NIST SP 800-57 Part 1 Rev. 5（表 2）は、古典的な強度と鍵長を次のように対応付けています。112 ビット = 2048 ビットのモジュラスを使う RSA または有限体 DH、もしくは 224〜255 ビットの曲線。128 ビット = AES-128、RSA-3072、256〜383 ビットの曲線。192 ビット = AES-192、RSA-7680、384〜511 ビットの曲線。256 ビット = AES-256、RSA-15360、512 ビット以上の曲線。ハッシュ関数の衝突耐性は n/2 ビット、原像計算困難性は n ビットなので、SHA-256 の衝突耐性は 128 ビットです。
2014年以降、米国連邦政府での新たな利用には 112 ビットが最低ラインとされており、新規の設計では 128 ビットが標準です。NIST IR 8547（初期公開ドラフト）は、量子コンピューターに対して脆弱な 112 ビットのアルゴリズムを 2030年より後に非推奨とし、2035年より後は、古典的な強度にかかわらず、量子コンピューターに対して脆弱なアルゴリズムをすべて使用禁止とすることを提案しています。
ポスト量子暗号の標準は、量子攻撃のコストが不確かであるため、ビット数ではなくセキュリティカテゴリを使います。カテゴリ 1 は AES-128 の鍵探索と同等以上に破るのが難しく、カテゴリ 3 は AES-192、カテゴリ 5 は AES-256 と同等以上です。カテゴリ 2 と 4 は SHA-256 と SHA3-384 の衝突探索を基準にしています。ML-KEM-768 と ML-DSA-65 はカテゴリ 3 です。