Cryptographie post-quantique : migrer avant 2030

Les flux chiffrés que vous émettez aujourd’hui peuvent être interceptés, stockés et déchiffrés dans dix ans. C’est le scénario harvest now, decrypt later, et il n’a rien d’hypothétique : il ne suppose aucun ordinateur quantique en 2026, seulement un attaquant patient et une donnée qui reste sensible longtemps. L’ANSSI a fixé deux repères pour y répondre — 2027 pour les qualifications de produits, 2030 pour les achats — et la feuille de route européenne du groupe de coopération NIS en ajoute deux autres, 2030 et 2035. Pour un DPO ou un RSSI, la question n’est donc plus « quand faudra-t-il migrer », mais « quelles données de mon organisation survivront à 2030 ».

Cryptographie post-quantique : de quoi parle-t-on exactement

La cryptographie post-quantique (PQC, post-quantum cryptography) désigne une famille d’algorithmes classiques — ils tournent sur des processeurs ordinaires — dont la sécurité repose sur des problèmes mathématiques que l’on conjecture résistants à un ordinateur quantique. Ils remplissent les mêmes fonctions que la cryptographie asymétrique actuelle : établissement de clés et signature électronique.

Il faut d’emblée écarter deux confusions fréquentes, parce qu’elles orientent mal les budgets.

La PQC n’est pas la distribution quantique de clés (QKD). La QKD est une technologie physique, qui exige des liaisons dédiées et un matériel spécifique. La PQC est logicielle et se déploie dans les protocoles existants. La recommandation (UE) 2024/1101 du 11 avril 2024 évoque les deux, mais c’est la PQC que l’ANSSI qualifie de « voie la plus prometteuse » et qui structure toutes les feuilles de route nationales.

La menace ne porte pas uniformément sur toute la cryptographie. Un ordinateur quantique cryptographiquement pertinent casserait la cryptographie asymétrique — RSA, Diffie-Hellman, courbes elliptiques — via l’algorithme de Shor. La cryptographie symétrique (AES) et les fonctions de hachage (SHA-2, SHA-3) sont affectées plus modestement par l’algorithme de Grover : doubler la taille de clé suffit, et AES-256 reste considéré comme sûr. Autrement dit, votre chiffrement de bases de données au repos en AES-256 n’est pas le problème. Vos échanges de clés TLS, vos VPN, vos signatures électroniques, vos IGC et vos mécanismes de mise à jour signés le sont.

Pourquoi l’échéance juridique précède l’échéance technique

C’est le point que je vois le plus souvent manqué en comité de direction. Le raisonnement intuitif consiste à dire : « les ordinateurs quantiques cryptographiquement pertinents n’existeront pas avant 2035 ou 2040, nous verrons plus tard ». Ce raisonnement est faux pour trois raisons cumulatives, que l’on résume par le théorème de Mosca.

Variable	Question	Ordre de grandeur constaté
X — durée de sensibilité	Combien d’années mes données doivent-elles rester confidentielles ?	Données de santé : 20 ans et plus. Dossiers RH : 5 à 50 ans. Secrets industriels : 10 à 30 ans.
Y — durée de migration	Combien de temps pour changer toute ma cryptographie ?	5 à 15 ans pour un SI d’entreprise complet, davantage avec de l’embarqué
Z — arrivée de la menace	Dans combien d’années l’ordinateur quantique pertinent ?	Estimations publiques : 2030-2040, avec une forte incertitude

Si X + Y > Z, vous êtes déjà en retard. Une donnée de santé collectée en 2026, conservée 20 ans, transmise sur un canal chiffré en RSA, est exposée dès aujourd’hui à une interception passive. L’attaquant n’a pas besoin de la déchiffrer maintenant ; il lui suffit de la stocker. C’est exactement pour cette raison que l’ANSSI écrit qu’« à l’heure où la menace d’attaques rétroactives est déjà constituée, il apparaît essentiel de se prémunir dès à présent ».

