Computación cuántica y seguridad de datos: ¿qué normas legales se aplican?

Ninguna ley neerlandesa ni europea regula la computación cuántica como tal. Lo que se aplica es la legislación vigente sobre seguridad de la información, lo que plantea una pregunta concreta: ¿seguirán siendo suficientes las medidas de seguridad actuales cuando los datos cifrados ahora puedan descifrarse posteriormente? La principal excepción son el control de exportaciones y la evaluación de inversiones, que sí contienen normas específicas para la tecnología cuántica.

Ya se aplican tres obligaciones. El artículo 32 del Reglamento General de Protección de Datos (RGPD, en neerlandés AVG ) exige medidas de seguridad que tengan en cuenta el estado de la técnica. Se trata de un estándar en constante evolución, no fijo, que también abarca datos que deben permanecer confidenciales durante años, como historiales médicos, expedientes de personal y archivos legales. La Ley neerlandesa de Ciberseguridad ( Cyberbeveiligingswet ), que implementa la Directiva NIS2 de la UE, exige a las organizaciones de los sectores esenciales e importantes designados que gestionen los riesgos para sus redes y sistemas de información, y hace responsable al órgano de gestión de la aprobación de dichas medidas. Para las entidades financieras, la Ley de Resiliencia Operativa Digital (DORA, Reglamento (UE) 2022/2554) añade sus propios requisitos sobre controles criptográficos y riesgo de terceros.

El riesgo práctico no reside en que alguien descifre tu tráfico hoy, sino en que los datos cifrados sean interceptados y almacenados ahora, para ser descifrados cuando exista la capacidad para ello. Para datos con un largo período de confidencialidad, esto convierte la migración a la criptografía postcuántica en una tarea inmediata, no en un proyecto futuro. Se han publicado estándares internacionales para estos algoritmos y se están adoptando.

La tecnología cuántica también implica controles de exportación y análisis de inversiones. Ciertos productos cuánticos son bienes de doble uso según las normas europeas de control de exportaciones, y las inversiones en empresas neerlandesas activas en tecnología cuántica pueden estar sujetas a un control de seguridad.

¿Por qué la computación cuántica plantea cuestiones legales sobre la seguridad de los datos?

Porque una computadora cuántica lo suficientemente potente podría romper el cifrado en el que se basa gran parte de la protección de datos actual. La ley no menciona la computación cuántica, pero exige medidas de seguridad acordes con los riesgos.

Ese mismo poder genera un problema de seguridad. El cifrado de clave pública que protege gran parte de nuestras comunicaciones digitales, desde la banca en línea hasta las firmas digitales, se basa en problemas matemáticos que las computadoras convencionales no pueden resolver en un tiempo razonable. Una computadora cuántica suficientemente grande y estable podría resolver algunos de esos problemas. Se desconoce cuándo existirá una computadora así, pero los gobiernos y los servicios de seguridad se toman el riesgo muy en serio.

¿Cuál es el principal desafío legal?

El reto consiste en proteger los datos confidenciales frente a futuras amenazas con las herramientas legales disponibles en la actualidad. Dichas herramientas son estándares abiertos como "tecnología de punta" y "medidas apropiadas".

Cualquier enfoque legal debe abordar una serie de preocupaciones:

• Protección de los datos existentes: Los atacantes pueden recopilar datos cifrados hoy en día y almacenarlos hasta que puedan descifrarlos. Esto se conoce como "recolectar ahora, descifrar después".
• Nuevos estándares: Las organizaciones deben adoptar la criptografía postcuántica (PQC), nuevos métodos de cifrado diseñados para resistir ataques tanto de ordenadores convencionales como cuánticos.
• Responsabilidad: Si se produce una filtración de datos debido a que el cifrado estaba obsoleto, la pregunta es quién es el responsable: la organización, su proveedor o ambos.
• Innovación: Las normas no deben obstaculizar innecesariamente la investigación ni el uso de la tecnología cuántica.

¿Cómo amenaza la computación cuántica la encriptación moderna?

Las computadoras cuánticas pueden resolver de manera eficiente los problemas matemáticos en los que se basa el cifrado de clave pública. El cifrado simétrico, como AES con claves largas, se considera mucho menos vulnerable.

