La PQC necesita responsabilidad. No solo tecnología.

Gestionar decisiones y excepciones de forma trazable

Para los algoritmos, los productos y las soluciones transitorias se documentan la decisión, su justificación y su ámbito de aplicación. Una excepción temporal necesita un responsable y un motivo para volver a revisarla. Sin estos datos, los puntos técnicos pendientes suelen quedar sin resolver de forma permanente.

Vinculamos el inventario, la evaluación de riesgos y las medidas, en lugar de generar listas independientes sin relación entre sí. De este modo se puede explicar por qué se priorizó un sistema, qué pruebas existen y qué requisito bloquea la siguiente etapa. La responsabilidad de negocio y la implementación técnica se identifican por separado.

Integrar la contratación y los cambios en el proceso

Los productos nuevos deben aportar información relevante sobre sus funciones criptográficas, su capacidad de actualización y sus rutas de migración. Formulamos preguntas concretas para los proveedores que van más allá de la etiqueta PQC-ready. Las evidencias se refieren a las versiones y al uso previsto, no solo a una presentación general del fabricante.

Las revisiones periódicas comparan la hoja de ruta con el avance real. Ante cambios importantes de arquitectura o de producto, se actualiza el inventario. La documentación respalda los controles y las auditorías internas, pero no sustituye una certificación externa ni una evaluación vinculante por parte de los organismos competentes.