Vorgeschlagene Übergänge (Tabellen 2 und 4): ECDSA, RSA-Signaturen sowie die Schlüsseleinigung mit DH über endlichen Körpern oder elliptischen Kurven und mit RSA, jeweils mit 112-Bit-Stärke (RSA-2048, P-224), gelten nach 2030 als veraltet und sind nach 2035 nicht mehr zugelassen; ab 128 Bit (P-256, P-384, RSA-3072, Ed25519) sind sie nach 2035 nicht mehr zugelassen. Veraltet (deprecated) heißt: nutzbar unter bewusst akzeptiertem Risiko; nicht zugelassen (disallowed) heißt: nicht mehr für den Schutz von Daten genehmigt, wobei das Prüfen alter Signaturen nach den Regeln für die Altnutzung (Legacy Use) möglich bleiben kann.
Das Dokument nennt die Nachfolger (ML-KEM, ML-DSA, SLH-DSA, LMS und XMSS), behält symmetrische Algorithmen mit mindestens 128-Bit-Sicherheit bei und hält fest, dass anwendungsspezifische Vorgaben wegen „harvest now, decrypt later“ (jetzt speichern, später entschlüsseln) eine frühere Migration der Schlüsseleinigung verlangen können. Die Kommentierungsfrist endete im Januar 2025, und bis Oktober 2026 war keine endgültige Fassung erschienen, obwohl die Richtlinien der US-Bundesverwaltung bereits mit seinen Fristen planen. Zitiere es immer als Entwurf.