¿Por qué es vulnerable la criptografía de clave pública?

La criptografía de clave pública se basa en problemas como la factorización de números muy grandes. Una computadora cuántica podría resolver esos problemas en un tiempo razonable.

Este sistema es la base de los sitios web seguros (HTTPS), las conexiones VPN, el cifrado de correo electrónico y las firmas digitales. Su fortaleza reside en la dificultad de ciertos problemas matemáticos, como la factorización de números muy grandes en números primos o el problema del logaritmo discreto. Para un ordenador convencional, resolver estos problemas con los tamaños de clave utilizados requeriría un tiempo excesivamente largo.

Un ordenador cuántico suficientemente potente podría resolver estos problemas de forma eficiente. El cifrado simétrico, como AES, se ve afectado en menor medida: las claves más largas, como AES-256, se consideran generalmente adecuadas. Por lo tanto, el marco legal para la seguridad de los datos debe centrarse principalmente en los sistemas de clave pública.

¿Qué es el algoritmo de Shor?

El algoritmo de Shor, publicado en 1994, es un algoritmo cuántico capaz de factorizar números grandes de manera eficiente. En una computadora cuántica grande y estable, lograría descifrar los sistemas de clave pública más utilizados, como RSA y la criptografía de curva elíptica.

¿En qué consiste la amenaza de "cosechar ahora, descifrar después"?

Los atacantes pueden recopilar datos cifrados hoy y descifrarlos más adelante, cuando las computadoras cuánticas sean lo suficientemente potentes. Por lo tanto, los datos que deben permanecer confidenciales durante muchos años ya están en riesgo.

Esto amenaza principalmente la información que debe permanecer confidencial durante mucho tiempo, como por ejemplo:

• secretos de Estado y de defensa con periodos de confidencialidad de décadas.
• Propiedad intelectual de las empresas, como secretos comerciales y datos de investigación.
• Datos personales sensiblestales como datos médicos y biométricos.
• Registros financieros y legales que deben mantenerse seguros por razones legales y reglamentarias.

¿Cómo se está preparando Países Bajos para la tecnología cuántica?

Los Países Bajos invierten en tecnología cuántica a través de un programa nacional y han publicado una guía práctica para la transición a la criptografía postcuántica. No existe legislación específica neerlandesa sobre computación cuántica.

El programa nacional Quantum Delta NL reúne al gobierno, las universidades y las empresas. Se basa en la Agenda Nacional para la Tecnología Cuántica de 2019 y recibe financiación, entre otras fuentes, del Fondo Nacional de Crecimiento ( Nationaal Groeifonds ). El programa abarca la computación cuántica, las redes cuánticas y la detección cuántica, y presta especial atención a los aspectos sociales y éticos de la tecnología. Se trata de decisiones políticas, no de normas legales vinculantes para las empresas.

¿Qué se está haciendo respecto a la criptografía postcuántica?

El gobierno neerlandés ha publicado un manual sobre la migración al sistema PQC, y se recomienda a las organizaciones que comiencen a prepararse cuanto antes. La transición lleva años, por lo que esperar aumenta el riesgo.

En 2023, el Servicio General de Inteligencia y Seguridad (AIVD), la organización de investigación TNO y el Centro de Ciencia e Informática (CWI) publicaron un manual de migración a PQC. Este manual ofrece a las organizaciones pasos prácticos para prepararse para la transición, comenzando con un inventario de la criptografía que utilizan.

El mensaje es que la transición a la criptografía basada en probabilidad (PQC) no es un problema teórico y lejano, sino una tarea que las organizaciones deben planificar ahora, ya que lleva años. Esto concuerda con la Directiva NIS2 europea, que exige estándares de ciberseguridad más elevados para las entidades esenciales e importantes y que se ha implementado en los Países Bajos mediante la Ley de Ciberseguridad. Las organizaciones sujetas a dicha ley deben evaluar sus riesgos, incluidos los riesgos para su criptografía.

¿Qué normativa europea regula la seguridad de los datos cuánticos?

El RGPD, la Directiva NIS2, la DORA y la Ley de Resiliencia Cibernética exigen medidas de seguridad que se ajusten a los riesgos y al estado actual de la técnica. Junto con la hoja de ruta de la UE para la computación cuántica probabilística (PQC), impulsan a las organizaciones hacia un cifrado seguro frente a la computación cuántica.