Le calendrier réglementaire : quatre échéances à retenir

Il n’existe pas, à ce jour, d’obligation générale de migrer vers la PQC opposable à toute entreprise française. Mais il existe un faisceau d’échéances qui, ensemble, déplacent la définition de l’« état de l’art » — et l’état de l’art, lui, est bel et bien opposable au titre de l’article 32 du RGPD.

Échéance	Source	Ce qui change
2027	ANSSI	Objectif d’obligations PQC pour l’entrée en qualification des produits (Visa de sécurité). Un produit de sécurité sans PQC ne sera plus qualifiable.
31 décembre 2026	Feuille de route NIS CG (23 juin 2025)	Feuille de route nationale établie et premières étapes engagées : identification des parties prenantes, inventaires cryptographiques, cartographie des dépendances fournisseurs, premiers pilotes sur les cas d’usage à risque moyen et élevé.
31 décembre 2030	Feuille de route NIS CG + ANSSI	Cas d’usage à haut risque migrés, planification achevée pour le risque moyen. L’ANSSI indique qu’« il ne sera pas raisonnable d’acheter des produits qui n’intègrent pas de la PQC après 2030 ».
31 décembre 2035	Feuille de route NIS CG	Cas d’usage à risque moyen migrés, et transition complète pour le reste dans la mesure du possible.

Ce qui est réglementé, et ce qui ne l’est pas

L’ANSSI est explicite sur ce point, et il faut le répéter parce que les argumentaires commerciaux entretiennent souvent le flou : « les préconisations de l’ANSSI sur la PQC (y compris sur l’hybridation) n’ont pas à ce jour de caractère d’obligation réglementaire ».

Le périmètre effectivement réglementé en matière de cryptographie reste circonscrit :

• les informations classifiées de défense et celles portant la mention Diffusion Restreinte — les organisations concernées devront acquérir des solutions conformes aux référentiels mis à jour ;
• les systèmes d’information d’importance vitale (dispositif SAIV), tenus à un chiffrement à l’état de l’art défini par l’annexe B du Référentiel général de sécurité et par le guide des mécanismes cryptographiques PG-083 — deux référentiels que l’ANSSI a annoncé faire évoluer pour intégrer les algorithmes post-quantiques ; vérifiez la version en vigueur avant de vous appuyer dessus ;
• les certifications et qualifications de produits délivrées par l’ANSSI, dont les référentiels évoluent — la révision du référentiel IPsec DR est annoncée courant 2026.

Hors de ce périmètre, aucune réglementation dédiée n’est prévue à ce jour. Ce qui ne signifie pas absence d’obligation : cela signifie que l’obligation passe par les textes généraux.

L’article 32 du RGPD : le vrai levier juridique

L’Art. 32(1) du RGPD impose des mesures « appropriées » compte tenu « de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques ». Il cite expressément le chiffrement à l’Art. 32(1)(a) et exige à l’Art. 32(1)(b) des moyens garantissant « la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ».

Trois conséquences pratiques en découlent, que je formule comme je les formule en audit.

Première conséquence : l’état de l’art est une cible mobile. Il se déplace quand les autorités techniques nationales le déplacent. Le jour où le guide PG-083 et l’annexe B du RGS intègrent les mécanismes post-quantiques, un responsable de traitement qui protège des données à longue durée de conservation par du RSA seul ne peut plus soutenir sans discussion qu’il applique l’état de l’art.

Deuxième conséquence : le critère de la durée de conservation devient un critère de sécurité. C’est l’articulation qui manque le plus souvent dans les organisations. Votre tableau des durées de conservation n’est pas seulement un document de conformité Art. 5(1)(e) : c’est l’entrée principale de votre analyse de risque cryptographique. Une donnée conservée trois ans ne pose pas le même problème qu’une donnée conservée trente ans.

