La NIST SP 800-57 Part 1 Rev. 5 (tableau 2) fait correspondre les niveaux de robustesse classiques aux tailles de clé : 112 bits = RSA ou DH sur corps fini avec des modules de 2048 bits, ou courbes de 224 à 255 bits ; 128 bits = AES-128, RSA-3072, courbes de 256 à 383 bits ; 192 bits = AES-192, RSA-7680, courbes de 384 à 511 bits ; 256 bits = AES-256, RSA-15360, courbes de 512 bits et plus. Les fonctions de hachage offrent n/2 bits de résistance aux collisions et n bits de résistance à la préimage : SHA-256 offre donc une résistance aux collisions de 128 bits.
Depuis 2014, le minimum pour les nouveaux usages fédéraux est de 112 bits, et la norme pour les nouvelles conceptions est de 128 bits. Le NIST IR 8547 (projet public initial) propose de déprécier après 2030 les algorithmes vulnérables au quantique offrant 112 bits et d’interdire tous les algorithmes vulnérables au quantique après 2035, quelle que soit leur robustesse classique.
Les normes post-quantiques utilisent des catégories de sécurité plutôt que des nombres de bits, parce que le coût des attaques quantiques est incertain : la catégorie 1 est au moins aussi difficile à casser que la recherche de clé AES-128, la catégorie 3 qu’AES-192 et la catégorie 5 qu’AES-256, les catégories 2 et 4 étant calées sur les collisions de SHA-256 et de SHA3-384. ML-KEM-768 et ML-DSA-65 relèvent de la catégorie 3.