NIST SP 800-57, часть 1, редакция 5 (таблица 2) сопоставляет классическую стойкость с размерами ключей: 112 бит = RSA или DH на конечных полях с модулем длиной 2048 бит либо кривые размером 224–255 бит; 128 бит = AES-128, RSA-3072, кривые размером 256–383 бит; 192 бита = AES-192, RSA-7680, кривые размером 384–511 бит; 256 бит = AES-256, RSA-15360, кривые размером от 512 бит. Хеш-функции дают n/2 бит стойкости к коллизиям и n бит стойкости к нахождению прообраза, поэтому стойкость SHA-256 к коллизиям составляет 128 бит.
С 2014 года 112 бит — минимум для новых федеральных систем США, а для новых разработок нормой считаются 128 бит. NIST IR 8547 (первоначальный публичный черновик) предлагает признать уязвимые для квантовых атак алгоритмы со стойкостью 112 бит устаревшими после 2030 года, а после 2035 года запретить все такие алгоритмы независимо от их классической стойкости.
Постквантовые стандарты используют категории стойкости вместо числа бит, потому что стоимость квантовых атак точно не известна: схему категории 1 взломать не легче, чем подобрать перебором ключ AES-128, категории 3 — ключ AES-192, категории 5 — ключ AES-256, а категории 2 и 4 привязаны к поиску коллизий SHA-256 и SHA3-384. ML-KEM-768 и ML-DSA-65 относятся к категории 3.