A agilidade tem três partes: saber onde a criptografia é usada (um inventário, cada vez mais expresso como uma lista de materiais criptográficos), conseguir mudá-la (identificadores de algoritmo nos formatos, negociação nos protocolos, nenhum tamanho de chave ou de assinatura fixo no código, camadas de abstração no código) e conseguir implantar a mudança (rotação de chaves, publicação dupla, monitoramento do que as outras partes de fato negociam).
Contraexemplos são comuns: bancos de dados com colunas de assinatura de largura fixa, protocolos que supõem assinaturas de 64 bytes, cartões inteligentes que oferecem suporte a uma única curva e bibliotecas que só aceitam chaves RSA. A agilidade também tem custos: toda opção negociável é superfície de ataque, como mostram os ataques de downgrade e de confusão de algoritmo; por isso, convém que sistemas ágeis continuem permitindo apenas uma lista curta e atual de algoritmos.