Post-quantique : ce que les entreprises doivent prévoir

4 min de lecture

Les entreprises doivent recenser les usages de la cryptographie dans leur système d’information et déterminer combien de temps leurs données doivent rester confidentielles. L’Office fédéral allemand de la sécurité des technologies de l’information recommande de compléter à l’avenir les méthodes classiques d’accord de clé par des procédés post-quantiques. Les signatures numériques répondent à des exigences distinctes. Engager tôt la démarche donne aux responsables informatiques le temps d’examiner les dépendances et de préparer la transition avec leurs fournisseurs.

Les recommandations du BSI pour l’accord de clé

De nombreuses connexions protégées nécessitent d’abord une clé secrète commune. Cet accord de clé fait appel à des procédés asymétriques classiques dont la sécurité est menacée par les futurs ordinateurs quantiques puissants.

Selon la Banque fédérale d’Allemagne, le BSI recommande de limiter l’utilisation exclusive des méthodes classiques d’accord de clé à la fin de 2031. Pour les applications nécessitant un niveau de protection très élevé, il indique la fin de 2030. Le BSI recommande également une approche hybride combinant des méthodes classiques et des procédés post-quantiques.

Cette recommandation ne constitue pas une obligation légale générale de remplacement applicable à toutes les entreprises et à toutes les applications. Les exigences légales ou contractuelles applicables dépendent notamment du secteur et du domaine d’utilisation.

Le gouvernement fédéral allemand a également publié une ligne directrice nationale pour la mise en œuvre de la feuille de route de l’UE. Elle contient un calendrier de transition vers la cryptographie post-quantique en Allemagne.

Pourquoi les données confidentielles comptent dès aujourd’hui

Dans le scénario « Harvest now, decrypt later », des attaquants interceptent des données chiffrées et les stockent. Si des ordinateurs quantiques suffisamment puissants devenaient disponibles à l’avenir, ils pourraient tenter de déchiffrer ces données a posteriori. La date à laquelle de tels ordinateurs seront disponibles reste inconnue.

La durée de confidentialité nécessaire est donc déterminante pour établir les priorités. Les documents de recherche, les secrets d’affaires ou les données personnelles sensibles peuvent nécessiter une protection des années après leur transmission. Le service informatique doit recenser les connexions utilisées pour transmettre ces informations et les procédés qui protègent alors la clé.

Examiner séparément l’accord de clé et les signatures

Qu’est-ce que la cryptographie post-quantique ? Ce terme désigne des procédés cryptographiques conçus pour résister également aux attaques menées à l’aide d’ordinateurs quantiques puissants. Ils fonctionnent sur des systèmes informatiques classiques.

Le National Institute of Standards and Technology a publié trois normes correspondantes en 2024 : ML-KEM sert à établir une clé secrète commune. ML-DSA et SLH-DSA servent aux signatures numériques. Celles-ci permettent de vérifier l’origine des données et de détecter les modifications ultérieures.

Pour préparer la migration, les entreprises doivent donc examiner chaque usage : une connexion protégée et la signature d’une mise à jour logicielle remplissent des fonctions différentes. Les échéances fixées par le BSI pour l’utilisation exclusive de méthodes classiques d’accord de clé ne peuvent pas être appliquées indistinctement à toutes les signatures numériques.

Comment commencer l’état des lieux

Un inventaire cryptographique recense les procédés et les clés utilisés dans les applications, les connexions et les appareils. Il couvre par exemple les connexions VPN, les services web, les certificats et les mises à jour logicielles signées. Les services externes et les interfaces doivent également être pris en compte.

Les systèmes peuvent ensuite être classés selon le niveau de protection requis, la durée de confidentialité et les dépendances techniques. Il est utile de demander aux fabricants et aux prestataires quels procédés post-quantiques ils prennent en charge, comment déployer les mises à jour et quels composants doivent être compatibles entre eux.

Un environnement de test peut faciliter la mise en œuvre. L’équipe peut y examiner les effets d’un accord de clé hybride adapté sur l’interopérabilité et les performances des systèmes concernés. Le plan de migration doit prendre en compte les responsabilités, les achats et les tests ultérieurs. La durée et le coût de la transition dépendent de chaque environnement.

Questions fréquentes

À lire aussi

• Cyber Resilience Act : ce que les fabricants doivent faire dès maintenant
• AI Act à partir d’août 2026 : l’IA à haut risque dans les PME

Source de l’image : générée par IA (novembre 2026)

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.