La PQC necesita responsabilidad. No solo tecnología.

No. Los indicadores necesitan definiciones comprensibles y evidencia subyacente. La documentación necesaria se determina en el marco de auditoría concreto.

Los responsables revisan los cambios relevantes en normas, productos e infraestructura propia. Los resultados se incorporan de forma controlada a la política, el inventario y la planificación de medidas.

Una transición criptográfica dura más que un solo proyecto. Anclamos el inventario, las decisiones y las responsabilidades en sus procesos existentes. Así, los cambios en aplicaciones, proveedores y recomendaciones siguen siendo gestionables y trazables.

Elaborar la política de criptografía y las responsabilidades Regular las excepciones con justificación, responsables y plazos Formular requisitos para la adquisición y los proveedores Informar del avance de la migración con datos fiables Reunir evidencias técnicas para sus procesos de auditoría

Política de criptografía y modelo de roles Procedimiento de excepciones y de actualización continua Paquete de evidencias con inventario, decisiones y pruebas

Una política central necesita personas que la implementen en las aplicaciones. Asignamos responsables técnicos, decisiones de riesgo de negocio y aprobaciones. La política describe los algoritmos permitidos, los criterios de selección y el proceso a seguir ante cambios. Las excepciones reciben una justificación y una fecha para una nueva revisión. Se utilizan los procesos de seguridad y de cambio ya existentes, de modo que el mantenimiento de la criptografía no termine en una lista de proyecto aislada.

En la adquisición y la renovación de contratos se puede solicitar información sobre las dependencias criptográficas, las vías de actualización y el soporte previsto. Las declaraciones se documentan con su estado: anunciado, disponible o probado en el entorno concreto. Los indicadores distinguen entre los sistemas registrados, los riesgos evaluados y los usos migrados con éxito. Un número elevado de certificados inventariados no debe ocultar que aún faltan sistemas críticos fuera de línea.

Conectamos el inventario, las decisiones y el informe de pruebas de manera que se pueda seguir el estado de implementación. La documentación técnica respalda las auditorías internas o externas; no sustituye la evaluación jurídica ni la certificación formal que se exijan por separado. La aceptación revisa las responsabilidades y un caso de ejemplo de cambio o de excepción. Así se comprueba si el procedimiento funciona en el día a día.

Conectamos los resultados técnicos con las aprobaciones, la contratación y un estado de evidencias que se pueda mantener actualizado. Así, la preparación sigue siendo operativa aunque los productos, los estándares y las responsabilidades internas evolucionen.

Las decisiones y las excepciones tienen un responsable y un motivo de revisión. Las evidencias están vinculadas al inventario y a las medidas. Los requisitos de contratación preguntan por capacidades y límites concretos.

Ejemplo: un equipo de compras recibe dos ofertas que se presentan como PQC-ready. Traducimos los casos de uso necesarios en preguntas verificables sobre los algoritmos, las interfaces y el ciclo de vida. La decisión documenta las capacidades acreditadas y los compromisos pendientes, de modo que los equipos de proyecto posteriores puedan seguir trabajando sobre la misma base.

Para los algoritmos, los productos y las soluciones transitorias se documentan la decisión, su justificación y su ámbito de aplicación. Una excepción temporal necesita un responsable y un motivo para volver a revisarla. Sin estos datos, los puntos técnicos pendientes suelen quedar sin resolver de forma permanente. Vinculamos el inventario, la evaluación de riesgos y las medidas, en lugar de generar listas independientes sin relación entre sí. De este modo se puede explicar por qué se priorizó un sistema, qué pruebas existen y qué requisito bloquea la siguiente etapa. La responsabilidad de negocio y la implementación técnica se identifican por separado.

Los productos nuevos deben aportar información relevante sobre sus funciones criptográficas, su capacidad de actualización y sus rutas de migración. Formulamos preguntas concretas para los proveedores que van más allá de la etiqueta PQC-ready. Las evidencias se refieren a las versiones y al uso previsto, no solo a una presentación general del fabricante. Las revisiones periódicas comparan la hoja de ruta con el avance real. Ante cambios importantes de arquitectura o de producto, se actualiza el inventario. La documentación respalda los controles y las auditorías internas, pero no sustituye una certificación externa ni una evaluación vinculante por parte de los organismos competentes.

Inventario criptográfico y necesidades de protección TI, seguridad de la información, responsables de aplicaciones, especialista en criptografía de OTOKO® CBOM, necesidades de protección y vida útil de los datos por sistema, análisis de brechas frente a BSI TR-02102

Hoja de ruta, algoritmos objetivo, fases de transición Arquitectura, seguridad de la información, operación de la PKI, compras Hoja de ruta de migración, política criptográfica, diseño objetivo de PKI y HSM, modelo de operación