Los responsables tecnológicos están cada vez más preocupados por la necesidad de revisar profundamente la infraestructura de clave pública (PKI), uno de los pilares de la criptografía actual, para adaptarla a la emergente criptografía post-cuántica (PQC).
Un estudio reciente de Sectigo revela que el 78% de los responsables de TI y seguridad consideran que la PKI debe evolucionar para cumplir con las demandas que impone esta nueva era tecnológica. Este cambio se produce en un contexto donde las organizaciones afrontan la reducción progresiva de la duración de los certificados SSL/TLS, lo que requiere nuevos enfoques operativos para gestionar eficazmente dichas claves.
El informe destaca que el porcentaje de organizaciones que han evaluado qué sistemas podrían ser vulnerables a ataques cuánticos ha crecido del 14% en 2025 a cifras significativamente mayores, con un 44% que asegura tener prácticamente completada dicha evaluación. 
Además, un 83% de las empresas cuentan ya con presupuestos asignados para iniciativas de preparación cuántica durante el próximo año, y de este grupo, un 93% espera incrementar la inversión en criptografía post-cuántica en los próximos dos o tres años.
Preparativos post-cuánticos adquieren protagonismo
Hace un año, la mayoría de las organizaciones tenían como prioridad prepararse para la reducción de la validez de los certificados y para la futura transición hacia algoritmos cuántico-resistentes. Actualmente, ambos aspectos se han convertido en tareas operativas prioritarias que exigen un esfuerzo considerable en áreas como el descubrimiento criptográfico, la automatización, la arquitectura de sistemas, la gobernanza y la inversión.
Según Nick France, CTO de Sectigo, “las empresas han pasado de cuestionar si deben prepararse para cambios criptográficos a entender qué implica en realidad esa transformación”. Explica que la criptografía post-cuántica no es simplemente cambiar un algoritmo ni manejar la reducción de los certificados como un problema de renovaciones. “Ambos requerimientos obligan a replantear cómo se descubren, gestionan y adaptan las infraestructuras criptográficas, tanto en entornos públicos como privados, y es justamente esta capacidad para operar con agilidad criptográfica de forma continua la que define la práctica actual.”
El informe también examina los Certificados Merkle Tree (MTC), una propuesta de arquitectura certificadora en desarrollo por parte del Internet Engineering Task Force (IETF), como ejemplo de los enfoques arquitectónicos que se están explorando. Sin embargo, sólo un 40% de los encuestados familiarizados con esta propuesta creen entender completamente los cambios que sus sistemas deberían implementar para soportarla.
El periodo de validez de los certificados SSL/TLS ha ido disminuyendo notablemente: desde los 398 días en 2023 hasta 200 días en marzo de 2026, y se prevé que caiga a 100 días en marzo de 2027 y a sólo 47 días en marzo de 2029. Este acortamiento ya está generando dificultades operativas. Aunque un 62% declara tener un inventario completo y actualizado de certificados públicos, sólo un 28% en 2025 estaba preparado para gestionar las renovaciones mensuales, frente al 62% actual que afirma estar “muy preparado”, principalmente porque cuenta con sistemas automatizados.
Casi tres cuartas partes de las organizaciones (73%) aseguran que aumentarán la automatización en la gestión de certificados debido a la reducción en su duración, y un 61% refleja haber sufrido interrupciones o incidentes relacionados con certificados en los últimos doce meses.
France subraya la urgente necesidad de que las empresas dejen de tratar la criptografía como una infraestructura estática, pero manteniendo su funcionamiento estable y silencioso, sin que cada transición criptográfica se convierta en una crisis operativa. “La siguiente fase para la agilidad criptográfica consiste en transformar la concienciación en operaciones repetibles, testeables y escalables, fundamentadas en un proceso continuo de descubrimiento criptográfico, priorización de riesgos, planificación de migraciones y cambios controlados”, afirma.
Directrices del NIST para la transición cuántica
La investigación se publica tras el lanzamiento de nuevas directrices por parte del Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés), que ofrece recomendaciones y cronogramas para abandonar los algoritmos vulnerables y adoptar estándares resistentes a la computación cuántica.
Dustin Moody, matemático del NIST y líder del proyecto de estandarización PQC, explica: “Presentamos cómo ciertos algoritmos de cifrado que se utilizan hoy dejarán de permitirse progresivamente en sistemas federales. Entender cuándo un algoritmo será prohibido o permitido bajo el riesgo del usuario es crucial para que las organizaciones puedan planificar sus estrategias.”
