En el CyberShield Forum de ANDICOM 2026 en Cartagena, Alfonso Díaz Palencia del Centro de Investigación y Desarrollo en Tecnologías de la Información y las Comunicaciones (CINTEL) advirtió sobre la pérdida de competitividad de las firmas que ignoren la transición a la criptografía poscuántica (PQC), algoritmos matemáticos diseñados para resistir ataques tanto de computadores clásicos como de futuros ordenadores cuánticos. El cambio ya no obedece a una futura amenaza de computadores cuánticos, sino a una mutación en el ámbito comercial y contractual. Módulos criptográficos obsoletos corren el riesgo de quedar excluidos de mercados globales, compras públicas y corresponsalías bancarias transfronterizas.
Este fenómeno es impulsado por agencias de seguridad de EE. UU., la francesa ANSSI (que exigirá certificaciones poscuánticas para productos en su mercado) y el Banco de Pagos Internacionales junto con la Sociedad para las Telecomunicaciones Financieras Interbancarias Mundiales (SWIFT) y el G7, que definen rutas comunes para pagos transfronterizos. Para Colombia, esto genera una “dependencia sistémica”: la falta de adecuación local impedirá la conexión con pasarelas de pago y corresponsalías internacionales al exigirse dichos certificados.
El calendario global de migración (2025-2035)
Aunque Colombia no tiene plazos de cumplimiento, la influencia del marco internacional impone una agenda contractual ineludible. Las marcas de tiempo globales son:
- Estados Unidos: El 21 de septiembre de 2026 expira la validación del NIST (Instituto Nacional de Estándares y Tecnología de EE. UU) para módulos clásicos. El 1 de enero de 2027 entra la restricción de compras de la suite CNSA 2.0 de la NSA. Para 2030 se exige resguardar claves críticas, en 2031 firmas digitales y la transición total en 2035.
- Unión Europea: El Reglamento de Resiliencia Operativa Digital (DORA) de resiliencia operativa digital aplica desde enero de 2025, y la directiva NIS2 converge durante 2026. Desde 2027, ANSSI solo certificará productos habilitados con PQC, convergiendo el uso de la suite CNSA e infraestructura crítica para 2030.
- Otras economías: Francia exige compras preparadas para 2030, el Reino Unido implementará planes completos de transición hacia 2031, mientras Alemania prioriza sietemas críticos usando esquemas híbridos.
| País o región | Hito principal |
| Estados Unidos | Claves críticas en 2030, firmas en 2031, total en 2035 |
| Unión Europea | Inicio nacional en 2026, infraestructura crítica en 2030 |
| Francia | Certificación PQC desde 2027, compras preparadas en 2030 |
| Alemania | Prioridad a sistemas críticos, transición híbrida |
| Reino Unido | Inventario en 2028, máxima prioridad en 2031, total en 2035 |
| Canadá | Plan en 2026, sistemas prioritarios en 2031, total en 2035 |
| Países Bajos | Manual de migración, alineado con la ruta europea |
| Finlandia | Inventario inmediato, estrategia cuántica 2025-2035 |
La Amenaza del “harvest now, decrypt later” y el sector financiero
El sustento de esta seguridad adicional radica en el riesgo silencioso conocido como recolectar ahora, descifrar después (harvest now, decrypt later). Los atacantes interceptan y guardan tráfico de datos cifrados hoy (historias clínicas, propiedad intelectual, secretos comerciales, transacciones) para procesarlo una vez emerja el “Q-day”, cuando un ordenador cuántico rompa el cifrado clásico.
La urgencia es crítica para sectores que manejan información que debe permanecer confidencial por décadas. Además, la vulnerabilidad no es teórica: según cifras de Asobancaria, el sistema financiero de Colombia recibe actualmente un promedio de 42 ciberataques por segundo.
La hoja de ruta operativa y la criptoagilidad
Para mitigar el riesgo de aislamiento, se proponen cuatro líneas de acción que las organizaciones colombianas pueden adoptar sin poseer computadores cuánticos:
- Inventario criptográfico: Identificar qué algoritmos y certificados operan en software, redes, APIs y dispositivos de la compañía.
- Clasificación de datos: Segmentar la información según el tiempo requerido de confidencialidad para priorizar flujos críticos hacia 2035.
- Auditoría de proveedores: Introducir el estándar NIST en las cláusulas contractuales con proveedores de nube, centros de datos y telecomunicaciones.
- Esquemas híbridos: Implementar algoritmos que mezclen criptografía clásica y poscuántica para sostener la interoperabilidad, modelo ya adoptado por Alemania.
Este esquema de preparación, pilotos y escalamiento confluye bajo el concepto de criptoagilidad: la destreza corporativa para sustituir esquemas de cifrado de manera ágil conforme mute el panorama regulatorio internacional.
Para Sectorial, el verdadero cuello de botella para el empresariado colombiano no radica en adquirir sofisticados dispositivos cuánticos, sino en la deficiente gobernanza que tienen de su propia arquitectura criptográfica actual. Dado que el 21 de septiembre de 2026 el NIST dejará de validar módulos clásicos, las empresas locales orientadas a la exportación o aquellas que dependan estrechamente de pasarelas de pago y banca transfronteriza tienen una ventana de riesgo operativa reducida.
Aunque Colombia carezca de plazos locales coercitivos, la globalización contractual actúa de manera asimétrica, aislando financieramente a las compañías rezagadas. Por tanto, la transición no es un reto tecnológico del futuro, sino un requisito de cumplimiento comercial y resiliencia que debe planificarse y ejecutarse en este mismo ciclo presupuestal
También le puede interesar:
Deep Web: el lado oscuro del internet
Telecomunicaciones: Colombia busca conectar al 85 % de los hogares y ampliar el 5G
