NIST SP 800-57 Parte 1 Rev. 5 (tabla 2) relaciona cada nivel de robustez clásica con tamaños de clave: 112 bits = RSA o DH de cuerpo finito con módulos de 2048 bits, o curvas de 224–255 bits; 128 bits = AES-128, RSA-3072, curvas de 256–383 bits; 192 bits = AES-192, RSA-7680, curvas de 384–511 bits; 256 bits = AES-256, RSA-15360, curvas de 512 bits o más. Las funciones hash ofrecen n/2 bits de resistencia a colisiones y n bits de resistencia a preimágenes, así que SHA-256 ofrece una resistencia a colisiones de 128 bits.
Desde 2014, 112 bits es el mínimo para los nuevos usos federales, y 128 bits es la norma en los diseños nuevos. NIST IR 8547 (borrador público inicial) propone declarar obsoletos después de 2030 los algoritmos de 112 bits vulnerables a ataques cuánticos y prohibir todos los algoritmos vulnerables a ataques cuánticos después de 2035, sea cual sea su robustez clásica.
Los estándares poscuánticos usan categorías de seguridad en lugar de números de bits, porque el coste de los ataques cuánticos es incierto: romper la categoría 1 es al menos tan difícil como una búsqueda de clave de AES-128, la categoría 3 como AES-192 y la 5 como AES-256, y las categorías 2 y 4 están ligadas a colisiones de SHA-256 y SHA3-384. ML-KEM-768 y ML-DSA-65 son de categoría 3.