Troisième conséquence : la charge de la preuve pèse sur vous. L’Art. 5(2) impose au responsable de traitement de démontrer sa conformité. Face à une menace publiquement documentée par l’autorité nationale de cybersécurité, l’absence totale de prise en compte dans l’analyse de risques est difficile à défendre. Je précise : personne ne vous reprochera en 2026 de ne pas avoir migré. On pourra vous reprocher de ne pas avoir su quels systèmes seraient concernés.

NIS2, DORA et CRA : l’obligation par ricochet

Pour les entités régulées, trois textes ajoutent une couche.

NIS2. L’Art. 21(2)(h) de la directive (UE) 2022/2555 impose des « politiques et procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement ». Une politique cryptographique qui ne dit rien de la menace quantique ni du cycle de renouvellement des algorithmes est une politique incomplète. Voyez notre checklist des mesures NIS2 et le guide de la directive NIS2 pour le périmètre exact.

DORA. Le règlement (UE) 2022/2554 impose aux entités financières une gestion des risques TIC qui intègre l’obsolescence technologique. Les normes techniques de réglementation associées exigent une politique de chiffrement et de gestion des clés incluant les critères de sélection des algorithmes et la procédure de mise à jour en cas d’évolution de l’état de l’art. Là encore, la lecture est directe : voir le guide DORA et la gestion des risques TIC.

Cyber Resilience Act. Pour les fabricants de produits comportant des éléments numériques, l’annexe I du règlement (UE) 2024/2847 impose de protéger la confidentialité et l’intégrité « par des mécanismes de pointe », et l’obligation de fournir des mises à jour de sécurité pendant la période de support s’étend logiquement au remplacement d’un algorithme devenu vulnérable. Un produit conçu en 2026 pour vivre quinze ans doit être crypto-agile. Voir les exigences essentielles du CRA et les obligations de support.

Les algorithmes : ce que recommande l’ANSSI

Le NIST a standardisé en août 2024 trois mécanismes qui constituent aujourd’hui le socle du marché :

Standard	Algorithme	Fonction	Base mathématique
FIPS 203	ML-KEM (ex-CRYSTALS-Kyber)	Encapsulation de clés	Réseaux euclidiens
FIPS 204	ML-DSA (ex-CRYSTALS-Dilithium)	Signature	Réseaux euclidiens
FIPS 205	SLH-DSA (ex-SPHINCS+)	Signature	Fonctions de hachage

À quoi s’ajoutent FN-DSA (ex-Falcon), en cours de standardisation, et HQC, retenu par le NIST en mars 2025 comme mécanisme d’encapsulation de secours reposant sur une famille mathématique différente — précaution utile si les réseaux euclidiens venaient à être affaiblis.

La position de l’ANSSI mérite d’être citée précisément, parce qu’elle diffère de celle du NIST sur un point structurant. L’agence « ne fournit traditionnellement pas de liste fermée d’algorithmes recommandés afin de ne pas proscrire des algorithmes innovants ». Elle publie en revanche, dans son Avis sur la migration vers la cryptographie post-quantique, une liste non exhaustive de mécanismes appropriés avec leurs dimensionnements, et recommande de « n’utiliser que des algorithmes éprouvés par la communauté académique ».

L’hybridation : le point non négociable

C’est la recommandation la plus ferme de l’ANSSI, et celle qui distingue la doctrine française d’une simple bascule vers le NIST.

L’hybridation consiste à combiner un algorithme post-quantique avec un algorithme pré-quantique bien étudié, de sorte que la sécurité soit garantie si l’un des deux tient. L’ANSSI « insiste fortement sur le caractère essentiel de l’hybridation des algorithmes de cryptographie post-quantique partout où ils sont déployés, à la fois à court et moyen terme ». Le motif est une exigence de non-régression : le recul sur la sécurité et surtout sur les implémentations des algorithmes post-quantiques est jugé insuffisant.

Deux précisions opérationnelles :

• Exception hachage. Les seuls algorithmes pour lesquels l’ANSSI ne recommande pas l’hybridation systématique sont les signatures fondées sur le hachage : SLH-DSA, XMSS et LMS.
• Modes recommandés. Pour les mécanismes d’encapsulation de clés, l’ANSSI recommande les modes CatKDF et CasKDF. Pour les signatures, la simple concaténation d’une signature classique et d’une signature post-quantique satisfait l’exigence d’hybridation.

