Ein Gitter ist die Menge der ganzzahligen Linearkombinationen von Basisvektoren; kurze oder nahe Vektoren in hohen Dimensionen zu finden gilt selbst für Quantencomputer als schwer. Bei LWE soll aus vielen Stichproben (a, a·s + e) mit kleinem Rauschen e ein Geheimnis s zurückgewonnen werden; Module-LWE und Module-SIS, auf denen ML-KEM und ML-DSA beruhen, arbeiten über Polynomringen (Grad 256, Modul 3.329 bei ML-KEM und 8.380.417 bei ML-DSA), was die Schlüssel kompakt hält und die Arithmetik dank der zahlentheoretischen Transformation schnell macht. FN-DSA nutzt NTRU-Gitter.
Sicherheitsabschätzungen stützen sich auf den Aufwand von Algorithmen zur Gitterreduktion wie BKZ, mit Sicherheitsmargen, die auf die Sicherheitskategorien von NIST abgestimmt sind. Gitterverfahren haben größere Schlüssel und Ausgaben als elliptische Kurven (etwa 1–5 KB), sind aber schnell; die meisten praktischen Angriffe zielten bisher auf Implementierungen (Timing-Lecks, Fehlerangriffe) statt auf die Mathematik.