El 22 de junio de 2026, la Casa Blanca firm\u00f3 la Orden Ejecutiva 14412, \u00abSecuring the Nation Against Advanced Cryptographic Attacks\u00bb, que por primera vez nombra expl\u00edcitamente al Cryptographic Bill of Materials (CBOM) como parte de la estrategia oficial de defensa frente a la amenaza cu\u00e1ntica. La agencia de ciberseguridad estadounidense CISA, junto con el instituto de est\u00e1ndares NIST, tiene 270 d\u00edas desde la firma para publicar los elementos m\u00ednimos que debe contener un CBOM v\u00e1lido, lo que ubica esa gu\u00eda hacia marzo de 2027. Es la primera vez que un gobierno convierte en obligaci\u00f3n legal algo que hasta ahora era una buena pr\u00e1ctica optativa de seguridad.<\/p>\n\n\n\n
Un CBOM es, en esencia, un inventario: una lista estructurada y legible por m\u00e1quinas de todos los activos criptogr\u00e1ficos que usa una organizaci\u00f3n \u2014algoritmos, tama\u00f1os de clave, certificados digitales, bibliotecas de cifrado y los protocolos que los implementan\u2014 y de c\u00f3mo se relacionan entre s\u00ed. Es la extensi\u00f3n directa del concepto de Software Bill of Materials (SBOM), que ya lista los componentes de software de un sistema, aplicado ahora espec\u00edficamente a la criptograf\u00eda. El formato ya est\u00e1 estandarizado: la versi\u00f3n 1.6 del proyecto OWASP CycloneDX incorpor\u00f3 soporte nativo para CBOM y fue publicada como el est\u00e1ndar internacional ECMA-424. La presi\u00f3n regulatoria no es exclusiva de Estados Unidos: en la Uni\u00f3n Europea, la directiva NIS2 y la Ley de Resiliencia Cibern\u00e9tica exigen a las entidades reguladas describir los componentes de hardware y software de sus sistemas, lo que en la pr\u00e1ctica demanda el mismo tipo de inventario criptogr\u00e1fico sistem\u00e1tico que exige un CBOM, aunque no lo mencionen por ese nombre.<\/p>\n\n\n\n
El ecosistema de herramientas para generar un CBOM ya es amplio y activo en 2026. IBM ofrece CBOMkit, de c\u00f3digo abierto, adem\u00e1s de su herramienta comercial Quantum Safe Explorer orientada a bases de c\u00f3digo empresariales y entornos de mainframe. SandboxAQ desarroll\u00f3 AQtive Guard, pensado para descubrimiento a gran escala asistido por inteligencia artificial, mientras que Keyfactor sum\u00f3 capacidades de inteligencia de riesgo tras adquirir InfoSec Global. Plataformas como O3 Security van un paso m\u00e1s all\u00e1: no solo generan el inventario, sino que pronostican cu\u00e1ndo cada activo criptogr\u00e1fico espec\u00edfico se volver\u00e1 vulnerable frente a la computaci\u00f3n cu\u00e1ntica, y producen la evidencia documental que un regulador exigir\u00eda para aceptar el proceso de migraci\u00f3n.<\/p>\n\n\n\n
La urgencia detr\u00e1s de todo esto tiene una fecha concreta: distintas estimaciones de la industria ubican el momento en que las claves RSA de 2048 bits dejar\u00e1n de ser seguras alrededor de 2030, un horizonte que ya entra dentro de la planificaci\u00f3n estrat\u00e9gica de cualquier banco o empresa con datos de vida \u00fatil larga. Ning\u00fan regulador de Argentina o de la regi\u00f3n mencion\u00f3 todav\u00eda al CBOM por su nombre, lo que significa dos cosas a la vez: que las empresas locales no tienen hoy obligaci\u00f3n legal de generarlo, y que la que arranque este proceso de manera voluntaria hoy va a tener una ventaja de varios a\u00f1os sobre el resto del sistema financiero regional cuando la exigencia regulatoria finalmente llegue, algo que ya ocurri\u00f3 en Estados Unidos y en la Uni\u00f3n Europea casi en simult\u00e1neo.<\/p>\n\n\n\n
Fuentes:
Cycode: https:\/\/cycode.com\/blog\/cryptographic-bill-of-materials-cbom\/
O3 Security: https:\/\/o3.security\/academy\/cbom-cryptographic-bill-of-materials
QNu Labs: https:\/\/www.qnulabs.com\/blog\/the-cryptographic-bill-of-materials-cbom-what-it-is-why-regulators-now-require-it-and-what-comes-after-discovery
IBM Research: https:\/\/research.ibm.com\/publications\/the-anatomy-of-cryptography-bills-of-materials-standardization-and-practice-in-cyclonedx
PQCA – CBOMkit: https:\/\/pqca.org\/projects\/cbomkit\/<\/p>\n","protected":false},"excerpt":{"rendered":"
El 22 de junio de 2026, la Casa Blanca firm\u00f3 la Orden Ejecutiva 14412, \u00abSecuring the Nation Against Advanced Cryptographic Attacks\u00bb, que por primera vez nombra expl\u00edcitamente al Cryptographic Bill of Materials (CBOM) como parte de la estrategia oficial de defensa frente a la amenaza cu\u00e1ntica. La agencia de ciberseguridad estadounidense CISA, junto con el […]<\/p>\n","protected":false},"author":2,"featured_media":12597,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-12596","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-qc"],"yoast_head":"\n