Dans le périmètre réglementé (Diffusion Restreinte, classifié, SIIV), l’hybridation est obligatoire — ce n’est plus une recommandation.

La crypto-agilité : l’objectif réel de la migration

La crypto-agilité désigne la capacité d’un système à changer d’algorithme ou de jeu de paramètres sans redéveloppement. C’est, dans mon expérience, le vrai livrable de cette transition.

La raison est simple : personne ne peut garantir que ML-KEM tiendra trente ans. Une organisation qui remplace RSA par ML-KEM en codant l’algorithme en dur dans ses applications aura reproduit exactement le problème qu’elle cherchait à résoudre — et devra recommencer. L’ANSSI « recommande très fortement que les produits soient capables de changer de jeux de paramètres », et a publié le 19 janvier 2026 des recommandations dédiées à la crypto-agilité, adressées en priorité aux développeurs et aux architectes système.

Concrètement, la crypto-agilité signifie : centraliser les primitives dans des bibliothèques ou des services, référencer les algorithmes par configuration et non par code, négocier les suites cryptographiques dans les protocoles, versionner les formats de messages, et prévoir la coexistence de deux algorithmes pendant la période de bascule.

Construire votre plan de transition : la méthode en cinq phases

L’ANSSI est claire sur ce que doit être la première action : pas un achat, un inventaire. « Chaque organisation doit réaliser un inventaire afin d’obtenir une bonne visibilité sur la liste des produits et usages métier intégrant de la cryptographie, les algorithmes cryptographiques utilisés, ainsi que les données dont la confidentialité et/ou l’authenticité doivent être garanties après 2030, en précisant systématiquement cette durée. »

Phase 1 — L’inventaire cryptographique (2026)

L’objectif est de produire un référentiel des usages cryptographiques, souvent appelé CBOM (cryptographic bill of materials), par analogie avec le SBOM imposé par le CRA.

Ce que l’inventaire doit contenir, à mon sens, au minimum :

Champ	Pourquoi
Système / flux / application	Périmètre
Algorithmes asymétriques utilisés (RSA, ECDSA, ECDH, DH) et tailles	Identifie l’exposition directe
Protocole et version (TLS 1.2/1.3, IPsec, SSH, S/MIME)	Détermine la faisabilité d’une bascule
Catégories de données protégées	Croisement avec le registre des traitements
Durée pendant laquelle la confidentialité doit être garantie	Variable X du théorème de Mosca
Durée de vie résiduelle de l’équipement	Détermine si la PQC arrive par renouvellement naturel
Fournisseur et feuille de route PQC annoncée	Prépare la phase contractuelle
Possibilité de mise à jour cryptographique	Mesure la crypto-agilité réelle

Deux avertissements. D’abord, ne sous-traitez pas cet exercice à un outil seul : l’ANSSI note que les outils d’inventaire cryptographique « interviennent en complément d’un processus plus général » et « ne se substituent pas à une démarche plus large ». Un scanner voit les flux TLS ; il ne voit pas qu’un connecteur métier signe ses messages avec une clé RSA-2048 générée en 2014. Ensuite, cet inventaire n’est pas un document jetable : c’est un actif de gouvernance qui rejoint votre PSSI et qui doit vivre.

Phase 2 — La priorisation par le risque (2026-2027)

L’inventaire produit une liste ; la priorisation produit un plan. Le critère central n’est pas la criticité métier immédiate, mais la combinaison durée de sensibilité × durée de vie de l’équipement.