¿Cómo se aplica el RGPD en un mundo cuántico?

El RGPD no menciona la computación cuántica, pero es tecnológicamente neutro. La obligación de adoptar medidas de seguridad adecuadas que reflejen el estado de la técnica también abarca el riesgo cuántico.

Dos disposiciones son fundamentales. El artículo 25 del RGPD exige la protección de datos desde el diseño y por defecto : las organizaciones deben incorporar salvaguardas técnicas para los datos personales en los nuevos procesos desde el principio. El artículo 32 del RGPD exige medidas técnicas y organizativas adecuadas, teniendo en cuenta el estado de la técnica, los costes y los riesgos. A medida que los estándares postcuánticos maduren, el término «estado de la técnica» implicará cada vez más el uso de cifrado resistente a la computación cuántica para los datos personales que deben permanecer confidenciales durante un largo periodo. Una organización que no planifique esta transición corre el riesgo de que su seguridad deje de considerarse adecuada. Para más información sobre estos principios, consulte nuestra guía sobre el Reglamento General de Protección de Datos.

Si una seguridad insuficiente provoca una violación de datos, la organización deberá notificarlo a la Autoridad de Protección de Datos de los Países Bajos en un plazo de 72 horas (Artículo 33 del RGPD). Dicha autoridad puede imponer multas de hasta 20 millones de euros o el 4 % de la facturación anual mundial, y las personas afectadas podrán reclamar indemnizaciones en virtud del Artículo 82 del RGPD.

¿Qué nuevas normas de la UE impulsan a las organizaciones hacia la preparación cuántica?

La Directiva NIS2, la DORA y la Ley de Resiliencia Cibernética imponen obligaciones más amplias en materia de ciberseguridad. Ninguna de ellas prescribe algoritmos específicos resistentes a la computación cuántica, pero todas exigen una seguridad basada en el riesgo que tenga en cuenta el estado de la técnica.

Además del RGPD, tres instrumentos de la UE refuerzan las obligaciones en materia de ciberseguridad sin mencionar normas específicas para la protección cuántica:

• Ley de Resiliencia Cibernética (CRA, Reglamento (UE) 2024/2847): Esta normativa establece requisitos de ciberseguridad para productos con componentes digitales, como dispositivos conectados y software. Los fabricantes deben integrar la seguridad en sus productos y gestionar las vulnerabilidades. Las obligaciones de información entran en vigor el 11 de septiembre de 2026 y la mayoría de las demás obligaciones, el 11 de diciembre de 2027. La CRA no exige el cifrado resistente a la computación cuántica, pero sí requiere medidas de seguridad adecuadas a los riesgos.
• La Directiva NIS2: Esta directiva extiende las obligaciones de ciberseguridad a una amplia gama de entidades esenciales e importantes, como los sectores de energía, salud e infraestructura digital. Exige la gestión de riesgos, incluidas las políticas sobre criptografía y cifrado (Artículo 21), y la notificación de incidentes significativos. En los Países Bajos, se implementa mediante la Ley de Ciberseguridad.
• DORA: Desde el 17 de enero de 2025, las entidades financieras deben contar con un marco de gestión de riesgos de las TIC que incluya políticas sobre cifrado y controles criptográficos, y deben gestionar los riesgos de sus proveedores de TIC.

Estas normas marcan una dirección clara. Si bien la adopción del cifrado resistente a la computación cuántica aún no es un requisito legal explícito, para las organizaciones que manejan datos confidenciales a largo plazo se deriva cada vez más del deber general de adoptar medidas adecuadas y de vanguardia.

¿Cómo se comparan los estándares de cumplimiento actuales con los previstos?

La tabla compara el enfoque actual con lo que probablemente se espere una vez que se establezcan los estándares post-cuánticos. La columna de la derecha describe los desarrollos previstos, no la legislación vigente.

¿Cuál es el enfoque europeo en materia de seguridad cuántica?

La UE coordina la transición al PQC mediante una Recomendación de la Comisión del 11 de abril de 2024 y una hoja de ruta de junio de 2025. El objetivo de la hoja de ruta es proteger los sistemas de alto riesgo a más tardar en 2030.

