Definiert in NIST SP 800-186 §3.2.1.5 und SEC 2 §2.6.1. Kennungen: OID 1.3.132.0.35, TLS-Gruppe secp521r1 (25), TLS 1.3 ecdsa_secp521r1_sha512 (0x0603), JOSE crv P-521 mit alg ES512, COSE −36. Die Mersenne-Primzahl macht die Reduktion im Körper günstig, doch die Größe von 521 Bit verlangsamt alles andere: etwa 7.450 Signaturen und 4.180 Prüfungen pro Sekunde auf einem Kern eines Apple M4 Max mit OpenSSL 3.6.5.
Die Größen bringen Code durcheinander, der von „512 Bit“ ausgeht: Der private Skalar hat 66 Byte (521 Bit), der öffentliche Schlüssel 133 Byte unkomprimiert oder 67 komprimiert, eine rohe JWS-Signatur ES512 genau 132 Byte (r und s jeweils auf 66 aufgefüllt) und eine DER-Signatur etwa 137–139 Byte. Wer Koordinaten auf 64 Byte kürzt oder führende Nullbytes entfernt, erzeugt Schlüssel und Signaturen, die andere Bibliotheken ablehnen.
P-521 bietet mehr klassische Sicherheitsreserve, als ein realistischer Angreifer braucht, bevor Quantencomputer eine Rolle spielen; deshalb wird sie meist aufgrund von Richtlinien gewählt, nicht aus sicherheitstechnischen Gründen. Wie jede elliptische Kurve wird sie vom Shor-Algorithmus gebrochen, und NIST IR 8547 (Entwurf) behandelt sie genauso wie P-256.