4 formas de comunicar el riesgo cuántico al consejo de administración

La computación cuántica ya no es sólo un concepto futurista. 

Quantum computing is an emerging disruptor that will reshape the foundation of digital security. While practical quantum machines aren’t mainstream yet, their future impact on cryptography is both inevitable and irreversible. That means the encryption your business relies on today could be broken tomorrow, putting sensitive data, intellectual property, and customer trust at serious risk.

You may have heard the term “Q-Day” – this refers to the point when quantum computers can break today’s encryption standards. However, it’s important to remember that cybercriminals aren’t waiting. They’re already launching “harvest now, decrypt later” attacks, stealing encrypted data today with plans to unlock it once quantum capabilities mature.

This is not just an IT issue. It’s a board-level concern that requires proactive investment and strategic oversight:

• Leading organizations are planning their transition to post-quantum security (PQC) to future-proof their operations and avoid regulatory, operational, and reputational fallout.
• The EU and other countries are issuing recommendations to businesses to address their quantum security postures.
• La planificación activa de PQC mantiene a su empresa a la vanguardia. Su trabajo consiste en asegurarse de que el consejo de administración entiende por qué es necesario revisar los protocolos de seguridad de la empresa.

Pero, ¿cómo explicar la urgencia del riesgo cuántico a ejecutivos no técnicos?

This article will show you how to translate quantum security into boardroom language – framing it as a measurable business risk with real implications for compliance, continuity, and cost.

🔐 In this article, you’ll learn strategic ideas to communicate clearly to the board. The first step? Framing quantum security as a board-level concern, including what regulatory shifts (NIST, NSA, CISA) are already underway – and how to stay ahead of them. You must also address whether you’re increasing your technology debt by delaying (i.e., a lack of crypto-agility today may lead to outsized costs, risks, and outages in the near future).

Riesgo cuántico: 4 formas de comunicar con claridad

Con este marco, estará equipado para construir un caso de negocio para PQC, educar a las partes interesadas clave y guiar a su organización hacia un futuro cripto-ágil y resistente al quantum.

Enmarcar la seguridad cuántica como una preocupación a nivel directivo

La informática cuántica presenta riesgos estratégicos, operativos, de reputación y financieros. Al mismo tiempo, el consejo de administración de su organización no financiará iniciativas que no comprenda. Ayude a la junta a entender cómo la planificación de la PQC es un elemento clave de la resistencia y continuidad de la empresa a medida que cambia la tecnología. Una buena planificación es una buena gobernanza, y ser proactivo mantendrá a su empresa por delante de los riesgos cuánticos en evolución.

Building cryptographic agility is vital to address quantum computing and the growing cryptographic risks as technology evolves. By properly planning and executing a shift towards PQC, your business will enjoy smarter and less costly choices down the line, better security posture against all threats, and minimal risk of exposure when quantum capabilities evolve. This may even be a competitive advantage for your organization. 

Educate your audiences and key decision-makers by focusing on business impact. Highlight what quantum computing is and what it could do to render PKI obsolete. Cyber criminals aren’t waiting for quantum computing; they’re preparing for it. We’re already seeing a rise in “harvest now, decrypt later” attacks—knowing quantum capabilities are around the corner, attackers are stealing and storing encrypted data right now with the intent to decrypt it when quantum matures. What happens to your business and confidential data when it’s decrypted even years down the line?

Los gobiernos de todo el mundo ya están sugiriendo un cambio hacia el PQC, estableciendo normativas y directrices para las organizaciones. Si su empresa ya está invirtiendo y planificando el PQC, tendrá muchos menos problemas para cumplir y superar las normativas que se vayan estableciendo. Incluso en los EE.UU., ya estamos viendo un fuerte cambio hacia la agilidad criptográfica obligatoria:

• NIST has held five PQC standardization conferences so far and will host the sixth in late September 2025, publishing PQC standards to protect against future quantum computers.
• The NSA recently published an advisory recommending the Commercial National Security Algorithm 2.0 (CNSA 2.0) to protect against quantum computing.
• In 2024, CISA published a strategic document outlining how organizations can (and should) migrate to automated post-quantum cryptography.

La voz en los espacios de criptografía y ciberseguridad es clara: no se puede ignorar la seguridad cuántica. Sin centrarse en la PQC, su empresa se enfrenta a riesgos cuánticos a todos los niveles. Asegúrese de que su junta directiva tiene clara la amplitud de la amenaza y proporcione estrategias para abordarla.

Evite los mensajes basados en el miedo: hable de estrategia, no de ciencia ficción.

While quantum computing threats are undeniable, no one really knows what will happen and when. Fear mongering isn’t enough to push senior leaders to take action. Focus on risk management, operational resilience, and the strategic benefits of being PQC-ready instead. Position quantum computing as a risk you can manage now: a predictable disruption, not a catastrophic unknown threat.

Building toward PQC readiness is a modernization strategy. Your business already has cryptographic processes and procedures. Updating them to deal with upcoming quantum risks is not a simple tech upgrade, it’s a multi-year transformation project that requires phased investment over time. What does being prepared for PQC mean to your organization? Your business will need to strategize updates to inventory, prioritization, and planning across multiple years to improve overall quantum agility.