Para evitar un enfoque fragmentado, la UE trabaja en una transición coordinada. El 11 de abril de 2024, la Comisión Europea adoptó una Recomendación sobre una hoja de ruta de implementación coordinada para la transición a la criptografía postcuántica. Sobre esa base, los Estados miembros, con el apoyo de la Comisión, publicaron una hoja de ruta el 23 de junio de 2025. Esta hoja de ruta establece que los Estados miembros inicien la transición a finales de 2026, que los sistemas de alto riesgo, como las infraestructuras críticas, estén protegidos con criptografía postcuántica a más tardar a finales de 2030, y que el mayor número posible de sistemas se sumen a la transición antes de 2035.

La hoja de ruta es un compromiso político, no una ley vinculante. Sin embargo, muestra lo que los reguladores y las autoridades de supervisión esperan, y es probable que influya en la interpretación de los estándares abiertos del RGPD, la NIS2 y la DORA.

En julio de 2025, la Comisión también adoptó una Estrategia para una Europa Cuántica, y su programa de trabajo para 2026 anuncia una propuesta legislativa para una Ley Cuántica. En el momento de redactar este texto, dicha ley no es legislación de la UE; conviene comprobar su estado actual antes de basarse en ella.

¿Cómo prepararse para cumplir con la normativa de seguridad cuántica?

Empiece por hacer un inventario de su criptografía, luego evalúe qué datos y sistemas corren mayor riesgo y migre por fases. El objetivo es la criptoagilidad: poder reemplazar algoritmos rápidamente.

El objetivo es la criptoagilidad : la capacidad de reemplazar rápidamente los métodos criptográficos ante la aparición de nuevas amenazas o estándares. El proceso comienza con una pregunta: ¿dónde se encuentra usted más vulnerable? Utilice los requisitos del RGPD y, cuando corresponda, la NISF2 y la DORA como marco de referencia.

Fase 1: ¿Cómo se elabora un inventario criptográfico?

Debes mapear toda la criptografía que usa tu organización, incluyendo el software y los dispositivos de los proveedores. Sin esa visión general, no puedes establecer prioridades.

Mira más allá de tus servidores principales. El inventario debe cubrir:

• Datos en tránsito: ¿Cómo están protegidas sus conexiones de correo electrónico, VPN y nube?
• Los datos en reposo: ¿Qué tipo de cifrado protege sus bases de datos, copias de seguridad y ordenadores portátiles?
• Sistemas integrados: Criptografía en software de terceros, dispositivos conectados y equipos de red.
• Sistemas heredados: Las aplicaciones antiguas suelen contener cifrado obsoleto y vulnerable.

Revise también sus contratos. Los acuerdos con proveedores de TI y de servicios en la nube deben obligarlos a proporcionar información sobre la criptografía que utilizan, a brindar soporte para las actualizaciones y a colaborar en caso de migración. Según el artículo 28 del RGPD, el encargado del tratamiento de datos también debe ofrecer garantías suficientes para una seguridad adecuada.

Fase 2: ¿Cómo se evalúan los riesgos y se establecen las prioridades?

Evalúe sus sistemas según la sensibilidad de los datos y el tiempo que deben permanecer confidenciales. Los datos que deben protegerse durante más de diez años tienen prioridad.

Utilice estas preguntas para establecer prioridades:

1. ¿Qué datos deben permanecer confidenciales durante más de diez años? Piense en la propiedad intelectual, los registros financieros a largo plazo y los datos personales confidenciales. Este es el principal objetivo de los ataques de "recopilación inmediata, descifrado posterior".
2. ¿Qué sistemas son los más expuestos a amenazas externas? Las aplicaciones de cara al público y los protocolos de transferencia de datos están en primera línea.
3. ¿Cuáles son sus obligaciones legales y contractuales? El RGPD, las normas sectoriales y los acuerdos con los clientes determinan el nivel de seguridad que debe cumplir para determinados datos y durante cuánto tiempo debe conservarlos.

Fase 3: ¿Cómo se migra a la criptografía postcuántica?

Sustituya los algoritmos vulnerables por fases, comenzando por los de mayor riesgo, y realice pruebas exhaustivas. Siempre que sea posible, combine métodos clásicos y postcuánticos durante la transición.

