¿Qué exige exactamente la orden ejecutiva post-cuántica de EE. UU. — y a quién alcanza?

Dos fechas, y un silencio. Al 3 de noviembre de 2026, la Orden Ejecutiva 14412 — “Securing the Nation Against Advanced Cryptographic Attacks”, firmada el 22 de junio de 2026 — fija los primeros plazos post-cuánticos vinculantes para los sistemas civiles federales de EE. UU.: establecimiento de llaves post-cuántico en los activos de alto valor y sistemas de alto impacto al 31 de diciembre de 2030, y firmas digitales post-cuánticas en esos mismos sistemas al 31 de diciembre de 2031 (EO 14412, Sec. 4(b)). Su memo de ejecución, OMB M-26-15 (24 de junio de 2026), hizo vencer el plan de migración de cada agencia el 22 de octubre de 2026 — y a hoy, ni OMB ni la Oficina del Director Cibernético Nacional (ONCD) han publicado cuántos planes llegaron. La única línea base federal medida es el informe GAO-27-108740 (octubre de 2026): ninguna de las 24 agencias CFO Act cumplió del todo las tres prácticas de transición post-cuántica de la GAO. Rosetta Quantum lee la letra chica, sección por sección, para que un equipo de seguridad pueda citar la orden misma — no el resumen de un vendor.

¿Qué ordena exactamente la Orden Ejecutiva 14412 — y para cuándo?

Dos migraciones vinculantes, envueltas en un andamiaje de entregables fechados. El núcleo es la Sección 4(b): las agencias deberán llevar sus activos de alto valor (HVA, según OMB M-19-03) y sus sistemas de alto impacto (FIPS 199 “high”) a establecimiento de llaves post-cuántico al 31 de diciembre de 2030 y a firmas digitales post-cuánticas al 31 de diciembre de 2031. Todo lo demás en la orden existe para hacer ejecutables esas dos fechas. La letra chica, con los números de sección citables:

Una nota sobre las fechas: la orden escribe la mayoría de los plazos como “within N days” desde la firma del 22 de junio de 2026; las fechas de calendario marcadas con ≈ son esa aritmética, y las dos del 31 de diciembre están escritas explícitamente en el texto. La Sección 7 agrega la letra chica estándar que desarma lecturas descuidadas: todo queda “sujeto a la disponibilidad de apropiaciones”, y la orden no crea derechos exigibles.

¿Qué agregó el memo OMB M-26-15 — y qué venció el 22 de octubre?

El manual de ejecución — y el primer entregable duro de todo el programa. El memo M-26-15 de OMB, “Execution of the Migration to Post-Quantum Cryptography” (24 de junio de 2026, dos días después de la orden), ordenó a cada agencia cubierta entregar un plan de migración a OMB y ONCD “no later than 120 days from the date of this memorandum” — es decir, al 22 de octubre de 2026. El memo también fija la forma de la década: cinco fases — Estrategia, Planificación y Descubrimiento (2026–2027), Pilotos y Migración Temprana (2027–2028), Migración Priorizada (2028–2030), Migración de Firmas (2031), Migración Completa (2035) — más un piso de seguridad de transporte: TLS 1.3 “as soon as practicable, but not later than January 2, 2030” (M-26-15, citando la EO 14306).

El plan que cada agencia debió presentar no es un memo de buenas intenciones. M-26-15 enumera su contenido obligatorio: una estrategia de priorización justificada por riesgo; cronogramas e hitos para las fases de migración; cronogramas de prueba y despliegue para TLS 1.3; métodos y herramientas del inventario criptográfico; un plan de arquitectura criptográficamente ágil; un plan de coordinación con terceros; estimaciones de fondos y personal; una estrategia de gestión de riesgo para el período de transición; y roles de gobernanza definidos. Dos detalles más que vale citar textuales: el memo llama al plan un “dynamic document that will mature over time”, y compromete a OMB solo a “assess agency-wide progress and release further guidance as needed” — no fija ninguna obligación de reporte público. Recuerde esa línea; explica el silencio de dos secciones más abajo.

¿A quién alcanza el mandato — y a quién no?

