Un estudio de la Universidad de Burdeos centrado en los Centros de Capacidad Globales (GCC) —los hubs estratégicos offshore de las multinacionales— identifica el nudo del problema: la barrera principal no es la capacidad técnica, sino la gobernanza. Los GCC procesan datos transfronterizos bajo múltiples jurisdicciones, ejecutan estrategias definidas en matrices lejanas y concentran servicios de ciberseguridad para todo el grupo; una vulnerabilidad criptográfica en un GCC compromete la postura global. El marco PGGF desarrollado en esa investigación (cinco capas por seis fases) demuestra que solo una arquitectura de gobernanza que integre selección de algoritmos informada por rendimiento, cumplimiento multi-jurisdiccional, alineación matriz-filial y gestión de talento puede cerrar la brecha.
Criptografía post-cuántica: la carrera por blindar la infraestructura crítica antes del 'Q-Day'
El modelo «cosecha ahora, descifra después» (HNDL) implica que la amenaza no es futura, pues el tráfico cifrado hoy con RSA o ECC —claves asimétricas que el algoritmo de Shor rompería en tiempo polinomial— ya está en manos de actores que esperan la madurez cuántica. La priorización, por tanto, no es opcional. Telefónica Tech estructura su plan de migración en cinco fases operativas que empiezan por un inventario criptográfico exhaustivo (qué algoritmo, en qué sistema, quién lo gestiona, vida útil esperada) y continúan con una matriz de riesgo basada en el horizonte de confidencialidad del dato: si el secreto debe durar más que la llegada estimada del CRQC (5-15 años según fuentes), debe migrarse ya.
Lejos de ser una decisión puramente criptográfica, la selección algorítmica es una decisión de gobernanza con consecuencias operativas medibles. Investigaciones de Rios y Montenegro muestran que los rankings de rendimiento se invierten según la capa del protocolo y la arquitectura: ML-KEM y ML-DSA son 2-3 veces más rápidos en x86 a nivel de primitiva, pero en capas TLS/VPN la arquitectura ARM alcanza menor latencia de extremo a extremo (speedup 2,83-4,07x). HQC, por su parte, exhibe tiempos de ejecución hasta 100 veces superiores a ML-KEM y acapara más del 80 % del tiempo de conexión VPN. En dispositivos IoT con ARM limitado, las opciones viables se reducen a XMSS o SPHINCS+ con latencias de 100-500 ns. Ignorar estas diferencias degrada el rendimiento en producción; testearlas en staging antes de migrar es requisito de gobernanza, no capricho técnico.
Como capacidad estructural que separa a las organizaciones resilientes de las que repetirán el trauma en cada transición, emerge la criptoagilidad —la capacidad de rotar algoritmos sin rediseñar aplicaciones—. Requiere cuatro pilares: visibilidad total del inventario, capa de abstracción criptográfica que desacople algoritmos de lógica de negocio, soporte simultáneo de múltiples suites (híbrido clásico/PQC durante la transición) y gobierno activo del ciclo de vida criptográfico con autoridad de decisión, recertificación y mantenimiento de talento. Pocas empresas tienen hoy los cuatro; la mayoría carece incluso del primero.
Soberanía tecnológica: planes nacionales, inversión pública y la batalla por el talento cuántico
España ilustra la tensión entre ambición soberana y dependencia estructural. El CDTI —Centro para el Desarrollo Tecnológico y la Innovación— aprobó en abril de 2026 su nuevo estatuto tras casi 40 años y gestiona el PERTE Aeroespacial, desde el que financia el proyecto Spanish GEO QKD: un consorcio liderado por Thales Alenia Space que en mayo de 2026 estableció un enlace cuántico funcional entre La Palma y Tenerife (140 km de atmósfera turbulenta) validando la futura distribución de clave cuántica (QKD) desde satélite geoestacionario, pilar del ciberescudo europeo. Paralelamente, la plataforma Canarias Stratoport en Fuerteventura acoge a Thales Alenia Space y a la estadounidense-española Skydweller para probar pseudosatélites estratosféricos (HAPS) con sensores de observación y nodos de telecomunicaciones de banda ancha, orientados a control de infraestructuras críticas, monitorización marítima e inteligencia de señales en el Atlántico Medio.
