La Casa Blanca ha emitido una orden ejecutiva que obliga a las agencias civiles federales de EE. UU. a migrar sus sistemas de alto valor a la criptografía poscuántica (PQC). El objetivo es proteger la infraestructura nacional contra posibles ataques de computadoras cuánticas a gran escala. Se han establecido fechas límite estrictas: 2030 para el establecimiento de claves y 2031 para las firmas digitales.

La Casa Blanca ha emitido una orden ejecutiva trascendental que instruye a las agencias civiles federales de EE. UU. a migrar sus sistemas de alto valor a la **criptografía poscuántica (PQC)**, con plazos estrictos hasta 2030 para el establecimiento de claves y hasta 2031 para las firmas digitales.

La orden, titulada “Asegurando la Nación contra Ataques Criptográficos Avanzados”, advierte que las computadoras cuánticas a gran escala podrían eventualmente romper la criptografía de clave pública ampliamente utilizada hoy en día, especialmente si caen en manos de adversarios.

 Destaca específicamente las campañas de **“recolectar ahora, descifrar después”**, donde los atacantes roban datos cifrados hoy con la intención de descifrarlos una vez que las capacidades cuánticas maduren.

Para solucionar esto, la política impone un cambio en todo el gobierno hacia los Estándares Federales de Procesamiento de Información (FIPS) aprobados por el Instituto Nacional de Estándares y Tecnología (NIST) para PQC, con el fin de proteger los datos sensibles, las infraestructuras críticas y la economía digital.

La directiva se aplica a las “agencias” federales según se definen en 44 U.S.C. 3502(1). Se centra en los sistemas de alto impacto y los activos de alto valor (HVA) definidos por la Oficina de Gestión y Presupuesto (OMB).

Define la PQC como la criptografía diseñada para resistir ataques tanto cuánticos como clásicos, alineándose con los FIPS de PQC emergentes del NIST para el establecimiento de claves y las **firmas digitales**.

La Casa Blanca ordena a las agencias federales

En un plazo de 30 días, el director de cada agencia debe nombrar a un “líder de migración de PQC” que reporte al CIO, responsable del inventario criptográfico, la planificación de la migración priorizada y la coordinación entre agencias.

En un plazo de 90 días, la **OMB debe emitir directrices** que exijan a las agencias revisar sus inventarios de HVA y sistemas de alto impacto (excluyendo los Sistemas de Seguridad Nacional).

Deben hacer la transición de esos sistemas a PQC para el establecimiento de claves antes del 31 de diciembre de 2030, y a firmas digitales basadas en PQC antes del 31 de diciembre de 2031, además de presentar planes de migración formales.

El NIST también debe ejecutar un piloto de migración de PQC en un subconjunto de sus propios sistemas, que deberá completarse para finales de 2027.

Las Agencias de Gestión de Riesgos Sectoriales deben trabajar con la **Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA)** para ayudar a los propietarios y operadores de infraestructuras críticas a elaborar planes de migración de PQC, extendiendo la dirección federal a los operadores del sector privado de servicios esenciales.

El Secretario de Estado, junto con el NIST, el DHS, el Director Nacional de Ciberseguridad, el Secretario de Guerra y el Director de Inteligencia Nacional, tiene la tarea de contactar a gobiernos extranjeros y grupos industriales clave para promover la adopción global de los algoritmos PQC estandarizados por el NIST.

En un plazo de 270 días, el DHS (a través de CISA) y el NIST deben publicar una guía sobre una “lista de materiales criptográficos” (CBOM) que defina los elementos mínimos necesarios para inventariar y evaluar automáticamente los activos criptográficos en hardware y software.

La Orden Ejecutiva de la Casa Blanca promueve la adopción de PQC a través de la contratación pública, instando a las agencias federales a buscar medidas de ahorro de costes como migraciones a la nube, contratación compartida, formación y soporte centralizado.

El NIST debe ajustar los procesos del **Programa de Validación de Módulos Criptográficos** para acelerar la validación de los módulos compatibles con PQC.

El Consejo Regulador de Adquisiciones Federales debe proponer cambios en las normas que exijan a los contratistas afectados cumplir con los FIPS del NIST habilitados para PQC antes del 31 de diciembre de 2030.

Deberán actualizarse las cláusulas del programa de divulgación de vulnerabilidades para que los contratistas informen sobre debilidades criptográficas, incluyendo la falta de cifrado y el uso de algoritmos que no sean FIPS.

Aunque la orden no crea nuevos derechos legales para las partes privadas, convierte efectivamente la migración a PQC en un **requisito de cumplimiento** para las agencias y sus cadenas de suministro.

Fuentes:
https://cybersecuritynews.com/white-house-federal-agencies-post-quantum-cryptography/