Con prioridades claras, puede iniciar la migración gradual a la criptografía postcuántica (PQC) . No se trata de una simple sustitución. Requiere planificación, pruebas e implementación cuidadosa para no interrumpir las operaciones comerciales. Un enfoque común durante la transición es una solución híbrida que combina métodos clásicos y postcuánticos.

Documente sus decisiones, la evaluación de riesgos y la planificación. Si posteriormente un organismo regulador o un tribunal le pregunta si sus medidas de seguridad fueron adecuadas, esa documentación le servirá como prueba.

¿Qué cuestiones legales siguen abiertas?

Además del cifrado, la tecnología cuántica plantea interrogantes sobre responsabilidad, propiedad intelectual, privacidad y control de exportaciones. Algunas de estas cuestiones pueden resolverse con la legislación vigente; otras corresponderán a los tribunales y al poder legislativo.

Una de las cuestiones principales es la responsabilidad. Si una empresa sufre una filtración de datos debido a que su cifrado estaba desactualizado, ¿quién es el responsable? Según la legislación neerlandesa, la respuesta parte de la normativa vigente. Frente a las personas cuyos datos se vieron afectados, la organización es responsable en virtud del RGPD y puede tener que indemnizar por daños y perjuicios (artículo 82 del RGPD). Frente a los clientes, puede ser responsable por incumplimiento de contrato (artículo 6:74 del Código Civil neerlandés). La posibilidad de recuperar los daños de un proveedor de software que no proporcionó actualizaciones seguras frente a ataques cuánticos depende del contrato y de lo que razonablemente se podía esperar en ese momento. Los tribunales tendrán que determinar cómo evoluciona el estado de la técnica con el tiempo.

¿Quién es el propietario de los inventos realizados con ordenadores cuánticos?

Según la legislación actual sobre patentes, solo una persona física puede figurar como inventora. Un invento desarrollado con la ayuda de una computadora cuántica puede patentarse, pero el inventor debe ser un ser humano.

Las computadoras cuánticas podrían ayudar a diseñar moléculas, materiales y algoritmos que hoy en día son inviables. Esto plantea la cuestión de la propiedad de dichas invenciones. La Sala de Recursos de la Oficina Europea de Patentes dictaminó en 2021 (caso J 8/20) que el inventor nombrado en una solicitud de patente debe ser una persona física, no una máquina. Las invenciones realizadas con herramientas informáticas aún pueden patentarse, figurando como inventor la persona que dirigió el trabajo. Los contratos deben especificar claramente la propiedad de los resultados generados con servicios de computación cuántica, especialmente cuando se utiliza la capacidad de cómputo de un tercero.

La computación cuántica también puede aumentar la capacidad de analizar grandes cantidades de datos. Los principios del RGPD relativos a la limitación de la finalidad, la minimización de datos y la proporcionalidad se aplican plenamente a dichos análisis, y se requiere una evaluación de impacto relativa a la protección de datos (artículo 35 del RGPD) cuando el tratamiento de datos pueda suponer un alto riesgo para las personas.

¿Qué normas de exportación e inversión se aplican a la tecnología cuántica?

Determinados artículos cuánticos son bienes de doble uso según las normas de control de exportaciones de la UE. Las inversiones en empresas neerlandesas activas en tecnología cuántica pueden estar sujetas a un control de seguridad en virtud del Reglamento Vifo (Wet Vifo).

La tecnología cuántica es estratégicamente sensible. El Reglamento (UE) 2021/821 sobre el uso dual de la tecnología cuántica y las normativas nacionales pueden requerir una licencia para la exportación de determinados ordenadores cuánticos, componentes y software y tecnología relacionados. Las listas se actualizan periódicamente, por lo que conviene consultar la versión vigente antes de exportar o compartir tecnología con terceros fuera de la UE.

En los Países Bajos, la Ley de Control de Seguridad en Inversiones, Fusiones y Adquisiciones ( Wet veiligheidstoets investeringen, fusies en overnames , Wet Vifo) está en vigor desde el 1 de junio de 2023. Las adquisiciones y ciertas inversiones en empresas que operan en el sector de tecnologías sensibles, que pueden incluir elementos cuánticos en las listas de doble uso, deben notificarse a la Oficina de Control de Inversiones ( Bureau Toetsing Investeringen , BTI) y no pueden completarse sin su aprobación. Por lo tanto, las empresas emergentes y los inversores en tecnología cuántica deben verificar con antelación si una transacción está sujeta a notificación.