Tres anillos y una exención explícita. El núcleo vinculante cubre a las agencias civiles federales — y dentro de ellas, no todo: la Sección 4(b) obliga a los activos de alto valor y sistemas de alto impacto, y el resto del parque federal sigue bajo la Fase 5 de M-26-15 (2035, “based on risk and commercial availability”). El segundo anillo son los contratistas federales: la Sección 6(c) los arrastrará vía derecho de compras — una regla FAR propuesta hacia el 19 de diciembre de 2026, con cumplimiento (FIPS del NIST, incluidos los PQC) exigido al 31 de diciembre de 2030. Si usted le vende software o servicios a una agencia de EE. UU., esa fecha se convertirá en cláusula de contrato, no en comentario de política. El tercer anillo es la infraestructura crítica: la Sección 5(a) ofrece ayuda de las Sector Risk Management Agencies y CISA para armar planes de migración — asistencia, sin plazo adjunto.

La exención explícita: los Sistemas de Seguridad Nacional (NSS). Tanto la orden (Sec. 4(b)) como M-26-15 (“this memorandum does not apply to national security systems”) los dejan fuera — porque ya corren con un reloj separado y más temprano: el CNSA 2.0 de la NSA, bajo el cual las nuevas adquisiciones para NSS deberán ser resistentes a lo cuántico desde 2027, todo el equipamiento NSS debería ser QR-capaz al 2030, y todos los NSS deberán ser resistentes al 2031 (presentación de la NSA sobre criptografía quantum-resistant, M. Stern, 17 de marzo de 2026). La lectura práctica: los sistemas “exentos” están en el calendario más estricto, no en el más laxo.

¿Y fuera de Estados Unidos? El NCSC del Reino Unido mantiene su guía de tres pasos — descubrimiento al 2028, migración de alta prioridad al 2031, cierre al 2035 (NCSC migration timelines, 20 de marzo de 2025) — y en América Latina el conteo que Rosetta rastrea sigue igual: 0 de 5 grandes reguladores financieros (SFC, CNBV, Banxico, CMF, BCB) han publicado un plazo PQC (tablero Rosetta, último escaneo a fondo 12-oct-2026; el re-escaneo liviano de hoy no encontró novedad). El mapa de plazos sigue siendo un mapa de ausencias — y por eso la única jurisdicción con fechas vinculantes merece leerse en el original.

¿Cumplieron las agencias el plazo del 22 de octubre?

El registro público no puede decírselo — y el memo fue escrito para no tener que decirlo. Al escaneo de Rosetta del 3 de noviembre de 2026 — doce días después del vencimiento — ni OMB ni ONCD han publicado cuántos planes de migración llegaron, qué agencias presentaron, ni qué contienen los planes; y como quedó dicho, M-26-15 no fija ninguna obligación de publicar nada de eso. Un plazo que pasa en silencio no es evidencia de incumplimiento — pero tampoco es evidencia de cumplimiento. Lo que existe en cambio es una línea base medida, y no es halagadora.

Esa línea base es GAO-27-108740, “Quantum Computing: Federal Actions Needed to Prepare for Emerging Cyber Threat” (versión pública de octubre de 2026, basada en un informe sensible emitido en septiembre de 2025). La GAO midió a las 24 agencias CFO Act contra tres prácticas de transición post-cuántica derivadas de la guía de OMB y encontró que “none of the 24 selected agencies fully addressed these practices”. Las causas que la GAO nombra son estructurales: falta de experticia criptográfica, falta de procesos para construir inventarios criptográficos e identificar fondos de transición, y falta de planes para guiar las pruebas PQC. La versión sensible hizo 89 recomendaciones a 23 agencias; de las respuestas, 12 estuvieron de acuerdo, 2 parcialmente de acuerdo, 7 ni de acuerdo ni en desacuerdo, y 1 en desacuerdo con tres de sus cuatro recomendaciones (GAO-27-108740, highlights). La salvedad honesta corta para los dos lados: los datos de auditoría de la GAO cierran en septiembre de 2025, así que las agencias tuvieron más de un año — y un plazo duro — para mejorar desde entonces. Si lo hicieron es exactamente lo que ningún número publicado mide hoy.

¿Algo de esto ocurre porque hubo un ataque cuántico?

No — y el cero va al lado de los plazos, no enterrado debajo. Al 3 de noviembre de 2026, re-verificado hoy en el tablero de Rosetta: 0 llaves RSA-2048 (o ECC-256) han sido rotas por un computador cuántico en el registro público, y 0 brechas públicas se atribuyen a un ataque cuántico. Los récords de factorización que hicieron titulares en 2026 — RSA-260 en septiembre, luego RSA-896 (896 bits, S. Weis, 19 de septiembre de 2026) — fueron corridas CLÁSICAS de GNFS sobre GPUs, una historia que Rosetta desarmó en el expediente de lo que de verdad se ha factorizado.