Esa apuesta europea por la autonomía choca frontalmente con la diplomacia científica del Ministerio de Ciencia. En enero de 2026, el Instituto de Astrofísica de Canarias (IAC) firmó un convenio marco con el Nanjing Institute of Astronomical Optics & Technology (NIAOT), brazo operativo de la Academia China de Ciencias, para abrir los observatorios del Teide y del Roque de los Muchachos a investigadores chinos por estancias de seis meses. El acuerdo cubre espejos asféricos de gran apertura, instrumentación espectroscópica y el instrumento CHORUS para el Gran Telescopio Canarias (GTC), financiado directamente por la Academia China. La óptica de precisión requerida es técnicamente idéntica a la empleada en vigilancia espacial (Space Domain Awareness), seguimiento óptico de satélites en órbita baja e intercepción de señales electromagnéticas: tecnología de doble uso por definición.
El nexo militar chino no es especulativo. Pan Jianwei, director del satélite cuántico Micius (2016) y figura central de la infraestructura cuántica del Ejército Popular de Liberación, diseñó sus protocolos a partir de experimentos en Canarias junto a Anton Zeilinger (Nobel 2022), quien batió en 2012 el récord de teletransportación cuántica (143 km) entre La Palma y Tenerife.
El diario del EPL confirmó en enero de 2026 más de diez herramientas experimentales de ciberguerra cuántica en desarrollo, varias en pruebas en misiones de primera línea, sustentadas en un ecosistema que integra nube, IA y sensores de ultraprecisión —como la subestación cuántica de Hefei (85 dispositivos, agosto 2026) conectada a la supercomputadora Origin Wukong—. Estados Unidos incluyó a QuantumCTek (spin-off de Pan) y al Laboratorio Nacional de Hefei en su lista de control de exportaciones en 2021 y 2024 por aplicaciones militares y capacidad de descifrar o reforzar cifrado.
En las mismas cumbres donde Thales Alenia valida el escudo cuántico europeo, técnicos de la Academia China de Ciencias acceden a la óptica dual-use que sustenta la supremacía cuántica de Pekín, resultando un tablero paradójico. La soberanía no se declara en decretos; se ejerce en el control efectivo de infraestructuras, talento y cadenas de suministro.
Adopción empresarial: casos de uso reales en finanzas, logística y descubrimiento de materiales
Más allá de la criptografía, la computación cuántica empieza a piloto en verticales donde la optimización combinatoria o la simulación cuántica nativa prometen ventaja. En banca, la valoración de derivados complejos y la optimización de carteras bajo restricciones regulatorias son candidatos naturales para algoritmos variacionales (VQE, QAOA) en dispositivos NISQ actuales y futuros tolerantes a fallos. En logística, el enrutamiento de flotas, la planificación de redes de distribución y la gestión de inventarios multi-echelon son problemas NP-duros donde la heurística cuántica ya muestra ventajas marginales en instancias reducidas. En descubrimiento de materiales y fármacos, la simulación de estructura electrónica —el problema original que Feynman imaginó para los ordenadores cuánticos— avanza hacia la predicción de propiedades catalíticas y de baterías de estado sólido.
Sin embargo, la adopción real sigue lastrada por la falta de criptoagilidad en la pila tecnológica subyacente: si la capa de comunicaciones y firma digital no es migrable, cualquier ventaja computacional cuántica queda expuesta a interceptación HNDL. Los GCC, que concentran el 40-50 % de la ingeniería global de muchas multinacionales (1,9 millones de profesionales solo en India, 185+ centros de excelencia IA/ML), son el terreno de prueba natural: su escala obliga a resolver la gobernanza multi-jurisdiccional (CNSA 2.0 en EE. UU., NIS2/DORA en UE, DPDP Act en India, NCSC en UK) y la asimetría matriz-filial que paraliza a las estructuras centrales.
Computación cuántica en la nube: democratización del acceso y nuevos modelos de negocio
A través de proveedores cloud —AWS Braket, Azure Quantum, IBM Quantum, Google Quantum AI— se canaliza mayoritariamente el acceso a hardware cuántico (superconductores, iones atrapados, fotónica, átomos neutros), que exponen backends heterogéneos bajo capas de orquestación y SDK unificados. Este modelo reduce la barrera de entrada (CAPEX nulo, pago por tiro) pero introduce dependencia de proveedor, latencia de cola y opacidad en la calibración del hardware. Los nuevos modelos de negocio giran en torno a Quantum-as-a-Service (QaaS), capas de compilación y mitigación de errores como servicio, y marketplaces de algoritmos cuánticos preempaquetados para verticales.
No obstante, la democratización amplía la superficie de ataque: cada tenant que ejecuta circuitos en hardware compartido comparte lado-canal potencial (crosstalk, readout leakage) y depende de la higiene criptográfica del proveedor para proteger sus resultados y propiedad intelectual. La migración PQC de los propios proveedores cloud —TLS, VPN, firma de imágenes, cifrado en reposo, gestión de claves HSM— se convierte en prerrequisito de confianza para cualquier carga de trabajo cuántica empresarial.
