Criptografía poscuántica: qué implica revisar la seguridad de una entidad

Si en tu empresa se habla de actualizar la seguridad digital, es normal que la primera pregunta sea cuánto habría que reservar y cuánto duraría el trabajo. La nota del Banco de España no da una cifra en euros ni un plazo: comunica que España y Portugal cooperarán para abordar riesgos de ciberseguridad y estabilidad financiera asociados al desarrollo de la computación cuántica. Para una entidad concreta, el presupuesto dependerá de cuántos sistemas haya que revisar, del trabajo necesario y de las sustituciones que finalmente decida realizar.

¿Qué han acordado España y Portugal?

El comunicado del Banco de España, publicado el 23 de octubre de 2026, informa de la firma de un Memorándum de Entendimiento entre el Banco de España y el Banco de Portugal. Ambos se comprometen a desplegar un Programa de Cooperación en Criptografía Post Cuántica, tras una reunión de alto nivel celebrada en Lisboa.

El objetivo declarado es afrontar con más eficacia los riesgos emergentes de ciberseguridad y estabilidad financiera que plantea el desarrollo de la computación cuántica. La comunicación presenta una línea de cooperación institucional. No anuncia una fecha límite para que las empresas migren, un requisito técnico concreto para cada entidad ni una subvención para afrontar los cambios.

La distinción importa para cualquier organización que quiera presupuestar. El acuerdo trata de preparación y colaboración entre instituciones; no es una tabla de precios para proveedores ni una auditoría pública de los sistemas de cada banco o empresa. Tampoco permite deducir cuánto costará adaptar certificados, firmas digitales o conexiones en una infraestructura concreta.

¿Cuántos euros costaría revisar certificados, firmas y conexiones de una entidad con 50 sistemas, y en cuántos meses podría hacerlo?

Con la información del dossier no puede calcularse una cifra verificable para 50 sistemas. Faltan los datos que convertirían ese número en presupuesto: horas necesarias por sistema, tarifa de quienes hagan la revisión y coste de sustitución de los componentes que la entidad decida cambiar. También falta un plazo de referencia. La nota del Banco de España no cuantifica ninguno de esos elementos.

La forma honesta de estimarlo es trabajar con variables propias. Primero se inventarían los sistemas y se identificarían, entre otros elementos, los certificados, las firmas y las conexiones que dependen de criptografía. Después se asignarían horas de revisión y un coste por hora contrastado con la empresa o el proveedor que vaya a realizar el trabajo. Si el análisis recomienda sustituciones, se añadiría ese coste con presupuestos o precios comprobables.

La expresión puede ser sencilla, aunque sus entradas no lo sean: coste orientativo = (número de sistemas × horas medias de revisión por sistema × coste por hora) + costes de sustitución. El resultado es una estimación del escenario cargado por el usuario. No es una cifra oficial, una oferta comercial ni una predicción de cuánto pagará una entidad.

Por ejemplo, introducir 50 sistemas no basta para obtener un total: aún hay que saber cuántas horas se dedicarán a cada uno, cuánto cuesta una hora profesional y qué cambios habría que comprar o implementar. Asignar cifras inventadas a esas variables produciría una falsa precisión. Por eso, cualquier cantidad que salga de un simulador debería describirse como escenario ilustrativo basado en las entradas del lector.

El plazo requiere otra entrada independiente. Si el usuario introduce una duración en meses, se puede dividir el coste estimado entre ese plazo para mostrar un promedio mensual. Esa operación distribuye el presupuesto de forma aritmética; no demuestra que el proyecto pueda completarse en ese tiempo ni que los gastos se repartan de manera uniforme.

¿Qué permite comparar una estimación y qué deja fuera?

Separar revisión y sustitución ayuda a entender dónde se concentra un escenario. La tabla siguiente no ofrece tarifas: organiza los componentes que el lector tendría que completar con datos de su entidad. No asigna precio ni duración a ninguno, porque las fuentes reunidas no publican esos valores.

El ejercicio tampoco debe confundirse con un diagnóstico técnico. Un inventario de sistemas puede ayudar a ordenar el trabajo, pero solo una revisión de la infraestructura permite determinar qué elementos están presentes, qué dependencias existen y qué cambios serían adecuados. Esos aspectos no están descritos para una entidad concreta en la nota bilateral.

En su portal para empresas, INCIBE reúne recursos de ciberseguridad dirigidos al tejido empresarial. Puede servir como punto de partida institucional para orientarse, pero la existencia del portal no aporta una tarifa de migración poscuántica ni un presupuesto personalizado. El coste debe pedirse a partir del alcance real y de propuestas comparables.

¿Cómo usar la calculadora sin confundir el resultado con una cotización?

El simulador asociado a esta pieza puede ayudar a ordenar un cálculo: sistemas, horas de revisión por sistema, coste por hora, sustitución estimada y plazo elegido. El usuario verá un total y un promedio mensual derivados de esos campos. Si todavía no dispone de una tarifa o un coste de sustitución, conviene dejar claro que el resultado es provisional o esperar a tenerlos, en vez de sustituirlos por una cifra supuesta.

Antes de usar el resultado para pedir presupuesto, conviene definir qué significa “sistema” en el inventario de la entidad y si la revisión cubre solo certificados, firmas y conexiones o también las dependencias relacionadas. Después, se pueden contrastar las horas y los precios con especialistas y proveedores. Comparar propuestas con el mismo alcance hace más útil la diferencia de importes que enfrentar totales basados en trabajos distintos.

La calculadora de Diario Económico puede servir como referencia para organizar otros escenarios financieros. En esta estimación concreta, el resultado dependerá exclusivamente de los datos introducidos. No sustituye una auditoría, un plan técnico ni una oferta de proveedor.

¿Qué información pública sirve para poner la noticia en contexto?

La fuente directa para conocer el contenido del acuerdo es el Banco de España. El INE publica notas de prensa y comunicados sobre sus operaciones estadísticas; no es una fuente de precios de servicios de criptografía. El BOE permite consultar el diario oficial y la información jurídica publicada, pero el dossier no cita una norma que fije un coste o plazo para esta migración.

Esta consulta a portales oficiales ayuda a mantener en su sitio cada fuente: el Banco de España informa del acuerdo; INCIBE ofrece recursos de ciberseguridad para empresas; el INE difunde información estadística; y el BOE es el diario oficial. Ninguna de esas referencias, según la documentación reunida para esta pieza, establece una tarifa general que permita responder en euros cuánto pagará una entidad con 50 sistemas.

La conexión con la búsqueda de “inteligencia artificial para empresas” es secundaria: el anuncio se refiere a criptografía poscuántica y riesgos de ciberseguridad, no a una herramienta de inteligencia artificial ni a su coste para pymes. Para quien dirige una empresa, la conclusión práctica es más acotada: el acuerdo confirma cooperación institucional ante un riesgo emergente, mientras que el presupuesto individual exige inventario, alcance, horas y precios contrastados.