¿Entonces por qué los plazos? Porque el modelo de amenaza que los justifica es aritmética, no eventos: los datos cosechados hoy podrán descifrarse con una máquina que llegue después (“harvest now, decrypt later” — la categoría, con la desigualdad de Mosca resuelta con ejemplo, está en esta pieza anterior), y las migraciones de este tamaño consumen la mayor parte de una década. Sobre el cuándo, la posición propia de Rosetta sigue siendo la que se selló: la predicción RQ-PRED-QDAY-001 pone el piso de un computador cuántico criptográficamente relevante en 2031, con ventana central 2033–2039 — un juicio refutable con regla de puntuación, no una medición (la pieza del Q-Day declara sus supuestos). Leídas contra esa apuesta, las fechas 2030/2031 de la orden caerán en o justo antes de la fecha más temprana que la casa considera plausible — que es lo que la aritmética de Mosca recomienda cuando la migración misma consume el margen.

¿Qué hace un jefe de seguridad con estas fechas — dentro o fuera de EE. UU.?

Cuatro movimientos, ninguno de los cuales exige creerle el calendario a nadie. Primero, si usted le vende al gobierno federal de EE. UU.: trate la Sección 6(c) como una cláusula de contrato en gestación — la regla FAR propuesta vence hacia el 19 de diciembre de 2026, y el cumplimiento FIPS-incluido-PQC al 31 de diciembre de 2030; el lenguaje de compras suele propagarse a los subcontratistas mucho antes de que la regla final exista. Segundo, róbese la plantilla: los nueve elementos obligatorios del plan de M-26-15 son un índice gratuito y citable para el plan de migración PQC de cualquier organización, la lea OMB o no. Tercero, secuencie por vida útil del dato, no por el plazo de nadie: si sus datos deben seguir confidenciales más tiempo del que tomará su migración, su fecha vinculante es anterior a la de cualquier regulador — eso es la desigualdad de Mosca, no un argumento de venta. Cuarto, cuando arranque la conversación de presupuesto, ponga el lado medido del tablero junto al declarado: ≈70% de las solicitudes HTTPS originadas en navegadores sobre la red de Cloudflare ya negocian acuerdo de llaves post-cuántico, mientras solo ≈15% de los servidores de origen escaneados lo soportan (blog de Cloudflare, 29 de septiembre de 2026) — la adopción es real, asimétrica, y está medida aquí. Los estándares a los que apuntan esos plazos — y cuándo caducan formalmente RSA/ECC bajo el NIST IR 8547 (final, 27 de octubre de 2026) — están en la pieza de expiración y en el reloj de estándares.

Tablero PQC — estado al 2026-11-03

Qué no sabemos

• Si las agencias presentaron sus planes el 22 de octubre. No existe un conteo público, y M-26-15 no exige uno. Diremos la respuesta cuando una fuente primaria la publique — no antes.
• Qué contienen los planes presentados. La calidad es la variable que importa, y hoy no está medida en público.
• Si la línea base de la GAO sigue vigente. Los datos de auditoría cierran en septiembre de 2025; las agencias pueden haber reconstruido inventarios y procesos desde entonces. La próxima foto de la GAO o de los inspectores generales lo dirá.
• Si 2030/2031 se sostendrán. La orden queda explícitamente sujeta a apropiaciones, las reglas FAR todavía ni siquiera están propuestas, y los plazos de TI federal se han corrido antes. En la otra dirección: una sorpresa en criptoanálisis podría hacer que estas fechas parezcan lentas. Las dos colas están abiertas.
• Si los entregables de diciembre de 2026 y marzo de 2027 llegarán a tiempo. El arranque del piloto del NIST, la revisión del CMVP, la regla FAR propuesta y la guía CBOM están fechados dentro de los próximos cinco meses — cada uno es un evento chequeable, y este tablero los chequeará.
• Cuándo llega un computador cuántico criptográficamente relevante. La RQ-PRED-QDAY-001 de Rosetta (piso 2031, ventana 2033–2039) es un juicio sellado y refutable — no una medición. El conteo medido de llaves rotas por vía cuántica sigue en 0.

Rosetta Quantum publica estado medido con fuentes y fechas, incluidos los ceros. Esto es contenido educativo, no asesoría de seguridad ni legal. El futuro aparece aquí solo en tiempo futuro.