La question stratégique n’est pas « Quand le Q-Day arrivera-t-il? » mais bien « Nos données les plus précieuses et nos services critiques seront-ils protégés avant qu’il n’advienne? »
À retenir pour la direction : Démarrez avec une gouvernance claire et une découverte cryptographique. Priorisez les systèmes selon la criticité opérationnelle et la durée de vie des données, validez les algorithmes normalisés NIST grâce à des projets pilotes encadrés et intégrez la migration dans les cycles réguliers de renouvellement technologique.
Q-Day : la définition que chaque équipe de direction doit connaître
Le Q-Day désigne le moment où un ordinateur quantique pertinent sur le plan cryptographique pourra briser la cryptographie à clé publique largement utilisée, à une échelle significative sur le plan opérationnel. Les systèmes habituellement évoqués sont RSA, Diffie-Hellman et la cryptographie à courbe elliptique, qui soutiennent les certificats numériques, TLS, la signature de code, l’identité, les mises à jour logicielles, les communications sécurisées et de nombreux services de confiance.
Le Q-Day n’est pas une date précise au calendrier. C’est un seuil de risque. Aucune organisation ne devrait bâtir son plan sur une seule prédiction, car la migration de grands environnements peut prendre des années, tandis que l’information sensible collectée aujourd’hui peut demeurer précieuse lorsque la déchiffrement quantique deviendra pratique. Cela engendre l’exposition « récolter maintenant, déchiffrer plus tard » : un attaquant peut intercepter des données ou du trafic chiffrés dès maintenant et les conserver en vue d’un déchiffrement ultérieur.
Pourquoi attendre la certitude est une mauvaise stratégie
- Des normes sont déjà disponibles. NIST a finalisé FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) et FIPS 205 (SLH-DSA) en août 2024.
- La migration relève de la gestion des environnements informatiques, et non d’un simple remplacement d’algorithme. Elle touche les applications, protocoles, certificats, plateformes HSM/KMS, bibliothèques logicielles, matériel, fournisseurs et tiers.
- Les données sensibles à longue durée de vie sont possiblement déjà exposées à un risque futur de déchiffrement.
- Les technologies existantes ou opérationnelles peuvent avoir des cycles de remplacement dépassant les cibles externes de transition.
Ce qu’évoque l’échéancier NIST pour les clients
Le NIST indique que les organisations devraient commencer à appliquer les normes PQC finalisées dès maintenant. NIST IR 8547, actuellement à l’étape de projet initial de publication publique, décrit l’approche de transition attendue et vise à informer les agences fédérales, l’industrie et les organismes de normalisation. Le projet PQC du NIST stipule que les algorithmes vulnérables au quantique devraient être dépréciés et ultimement retirés des normes NIST d’ici 2035, avec des systèmes à haut risque visés plus tôt.
| Échéance | Interprétation client | Réponse recommandée |
| Maintenant | Les normes définitives sont disponibles pour déploiement | Structurer la gouvernance, inventorier la cryptographie, démarrer des pilotes et réviser les exigences d’approvisionnement. |
| Avant 2030 | Pour les systèmes à haut risque ou nouveaux, les décisions doivent être prises plus tôt | Éviter d’introduire de nouvelles dépendances à la cryptographie à clé publique vulnérable au quantique lorsqu’il existe des alternatives éprouvées. Prioriser les données à longue durée de vie et les services critiques. |
| À l’horizon 2035 | Le NIST prévoit retirer de ses normes les algorithmes vulnérables au quantique | Planifier l’achèvement à l’échelle de l’entreprise, sous réserve de la réglementation sectorielle, du soutien produit et des exceptions approuvées. |
Important : NIST IR 8547 est un projet de document de transition. Les clients doivent suivre la version finale et toute directive propre à un algorithme, protocole ou secteur plutôt que de considérer un jalon à l’état de projet comme une échéance légale universelle.
Une stratégie client articulée autour de sept décisions :
Établir une gouvernance responsable
Désigner un cadre responsable et un chef de programme PQC. Définir les droits de décision pour la sécurité, l’architecture d’entreprise, les équipes applicatives, les infrastructures, l’approvisionnement, la vie privée, le juridique, la gestion des risques et les propriétaires d’affaires.
Définir l’appétit pour le risque et la portée
Convenir des données, services et fonctions de confiance tolérant ou non le risque quantique. Inclure la durée de confidentialité, la durée d’intégrité, la criticité des systèmes, l’exposition externe, l’impact sur la sécurité et le délai de remplacement.
