Agilität hat drei Teile: wissen, wo Kryptografie eingesetzt wird (ein Inventar, zunehmend in Form einer kryptografischen Stückliste), sie ändern können (Algorithmusbezeichner in Formaten, Aushandlung in Protokollen, keine fest einprogrammierten Schlüssel- oder Signaturlängen, Abstraktionsschichten im Code) und sie ausrollen können (Schlüsselrotation, paralleles Veröffentlichen, Monitoring dessen, was Gegenstellen tatsächlich aushandeln).
Gegenbeispiele sind häufig: Datenbanken mit Signaturspalten fester Breite, Protokolle, die 64-Byte-Signaturen voraussetzen, Smartcards, die nur eine Kurve unterstützen, und Bibliotheken, die nur RSA-Schlüssel akzeptieren. Agilität hat auch Kosten: Jede aushandelbare Option ist Angriffsfläche, wie Downgrade- und Algorithm-Confusion-Angriffe zeigen; agile Systeme sollten deshalb trotzdem nur eine kurze, aktuelle Liste von Algorithmen zulassen.