Criptografía post-cuántica en España: quién ya está migrando y quién noPost-quantum cryptography in Spain: who's migrating already, and who isn't
Los grandes ya empezaron. La mayoría de empresas españolas, no — y no es porque no sea relevante para ellas.
The big players have already started. Most Spanish companies haven't — and it's not because it doesn't apply to them.
Telefónica ya se mueve
Telefónica lanzó "Interconexión CPDs", el primer servicio del mercado español de comunicaciones entre centros de datos protegido con criptografía post-cuántica. No es un anuncio de laboratorio ni una prueba de concepto: es un servicio comercial disponible ya, dirigido a proteger el tráfico entre data centers frente a la amenaza cuántica.
Es una señal clara de por dónde va el mercado español: los operadores de infraestructura crítica y telecomunicaciones ya están integrando PQC en su oferta comercial, no solo en sus laboratorios de I+D.
La brecha real
Y sin embargo, el panorama general es muy distinto. Según estudios recientes del sector, el 93,5% de las empresas españolas reconoce que la computación cuántica es un riesgo directo para su seguridad. Pero solo 1 de cada 10 ha empezado a actuar sobre su infraestructura de clave pública. Es una brecha real entre lo que las empresas saben y lo que están haciendo al respecto.
Por qué las pymes no arrancan
Hay motivos concretos, no solo desidia:
- Falta de comprensión técnica: PQC suena a algo que requiere un equipo de criptógrafos, cuando en la práctica se puede adoptar a través de productos ya empaquetados.
- Percepción de que "es cosa de bancos y gobiernos": se asume que solo las entidades con obligaciones regulatorias explícitas necesitan moverse ya.
- Coste percibido de la migración: se imagina como un proyecto de infraestructura completo, cuando a menudo puede empezar por puntos concretos — backups, firma de documentos, comunicaciones críticas.
No es solo cosa de bancos
Esta percepción es el error más caro. Cualquier empresa que guarde datos que deban seguir siendo confidenciales dentro de 5 o 10 años —contratos, propiedad intelectual, historiales, backups de sistemas internos— ya está expuesta a la amenaza "harvest now, decrypt later": alguien puede estar capturando esos datos cifrados hoy, para descifrarlos en cuanto exista un ordenador cuántico capaz de romper el cifrado actual. No hace falta ser un banco para tener algo que proteger durante una década.
Una opción española
En NyxqLab construimos TitanVault con cifrado TitanPQC (TITAN FURIA AEAD), combinada con los estándares del NIST (ML-KEM-768 híbrido y Dilithium5). No hace falta ser un banco, ni tener presupuesto de banco, para empezar a migrar. Es exactamente la brecha que queremos cerrar: dar a empresas españolas de tamaño medio una forma real de empezar, con tecnología desarrollada en España y sin depender de proveedores no europeos.
Telefónica is already moving
Telefónica launched "Interconexión CPDs", the first service in the Spanish market for data-center-to-data-center communications protected with post-quantum cryptography. It's not a lab announcement or a proof of concept — it's a commercial service already available, aimed at protecting inter-datacenter traffic against the quantum threat.
It's a clear signal of where the Spanish market is heading: critical infrastructure and telecom operators are already integrating PQC into their commercial offering, not just their R&D labs.
The real gap
And yet the overall picture is very different. According to recent industry research, 93.5% of Spanish companies recognize quantum computing as a direct risk to their security. But only 1 in 10 has started acting on their public-key infrastructure. It's a real gap between what companies know and what they're actually doing about it.
Why SMEs haven't started
There are concrete reasons, not just inertia:
- Lack of technical understanding: PQC sounds like it requires a team of cryptographers, when in practice it can be adopted through already-packaged products.
- The perception that "it's a bank and government thing": it's assumed that only entities with explicit regulatory obligations need to move now.
- Perceived migration cost: it's imagined as a full infrastructure project, when it can often start with specific points — backups, document signing, critical communications.
It's not just a bank thing
This perception is the most expensive mistake. Any company holding data that must stay confidential 5 or 10 years from now — contracts, intellectual property, records, internal system backups — is already exposed to the "harvest now, decrypt later" threat: someone could be capturing that encrypted data today, to decrypt it once a quantum computer capable of breaking current encryption exists. You don't need to be a bank to have something worth protecting for a decade.
A Spanish option
At NyxqLab we built TitanVault with our own EU-registered patent: TITAN FURIA AEAD, combined with NIST standards (hybrid ML-KEM-768 and Dilithium5). You don't need to be a bank, or have a bank's budget, to start migrating. That's exactly the gap we want to close: giving mid-sized Spanish companies a real way to start, with proprietary technology and without relying on non-European vendors.