Falcon-512 (Kategorie 1) hat öffentliche Schlüssel mit 897 Byte und Signaturen mit 666 Byte in der Kodierung mit Padding (komprimiert höchstens 752 Byte); Falcon-1024 (Kategorie 5) hat öffentliche Schlüssel mit 1.793 Byte und Signaturen mit 1.280 Byte mit Padding. Das ist etwa ein Viertel der Signaturgröße von ML-DSA, was für Zertifikate, DNSSEC und Blockchains zählt.
Die Schwierigkeit liegt beim Signieren: Falcon zieht Stichproben aus einer diskreten Gauß-Verteilung mit Gleitkommaarithmetik, die sich nur schwer zeitkonstant und portabel umsetzen lässt, und Timing- oder Bias-Fehler im Sampler können den Schlüssel preisgeben, obwohl weiterhin gültige Signaturen entstehen. Im September 2026 schlug das Team von NIST für FIPS 206 ein Signierverfahren mit Festkommaarithmetik vor, damit sich Implementierungen mit Known-Answer-Tests prüfen lassen. Die Prüfung von Signaturen nutzt nur Ganzzahlarithmetik und ist schnell.
Solange FIPS 206 nicht verabschiedet ist, nutze ML-DSA für zugelassene Einsätze und betrachte FN-DSA als Kandidaten für Protokolle mit knappem Platz für Signaturen.