Communication FINMA 05/2026 : lancez dès maintenant votre migration résistante aux attaques quantiques

La plupart des chiffrements utilisés aujourd’hui – pour sécuriser les sessions de banque en ligne, les dossiers clients, les signatures numériques – reposent sur des problèmes mathématiques qu’un ordinateur ordinaire ne peut résoudre dans un délai utile. Un ordinateur quantique suffisamment puissant devrait, lui, les résoudre rapidement. Une telle machine n’existe pas encore, et la FINMA relève que les progrès techniques ont gagné en dynamisme. Un risque s’applique déjà : des données dérobées aujourd’hui peuvent être conservées puis décryptées une fois le matériel disponible, une attaque que la FINMA qualifie de risque déjà bien réel.

Le 9 juillet 2026, l’Autorité fédérale de surveillance des marchés financiers FINMA a publié la communication sur la surveillance 05/2026, « Informatique quantique ». Elle invite les assujettis à préparer de manière ordonnée le passage à un chiffrement résistant aux attaques quantiques – le remplacement des algorithmes vulnérables d’aujourd’hui par des algorithmes conçus pour résister à une attaque quantique – et fixe une échéance : une feuille de route de cryptographie post-quantique (CPQ) élaborée pour le milieu de 2027 au plus tard, sur la base d’une stratégie adoptée par l’organe responsable de la haute direction.

La FINMA inscrit cela dans des règles qui s’appliquent déjà. Les exigences du droit des marchés financiers en matière de gouvernance et de gestion des risques sont neutres sur le plan technologique et fondées sur des principes ; selon la lecture de la FINMA, elles couvrent déjà les risques liés aux ordinateurs quantiques performants. La communication rend l’attente prudentielle explicite et donne aux établissements un horizon de planification.

Ce que les 60 établissements ont dit à la FINMA

La FINMA a interrogé 60 entités autorisées – banques, assureurs, gestionnaires de fortune collective et infrastructures des marchés financiers – de novembre 2025 à janvier 2026. Les établissements ont conscience du risque et n’ont, pour l’essentiel, pas encore agi. Environ deux tiers s’attendent à être directement concernés dans les sept ans, et environ deux tiers estiment que, dans dix ans au plus tard, un ordinateur quantique cassera un chiffrement RSA à 2048 bits en moins de 24 heures.

Sur les 60, quelque 43 n’ont ni planifié ni mis en œuvre la moindre mesure de chiffrement résistant aux attaques quantiques. Environ cinq disposent d’une feuille de route concrète et prévoient généralement de quatre à cinq ans avant que leurs données et processus critiques soient protégés. La moitié environ prévoient d’en établir une d’ici un à trois ans.

Les répondants s’accordent sur l’essentiel. Environ trois sur quatre jugent qu’un inventaire cryptographique présente une valeur ajoutée élevée ou très élevée, et une part comparable tient la cryptoagilité – la capacité d’un système à changer d’algorithmes de chiffrement sans refonte de son architecture – pour importante ou très importante. L’écart se situe entre la prise de conscience du travail et son démarrage.

Ce que la FINMA recommande

La FINMA formule des recommandations dans cinq domaines, toutes limitées au passage à des algorithmes résistants aux attaques quantiques selon les normes FIPS 203, 204 et 205 du National Institute of Standards and Technology des États-Unis. La distribution quantique de clés reste hors du champ de la communication.

Une stratégie CPQ adoptée par la haute direction, avec un plan de mise en œuvre fixant jalons, priorités et dates cibles. Une analyse des risques portant à la fois sur les méthodes cryptographiques en usage et sur les données critiques à protéger à long terme. Un inventaire cryptographique couvrant tous les systèmes relevant des technologies de l’information et de la communication, les applications et les infrastructures, qu’ils soient exploités en interne, externalisés ou utilisés comme service, et englobant les données en transit, les données stockées, les signatures numériques, la gestion des clés et les mécanismes d’authentification. Une protection prioritaire des données critiques contre les attaques de type « collecter aujourd’hui, décrypter demain », où des données chiffrées aujourd’hui sont dérobées maintenant pour être décryptées plus tard. Et la cryptoagilité intégrée comme exigence pour les systèmes à acquérir ou à développer. Le cinquième domaine, les prestataires externes, est là où de nombreux établissements trouveront l’essentiel du travail.

Sur les données critiques, la FINMA relève que l’on ne dispose pas encore d’expérience à long terme des algorithmes CPQ, et que plusieurs organisations recommandent à court et moyen terme une approche hybride, associant un algorithme classique et un algorithme CPQ. La FINMA souligne aussi la complexité accrue et les risques de mise en œuvre que cela comporte.

Les deux premiers pas

L’inventaire est le point de départ. Le chiffrement se niche dans des endroits que personne n’a documentés depuis des années : tunnels de réseau privé virtuel, certificats de sécurité de la couche de transport, clés de signature, comptes de service, équipements livrés avec leurs réglages par défaut. Un inventaire utile nomme l’algorithme, le système, le responsable et indique si l’algorithme est vulnérable aux attaques quantiques, et il reste à jour à mesure que le parc évolue.

L’externalisation est le second. La FINMA recommande de faire de la cryptoagilité une condition de toute nouvelle relation d’externalisation portant sur des logiciels ou des données, et de l’intégrer au plus tôt aux relations existantes. La responsabilité d’une fonction externalisée incombe dans tous les cas à l’établissement qui l’externalise, au sens de la circulaire FINMA 2018/3 « Outsourcing ». Lorsqu’un tiers exploite la plateforme, l’établissement répond toujours du chiffrement qu’elle contient. Sur les 60 interrogés, 36 ont pris contact avec leurs éditeurs de logiciels ou prévoient de le faire.

Inscrire ce point à l’ordre du jour

Notre collègue Hossein Fezzazi a plaidé en juin pour l’inscription d’un inventaire cryptographique à l’ordre du jour du conseil en 2026. La FINMA l’a désormais formalisé et y a attaché une échéance. La stratégie relève d’une décision du conseil ; l’inventaire et les échanges avec les prestataires relèvent de l’exécution, et prennent plus de temps que le calendrier ne le laisse penser.

Penta accompagne les établissements genevois précisément sur ce terrain : la constitution de l’inventaire cryptographique sur les parcs internes et externalisés, et l’inscription de la cryptoagilité dans les accords fournisseurs afin que l’exigence survive au prochain renouvellement de contrat. Inscrivez ce point à l’ordre du jour ce trimestre, et parlons ensemble du passage de l’inscription à la feuille de route.

Références

1. FINMA, communication sur la surveillance 05/2026 « Informatique quantique », 9 juillet 2026 (PDF).
2. FINMA, communiqué de presse sur la communication 05/2026, 9 juillet 2026.
3. Circulaire FINMA 2018/3 « Outsourcing ».
4. NIST, FIPS 203, 204 et 205 (normes de cryptographie post-quantique).