¿Qué debería comprobar una organización que maneja datos confidenciales?

Según el artículo 32 del RGPD y, cuando corresponda, la Ley de Ciberseguridad, usted sigue siendo responsable de la seguridad de sus datos, incluso cuando los proveedores gestionan sus sistemas. Tenga en cuenta estos puntos:

• Identifique los datos que deben permanecer confidenciales durante más de diez años, como expedientes de personal, datos médicos y secretos comerciales.
• Compruebe si su organización está sujeta a la Ley de Ciberseguridad o a la Ley DORA, y si el órgano de gestión ha aprobado las medidas de riesgo.
• Pregunte por escrito a sus proveedores de TI y de servicios en la nube qué criptografía utilizan y cuándo admitirán métodos post-cuánticos.
• Verifique que sus acuerdos de procesamiento de datos, conforme al artículo 28 del RGPD, obliguen a los encargados del tratamiento a actualizar sus medidas de seguridad al estado de la técnica.
• Documente su inventario, evaluación de riesgos y planificación de la migración, para que pueda demostrar a un organismo regulador o a un tribunal lo que hizo.

¿Qué debe comprobar como proveedor de software o dispositivos?

Sus clientes le transferirán sus obligaciones de seguridad mediante contrato, y la Ley de Resiliencia Cibernética añade obligaciones directas sobre el producto a partir del 11 de septiembre de 2026. Tenga en cuenta estos puntos:

• Compruebe si sus productos con elementos digitales están sujetos a la Ley de Derechos del Consumidor (CRA) y qué obligaciones se aplican entre el 11 de septiembre de 2026 y el 11 de diciembre de 2027.
• Revise las cláusulas de seguridad, actualización y responsabilidad en los contratos con sus clientes y en las condiciones generales.
• Defina el período de soporte durante el cual se entregarán las actualizaciones de seguridad, incluidas las actualizaciones criptográficas.
• Compruebe si su hardware, software o tecnología cuántica requiere una licencia de exportación en virtud del Reglamento (UE) 2021/821.
• Compruebe si una inversión en su empresa debe notificarse al BTI en virtud del Wet Vifo.

¿Qué podemos hacer por usted en materia de seguridad de datos relacionados con la computación cuántica?

Nuestros abogados especializados en TI asesoran a las empresas en materia de protección de datos, obligaciones en ciberseguridad y contratos con proveedores de TI:

• Evaluamos si su organización está sujeta a la Ley de Ciberseguridad, la Ley DORA o la Ley de Reinversión Comunitaria (CRA), y qué requisitos debe cumplir en cada caso.
• Revisamos y redactamos cláusulas de seguridad, actualización y responsabilidad en acuerdos de TI, nube y procesamiento de datos.
• Le ayudamos a documentar su evaluación de riesgos y su plan de migración para que cumpla con los requisitos de un organismo regulador.
• Le asesoramos sobre la notificación de la violación de datos a la Autoridad de Protección de Datos de los Países Bajos dentro del plazo de 72 horas.
• Verificamos si una transacción debe notificarse conforme al Reglamento Wet Vifo o si una exportación requiere una licencia.

Resumen

• Ninguna ley regula la computación cuántica como tal; el RGPD, la Ley de Ciberseguridad (NIS2) y la DORA exigen medidas de seguridad que se ajusten al estado de la técnica y a los riesgos.
• "Recopilar ahora, descifrar después" significa que los datos con un largo período de confidencialidad ya están en riesgo.
• La hoja de ruta de la UE de junio de 2025 prevé que los sistemas de alto riesgo utilicen criptografía postcuántica a más tardar a finales de 2030; se trata de un compromiso político, no de una ley vinculante.
• Comience con un inventario criptográfico, priorice según la sensibilidad y el período de retención, y migre por fases con la criptoagilidad como objetivo.
• La tecnología cuántica también está sujeta a controles de exportación y, en el caso de inversiones en empresas holandesas, posiblemente a un análisis en virtud de la normativa Wet Vifo.

Preguntas frecuentes