Saltar al contenido principal
Borrador de trabajoVersión no oficial en revisión, con limitaciones conocidas.
AMETIC · Observatorio QT · Iniciocon el soporte de Garrigues
Ética y regulación cuántica
← Mapa normativo

Ficha · recomendacion · Política pública y hojas de ruta

Hoja de ruta europea PQC

Fecha de ficha 27-07-2026 · revisión jurídica del comité editorial pendiente

Recomendación (UE) 2024/1101 + hoja de ruta coordinada del Grupo de Cooperación NIS

Estado
Instrumento no vinculante (soft law institucional)
Fecha de ficha
27-07-2026
Contraste documental
03-10-2026
Criterios
2 criterios clasificados

§5.7 (tabla de hitos), §3.2, §7.2

Relevancia cuántica

Estructura temporal de la transición PQC en Europa. Orienta principalmente a los Estados miembros y no constituye, por sí sola, un mandato universal directamente exigible a todas las empresas; su fuerza práctica llega vía gestión de riesgos (RGPD, NIS2, DORA, CRA).

Fechas clave

  1. 11-04-2024Recomendación (UE) 2024/1101 sobre la transición coordinada a PQC
  2. 23-06-2025Hoja de ruta coordinada del Grupo de Cooperación NIS; los Estados miembros deberían iniciar la transición antes de finalizar 2026
  3. dic 2030Horizonte para casos de alto riesgo e infraestructuras críticas — objetivo de coordinación, no fecha universal de sanción
  4. dic 2035Referencia 2035: completar riesgo medio y, para riesgo bajo, en la medida de lo posible según CCN-TEC 009 §6; descarga íntegra de hoja de ruta/FAQ europea pendiente.

Criterios de aplicación (2)

  • Iniciar inventarios criptográficos, gobernanza y planificación de la migración alineados con los hitos 2026/2030/2035

    Roles Estados miembros; empresas por derivación de riesgo

  • Como propuesta contractual propia, solicitar a proveedores de infraestructura cuántica o poscuántica un plan y evidencias de transición adaptados al riesgo y al sistema, tomando como referencias institucionales 2026/2030 y el horizonte 2035 para completar riesgo medio y, para riesgo bajo, en la medida de lo posible. Una autodeclaración, si se pacta, debe precisar alcance, hitos, prueba y revisión; no es certificación ni obligación universal impuesta por los hitos NIS.

    Roles compradores públicos y privados

Ver leyenda O/I/S/R/P
  • O — Obligación normativa expresa
  • I — Interpretación jurídica basada en riesgo
  • S — Estándar técnico
  • R — Recomendación no vinculante
  • P — Propuesta de política o buena práctica

Aplicación práctica — QT-QMS

Controles propuestos del modelo QT-QMS. Salvo indicación expresa, son propuestas operativas (P) que deben adaptarse al rol, al ámbito y al riesgo de cada organización.

  • Plan documentado conforme a la Recomendación 2024/1101

    Como propuesta operativa P, documentar migración con hitos, responsables y presupuesto, y revisión anual adaptada al riesgo. La Recomendación (UE) 2024/1101 y la hoja de ruta coordinada orientan a Estados miembros; no imponen por sí solas ese formato o periodicidad universal a empresas. La Comisión 23-06-2025 confirma inicio de transición antes de finalizar 2026 y protección de infraestructura crítica antes de finalizar 2030. Para 2035, CCN-TEC 009 §6 distingue completar riesgo medio y, para riesgo bajo, en la medida de lo posible; falta cotejar íntegramente hoja de ruta europea y FAQ 02-09-2026. Mantener separados calendario institucional, propuesta del manual y deberes sectoriales concretos.

    Manual QT-QMS §1.1 (atribución corregida)

    Comisión, transición PQC ↗ · 23-06-2025: inicio Estados miembros antes de finalizar 2026, infraestructura crítica antes de finalizar 2030

    Comisión, hoja de ruta coordinada PQC ↗ · Publicación 23-06-2025; recomendaciones de alto nivel dirigidas a Estados miembros

    CCN-TEC 009 ↗ · Julio de 2026; §§4.1–4.6, tabla 3 p. 17; §6 punto 07 p. 31: 2035 completar riesgo medio y, para riesgo bajo, en la medida de lo posible

    Comisión, Surveyfeedback /FAQ ↗ · 02-09-2026; evolución posterior al corte de julio

  • Plan de migración PQC en 10 etapas

    Propuesta P del Manual en diez etapas: 1) equipo con Quantum Readiness Manager y patrocinio CIO/CISO; 2) inventario criptográfico (IoT, VPNs, tarjetas y escaneo TLS); 3) clasificación/prioridades según riesgo y vida útil, con los ejemplos orientativos del manual de secretos > 5–10 años y plazos crítico < 2, medio 3–5, bajo > 5, sujetos a adaptación y sin rango de obligación; 4) selección de estándares/arquitecturas y PKI preparada para PQC; 5) actualización de PKI, HSMs y bibliotecas; 6) pilotos y compatibilidad; 7) migración por fases con reversión; 8) monitorización; 9) formación/comunicación; 10) gobernanza, políticas y evidencias de gestión de riesgo, incluida DORA solo cuando sea aplicable. El cargo, diez etapas y umbrales son propuesta propia; la migración requiere mantenimiento continuo.

