Se define en NIST SP 800-186 §3.2.1.5 y en SEC 2 §2.6.1. Identificadores: OID 1.3.132.0.35, grupo TLS secp521r1 (25), TLS 1.3 ecdsa_secp521r1_sha512 (0x0603), crv P-521 de JOSE con alg ES512, COSE −36. El primo de Mersenne abarata la reducción en el cuerpo, pero el tamaño de 521 bits hace más lento todo lo demás: unas 7450 firmas y 4180 verificaciones por segundo en un núcleo de un Apple M4 Max con OpenSSL 3.6.5.
Los tamaños confunden al código escrito con supuestos de «512 bits»: el escalar privado ocupa 66 bytes (521 bits), la clave pública 133 bytes sin comprimir o 67 comprimida, una firma JWS ES512 en bruto exactamente 132 bytes (r y s rellenados cada uno hasta 66) y las firmas DER entre 137 y 139 bytes aproximadamente. Truncar las coordenadas a 64 bytes o eliminar los bytes cero iniciales produce claves y firmas que otras bibliotecas rechazan.
P-521 ofrece más margen clásico del que necesita cualquier atacante realista antes de que importen las computadoras cuánticas, así que suele elegirse por motivos de política más que de ingeniería de seguridad. Como toda curva elíptica, cae ante el algoritmo de Shor, y NIST IR 8547 (borrador) la trata igual que a P-256.