oj

• OLos responsables y encargados deben aplicar medidas técnicas y organizativas apropiadas para garantizar una seguridad adecuada al riesgo, incluida la protección frente al tratamiento no autorizado o ilícito y frente a pérdida, destrucción o daño accidental, mediante medidas como confidencialidad, integridad, disponibilidad, resiliencia, seudonimización, cifrado y procesos periódicos de verificación cuando proceda. En contexto cuántico, esta obligación no se traduce automáticamente en un mandato universal de criptografía poscuántica, sino en un análisis de seguridad conforme al riesgo, al estado de la técnica, a los costes, a la naturaleza, al alcance, al contexto y a los fines del tratamiento. El fundamento se encuentra en los artículos 5.1.f y 32 RGPD. (responsable, encargado)
• ILa transición progresiva a criptografía poscuántica debe formularse como medida interpretativa de gestión del riesgo HNDL, priorizable cuando la criticidad de los datos, su vida útil de confidencialidad, la exposición criptográfica y el estado de la técnica lo justifiquen. El RGPD no impone, por sí mismo, una obligación automática y universal de migración PQC para todo responsable o encargado. (responsable, encargado)
• IEl responsable debe aplicar protección de datos desde el diseño y por defecto al determinar los medios del tratamiento y durante el propio tratamiento. En sistemas con exposición criptográfica relevante, esa obligación puede justificar inventario criptográfico, cripto-agilidad, minimización y controles de seguridad si resultan proporcionados al riesgo, pero esas medidas concretas deben mantenerse como desarrollo interpretativo y no como requisito uniforme para todos los tratamientos. El fundamento de diseño y defecto se encuentra en el artículo 25 RGPD. (responsable)
• ILa evaluación de impacto relativa a la protección de datos debe realizarse antes del tratamiento cuando sea probable que un tipo de tratamiento, en particular con nuevas tecnologías, entrañe un alto riesgo para los derechos y libertades de las personas físicas. El uso de tecnología cuántica o de técnicas de machine learning cuántico no activa por sí solo la EIPD si no concurre la probabilidad de alto riesgo exigida por el artículo 35 RGPD. (responsable)
• ILa reidentificación de datos anonimizados mediante técnicas cuánticas debe describirse como hipótesis técnica que exige evaluación con evidencia y con los medios razonablemente utilizables, y no como capacidad general demostrada ni como consecuencia jurídica automática. Se mantiene la distinción entre datos anónimos fuera de los principios de protección de datos y datos seudonimizados o reidentificables que siguen pudiendo vincularse a una persona física mediante información adicional. (responsable)

Capítulo del Informe: §4.3, §3.1, §5.5 · Fecha de ficha: 27-07-2026

Ciberseguridad y resiliencia · reglamento · https://eur-lex.europa.eu/eli/reg/2022/2554/oj

• IIdentificar y gestionar los riesgos TIC conforme a los arts. 6 y 9 DORA, incluida la exposición criptográfica/HNDL cuando sea material. Un plan PQC en ejecución puede aportar evidencia de gestión del riesgo cuando la obsolescencia, vida útil de la información y dependencias lo justifiquen; se integra en el marco de riesgo y se formula como interpretación por riesgo, no como mandato universal de migración PQC. (entidades financieras incluidas)
• OAl contratar plataformas cuánticas como servicio, las entidades financieras deben aplicar el régimen DORA de terceros TIC, incluidas las cláusulas fundamentales del art. 30.2, los requisitos reforzados del art. 30.3 para funciones esenciales o importantes, el registro de información del art. 28.3, el análisis de concentración del art. 29 y el régimen de designación de terceros críticos de los arts. 31 y siguientes cuando proceda. (entidades financieras)
• OLas pruebas avanzadas basadas en amenazas o TLPT de DORA se aplican únicamente a las entidades financieras identificadas para ese régimen conforme a los arts. 26 y 27, y no deben presentarse como obligación general de todo cliente financiero ni como regla de designación automática de proveedor cuántico crítico. El régimen TLPT no crea un plazo general de notificación de un día hábil; las notificaciones de incidentes constituyen un régimen separado. (entidades designadas)

Capítulo del Informe: §4.2.2, §4.9, §6.1 · Fecha de ficha: 27-07-2026

Inteligencia artificial · reglamento · https://eur-lex.europa.eu/eli/reg/2024/1689/oj

