La agilidad tiene tres partes: saber dónde se usa la criptografía (un inventario que cada vez más a menudo toma la forma de una lista de materiales criptográficos), poder cambiarla (identificadores de algoritmo en los formatos, negociación en los protocolos, ningún tamaño de clave ni de firma fijado en el código, capas de abstracción en el código) y poder desplegar el cambio (rotación de claves, publicación doble, monitorización de lo que realmente negocian los pares).
Los contraejemplos abundan: bases de datos con columnas de firma de ancho fijo, protocolos que dan por hecho firmas de 64 bytes, tarjetas inteligentes que admiten una sola curva y bibliotecas que solo aceptan claves RSA. La agilidad también tiene un precio: cada opción negociable es superficie de ataque, como muestran los ataques de degradación y de confusión de algoritmos, así que los sistemas ágiles deberían, aun así, permitir solo una lista corta y actual de algoritmos.