Priorité	Profil	Exemples typiques
1 — critique	Données sensibles > 10 ans transitant sur des réseaux non maîtrisés	Données de santé, données RH, R&D, secrets d’affaires, flux inter-sites via Internet
2 — haute	Racines de confiance et matériel à longue durée de vie	IGC internes, HSM, certificats racines, mécanismes de signature de firmware, archivage à valeur probante
3 — moyenne	Systèmes renouvelés dans les 5 ans, données à sensibilité moyenne	Postes de travail, applications métier standard, services cloud
4 — basse	Données publiques ou à sensibilité très courte	Sites publics, données déjà anonymisées

Deux catégories méritent une attention particulière parce qu’on les oublie systématiquement.

Les racines de confiance. Une autorité de certification racine émise pour vingt ans, un mécanisme de vérification de signature de firmware gravé dans du silicium, une clé de signature de mises à jour : ces éléments ne se remplacent pas par un correctif. Ils se remplacent par un changement de matériel. L’ANSSI mène d’ailleurs des travaux spécifiques sur la transition des IGC et le format des certificats. Si votre processus de mise à jour repose sur une signature RSA non remplaçable, votre canal de correction est lui-même le point de rupture.

Les systèmes embarqués. L’ANSSI rappelle que les implémentations cryptographiques embarquées sont « particulièrement vulnérables face aux attaques par canaux auxiliaires et aux attaques par injection de fautes » et recommande de choisir des algorithmes et modes d’hybridation robustes face à cette menace. Un dispositif médical, un compteur ou un automate déployé en 2026 pour vingt ans doit être traité en priorité 1, quelle que soit la sensibilité apparente des données.

Phase 3 — La pression fournisseurs (2026-2028)

C’est la phase la plus rentable, parce que l’essentiel de votre cryptographie ne vous appartient pas : elle est dans vos produits, vos SaaS et vos prestataires.

L’ANSSI recommande explicitement d’« identifier les équipements qui vont devoir être mis à jour et contacter les fournisseurs pour connaître leur feuille de route ». Trois leviers concrets :

• Le questionnaire d’achat. Ajoutez à vos appels d’offres et à votre grille d’audit de sécurité trois questions : quels algorithmes asymétriques votre produit utilise-t-il ; quelle est votre feuille de route PQC datée ; votre produit permet-il un changement d’algorithme sans remplacement matériel.
• La clause contractuelle. Dans un contrat SaaS ou un contrat de sous-traitance Art. 28, une clause de maintien à l’état de l’art cryptographique, avec obligation d’information sur la feuille de route et droit de résiliation en cas de non-migration à échéance, coûte zéro euro à la signature et vaut cher en 2030.
• La due diligence. Intégrez la question au volet technique de vos audits de sous-traitants et de vos opérations de due diligence RGPD.

Un signal de marché utile pour calibrer vos exigences : début octobre 2025, l’ANSSI a délivré ses deux premiers Visas de sécurité à des produits intégrant des algorithmes post-quantiques à base de réseaux euclidiens (solutions Thales et Samsung, évaluées par le CEA-Leti). L’offre de confiance existe donc, mais elle démarre — d’où l’insistance de l’agence sur le cycle de renouvellement naturel plutôt que sur le remplacement anticipé.

Phase 4 — Le déploiement hybride (2027-2030)

Ordre de bataille qui fonctionne en pratique :

1. Les flux en transit d’abord. TLS 1.3 hybride est ce qui se déploie le plus facilement, souvent par simple mise à jour côté serveur et navigateur. C’est aussi ce qui traite directement le risque harvest now, decrypt later.
2. Les VPN et l’interconnexion de sites ensuite. Attention au référentiel IPsec DR, dont la révision est annoncée courant 2026 : pour les entités concernées par la Diffusion Restreinte, cette date conditionne la possibilité d’un agrément.
3. Les IGC et la signature en troisième. Cycle long, dépendant des travaux de normalisation sur le format des certificats.
4. L’embarqué et le matériel en dernier, mais commencé en premier. Contradiction apparente : le déploiement est tardif parce qu’il suit le renouvellement du parc, mais les décisions d’achat, elles, se prennent maintenant.

