Criterios

Protección de datos · reglamento · https://eur-lex.europa.eu/eli/reg/2016/679/oj

• OLos responsables y encargados deben aplicar medidas técnicas y organizativas apropiadas para garantizar una seguridad adecuada al riesgo, incluida la protección frente al tratamiento no autorizado o ilícito y frente a pérdida, destrucción o daño accidental, mediante medidas como confidencialidad, integridad, disponibilidad, resiliencia, seudonimización, cifrado y procesos periódicos de verificación cuando proceda. En contexto cuántico, esta obligación no se traduce automáticamente en un mandato universal de criptografía poscuántica, sino en un análisis de seguridad conforme al riesgo, al estado de la técnica, a los costes, a la naturaleza, al alcance, al contexto y a los fines del tratamiento. El fundamento se encuentra en los artículos 5.1.f y 32 RGPD. (responsable, encargado)
• ILa transición progresiva a criptografía poscuántica debe formularse como medida interpretativa de gestión del riesgo HNDL, priorizable cuando la criticidad de los datos, su vida útil de confidencialidad, la exposición criptográfica y el estado de la técnica lo justifiquen. El RGPD no impone, por sí mismo, una obligación automática y universal de migración PQC para todo responsable o encargado. (responsable, encargado)
• IEl responsable debe aplicar protección de datos desde el diseño y por defecto al determinar los medios del tratamiento y durante el propio tratamiento. En sistemas con exposición criptográfica relevante, esa obligación puede justificar inventario criptográfico, cripto-agilidad, minimización y controles de seguridad si resultan proporcionados al riesgo, pero esas medidas concretas deben mantenerse como desarrollo interpretativo y no como requisito uniforme para todos los tratamientos. El fundamento de diseño y defecto se encuentra en el artículo 25 RGPD. (responsable)
• ILa evaluación de impacto relativa a la protección de datos debe realizarse antes del tratamiento cuando sea probable que un tipo de tratamiento, en particular con nuevas tecnologías, entrañe un alto riesgo para los derechos y libertades de las personas físicas. El uso de tecnología cuántica o de técnicas de machine learning cuántico no activa por sí solo la EIPD si no concurre la probabilidad de alto riesgo exigida por el artículo 35 RGPD. (responsable)
• ILa reidentificación de datos anonimizados mediante técnicas cuánticas debe describirse como hipótesis técnica que exige evaluación con evidencia y con los medios razonablemente utilizables, y no como capacidad general demostrada ni como consecuencia jurídica automática. Se mantiene la distinción entre datos anónimos fuera de los principios de protección de datos y datos seudonimizados o reidentificables que siguen pudiendo vincularse a una persona física mediante información adicional. (responsable)

Capítulo del Informe: §4.3, §3.1, §5.5 · Fecha de ficha: 27-07-2026

Ciberseguridad y resiliencia · directiva · https://eur-lex.europa.eu/eli/dir/2022/2555/oj

• OLas entidades esenciales e importantes comprendidas en NIS2 deben adoptar medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos de ciberseguridad, incluidas políticas sobre criptografía y, cuando proceda, cifrado, sin que ello convierta ninguna tecnología concreta en obligación universal. (entidades esenciales e importantes)
• ILa migración a criptografía poscuántica o a soluciones híbridas puede formar parte de las medidas exigibles bajo NIS2 cuando el análisis de riesgo, la vida útil de los datos, el estado de la técnica y la criticidad del servicio lo justifiquen, pero NIS2 no impone literalmente PQC a toda entidad ni a todo sistema. (entidades incluidas)
• OLas entidades incluidas deben gestionar la seguridad de la cadena de suministro respecto de proveedores directos, incluidos proveedores de computación, componentes o servicios cuánticos cuando soporten redes y sistemas relevantes, con alcance condicionado por actividad, tamaño, sector, establecimiento, excepciones y norma nacional aplicable. (entidades incluidas)
• OLas entidades incluidas notificarán incidentes significativos conforme al art. 23.4 NIS2: alerta temprana sin demora indebida y a más tardar24h, notificación a más tardar72h desde conocimiento y actualización/informe intermedio a solicitud. El informe final se presenta a más tardar un mes tras la notificación; si el incidente continúa, informe de situación y final en un mes desde haberlo gestionado. Para incidentes significativos de prestadores de servicios de confianza que afecten a sus servicios, la notificación de la letra b) se adelanta a24h. Estos relojes se distinguen del aviso contractual del proveedor al cliente. (entidades incluidas)

Capítulo del Informe: §4.2.1, §6.1 · Fecha de ficha: 27-07-2026

Ciberseguridad y resiliencia · reglamento · https://eur-lex.europa.eu/eli/reg/2022/2554/oj

