Cybersécurité : se préparer à l'ère post-quantique

L’émergence de l’informatique quantique n’est plus une hypothèse lointaine. Les autorités anticipent qu’un ordinateur quantique suffisamment performant pourrait, d’ici quelques années, compromettre les algorithmes cryptographiques à clé publique actuellement utilisés pour sécuriser les échanges, les transactions et les données sensibles des entreprises. Cette perspective, souvent désignée sous le terme de « Q-Day », s’accompagne d’un risque immédiat : la captation différée de données chiffrées aujourd’hui, dont le déchiffrement deviendrait possible demain grâce à la puissance de calcul quantique. Cette menace, résumée par l’expression « Harvest Now, Decrypt Later » (HNDL), engage dès à présent la responsabilité juridique des organisations, au regard des obligations de sécurité déjà en vigueur.

Une menace déjà prise en compte par les régulateurs

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a publié en 2023 un avis sur la migration vers la cryptographie post-quantique, recommandant aux acteurs économiques d’inventorier leurs usages cryptographiques et de privilégier des mécanismes hybrides, combinant des algorithmes pré-quantiques éprouvés et des solutions post-quantiques. L’Agence a également annoncé qu’à compter de 2027, elle ne délivrera plus de visas de sécurité aux produits cryptographiques dépourvus de protection post-quantique. Cette position transforme une recommandation technique en un critère déterminant pour les politiques d’achat et de certification des solutions de sécurité.

Le socle juridique : une obligation de sécurité dynamique

Le règlement général sur la protection des données (RGPD) constitue le premier fondement juridique de cette anticipation. Son article 32 impose aux responsables de traitement et aux sous-traitants de mettre en œuvre des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté aux risques, en tenant compte de « l’état des connaissances ». Cette formulation, par nature évolutive, intègre nécessairement l’évolution de la menace quantique : un chiffrement considéré comme robuste aujourd’hui pourrait être jugé insuffisant demain, dès lors qu’une faille post-quantique documentée est identifiée.

La directive NIS 2 renforce cette exigence pour les entités essentielles et importantes. Son article 21 impose explicitement l’adoption de politiques et procédures relatives à l’utilisation de la cryptographie, parmi les dix catégories de mesures de gestion des risques exigées. La menace quantique, en fragilisant les fondements des algorithmes asymétriques actuels, s’inscrit directement dans le périmètre de cette obligation.

Des exigences sectorielles renforcées

Le secteur financier est soumis à un cadre encore plus strict. Le règlement DORA impose la mise en œuvre de politiques de sécurité des technologies de l’information et de la communication couvrant la protection des clés cryptographiques. Les actes délégués associés détaillent l’obligation, pour les entités financières, d’élaborer et de documenter une politique de chiffrement et de contrôles cryptographiques proportionnée à leur cartographie des risques. Une politique figée, sans mécanisme de révision face à l’évolution de la menace quantique, expose l’organisation à une critique de non-conformité.

Les fabricants de produits numériques sont également concernés par le règlement sur la cyberrésilience (CRA), qui impose des exigences essentielles de cybersécurité couvrant la conception du produit et la gestion continue de ses vulnérabilités. Cette obligation, structurellement évolutive, suppose que le fabricant tienne compte de l’état de la menace au moment considéré, y compris la robustesse post-quantique des mécanismes cryptographiques intégrés.

Vers une crypto-agilité documentée

Ce cadre réglementaire converge vers une même exigence pratique : les organisations doivent abandonner une approche statique de la conformité. Elles doivent engager, dès à présent, un inventaire de leurs actifs cryptographiques (clés, certificats, protocoles), évaluer leur exposition au scénario de captation différée des données chiffrées, et formaliser une trajectoire de migration vers des mécanismes hybrides, en cohérence avec les préconisations de l’ANSSI. Cette démarche, documentée, doit permettre de démontrer, en cas de contrôle, que l’organisation a pris en compte l’état de l’art au sens du RGPD, satisfait aux exigences de la directive NIS 2, et, le cas échéant, aux obligations sectorielles issues de DORA ou du CRA.

L’absence d’une telle démarche pourrait, à terme, être considérée comme une négligence caractérisée au regard de ces textes. La rupture quantique ne relève pas d’un vide juridique nécessitant un texte dédié : elle active, dès aujourd’hui, des obligations de sécurité déjà codifiées dans le RGPD, la directive NIS 2, le règlement DORA et le règlement CRA. Anticiper cette transition, c’est se conformer à un cadre juridique existant avant que son inobservation ne devienne, au moment du Q-Day, une faute manifeste.

Source : Lexing