Por Redacción 
El nuevo informe del NIST plantea desafíos para el Estado dominicano, los reguladores y los proveedores de certificación digital.
Por José Aquino
En agosto pasado advertimos sobre los riesgos que representa la computación cuántica para la ciberseguridad y la confianza digital. Pocos meses después, el debate adquiere una nueva dimensión: ya no basta con comprender la amenaza, resulta necesario planificar cómo proteger los mecanismos criptográficos que sustentan nuestras transacciones electrónicas y la infraestructura crítica del país.
Recientemente, el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) publicó el informe NISTIR 8547, Transition to Post-Quantum Cryptography Standards, el cual establece orientaciones y plazos concretos para sustituir los algoritmos vulnerables a futuras computadoras cuánticas por estándares resistentes a estas tecnologías.
Entre las soluciones estandarizadas destacan FIPS 203 (ML-KEM), diseñado para el establecimiento y intercambio seguro de claves criptográficas, así como FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA), destinados a la autenticación y las firmas digitales. Las agencias internacionales contemplan el año 2035 como horizonte general de transición, con objetivos anticipados para sistemas de alta prioridad.
Aunque estos plazos no obligan jurídicamente a la República Dominicana, constituyen una referencia indispensable para desarrollar una planificación de riesgo nacional.
Nuestro país cuenta con instrumentos jurídicos e institucionales relevantes. La Ley No. 126-02 sobre Comercio Electrónico, Documentos y Firma Digital estableció las bases jurídicas de las transacciones electrónicas seguras. Posteriormente, el Decreto No. 612-24 creó el Instituto Criptográfico Nacional (ICN), bajo la dependencia de la Dirección Nacional de Inteligencia, con responsabilidades clave en la protección criptográfica de la información estatal.
Sin embargo, la transición poscuántica no corresponde exclusivamente al Estado. Involucra de manera directa a las entidades de certificación digital autorizadas por el Instituto Dominicano de las Telecomunicaciones (INDOTEL), al sector financiero regulado por la Superintendencia de Bancos, así como a los proveedores tecnológicos que ofrecen soluciones de firma electrónica, autenticación y servicios de confianza digital en el mercado dominicano.
Todo este ecosistema participa en la garantía de autenticidad, integridad y no repudio de los documentos y transacciones electrónicas. La Ley 126-02 establece obligaciones claras respecto a la seguridad, continuidad y actualización tecnológica de los servicios de certificación.
Frente a este nuevo escenario, resulta fundamental evaluar los algoritmos actualmente en uso, la protección de claves privadas, la validez de los certificados digitales a largo plazo y el archivo seguro de documentos firmados electrónicamente.
Asimismo, debe fortalecerse la criptoagilidad, entendida como la capacidad de sustituir o actualizar mecanismos criptográficos sin comprometer la continuidad operativa de los sistemas.
En este contexto, la República Dominicana debería impulsar una Estrategia Nacional de Transición hacia la Criptografía Poscuántica, coordinada de forma articulada entre el ICN, el INDOTEL, la Superintendencia de Bancos, las entidades de certificación digital, los operadores de infraestructuras críticas y el sector académico.
Esta estrategia debería contemplar inventarios criptográficos nacionales, evaluaciones de riesgo por sector, actualización de normativas técnicas, capacitación especializada, proyectos piloto en entornos controlados y un cronograma progresivo de implementación.
La principal enseñanza del NISTIR 8547 es que la seguridad digital del futuro requiere decisiones presentes. La transformación tecnológica no puede limitarse a desplegar nuevos servicios; debe garantizar que la información y la soberanía digital del país permanezcan protegidas frente a amenazas emergentes.
La confianza digital no se improvisa. Se construye mediante planificación, responsabilidad compartida y la capacidad de anticipar los riesgos antes de que se materialicen.
El autor es profesor universitario, especialista en Seguridad y Defensa, Centros de Datos (AOS), Protección de Datos y Sistemas de Información.