Point de vigilance côté disponibilité : les clés et signatures post-quantiques sont plus volumineuses que leurs équivalents elliptiques. Cela a des effets mesurables sur la taille des poignées de main TLS, sur les liens à faible débit et sur les équipements contraints. Testez avant de généraliser, et intégrez ce paramètre à votre plan de continuité.

Phase 5 — La gouvernance permanente

La transition post-quantique ne se termine pas : elle devient un processus. Concrètement, cela signifie inscrire la revue cryptographique à l’ordre du jour annuel du comité sécurité, confier le sujet explicitement au RSSI avec un point de coordination DPO, et rattacher l’inventaire cryptographique au système de management de la sécurité si vous êtes certifié ISO 27001 — l’annexe A traite déjà de la cryptographie et de la gestion des clés.

Les cinq erreurs que je vois le plus souvent

Attendre une obligation légale explicite. Elle ne viendra pas pour la majorité des entreprises, ou elle viendra trop tard pour être utile. L’obligation passe par l’état de l’art de l’Art. 32, qui se déplace sans qu’aucun texte nouveau ne soit publié.

Acheter avant d’inventorier. L’ANSSI le dit sans détour : la première action n’est pas l’achat. Un produit PQC déployé sur un système dont vous ignorez les dépendances cryptographiques ne réduit aucun risque, il consomme un budget.

Confondre PQC et QKD. La distribution quantique de clés est une technologie légitime dans des contextes très particuliers. Elle ne répond pas au problème de la migration d’un SI d’entreprise, et son coût n’a aucun rapport avec celui d’une bascule TLS hybride.

Déployer du post-quantique seul. C’est le contresens le plus coûteux, parce qu’il donne le sentiment du travail accompli. Sans hybridation, vous échangez un risque connu et bien étudié contre un risque d’implémentation mal évalué — et vous sortez de la doctrine ANSSI, ce qui affaiblit votre position en cas de contrôle.

Traiter le sujet comme un projet technique. L’inventaire cryptographique croise le registre des traitements, les durées de conservation, les contrats de sous-traitance et le plan d’achat. Si le DPO n’est pas dans la boucle, la priorisation se fera sur la criticité applicative au lieu de se faire sur la durée de sensibilité des données — et se trompera de cibles.

Ce qu’il faut retenir

• La menace est déjà là, sous forme rétroactive. Le scénario harvest now, decrypt later transforme toute donnée à longue durée de conservation transitant aujourd’hui sur un canal RSA ou ECDH en risque actuel. Le critère de décision est X + Y > Z, pas la date d’arrivée de l’ordinateur quantique.
• Quatre échéances structurent le calendrier : fin 2026 pour les feuilles de route nationales, 2027 pour les obligations PQC à l’entrée en qualification ANSSI, fin 2030 pour les cas d’usage à haut risque et la fin des achats non-PQC, fin 2035 pour la transition complète.
• Il n’y a pas d’obligation réglementaire générale, sauf pour le classifié, la Diffusion Restreinte, les SIIV et les qualifications de produits. Mais l’Art. 32 du RGPD, l’Art. 21(2)(h) de NIS2, DORA et le CRA imposent tous une cryptographie à l’état de l’art — et cet état de l’art bouge en 2026.
• L’hybridation n’est pas optionnelle dans la doctrine française. L’ANSSI l’exige partout où une protection post-quantique est nécessaire, sauf pour les signatures à base de hachage (SLH-DSA, XMSS, LMS). Dans le périmètre réglementé, elle est obligatoire.
• La première action est un inventaire, pas un achat. Recensez vos usages cryptographiques, croisez-les avec vos durées de conservation, priorisez par durée de sensibilité × durée de vie du matériel, puis interrogez vos fournisseurs. Le livrable durable n’est pas « avoir migré » : c’est la crypto-agilité.

---

Recevez nos analyses conformité chaque semaine. Décisions CNIL décryptées, échéances réglementaires, méthodes applicables : inscrivez-vous à la newsletter.

---

FAQ

La cryptographie post-quantique est-elle obligatoire en France ?

