NIST SP 800-57 Part 1 Rev. 5 (Tabelle 2) ordnet klassischen Sicherheitsstärken Schlüssellängen zu: 112 Bit = RSA oder DH über endlichen Körpern mit 2048-Bit-Moduli oder Kurven mit 224–255 Bit; 128 Bit = AES-128, RSA-3072, Kurven mit 256–383 Bit; 192 Bit = AES-192, RSA-7680, Kurven mit 384–511 Bit; 256 Bit = AES-256, RSA-15360, Kurven ab 512 Bit. Hashfunktionen bieten n/2 Bit Kollisionsresistenz und n Bit Urbildresistenz, SHA-256 bietet also eine Kollisionsresistenz von 128 Bit.
Seit 2014 sind 112 Bit das Minimum für neue Anwendungen der US-Bundesbehörden, und 128 Bit sind die Norm für Neuentwicklungen. NIST IR 8547 (erster öffentlicher Entwurf) schlägt vor, quantenanfällige Algorithmen mit 112 Bit nach 2030 abzukündigen und alle quantenanfälligen Algorithmen nach 2035 nicht mehr zuzulassen, unabhängig von ihrer klassischen Stärke.
Post-Quanten-Standards verwenden statt Bitzahlen Sicherheitskategorien, weil die Kosten von Quantenangriffen ungewiss sind: Kategorie 1 ist mindestens so schwer zu brechen wie die Schlüsselsuche bei AES-128, Kategorie 3 wie AES-192 und Kategorie 5 wie AES-256; die Kategorien 2 und 4 sind an Kollisionen von SHA-256 und SHA3-384 gekoppelt. ML-KEM-768 und ML-DSA-65 liegen in Kategorie 3.