• IIdentificar y gestionar los riesgos TIC conforme a los arts. 6 y 9 DORA, incluida la exposición criptográfica/HNDL cuando sea material. Un plan PQC en ejecución puede aportar evidencia de gestión del riesgo cuando la obsolescencia, vida útil de la información y dependencias lo justifiquen; se integra en el marco de riesgo y se formula como interpretación por riesgo, no como mandato universal de migración PQC. (entidades financieras incluidas)
• OAl contratar plataformas cuánticas como servicio, las entidades financieras deben aplicar el régimen DORA de terceros TIC, incluidas las cláusulas fundamentales del art. 30.2, los requisitos reforzados del art. 30.3 para funciones esenciales o importantes, el registro de información del art. 28.3, el análisis de concentración del art. 29 y el régimen de designación de terceros críticos de los arts. 31 y siguientes cuando proceda. (entidades financieras)
• OLas pruebas avanzadas basadas en amenazas o TLPT de DORA se aplican únicamente a las entidades financieras identificadas para ese régimen conforme a los arts. 26 y 27, y no deben presentarse como obligación general de todo cliente financiero ni como regla de designación automática de proveedor cuántico crítico. El régimen TLPT no crea un plazo general de notificación de un día hábil; las notificaciones de incidentes constituyen un régimen separado. (entidades designadas)

Capítulo del Informe: §4.2.2, §4.9, §6.1 · Fecha de ficha: 27-07-2026

Ciberseguridad y resiliencia · reglamento · https://eur-lex.europa.eu/eli/reg/2024/2847/oj

• OLos fabricantes de productos con elementos digitales comprendidos en el CRA deben cumplir los requisitos esenciales de ciberseguridad por diseño y por defecto y gestionar vulnerabilidades durante el periodo de soporte, con aplicación general desde el 11-12-2027, sin adelantar este bloque al hito de reporting de 2026. (fabricante y operadores económicos según rol)
• OLos fabricantes comprendidos deben identificar y documentar componentes, incluso mediante una lista de materiales de software en formato común y de lectura mecánica que cubra al menos las dependencias de nivel superior cuando aplique el Anexo I parte II.1, sin que ello equivalga a obligación general de publicar o entregar indiscriminadamente la SBOM. (fabricante)
• ODesde el11-09-2026, los fabricantes incluidos notificarán simultáneamente al CSIRT coordinador y ENISA, por la plataforma única, las vulnerabilidades aprovechadas activamente y los incidentes graves conocidos. Vulnerabilidades: alerta≤24h y notificación≤72h desde conocimiento; informe final≤14d tras disponer de una medida correctora o paliativa. Incidentes graves: alerta≤24h y notificación≤72h desde conocimiento; informe final en un mes tras la notificación de72h. Sin demora indebida y salvo información ya facilitada según art. 14; información adicional/provisional a solicitud e información a usuarios afectados conforme al art. 14.8 se diferencian de la copia contractual al cliente. (fabricante)
• IPQC y cripto-agilidad pueden ser respuestas adecuadas cuando el análisis de riesgos, el estado de la técnica, la exposición criptográfica y la vida útil del producto lo justifiquen, pero el CRA no impone PQC universalmente. (fabricante)

Capítulo del Informe: §4.2.3, §6.1 · Fecha de ficha: 27-07-2026

Identidad digital y servicios de confianza · reglamento · https://eur-lex.europa.eu/eli/reg/2024/1183/oj

• OLos prestadores cualificados de servicios de confianza deben gestionar los riesgos aplicables, incluido el riesgo criptográfico, y mantener los requisitos de seguridad y cualificación correspondientes a los servicios que prestan. El artículo 20 eIDAS exige auditoría a su propio coste al menos cada 24 meses por un organismo de evaluación de la conformidad. Además, el artículo 6.11 de 2025/2162 exige que los sistemas de evaluación prevean al menos una evaluación de vigilancia anual por servicio cualificado evaluado. La acreditación corresponde al organismo evaluador, conforme al artículo 2; no debe confundirse con la cualificación del prestador. El prestador remite el informe al organismo de supervisión en tres días laborables tras recibirlo (artículo 20.1); la gestión de riesgos se ancla en el artículo 24.2.f bis y en los requisitos del servicio. Los cambios criptográficos significativos y los planes de cese se rigen por el Reglamento de Ejecución (UE) 2025/2530, en su ámbito propio. (QTSP)
• ILa conservación, resellado y migración criptográfica deben presentarse como medidas para preservar la verificabilidad a largo plazo de firmas, sellos y evidencias, sin afirmar invalidez retroactiva de una firma válida ni imponer un algoritmo PQC único e inmediato. El Reglamento de Ejecución (UE) 2025/1946 confirma que los servicios cualificados de conservación de firmas electrónicas cualificadas y sellos electrónicos cualificados garantizan a largo plazo integridad, autenticidad, prueba de existencia y accesibilidad de las pruebas de conservación, dentro de ese ámbito específico. La medida concreta se selecciona según riesgo, periodo de retención, perfil y conformidad del servicio, en el ámbito de los artículos 34 y 40 eIDAS. La conservación preserva la fiabilidad existente y no crea cualificación retroactiva. (QTSP, partes que confían)
• ILa cripto-agilidad y la preparación poscuántica de la Cartera Europea de Identidad Digital deben conservarse como interpretación prudente de seguridad por diseño, protección de datos y resiliencia, según el riesgo y las normas y especificaciones aplicables. No implica una obligación inmediata de implementar un algoritmo poscuántico único. La eventual obligación relativa a declaraciones electrónicas de atributos se analiza separadamente para su propio servicio y destinatario. El Reglamento de Ejecución (UE) 2026/1735 se analiza en el ámbito de los emisores de declaraciones de atributos y fuentes auténticas que regula; su artículo 2 difiere únicamente el artículo 1.3 al 1 de enero de 2027 y no difiere automáticamente todo el anexo I. El Reglamento de Ejecución (UE) 2026/2099 establece identificación y autenticación para intercambio transfronterizo a través de MiSalud@UE. Publicado 22.09.2026, vigor 12.10.2026 y aplicación general 26.03.2027; art. 3.2 exige notificar conjuntos nacionales de atributos a más tardar el 26.03.2028 y arts. 3.3/5.2 aplican 26.03.2029 para emisión a petición y aceptación de atributos mediante cartera EUDI, tanto en solicitudes presenciales como en línea. Art. 4.2 exige nivel al menos sustancial en solicitudes en línea y alto desde 26.03.2030; art. 6.3 exige al menos sustancial para profesionales y alto desde 26.03.2032. No impone PQC universal, una nueva categoría de servicio cualificado ni una fecha general de migración EUDI. (emisores y proveedores de la cartera)