Non, pas de manière générale. L’ANSSI indique expressément que ses préconisations sur la PQC, hybridation comprise, n’ont pas à ce jour de caractère d’obligation réglementaire. L’obligation existe en revanche pour les informations classifiées de défense et Diffusion Restreinte, pour les systèmes d’information d’importance vitale, et bientôt pour les produits entrant en qualification ANSSI. Pour toutes les autres organisations, la contrainte passe par l’obligation de sécurité à l’état de l’art de l’Art. 32(1) du RGPD.

Que signifie « harvest now, decrypt later » et pourquoi est-ce un risque RGPD ?

C’est une attaque en deux temps : un adversaire intercepte et stocke aujourd’hui des flux chiffrés qu’il ne peut pas lire, en pariant sur sa capacité à les déchiffrer une fois un ordinateur quantique disponible. C’est un risque RGPD immédiat par le jeu de l’Art. 32(1), qui impose des mesures appropriées « au risque » compte tenu de l’état des connaissances : si vous savez qu’une donnée de santé sera encore sensible en 2046 et qu’elle transite aujourd’hui sur un canal dont la confidentialité pourrait être rompue d’ici là, le risque est actuel et l’appréciation des mesures doit en tenir compte.

Faut-il remplacer AES et SHA-256 ?

Non, ou pas dans les mêmes termes. L’algorithme de Grover réduit la sécurité de la cryptographie symétrique et du hachage d’un facteur beaucoup plus modeste que Shor pour l’asymétrique : augmenter les tailles suffit. AES-256 et SHA-384 ou SHA-512 restent considérés comme appropriés. L’effort de migration porte sur l’établissement de clés et la signature — RSA, Diffie-Hellman, ECDH, ECDSA.

Qu’est-ce que l’hybridation cryptographique et pourquoi l’ANSSI y tient-elle ?

L’hybridation combine un algorithme post-quantique et un algorithme pré-quantique éprouvé, de sorte que la protection subsiste si l’un des deux se révèle défaillant. L’ANSSI y tient parce que le recul sur la sécurité et surtout sur les implémentations des algorithmes post-quantiques reste insuffisant : c’est une exigence de non-régression. Les modes CatKDF et CasKDF sont recommandés pour l’encapsulation de clés ; pour les signatures, la concaténation d’une signature classique et d’une signature post-quantique suffit.

Par quoi une PME doit-elle commencer concrètement ?

Par trois actions à coût quasi nul. Recenser les systèmes qui protègent des données devant rester confidentielles au-delà de 2030 — le registre des traitements et le tableau des durées de conservation donnent la matière. Écrire aux principaux fournisseurs et éditeurs pour demander leur feuille de route PQC datée. Ajouter une clause de maintien à l’état de l’art cryptographique aux contrats renouvelés. La migration technique viendra ensuite, avec le renouvellement naturel du parc.

Un produit intégrant de la PQC peut-il être certifié par l’ANSSI aujourd’hui ?

Oui. Les produits comportant de la PQC peuvent être certifiés puis qualifiés, sur la base du guide des mécanismes cryptographiques PG-083 ou du document Agreed Cryptographic Mechanisms de l’ECCG. L’ANSSI a délivré début octobre 2025 ses deux premiers Visas de sécurité à des produits utilisant des algorithmes à base de réseaux euclidiens. À noter : une bibliothèque logicielle seule n’est pas certifiable, seul un produit l’utilisant peut l’être. Voir aussi la qualification SecNumCloud pour les services d’informatique en nuage.

Comment articuler la transition PQC avec NIS2 ?

L’Art. 21(2)(h) de la directive NIS2 impose des politiques et procédures relatives à l’usage de la cryptographie et du chiffrement. Pour une entité essentielle ou importante, cela signifie qu’une politique cryptographique doit exister, être écrite, et prévoir les critères de sélection et de renouvellement des algorithmes. La menace quantique relève de l’analyse de risques exigée à l’Art. 21(2)(a) : ne pas l’y mentionner du tout est difficilement défendable en 2026.