Cryptographie post-quantique : les échéances 2026, 2030 et 2035 et ce qui est contraignant

Pourquoi les dates sont désormais fixées

Des algorithmes post-quantiques normalisés existent depuis août 2024. À cette date, le NIST américain a publié ML-KEM pour l’établissement de clés ainsi que ML-DSA et SLH-DSA pour les signatures, sous les références FIPS 203, 204 et 205. Depuis, « nous attendons les normes » n’est plus une raison de repousser la migration.

Il existe désormais aussi des dates. En juin 2025, les États membres de l’UE, avec le soutien de la Commission européenne, ont publié une feuille de route commune pour la transition. Feuille de route de l’UE En janvier 2026, le BSI, l’office fédéral allemand de la sécurité des systèmes d’information, a complété sa directive technique TR-02102-1 par des échéances de migration. BSI TR-02102-1 Et le 12 octobre 2026, le BMI (ministère fédéral de l’Intérieur), le BMDS (ministère fédéral du Numérique et de la Modernisation de l’État) et le BSI ont publié une ligne directrice commune qui reprend les dates de l’UE pour l’Allemagne. BSI

Cet article replace dans leur contexte les dates issues de ces documents. Il distingue ce qui est recommandé de ce qui devient une obligation. De nombreuses synthèses accordent trop peu d’attention à cette distinction.

Les échéances en un coup d’œil

Fin 2026 : inventaire, responsabilité et plan

La première échéance ne concerne pas la technique, mais l’organisation. Pour fin 2026, la feuille de route de l’UE cite notamment ces premières étapes : impliquer les parties prenantes, mettre en place une gestion mature des actifs cryptographiques, recenser les dépendances, analyser le risque quantique, intégrer la chaîne d’approvisionnement et établir un calendrier et un plan de mise en œuvre. Des projets pilotes pour les cas d’usage à risque élevé et moyen devraient avoir démarré d’ici là. Feuille de route de l’UE, PDF

La ligne directrice nationale est plus concrète pour l’Allemagne. La phase de préparation et de planification, que la ligne directrice appelle « PQC-Readiness », doit être achevée d’ici fin 2026. Chaque organisation devrait désigner au moins une fonction responsable qui pilote le plan de mise en œuvre, les priorités et l’avancement, et prévoir pour cela des ressources humaines et financières suffisantes. Ligne directrice, PDF

Pour l’inventaire, la ligne directrice renvoie au Krypto-Kataster (inventaire cryptographique) de l’IT-Grundschutz, la méthodologie de sécurité de base du BSI : exigence CON.1.A19 du module CON.1 Concept cryptographique. Des outils d’inventaire, des analyses de dépôts de code et une Cryptographic Bill of Materials (CBOM), par exemple selon la norme CycloneDX, peuvent y aider. La première version de l’inventaire doit être prête d’ici fin 2026. Elle comprend également une vue d’ensemble des dépendances internes et externes. L’exemple de la ligne directrice : le lecteur de cartes et la carte doivent tous deux maîtriser des algorithmes résistants au quantique, sans quoi la connexion entre eux n’est pas résistante au quantique.

Fin 2030 : ce qu’est un cas d’usage à haut risque

L’échéance la plus importante est fin 2030. D’ici là, les cas d’usage à risque quantique élevé doivent être migrés. La feuille de route de l’UE le formule clairement : pour ces cas d’usage, les algorithmes à clé publique vulnérables ne devraient plus être utilisés seuls après fin 2030. Il en va de même pour les cas d’usage à risque moyen après fin 2035.

Chaque organisation définit elle-même ce que signifie « risque élevé ». La feuille de route fournit pour cela une méthode et des règles empiriques générales. Le risque quantique d’un cas d’usage dépend de trois facteurs :

• la vulnérabilité de la cryptographie utilisée,
• les dommages causés si elle est cassée,
• la durée et le coût de la migration vers la cryptographie post-quantique.

Deux règles empiriques de la feuille de route sont particulièrement utiles. Premièrement : si des données doivent rester confidentielles pendant au moins dix ans et qu’une attaque aurait encore des conséquences importantes au bout de dix ans, le risque est élevé. Des attaquants peuvent intercepter et stocker ces données dès aujourd’hui pour les déchiffrer plus tard (« Store now, decrypt later »). Deuxièmement : si la migration dure plus de huit ans et que les conséquences d’une attaque seraient graves, le risque est également élevé. La feuille de route cite comme exemple la sécurisation des mises à jour logicielles.

Il en découle une deuxième exigence pour 2030 : les mises à jour logicielles et micrologicielles résistantes au quantique doivent être activées par défaut. Les produits mis sur le marché avec une durée de vie prévue au-delà de 2030 doivent pouvoir être mis à jour vers des algorithmes post-quantiques. Le mécanisme de mise à jour lui-même doit utiliser pour cela des signatures post-quantiques.

