Preparación para la era poscuántica en el sector de los servicios financieros:

Visión general

Todos los marcos de referencia de esta guía apuntan en la misma dirección: saber qué tipo de criptografía se utiliza, demostrar que se tiene el control sobre ella y estar preparado para cambiarla. La criptografía poscuántica es el punto en el que esa dirección adquiere un plazo límite.

En 2024, el NIST ultimó las tres primeras normas criptográficas poscuánticas y publicó un calendario de transición que prevé la obsolescencia de los algoritmos RSA y de curvas elípticas —sobre los que se sustenta la mayor parte de la infraestructura financiera— para 2030, con el objetivo de su prohibición total en 2035. En junio de 2026, el Decreto Ejecutivo 14412 convirtió esa orientación técnica en política federal, ordenando a la OMB y al Director Nacional de Ciberseguridad que lideraran una migración nacional acelerada y estableciendo plazos por fases para los activos federales de alto valor. En enero de 2026, el Grupo de Expertos Cibernéticos del G7, copresidido por el Tesoro de EE. UU. y el Banco de Inglaterra, publicó una hoja de ruta coordinada y específica para cada sector en la que se instaba a los bancos, las aseguradoras, las bolsas y las infraestructuras de los mercados financieros a pasar de la sensibilización al inventario, la evaluación de riesgos y la migración por fases con suficiente antelación respecto al horizonte de planificación de mediados de la década de 2030.

Para las entidades financieras, hay dos aspectos que cobran especial relevancia. En primer lugar, esa misma orden ejecutiva ordena al Consejo del FAR que exija a los contratistas federales afectados cumplir con normas de ciberseguridad alineadas con el PQC para finales de 2030, lo que amplía la obligación de migración a cualquier entidad que preste servicios a las cadenas de suministro federales. En segundo lugar, la propia SWIFT ha señalado una fecha objetivo: se espera que SwiftNet sea compatible con PQC alrededor de 2027, con un plazo de migración que se mide en meses, en lugar de años, para las aproximadamente 11 000 instituciones conectadas a la red.

Por qué es importante 

Una orden ejecutiva y una hoja de ruta del G7 no son normas de conformidad, y las entidades financieras no serán auditadas directamente en función de ninguna de ellas. Su importancia radica en lo que indican: las cuestiones que esta guía ha planteado en cada capítulo, las expectativas de «criptoagilidad» de la DORA, el requisito de inventario criptográfico de la norma PCI DSS y el inventario de certificados y claves de la NYDFS cuentan ahora con fechas concretas.

La economía de las finanzas hace que esas fechas estén más cerca de lo que parecen. Los historiales de transacciones, los registros de custodia y los datos de KYC/AML conservados durante mucho tiempo que hoy están encriptados pueden recopilarse ahora y desencriptarse una vez que llegue la capacidad cuántica, lo que significa que el horizonte de confidencialidad de los datos, y no la fecha de entrega de un ordenador cuántico, es lo que establece el plazo real. Encuestas recientes del sector han revelado que menos del 3 % de las instituciones financieras mundiales han iniciado una migración sustancial, aunque la propia evaluación de preparación de SWIFT ha puesto de manifiesto que la gran mayoría de los bancos de primer nivel han comenzado la evaluación, mientras que las instituciones más pequeñas se quedan rezagadas, lo que crea precisamente el riesgo del «eslabón más débil» que una red de corresponsalía bancaria no puede absorber sin problemas.

La contratación pública y la diligencia debida de las contrapartes avanzarán más rápido que la normativa. Los compradores federales, los bancos centrales y los socios corresponsales empezarán a solicitar planes de migración de PQC e inventarios criptográficos mucho antes de que ninguna norma les obligue a ello, y las propias disposiciones de DORA en materia de «criptoagilidad» ya orientan a todas las entidades financieras de la UE hacia esa misma base.

Cómo se aplica esto a la criptografía 

La preparación para la era poscuántica aborda la criptografía a través de varias áreas de control interrelacionadas. Las áreas clave con implicaciones criptográficas directas son:

Preguntas sobre la preparación

Las revisiones de migración de PQC, ya sean iniciadas por un cliente federal, una contraparte corresponsal o una función interna de gestión de riesgos, se centran en determinar si la organización conoce su exposición y cuenta con un plan regulado. Las áreas clave que analizarán los evaluadores son:

• Exhaustividad del inventario criptográfico: ¿Puede la organización enumerar todos los certificados, claves, algoritmos y bibliotecas criptográficas que se utilizan en los sistemas bancarios centrales, de pagos y de banca abierta, incluidas las dependencias heredadas?
• Clasificación de vulnerabilidades cuánticas: ¿Se ha evaluado el inventario según el calendario de obsolescencia del NIST, identificando los activos vulnerables a los ataques cuánticos y clasificándolos según la sensibilidad de los datos y el periodo de conservación?
• Plan de migración y responsabilidad: ¿Existe un responsable designado, un plan de migración documentado y un calendario que se ajuste a las fechas de obsolescencia de 2030 y de prohibición de 2035?
• Estrategia de conservación de datos de larga duración y custodia: En el caso de los datos de transacciones, custodia y KYC/AML que deben mantenerse confidenciales mucho más allá de la vida útil de los algoritmos actuales, ¿se han documentado los controles compensatorios o los plazos de migración?
• Capacidad de elaboración de una lista de componentes criptográficos: ¿Podría la organización elaborar hoy mismo un inventario criptográfico de sus sistemas si un cliente federal o un banco corresponsal se lo solicitara?
• Postura de los proveedores y corresponsales en materia de PQC: ¿Se está evaluando a las contrapartes de SWIFT, a las redes de tarjetas y a los proveedores de sistemas bancarios centrales o de servicios en la nube en relación con sus propios planes de migración, teniendo en cuenta que la criptografía heredada se convierte en un riesgo para la entidad?

LLEVA ESTO A LA DIRECCIÓN

La transición hacia la criptografía poscuántica ya tiene fechas concretas, y ello desde más de una perspectiva. El NIST dejará de recomendar los algoritmos actuales para 2030; la Orden Ejecutiva 14412 exige a los contratistas federales que cumplan con las normas alineadas con la criptografía poscuántica (PQC) para finales de ese año; y SWIFT tiene como objetivo contar con una red SwiftNet compatible con la PQC alrededor de 2027. Nuestros registros de transacciones, datos de custodia y la infraestructura de banca corresponsal seguirán dependiendo de la criptografía actual mucho más allá de esas fechas, a menos que actuemos según nuestro propio calendario en lugar del de otros.

El primer paso práctico es el mismo que exige todos los marcos de referencia de esta guía: un inventario criptográfico completo. El concepto de «lista de materiales criptográficos» formalizará esa exigencia para las contrapartes federales, y los bancos corresponsales y las redes de tarjetas seguirán su ejemplo. Si creamos ahora el inventario, la evaluación y la automatización del ciclo de vida, la PQC se convertirá en una migración controlada según nuestro calendario, en lugar de una carrera contrarreloj impuesta por otros.