• IVerificar primero la definición de sistema de IA del artículo 3.1 y el ámbito del RIA; después, su clasificación y el rol efectivo del proveedor o responsable del despliegue. Para el artículo 6.1 deben concurrir tanto el vínculo con un producto o componente de seguridad del Anexo I como la exigencia de evaluación de conformidad por tercero. Para los usos del Anexo III, comprobar la excepción del artículo 6.3: ausencia de riesgo importante de perjuicio y una de sus condiciones de tarea limitada, mejora de actividad humana previa, detección de patrones con revisión humana adecuada o tarea preparatoria; si el sistema elabora perfiles de personas físicas, permanece clasificado como alto riesgo. En servicios financieros, precisar que Anexo III 5.b se refiere a solvencia o puntuación crediticia de personas físicas y excluye detección de fraude financiero, y 5.c a evaluación de riesgos y precios de seguros de vida y salud. Una decisión financiera genérica o usar QML no acredita por sí solo alto riesgo. Determinar las obligaciones y su fecha a partir del rol y régimen aplicables, incluidas las reglas sectoriales y transitorias pertinentes. La reforma añade al artículo 6 los apartados 1 bis, 1 ter y 1 quater: los sistemas usados únicamente para aspectos no relacionados con seguridad en asistencia al usuario, optimización del rendimiento, eficiencia del servicio, automatización, comodidad o control de calidad no se consideran componentes de seguridad; no obstante, sí se consideran tales aquellos cuyo fallo pueda poner en peligro salud/seguridad; la evaluación por tercero debida únicamente a riesgos distintos de salud/seguridad no satisface 6.1.b. Aplicar estas precisiones cuando corresponda, sin clasificar por una etiqueta tecnológica. (proveedor, desplegador)
• OLa introducción en el mercado, puesta en servicio o utilización de IA está prohibida cuando concurra un supuesto del artículo 5, con las condiciones y excepciones propias de cada letra y modalidad. Incluye la puntuación social del artículo 5.1.c cuando la evaluación o clasificación de personas o grupos por su comportamiento social o características personales produzca un trato perjudicial o desfavorable en contextos ajenos a los de obtención de los datos, o un trato injustificado o desproporcionado. No equiparar todo análisis de datos, vigilancia o uso cuántico a esas prácticas. Las prohibiciones ya existentes son aplicables desde el 02-02-2025; las nuevas letras 5.1.b bis y b ter y apartados 1 bis y 1 ter tienen aplicación desde el 02-12-2026. La política interna puede prohibir otros usos, pero esa ampliación debe identificarse separadamente como política propuesta y no atribuirse al artículo 5. (todos los operadores)
• OPara el proveedor de IA de alto riesgo efectivamente comprendido, cumplir requisitos de arts. 9–15 y QMS art. 17 según rol, sistema, régimen sectorial y calendario. Capítulo III, secciones 1–3, exceptuado 6.5: desde 02-12-2027 para 6.2/Anexo III y 02-08-2028 para 6.1/Anexo I, sin perjuicio de art. 111. A 03-10-2026, preparar esos controles no equivale a exigibilidad general actual. (proveedor de alto riesgo)
• OEIDF/FRIA del art. 27 para responsables del despliegue de alto riesgo del art. 6.2 que sean organismos de Derecho público, entidades privadas prestadoras de servicios públicos o responsables de usos Anexo III 5.b–c; excluir Anexo III 2. Verificar solvencia/puntuación crediticia de personas físicas (no detección de fraude financiero), riesgos/precios de seguros de vida/salud y excepciones 6.3. Será previa al despliegue desde fecha aplicable 02-12-2027 para estos sistemas, con régimen transitorio pertinente; QML no basta ni la FRIA es obligación inmediata universal. Art. 27.4 modificado permite referencias cruzadas/inclusión de partes EIPD pertinentes a obligaciones coincidentes, sin eliminar el resto de FRIA. (desplegadores comprendidos)
• ILa opacidad cuántica no exime de documentar límites de validez, incertidumbre, ruido y tasas de error con el detalle exigible al sistema y rol; no se exige explicabilidad completa universal. La interpretación se vincula a obligaciones concretas y calendario aplicable; no presume certificación QT-QMS ni conformidad automática. (proveedor)

Capítulo del Informe: §4.4, §3.3, §5.5, §6.1 · Fecha de ficha: 27-07-2026

Servicios financieros, criptoactivos y DLT · mixto · https://eur-lex.europa.eu/eli/dir/2014/65/oj

• IDebe analizarse caso a caso la aplicación de MiFID II/MAR a negociación algorítmica con componentes cuánticos y a la prevención del abuso de mercado, sin activar automáticamente el régimen por incorporar tecnología cuántica. (Empresas de servicios de inversión y participantes sujetos a MiFID II/MAR.)
• ILos modelos cuánticos empleados en negociación deben someterse a los controles de gobernanza algorítmica y prevención del abuso de mercado que resulten aplicables, pero la etiqueta correcta es interpretación de obligaciones vigentes, no mandato cuántico nominal. (Empresas de servicios de inversión.)

Capítulo del Informe: §4.9, §3.4 · Fecha de ficha: 27-07-2026

Servicios financieros, criptoactivos y DLT · guía sectorial · https://doi.org/10.2813/9782176

• RCrear y mantener un inventario de todos los casos de uso de negocio que dependen de criptografía de clave pública como primer paso crítico, sin presentar el inventario como obligación legal universal derivada del informe. (Entidades financieras, CISO, riesgo, criptografía y arquitectura.)
• RPuntuar cada caso de uso por riesgo cuántico y tiempo de migración en una matriz 3×3 de prioridad, usando la puntuación como herramienta de decisión y no como cumplimiento automático. (Gestión de riesgos, CISO, criptografía y arquitectura.)
• RPilotar el esquema híbrido X25519MLKEM768 en webs representativas no críticas y desplegarlo tras remediar problemas detectados, siempre como recomendación de priorización y no como mandato normativo. (Plataformas web y canales digitales.)
• RCatalogar y prohibir formalmente antipatrones criptográficos con métricas de remediación, como recomendación de gobernanza criptográfica y no como obligación universal PQC. (Líderes de criptografía, arquitectura y operaciones.)

Capítulo del Informe: pendiente de anclar (fuente incorporada en jul-2026) · Fecha de ficha: 28-07-2026