Dans la TR-02102-1, le BSI fixe la même date pour les applications ayant un besoin de protection très élevé : leur migration vers des algorithmes résistants au quantique devrait être achevée d’ici fin 2030.

Fin 2031 et 2035 : ce que recommande la BSI TR-02102-1

La TR-02102-1, dans sa version 2026-01 du 23 janvier 2026, est la recommandation centrale du BSI sur les algorithmes cryptographiques et les longueurs de clés. Elle distingue l’établissement de clés et les signatures. BSI TR-02102-1, PDF

Établissement de clés. Le BSI ne recommande les algorithmes classiques, comme RSA ou Diffie-Hellman sur courbes elliptiques, utilisés seuls que jusqu’à fin 2031. Ensuite, ils ne devraient plus être utilisés qu’en combinaison avec un KEM résistant au quantique. La raison est le « Store now, decrypt later » : les données interceptées sont menacées dès qu’un ordinateur quantique suffisamment puissant existe, même si l’interception remonte à plusieurs années.

Signatures. Ici, la situation est différente. Une signature classique reste digne de confiance tant qu’il n’existe pas d’ordinateur quantique cryptographiquement pertinent. Le BSI suit donc la feuille de route de l’UE et, en l’état actuel, recommande les algorithmes de signature classiques probablement jusqu’à fin 2035. Dans le même temps, la directive souligne qu’il faut s’attendre à de longs délais de migration, en particulier pour les signatures au sein d’une PKI.

L’hybride plutôt que le remplacement. Le BSI recommande d’utiliser les algorithmes post-quantiques en mode hybride, c’est-à-dire en combinaison avec un algorithme classique. Si l’un des deux tombe, l’autre continue de protéger. La ligne directrice nationale reprend cette recommandation.

2035 : NIST IR 8547 et le cadre international

Aux États-Unis, le NIST a proposé en novembre 2024, avec le projet NIST IR 8547, un calendrier de retrait progressif des algorithmes classiques à clé publique. NIST IR 8547 Les algorithmes d’un niveau de sécurité de 112 bits, dont RSA-2048, doivent être considérés comme « deprecated » après 2030. Après 2035, RSA, ECDSA, EdDSA ainsi que Diffie-Hellman classique doivent être « disallowed » à tous les niveaux de sécurité.

Deux réserves sont importantes. Le document est à ce jour toujours un projet (Initial Public Draft). Et chez le NIST, « deprecated » ne signifie pas interdit : un algorithme peut continuer à être utilisé si l’organisation assume sciemment le risque. Il n’est définitivement exclu qu’au stade « disallowed ».

La feuille de route de l’UE a délibérément aligné l’horizon 2035 sur ce calendrier. Elle renvoie à NIST IR 8547, à l’objectif américain du National Security Memorandum 10 d’éliminer autant de risque quantique que possible d’ici 2035, et au calendrier du NCSC britannique, qui fixe également 2035 comme objectif. Pour les entreprises actives à l’international, c’est une bonne nouvelle : les grands calendriers ne se contredisent pas.

Ce qui est obligatoire et ce qui relève de la recommandation

La plupart des synthèses parlent de « deadlines ». Juridiquement, les dates de la feuille de route de l’UE et de la ligne directrice nationale sont pourtant des recommandations. La ligne directrice le dit elle-même : les échéances sont des « recommandations urgentes en raison de la pression aiguë à agir ». Pour qu’elles deviennent contraignantes, l’IT-Planungsrat (le conseil de planification informatique de l’État fédéral et des Länder) et l’UP KRITIS (le partenariat public-privé allemand pour la protection des infrastructures critiques) doivent les adopter sous une forme aussi contraignante que possible d’ici fin 2026.

Aujourd’hui, trois éléments sont surtout contraignants :

• Verschlusssachen (informations classifiées). Pour les produits de sécurité informatique agréés pour les informations classifiées, le BSI a fixé des échéances contraignantes afin de migrer le domaine des informations classifiées d’ici 2030.
• NIS2 en Allemagne. En vertu du § 30 de la loi sur le BSI (BSIG), les entités importantes et essentielles sont tenues de respecter l’état de l’art en matière de cryptographie. La ligne directrice cite expressément la TR-02102 comme référence. Quiconque ignore les recommandations de la TR-02102 sans décision de risque motivée aura, en cas de doute, du mal à démontrer le respect de l’état de l’art.
• Règles sectorielles. L’acte délégué relatif à la gestion du risque lié aux TIC au titre de DORA (règlement délégué (UE) 2024/1774, article 6) exige des entités financières qu’elles prévoient, dans leur politique de chiffrement et de contrôles cryptographiques, la mise à jour ou le remplacement de la technologie cryptographique en fonction des progrès de la cryptanalyse. Depuis le 31 mars 2025, l’exigence 12.3.3 de PCI DSS 4.0.1 impose un inventaire documenté des suites de chiffrement et des protocoles utilisés, revu au moins une fois par an, ainsi qu’une stratégie face aux vulnérabilités prévisibles. Aucun des deux ne fixe de date post-quantique précise. Mais un ordinateur quantique est exactement le type d’évolution à laquelle ils doivent répondre.