Constituer un inventaire cryptographique gouverné
Recenser les algorithmes, clés, certificats, bibliothèques, protocoles, API cryptographiques, dépendances HSM/KMS, identités, chaînes de signatures de code et services tiers. Normaliser ces informations dans un CBOM (Cryptographic Bill of Materials) au niveau applicatif.
Prioriser, ne pas tout migrer d’un coup
Classer les systèmes selon la criticité, la durée de vie des données, l’exposition HNDL, l’accessibilité internet, la conformité réglementaire, la préparation des fournisseurs et la complexité de migration.
Concevoir pour l’agilité cryptographique
Séparer les politiques cryptographiques de la logique applicative, éliminer les algorithmes et clés codés en dur, standardiser les interfaces, automatiser les cycles de vie des certificats/clés, et rendre les changements d’algorithme testables et réversibles.
Utiliser des pilotes contrôlés et des modèles hybrides de transition
Valider l’interopérabilité, la performance, la taille des certificats, le comportement des négociations, la préparation HSM/KMS, les journaux, les processus de retour et le soutien opérationnel. Utiliser les approches hybrides seulement lorsque normes, produits et décisions de risque le permettent.
Gouverner la chaîne d’approvisionnement
Exiger des fournisseurs qu’ils divulguent leurs dépendances cryptographiques, plans PQC, soutien des normes, statut de validation, parcours de mise à niveau et contraintes de fin de vie. Intégrer la préparation PQC dans les revues d’architecture et les points de passage d’approvisionnement.
Par où commencer : un plan de mobilisation pragmatique sur 90 jours
| Période | Activités prioritaires | Livrables |
| Jours 0-30 | Nommer le commanditaire et le chef de programme ; définir la portée ; identifier les autorités réglementaires concernées ; classifier les données sensibles à longue durée de vie ; choisir des applications pilotes représentatives. | Charte de programme, gouvernance/RACI, registre réglementaire, première hypothèse de risque, liste courte de pilotes. |
| Jours 31-60 | Effectuer une découverte cryptographique ciblée sur les certificats, code, binaires, services réseau, cloud, PKI et HSM/KMS ; mobiliser les fournisseurs critiques. | CBOM initial, cartographie des dépendances, vue sur la durée de vie des données, registre de préparation des fournisseurs, écarts de découverte. |
| Jours 61-90 | Évaluer le risque quantique ; tester les algorithmes NIST sélectionnés en laboratoire ; définir les modèles de transition et processus d’exception ; bâtir une feuille de route pluriannuelle et une justification financière. | Arriéré priorisé, rapport pilote, principes de l’état cible, feuille de route, estimation des investissements, tableau de bord direction. |
Directives réglementaires et gouvernementales : quoi cartographier
L’obligation applicable dépend de la juridiction, du secteur, du type de données, du statut de contrat gouvernemental et des systèmes visés. Les sources suivantes devraient alimenter le registre réglementaire client et être validées par les équipes juridiques et de conformité.
| Autorité / directive | Résumé | Implication pour la planification d’entreprise |
| NIST FIPS 203, 204, 205 | Normalise ML-KEM, ML-DSA et SLH-DSA ; le NIST prescrit de commencer la migration dès maintenant. | Utiliser les algorithmes normalisés comme base technique et suivre l’état des validations et le soutien des protocoles. |
| NIST IR 8547 (projet initial public) | Décrit l’approche de transition prévue par le NIST et identifie les normes vulnérables et résistantes au quantique. | Servir comme base de planification, en suivant les changements avant d’en faire des exigences finales. |
| Calendrier de migration NCSC Royaume-Uni | Pour 2028 : cibles, découverte et plan initial. Pour 2031 : migration des priorités majeures et feuille de route détaillée. Pour 2035 : migration complète des systèmes, services et produits. | Offre une structure utile à un programme d’entreprise, même hors Royaume-Uni, sous réserve de la réglementation locale. |
| Orientation fédérale américaine | OMB M-23-02 impose l’inventaire des systèmes cryptographiques dans les agences fédérales. L’orientation américaine pour 2026 requiert une migration prioritaire, une gouvernance et des jalons spécifiques au contexte fédéral. | Les agences et fournisseurs fédéraux devraient cartographier les besoins propres à leur secteur et conserver les preuves d’inventaire et de priorisation. |
| Recommandation de la Commission européenne (UE) 2024/1101 | Demande une feuille de route de mise en œuvre coordonnée et encourage la migration de l’administration publique et des infrastructures critiques dès que possible. | Les organisations européennes doivent aligner le PQC sur NIS2, la résilience, les infrastructures critiques et les consignes nationales de mise en œuvre. |
| Régulateurs sectoriels et contrats | Des exigences peuvent découler de règles sur la résilience, la protection des données, la conservation, le risque opérationnel, l’externalisation ou les achats, même sans mention explicite du « PQC ». | Créer une matrice de traçabilité liant obligations, données, systèmes, contrôles, preuves et échéanciers. |
Modèle de transformation recommandé par HCLTech
Découvrir : Assurer une visibilité d’entreprise sur les applications, infrastructures, cloud, réseau, PKI, HSM/KMS, code, binaires et fournisseurs tiers.
