Criterios

Protección de datos · reglamento · https://eur-lex.europa.eu/eli/reg/2016/679/oj

• OLos responsables y encargados deben aplicar medidas técnicas y organizativas apropiadas para garantizar una seguridad adecuada al riesgo, incluida la protección frente al tratamiento no autorizado o ilícito y frente a pérdida, destrucción o daño accidental, mediante medidas como confidencialidad, integridad, disponibilidad, resiliencia, seudonimización, cifrado y procesos periódicos de verificación cuando proceda. En contexto cuántico, esta obligación no se traduce automáticamente en un mandato universal de criptografía poscuántica, sino en un análisis de seguridad conforme al riesgo, al estado de la técnica, a los costes, a la naturaleza, al alcance, al contexto y a los fines del tratamiento. El fundamento se encuentra en los artículos 5.1.f y 32 RGPD. (responsable, encargado)
• ILa transición progresiva a criptografía poscuántica debe formularse como medida interpretativa de gestión del riesgo HNDL, priorizable cuando la criticidad de los datos, su vida útil de confidencialidad, la exposición criptográfica y el estado de la técnica lo justifiquen. El RGPD no impone, por sí mismo, una obligación automática y universal de migración PQC para todo responsable o encargado. (responsable, encargado)
• IEl responsable debe aplicar protección de datos desde el diseño y por defecto al determinar los medios del tratamiento y durante el propio tratamiento. En sistemas con exposición criptográfica relevante, esa obligación puede justificar inventario criptográfico, cripto-agilidad, minimización y controles de seguridad si resultan proporcionados al riesgo, pero esas medidas concretas deben mantenerse como desarrollo interpretativo y no como requisito uniforme para todos los tratamientos. El fundamento de diseño y defecto se encuentra en el artículo 25 RGPD. (responsable)
• ILa evaluación de impacto relativa a la protección de datos debe realizarse antes del tratamiento cuando sea probable que un tipo de tratamiento, en particular con nuevas tecnologías, entrañe un alto riesgo para los derechos y libertades de las personas físicas. El uso de tecnología cuántica o de técnicas de machine learning cuántico no activa por sí solo la EIPD si no concurre la probabilidad de alto riesgo exigida por el artículo 35 RGPD. (responsable)
• ILa reidentificación de datos anonimizados mediante técnicas cuánticas debe describirse como hipótesis técnica que exige evaluación con evidencia y con los medios razonablemente utilizables, y no como capacidad general demostrada ni como consecuencia jurídica automática. Se mantiene la distinción entre datos anónimos fuera de los principios de protección de datos y datos seudonimizados o reidentificables que siguen pudiendo vincularse a una persona física mediante información adicional. (responsable)

Capítulo del Informe: §4.3, §3.1, §5.5 · Fecha de ficha: 27-07-2026

Ciberseguridad y resiliencia · directiva · https://eur-lex.europa.eu/eli/dir/2022/2555/oj

• OLas entidades esenciales e importantes comprendidas en NIS2 deben adoptar medidas técnicas, operativas y organizativas adecuadas y proporcionadas para gestionar los riesgos de ciberseguridad, incluidas políticas sobre criptografía y, cuando proceda, cifrado, sin que ello convierta ninguna tecnología concreta en obligación universal. (entidades esenciales e importantes)
• ILa migración a criptografía poscuántica o a soluciones híbridas puede formar parte de las medidas exigibles bajo NIS2 cuando el análisis de riesgo, la vida útil de los datos, el estado de la técnica y la criticidad del servicio lo justifiquen, pero NIS2 no impone literalmente PQC a toda entidad ni a todo sistema. (entidades incluidas)
• OLas entidades incluidas deben gestionar la seguridad de la cadena de suministro respecto de proveedores directos, incluidos proveedores de computación, componentes o servicios cuánticos cuando soporten redes y sistemas relevantes, con alcance condicionado por actividad, tamaño, sector, establecimiento, excepciones y norma nacional aplicable. (entidades incluidas)
• OLas entidades incluidas notificarán incidentes significativos conforme al art. 23.4 NIS2: alerta temprana sin demora indebida y a más tardar24h, notificación a más tardar72h desde conocimiento y actualización/informe intermedio a solicitud. El informe final se presenta a más tardar un mes tras la notificación; si el incidente continúa, informe de situación y final en un mes desde haberlo gestionado. Para incidentes significativos de prestadores de servicios de confianza que afecten a sus servicios, la notificación de la letra b) se adelanta a24h. Estos relojes se distinguen del aviso contractual del proveedor al cliente. (entidades incluidas)

Capítulo del Informe: §4.2.1, §6.1 · Fecha de ficha: 27-07-2026

Identidad digital y servicios de confianza · reglamento · https://eur-lex.europa.eu/eli/reg/2024/1183/oj