    Manual QT-QMS §3.1 y Checklist PQC

    CCN-TEC 009 ↗ · Julio de 2026; §§4.1–4.6, tabla 3 p. 17; §6 punto 07 p. 31: 2035 completar riesgo medio y, para riesgo bajo, en la medida de lo posible

  • Binomio nacional CCN y coherencia parlamentaria

    La planificación española puede apoyarse en CCN-STIC 221 para mecanismos autorizados dentro de su ámbito y CCN-TEC 009 como recomendación de transición, con versión y prescripción identificadas. El informe parlamentario publicado en BOCG 223 de 27-03-2026, §V.1, recomienda migración gradual/híbrida. En este ámbito PQC el enfoque de riesgo es sectorial y técnico; la comparación con clasificación general RIA es interpretación I parcial, no equivalencia de regímenes ni certificación QT-QMS.

    Informe de fuentes parlamentarias, gubernamentales y UE (jul-2026), §B.2 y propuesta 3

    CCN-TEC 009 ↗ · Julio de 2026; §§4.1–4.6, tabla 3 p. 17; §6 punto 07 p. 31: 2035 completar riesgo medio y, para riesgo bajo, en la medida de lo posible

    CCN-STIC 221 ↗ · PDF público de 211 pp.; portada noviembre de 2025, p. 2 edición noviembre de 2024; §1.1 párrafos 3 y 8; anexo B, tablas B.7–B.14

    RD311/2022 ENS ↗ · Arts. 2, 28 y 34.1.b; anexo II §5.4.2 [mp.com.2.r1.1], nivel confidencialidad MEDIO/ALTO; texto consolidado informativo consultado 03-10-2026

    BOCG 223 Ponencia 154/000007 ↗ · 27-03-2026; §V.1 pp. 17–19 migración gradual/híbrida; ver contraste L06

  • Cómo priorizar la ejecución: metodología Europol/QSFF

    Como recomendación R/P sectorial, usar la priorización Europol/QSFF para instituciones financieras considerando vida útil, sensibilidad, exposición e impacto, junto al tiempo de migración, disponibilidad de solución, coste y dependencias, según nota institucional 21-01-2026; la matriz exacta del PDF queda pendiente. Aplicar hitos institucionales de 2026/2030 con sus destinatarios; 2035 no es una transición completa universal y conserva la precisión CCN por riesgo. ENISA describe implementaciones híbridas y mezcla de claves precompartidas como posibles mitigaciones de confidencialidad, sujetas a diseño, autenticación y operación. AES-256 se trata separadamente como criptografía simétrica (IR 8547 §4.1.3), no como atribución acreditada del resumen ENISA ni garantía de cubrir todo el intervalo hasta migrar.

    Cruce editorial: hoja de ruta NIS + Europol/QSFF, «Prioritising PQC Migration Activities in Financial Services» (2026) + ENISA, «Post-Quantum Cryptography: Current State and Quantum Mitigation» (v2, mayo 2021)

    Europol/QSFF priorización PQC ↗ · 21-01-2026, párrafos sobre riesgo, vida útil/exposición/impacto y tiempo/coste/dependencias

    ENISA Current State and Quantum Mitigation ↗ · Resumen: implementaciones híbridas y mezcla de claves precompartidas

    NIST IR 8547 IPD ↗ · §§4.1.1–4.1.3, tablas 2 y 4, pp.13–14; borrador inicial 12-11-2024; comentarios cerrados 10-01-2025

    Comisión, transición PQC ↗ · 23-06-2025: inicio Estados miembros antes de finalizar 2026, infraestructura crítica antes de finalizar 2030

    CCN-TEC 009 ↗ · Julio de 2026; §§4.1–4.6, tabla 3 p. 17; §6 punto 07 p. 31: 2035 completar riesgo medio y, para riesgo bajo, en la medida de lo posible

Historial de cambios

  • jul 2026Referencia cruzada nacional añadida (guías CCN y Ponencia 154/7). Nota de método: el enfoque basado en riesgo hoy existente en cuántica es sectorial (ciberseguridad/PQC), no un régimen general tipo RIA.
  • jul 2026Refuerzo PQC: enlazadas las mitigaciones técnicas de ENISA (2021) y la metodología de priorización Europol/QSFF como instrumentos de ejecución de los hitos 2026/2030/2035

Fuentes

Ver fuente oficial ↗
https://eur-lex.europa.eu/eli/reco/2024/1101/oj
Fuente complementaria ↗
https://digital-strategy.ec.europa.eu/en/library/coordinated-implementation-roadmap-transition-post-quantum-cryptography
En el Informe (PDF): §5.7 (tabla de hitos), §3.2, §7.2

Fuentes verificadas

Blochy