Évaluer : Enrichir le CBOM avec le service d’affaires, la classification des données, la rétention, la propriété, la robustesse des algorithmes, les dépendances de confiance et le contexte réglementaire.
Prioriser : Élaborer un score défendable de risque quantique et planifier les étapes de remédiation selon l’exposition, l’urgence, la faisabilité et l’impact d’affaires.
Transformer : Lancer des pilotes, moderniser les plateformes, modifier les protocoles, mettre à jour la PKI et la signature de code, remédier avec les fournisseurs et refactorer les applications.
Opérationnaliser : Intégrer la crypto-agilité à la gouvernance architecturale, au DevSecOps, à l’approvisionnement, à la gestion des vulnérabilités, à l’audit et aux opérations de cycle de vie.
Point de vue HCLTech : Le livrable initial le plus précieux n’est pas une liste d’algorithmes : c’est un système cryptographique gouverné, sensible au contexte applicatif, reliant preuves techniques, risques d’affaires, obligations réglementaires, propriété et plan de migration financé.
Questions à laquelle le conseil d’administration devrait pouvoir répondre
- Quelles données doivent demeurer confidentielles ou fiables après l’arrivée plausible d’un ordinateur quantique pertinent sur le plan cryptographique?
- Où retrouve-t-on RSA, ECC, Diffie-Hellman et les protocoles connexes à travers nos services les plus critiques?
- Quelles applications et quels fournisseurs disposent d’un chemin de mise à niveau éprouvé et lesquels requièrent une refonte ou un remplacement?
- Quelles sont nos hypothèses de planification pour 2028, 2031 et 2035 et quelles règles sectorielles ou dates contractuelles plus strictes l’emportent?
- Comment mesurerons-nous les progrès : couverture de découverte, exhaustivité du CBOM, préparation des fournisseurs, succès des pilotes, réduction des besoins de remédiation et risque résiduel?
- Qui peut approuver des exceptions temporaires et comment la gouvernance des contrôles compensatoires et des échéances s’établira-t-elle?
Conclusion : Agir avant que l’échéance ne devienne une urgence
Le Q-Day demeure incertain, mais la direction est claire. Les normes existent, les plans gouvernementaux convergent sur la découverte, la priorisation et la migration progressive, et l’effort opérationnel est d’envergure. Les clients devraient commencer dès maintenant en établissant la propriété, en découvrant les dépendances cryptographiques, en identifiant les expositions à long terme et à fort impact, en validant la préparation des fournisseurs et en pilotant le PQC normalisé par le NIST. L’objectif va au-delà du remplacement de RSA ou ECC : il s’agit de bâtir l’agilité cryptographique afin que l’organisation soit en mesure de s’adapter, en toute sécurité, à l’évolution des algorithmes, normes, produits et exigences réglementaires.
Références
- NIST Post-Quantum Cryptography
- NIST CSRC Post-Quantum Cryptography Project
- NIST IR 8547, Initial Public Draft
- NIST NCCoE Migration to Post-Quantum Cryptography
- UK NCSC: Timelines for migration to PQC
- OMB Memorandum M-23-02
- European Commission Recommendation (EU) 2024/1101
HCLTech aide les entreprises à évaluer leur exposition cryptographique, bâtir la visibilité à partir du CBOM, définir les priorités quant au risque, concevoir des états cibles crypto-agiles et exécuter une transformation post-quantique progressive sur les applications, les infrastructures, le cloud, la PKI, HSM/KMS et l’écosystème tiers.