• OLos prestadores cualificados de servicios de confianza deben gestionar los riesgos aplicables, incluido el riesgo criptográfico, y mantener los requisitos de seguridad y cualificación correspondientes a los servicios que prestan. El artículo 20 eIDAS exige auditoría a su propio coste al menos cada 24 meses por un organismo de evaluación de la conformidad. Además, el artículo 6.11 de 2025/2162 exige que los sistemas de evaluación prevean al menos una evaluación de vigilancia anual por servicio cualificado evaluado. La acreditación corresponde al organismo evaluador, conforme al artículo 2; no debe confundirse con la cualificación del prestador. El prestador remite el informe al organismo de supervisión en tres días laborables tras recibirlo (artículo 20.1); la gestión de riesgos se ancla en el artículo 24.2.f bis y en los requisitos del servicio. Los cambios criptográficos significativos y los planes de cese se rigen por el Reglamento de Ejecución (UE) 2025/2530, en su ámbito propio. (QTSP)
• ILa conservación, resellado y migración criptográfica deben presentarse como medidas para preservar la verificabilidad a largo plazo de firmas, sellos y evidencias, sin afirmar invalidez retroactiva de una firma válida ni imponer un algoritmo PQC único e inmediato. El Reglamento de Ejecución (UE) 2025/1946 confirma que los servicios cualificados de conservación de firmas electrónicas cualificadas y sellos electrónicos cualificados garantizan a largo plazo integridad, autenticidad, prueba de existencia y accesibilidad de las pruebas de conservación, dentro de ese ámbito específico. La medida concreta se selecciona según riesgo, periodo de retención, perfil y conformidad del servicio, en el ámbito de los artículos 34 y 40 eIDAS. La conservación preserva la fiabilidad existente y no crea cualificación retroactiva. (QTSP, partes que confían)
• ILa cripto-agilidad y la preparación poscuántica de la Cartera Europea de Identidad Digital deben conservarse como interpretación prudente de seguridad por diseño, protección de datos y resiliencia, según el riesgo y las normas y especificaciones aplicables. No implica una obligación inmediata de implementar un algoritmo poscuántico único. La eventual obligación relativa a declaraciones electrónicas de atributos se analiza separadamente para su propio servicio y destinatario. El Reglamento de Ejecución (UE) 2026/1735 se analiza en el ámbito de los emisores de declaraciones de atributos y fuentes auténticas que regula; su artículo 2 difiere únicamente el artículo 1.3 al 1 de enero de 2027 y no difiere automáticamente todo el anexo I. El Reglamento de Ejecución (UE) 2026/2099 establece identificación y autenticación para intercambio transfronterizo a través de MiSalud@UE. Publicado 22.09.2026, vigor 12.10.2026 y aplicación general 26.03.2027; art. 3.2 exige notificar conjuntos nacionales de atributos a más tardar el 26.03.2028 y arts. 3.3/5.2 aplican 26.03.2029 para emisión a petición y aceptación de atributos mediante cartera EUDI, tanto en solicitudes presenciales como en línea. Art. 4.2 exige nivel al menos sustancial en solicitudes en línea y alto desde 26.03.2030; art. 6.3 exige al menos sustancial para profesionales y alto desde 26.03.2032. No impone PQC universal, una nueva categoría de servicio cualificado ni una fecha general de migración EUDI. (emisores y proveedores de la cartera)

Capítulo del Informe: §4.5, §2.4 · Fecha de ficha: 27-07-2026

Política pública y hojas de ruta · recomendacion · https://eur-lex.europa.eu/eli/reco/2024/1101/oj

• RIniciar inventarios criptográficos, gobernanza y planificación de la migración alineados con los hitos 2026/2030/2035 (Estados miembros; empresas por derivación de riesgo)
• PComo propuesta contractual propia, solicitar a proveedores de infraestructura cuántica o poscuántica un plan y evidencias de transición adaptados al riesgo y al sistema, tomando como referencias institucionales 2026/2030 y el horizonte 2035 para completar riesgo medio y, para riesgo bajo, en la medida de lo posible. Una autodeclaración, si se pacta, debe precisar alcance, hitos, prueba y revisión; no es certificación ni obligación universal impuesta por los hitos NIS. (compradores públicos y privados)

Capítulo del Informe: §5.7 (tabla de hitos), §3.2, §7.2 · Fecha de ficha: 27-07-2026

Estándares técnicos · guía técnica nacional · https://www.ccn.cni.es/eu/docman/documentos-publicos/boletines-pytec/495-ccn-tec-009-recomendaciones-transicion-postcuantica-segura/file

• RPlanificar la transición postcuántica conforme al CCN-TEC 009 (inventario criptográfico, priorización, esquemas híbridos) (administraciones públicas y proveedores del sector público)
• OEmplear mecanismos criptográficos autorizados del CCN en sistemas del ámbito ENS cuando la medida y el nivel aplicables lo exijan, identificando versión/prescripción CCN-STIC 221; por ejemplo [mp.com.2.r1.1] para protección de comunicaciones de confidencialidad MEDIA/ALTA. No extrapolar a todo sistema o contrato privado. (responsables de seguridad)

Capítulo del Informe: pendiente de anclar (fuente incorporada en jul-2026) · Fecha de ficha: 27-07-2026