Les deux documents, la feuille de route de l’UE et la ligne directrice, contiennent en outre la même phrase pour le cas où une date ne pourrait pas être tenue : le risque individuel doit alors être évalué. Ce n’est pas une échappatoire, mais une obligation de documentation. Quiconque manque l’échéance de 2030 devrait pouvoir justifier pourquoi, et avec quelles mesures compensatoires.

Ce que le calendrier implique pour la planification

La feuille de route de l’UE justifie aussi ses dates par la durée de la migration. Migrer entièrement tous les systèmes concernés pourrait facilement prendre cinq à dix ans. La ligne directrice renvoie à des migrations cryptographiques antérieures qui ont elles aussi pris des années.

Le niveau de préparation des entreprises ressort d’une enquête de marché que KPMG a menée en 2023 pour le compte du BSI : près de 90 % des participants estimaient ne pas pouvoir faire face à temps aux menaces que les ordinateurs quantiques font peser sur la cryptographie. Enquête de marché du BSI

Le calcul est simple. Une organisation qui doit avoir migré ses cas d’usage à haut risque d’ici fin 2030 et qui a besoin de cinq ans pour cela aurait dû commencer en 2025. Pour toutes les autres : l’échéance de fin 2026 pour l’inventaire, la responsabilité et le plan est la première qu’il est encore réaliste de tenir. Et elle coûte surtout du travail, très peu d’investissements.

Dans le même temps, la feuille de route de l’UE et la ligne directrice mettent en garde contre l’extrême inverse. Le calendrier vise à éviter une transition chaotique qui créerait de nouvelles vulnérabilités par des solutions insuffisamment testées. Un remplacement complet et rapide n’est donc pas l’objectif. Ce qu’il faut, c’est une migration priorisée, testée et documentée.

Ce que nous en retenons chez Secani

La ligne directrice demande d’intégrer le risque quantique dans la gestion des risques ordinaire et d’y ancrer les échéances de traitement. Pour un SMSI, cela signifie que le risque quantique ne devient pas un projet spécial à côté du registre, mais un risque comme les autres, relié aux actifs, applications et fournisseurs concernés, avec une personne responsable et une échéance. On peut ainsi retracer quels cas d’usage ont été classés à risque élevé, pourquoi, et quand ils doivent être migrés.

Comment gérer les risques pour qu’ils débouchent sur des décisions, nous le décrivons dans Construire un registre des risques qui change les décisions. Comment examiner le chiffrement et la gestion des clés dans leur ensemble, vous le lirez dans Chiffrement et gestion des clés : vérifier la chaîne de protection. Ce que dit la recherche sur le moment où un ordinateur quantique pourrait casser RSA, nous le résumons dans Quand viendra le Q-Day ? Ce que montre la recherche en 2025 et 2026.

Conclusion

Les dates de la migration post-quantique sont fixées, et les grands calendriers de l’UE, de l’Allemagne, des États-Unis et du Royaume-Uni concordent : fin 2026 l’inventaire et le plan, fin 2030 les cas d’usage à haut risque, 2035 le reste. Jusqu’à présent, elles sont contraignantes surtout pour les informations classifiées. Pour les entités NIS2 en Allemagne, elles deviennent de fait la référence à travers l’état de l’art au sens du § 30 BSIG. Quiconque commence aujourd’hui ne devrait donc pas partir de la technique, mais d’une fonction responsable, d’un inventaire et d’une classification motivée de ses propres cas d’usage.

Sources

• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream du groupe de coopération SRI (NIS Cooperation Group), partie 1, version 1.1, 11 juin 2025, publiée le 23 juin 2025)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (ligne directrice commune du BMDS, du BMI et du BSI, publiée le 12 octobre 2026)
• Umstellung auf Post-Quanten-Kryptografie: Leitlinie zur nationalen Umsetzung der EU-Roadmap veröffentlicht (BSI, communiqué de presse, 12 octobre 2026)
• BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen (version 2026-01, 23 janvier 2026)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 novembre 2024)
• Marktumfrage Kryptografie und Quantencomputing (KPMG pour le compte du BSI, avril 2023)