Capítulo del Informe: §4.5, §2.4 · Fecha de ficha: 27-07-2026

Datos, cloud e industria · reglamento · https://eur-lex.europa.eu/eli/reg/2023/2854/oj

• IAl contratar capacidad cuántica como servicio, considerar los derechos de portabilidad y cambio de proveedor mediante una calificación funcional de la oferta. Si encaja en servicio de tratamiento de datos del art. 2.8, identificar los derechos y obligaciones del capítulo VI y las excepciones del art. 31: determinados servicios a medida no ofrecidos a gran escala en catálogo quedan fuera de obligaciones concretas, y las versiones no destinadas a producción para ensayo y evaluación durante tiempo limitado quedan fuera del capítulo. El proveedor informará antes de contratar qué obligaciones no aplican. Esta interpretación no sustituye el CR por el acceso desde el diseño del art. 3.1, que se analiza separadamente para productos conectados y servicios relacionados introducidos en el mercado después del 12-09-2026. (clientes y proveedores de servicios de tratamiento de datos; definición y excepciones comprobadas)
• IIncluir requisitos de portabilidad y salida al contratar capacidad cuántica como servicio para mitigar dependencia y fragmentación. Cuando aplique el capítulo VI, el contrato concretará datos exportables y activos digitales, formatos, asistencia razonable, continuidad, seguridad, preaviso, transición y extracción, y posterior supresión conforme al art. 25. Distinguir los límites de propiedad intelectual, secretos y seguridad del art. 30.6, y el alcance de equivalencia funcional del art. 30.1. Hasta el 12-01-2027 pueden cobrarse costes por cambio reducidos sin superar costes directamente relacionados; desde esa fecha no se cobran en los supuestos comprendidos, salvo las excepciones aplicables del art. 31. La supresión de costes por cambio no elimina automáticamente los precios ordinarios ni las penalidades de terminación anticipada transparentes. La certificación de supresión y la migración de credenciales resistentes se precisan como condiciones adicionales P cuando proceda. (clientes de servicios cloud cuánticos, según funciones y condiciones de prestación)

Capítulo del Informe: §1.1, §3.6 (tabla) · Fecha de ficha: 27-07-2026

Estándares técnicos · estandar · https://csrc.nist.gov/pubs/fips/203/final

• RProbar y planificar ML-KEM, ML-DSA y SLH-DSA en perfiles y productos adecuados, con esquemas híbridos cuando proceda (equipos técnicos y de compra)
• PCualquier referencia a FN-DSA/FIPS 206 debe ajustarse a su estado oficial en la fecha de consulta (editores y prescriptores)
• RPlanificar, como recomendación, la transición de criptografía de clave pública vulnerable al adversario cuántico teniendo en cuenta IR 8547 IPD: 112 bits desaconsejados después de 2030 y desautorización después de 2035 también para ≥ 128 bits, pendiente de versión final. Separar criptografía simétrica, perfiles y ámbito; no equiparar el calendario a deber universal europeo. (equipos técnicos y de compra)

Capítulo del Informe: §3.2, §4.7, §5.7 · Fecha de ficha: 27-07-2026

Estándares técnicos · estandar · https://www.etsi.org/deliver/etsi_gs/QKD/001_099/014/01.01.01_60/gs_QKD014v010101p.pdf

• PComo propuesta de compra, exigir conformidad de interfaz e interoperabilidad demostrada con el perfil ETSI aplicable y autenticación adecuada al adversario previsto; GS QKD 014 no acredita por sí sola seguridad de red completa. (operadores de red, compradores)
• REvaluar en cada despliegue QKD: distancia y tasa de generación de claves, necesidad de nodos de confianza, seguridad de dispositivos, resistencia a denegación de servicio, interoperabilidad y certificación (operadores de red, compradores)

Capítulo del Informe: §3.2, §4.7 · Fecha de ficha: 27-07-2026