Riesgos geopolíticos y regulatorios: control de exportación, estándares y gobernanza global
Canarias condensa la fractura geopolítica en un caso paradigmático: Occidente impulsa estándares abiertos (NIST, ETSI, ISO) y controles de exportación (lista de entidades US, reglamento UE de doble uso) para frenar la militarización cuántica adversaria; simultáneamente, la diplomacia científica bilateral abre infraestructuras críticas a la potencia que esos controles buscan contener. La ausencia de estándares PQC armonizados entre bloques —CNSA 2.0 (EE. UU.), recomendaciones BSI (Alemania), ANSSI (Francia), NCSC (UK), DPDP (India)— obliga a las multinacionales a mantener matrices de cumplimiento paralelas, encareciendo la migración y creando arbitrajes regulatorios.
Brilla por su ausencia la gobernanza global: no existe un régimen de no proliferación cuántica equivalente al nuclear, y los foros multilaterales (G7, G20, OCDE, ITU) emiten declaraciones de principio sin mecanismos de verificación. El control de exportación de tecnología cuántica (fuentes de fotones entrelazados, criostatos de milikelvin, electrónica de control de baja latencia) se gestiona en listas nacionales opacas, generando incertidumbre jurídica para la I+D colaborativa legítima. Mientras tanto, el talento —físicos, ingenieros de control, criptógrafos— migra hacia donde hay financiación y permisividad regulatoria, alimentando asimetrías estratégicas.
Hoja de ruta práctica: pasos inmediatos para directivos y administradores públicos
1. Inventario criptográfico ya (0-6 meses). Desplegar herramientas de crypto-discovery (escaneo de tráfico, repositorios, HSM, PKI cloud/SaaS) y clasificar cada activo por algoritmo, sistema, propietario y vida útil. Sin inventario no hay priorización posible. 2. Matriz de riesgo HNDL (3-9 meses). Cruce de criticidad del dato × horizonte de confidencialidad × facilidad de migración. Priorizar secretos comerciales, PI, datos de salud, claves raíz de PKI y certificados de firma de código con validez >5 años. 3. Arquitectura criptoágil (6-18 meses). Introducir capa de abstracción criptográfica en nuevos desarrollos; exigir selección de algoritmos configurable (no hardcoded); desplegar PKI dual-stack (clásico + PQC) e intercambio híbrido de claves TLS (RSA/ECDH + ML-KEM) en sistemas críticos. 4. Migración por oleadas (12-36+ meses). Oleada 1: activos HNDL de alta prioridad (comunicaciones externas sensibles, firma legal, claves maestras). Oleada 2: infraestructura interna crítica (VPN, autenticación, cifrado BD, mTLS entre microservicios). Oleada 3: legacy/OT/IoT con gateways de traducción criptográfica donde no sea posible tocar el sistema. 5. Gobierno criptográfico continuo (permanente). Revisión anual de inventario, suscripción a alertas NIST/ENISA/CCN-CERT, cláusulas de quantum-readiness en contratos proveedores, formación anual en PQC, reporte al consejo con cuatro métricas: % inventario vulnerable, % activos HNDL migrados, # sistemas con arquitectura criptoágil, % proveedores críticos con cláusulas cuánticas.
6. Alineación matriz-filial en GCC. Adoptar marcos como PGGF: gobernanza estratégica a nivel de consejo (KPI Time-to-React), gobernanza de activos criptográficos (CBOM, clasificación Mosca, evaluación HNDL transfronteriza), gobernanza técnica de migración (selección algorítmica informada por rendimiento multi-capa y multi-arquitectura), gobernanza de cumplimiento (denominadores comunes regulatorios), gobernanza de talento (CoE PQC, transferencia conocimiento, comunicación de amenaza cuántica). 7. Due diligence geopolítica en infraestructuras dual-use. Auditar accesos extranjeros a instalaciones con tecnología de doble uso (óptica de precisión, sensores cuánticos, enlaces de espacio libre) bajo criterios de seguridad nacional, no solo científicos. Coordinar ministerios de Ciencia, Defensa, Interior y Asuntos Exteriores antes de firmar convenios marco.
Se cierra la ventana de acción: los estándares existen, la amenaza está cuantificada, los marcos de gobernanza están publicados y los pilotos europeos operan en Canarias. Lo que falta es la decisión ejecutiva de tratar la migración criptográfica como un programa de gobernanza empresarial y soberana —no como un proyecto de TI— y de alinear la diplomacia científica con la estrategia de defensa. El Q-Day no avisará; el riesgo HNDL ya factura.
