Cryptographie post-quantique : pourquoi un inventaire cryptographique relève de l’ordre du jour du conseil en 2026

La plupart des conseils d’administration n’ont jamais eu à dire où leur organisation conserve son chiffrement. En 2026, la question mérite d’être posée, car la réponse demande plus de temps à produire qu’on ne l’imagine.

En août 2024, le National Institute of Standards and Technology (NIST), l’institut américain de normalisation, a publié ses trois premières normes de cryptographie post-quantique, les algorithmes conçus pour résister à un futur ordinateur quantique. Le NIST a depuis fixé une trajectoire de transition. Les algorithmes à clé publique aujourd’hui répandus, dont RSA et la cryptographie sur courbes elliptiques, doivent être dépréciés après 2030 puis interdits après 2035. Aucun ordinateur quantique capable de les casser n’existe à ce jour, et ces échéances sont donc fixées par anticipation.

Pendant que le monde attend cette machine, le risque est déjà présent. Des données chiffrées peuvent être captées aujourd’hui et conservées jusqu’à ce qu’elles deviennent lisibles, une approche connue sous le nom de « récolter maintenant, déchiffrer plus tard » (harvest now, decrypt later). Pour une banque, un assureur ou un établissement de santé, une grande part de ce qui est confidentiel aujourd’hui le sera encore en 2035. Les données à longue durée de confidentialité sont déjà exposées.

Le secteur financier a lu les mêmes signaux. En juillet 2025, la Banque des règlements internationaux a publié une feuille de route de préparation au quantique pour le secteur, dont la première consigne était concrète : constituer un inventaire cryptographique et développer la capacité de changer d’algorithme sans reconstruire chaque application qui en dépend. SWIFT, le réseau que presque toute institution réglementée utilise, a annoncé que sa version SwiftNet 8.0, prévue en 2027, prendra en charge la cryptographie post-quantique. L’orientation est constante entre organismes de normalisation et infrastructures de marché.

Il s’agit d’une question de gouvernance à long délai de réalisation. L’achat technologique vient ensuite. La cryptographie se loge dans les applications, les certificats, les messages de paiement et les systèmes des fournisseurs, souvent sans documentation. Établir un inventaire fiable d’un parc complexe se compte en mois, et la migration qui suit se compte en années. Les organisations qui disposeront de marge de manoeuvre sont celles qui ont commencé quand les échéances paraissaient encore lointaines.

Pour une institution du DIFC comme pour une institution genevoise, l’exposition est la même qu’ailleurs, car les données et les infrastructures sont mondiales. L’orientation réglementaire va dans le même sens.

Le conseil n’a pas besoin de suivre les mathématiques. Il a besoin de savoir qu’une chose a été faite : que quelqu’un puisse dire où l’organisation utilise la cryptographie, et ce que cette cryptographie protège. Si cette réponse n’existe pas encore, c’est par là qu’il faut commencer, et c’est un travail que nous pouvons prendre en charge avec vous.

Références

1. NIST, Federal Information Processing Standards 203, 204 et 205 (normes de cryptographie post-quantique), 13 août 2024. Source primaire ; liée dans le corps du texte à la première mention.
2. NIST IR 8547 (projet public initial), Transition to Post-Quantum Cryptography Standards, novembre 2024. nvlpubs.nist.gov
3. Banque des règlements internationaux, BIS Papers n° 158, Quantum-readiness for the financial system: a roadmap, 7 juillet 2025. bis.org
4. SWIFT, SwiftNet 8.0 (réseau compatible post-quantique), prévu en 2027. swift.com
5. The Quantum Insider, Quantum Security Deadlines are Here – What Happens Next?, 8 mai 2026. Source secondaire.