Cuando hable de cómo debe invertir su empresa en PQC, mantenga un tono tranquilo y basado en hechos. Por ejemplo, una frase como "Aunque los ordenadores cuánticos funcionales capaces de romper el cifrado aún no están aquí, el tiempo de transición necesario es significativo. Planificar ahora evita trastornos más adelante" indica a la junta lo importante que es abordar y controlar el riesgo sin exagerar resaltando lo peligroso que podría ser el riesgo en sí.

Traducir el riesgo técnico al lenguaje ejecutivo

Como persona inmersa en la tecnología y la seguridad, usted entiende las implicaciones de los avances de la informática cuántica en la PKI actual. Es posible que los ejecutivos de las empresas no; su trabajo consiste en educarles sin sobrecargarles de información. ¿El objetivo? Ayudarles a colaborar con usted para asegurarse de que su empresa está preparada para adaptarse a la PQC. Utilice analogías que conecten el proceso de actualización de PQC con las prioridades existentes de la junta directiva: continuidad del negocio, reputación, cumplimiento y ciberresiliencia.

 Destaque cuatro conceptos clave:

• Tiempo de reacción
• Exposición de la joya de la corona
• Horizonte de cumplimiento
• Deuda tecnológica

Tiempo de reacción

Dependiendo del estado actual de la arquitectura de su organización y de los protocolos criptográficos, puede llevar entre cinco y doce años implantar completamente la criptografía de seguridad cuántica en todos sus sistemas.

Elabore una auditoría de la preparación actual de su organización para el PQC y de lo que hará falta para alcanzar el 100% de agilidad cuántica. Cuanto antes consiga que el consejo de administración apruebe las medidas correctoras, más probabilidades tendrá de actualizarse por completo antes de que los riesgos cuánticos se hagan evidentes.

Exposición de la joya de la corona

¿Cuáles son las "joyas de la corona" de su organización, o los activos críticos que la distinguen de otras organizaciones? Ya se trate de propiedad intelectual, PII o registros de pacientes, no actualizar a PQC expone esas joyas de la corona a los atacantes, poniendo a su negocio en una grave desventaja frente a los competidores que se tomaron el tiempo para mejorar su agilidad criptográfica.

Asegúrese de que el consejo de administración conoce los riesgos que plantea la informática cuántica para las joyas de la corona de la empresa.

Horizonte de cumplimiento

Probablemente haya pasado años de su vida actualizándose a las últimas normas reglamentarias y del sector para mantener la seguridad de su organización. Estas normas están surgiendo rápidamente para combatir los riesgos cuánticos. Si su empresa se queda atrás con respecto a estas normas y reglamentos, se arriesga a multas y otras medidas adversas por parte de los organismos reguladores. 

La junta directiva debe entender que mejorar la seguridad hacia el PQC se está convirtiendo rápidamente en la norma reguladora para todas las organizaciones.

Deuda tecnológica

A consistent problem for many organizations is technology debt such as the future costs facing you if you choose the cheap, quick solution now. One example comes from PKI: businesses that didn’t invest in automated certificate management when they were smaller years ago are struggling to manage exponentially larger numbers of certificates with manual processes, leading to outages, data leaks, etc.

La junta directiva debe comprender que elegir la solución más barata en este momento (no actualizar a PQC) podría costar a la organización mucho más en el futuro.

Construir el caso de negocio

Este es el cuarto y último paso que debe recordar. Para construir su caso de negocio PQC, es importante que usted:

• Align PQC initiatives with modernization and cost optimization initiatives. Focus on digital trust, customer data protection, and long-term resilience as key pillars to keep your organization and customers secure. Embrace automation to reduce the operational overhead on today’s teams and find ways to streamline your processes.
• Outline the risks of inaction. Without upgrading your organization to PQC, you could face legal liabilities, insurance implications, reputational damage, or even completely going out of business if post-quantum breaches occur.
• Present incremental timelines. You don’t need to show the entire project all at once. Show how gradual improvements, such as discovery and crypto inventory tools, can have a big impact.
• Include milestones to show progress and ROI over time. The board and other executive leadership will want clear markers that the business is on its way to PQC. You can include something like “By next quarter, we will have completed a cryptographic inventory of all public-facing services.”
• Cite trusted third-party recommendations for credibility. Many governments and other organizations preparing for PQC have published recommendations and standards for businesses to upgrade to PQC. Look at additional resources from Keyfactor and the 360 Alliance, which aligns insights from Keyfactor, IBM Consulting, Thales, and Quantinuum.

Conclusión

Llevará tiempo y un esfuerzo constante actualizar las organizaciones actuales a normas criptográficas que resistan la computación cuántica. La criptografía post-cuántica no es un problema para mañana, es un requisito que hay que planificar para hoy. Los responsables de TI y seguridad pueden ser socios estratégicos de sus dirigentes. No necesitan predecir la cronología cuántica para actuar, sólo necesitan prepararse para el inevitable cambio criptográfico que ya sabemos que está en camino.

Comunique el riesgo cuántico a su junta directiva y, a continuación, involucre a proveedores, auditores y socios multifuncionales para definir una hoja de ruta de criptoagilidad.

¿Quieres ayuda para empezar? Aquí tienes dos estupendos recursos:

• Explore the recent PQC-themed issue of Digital Trust Digest. It’s packed with real-world survey data and actionable steps to guide your PQC readiness.
• Solicita una demostración o cualquier pregunta. Keyfactor puede ayudarle a crear un inventario criptográfico, habilitar la criptoagilidad y prepararse para la migración a PQC.