L’IA a beau occuper le devant de la scène, l’informatique quantique représente elle aussi un risque immédiat pour nos données. Le 22 juin 2026, la Maison-Blanche a lancé un sérieux avertissement, rappelant que l’informatique quantique n’est pas seulement un problème futur, mais bien une menace pour la sécurité à laquelle nous devons commencer à nous attaquer dès aujourd’hui.
Le décret présidentiel américain 14412 (Protéger la nation contre les attaques cryptographiques avancées) souligne l’urgence de la migration vers la cryptographie post-quantique (PQC), en donnant la priorité aux politiques de financement et d’approvisionnement afin de respecter plus efficacement les échéances fédérales de mise en conformité.
“Le décret présidentiel américain 14412 fait passer le débat d’un lointain scénario hypothétique à une réalité immédiate en matière de conformité, obligeant les organisations à donner la priorité à des échéances concrètes afin de sécuriser les systèmes critiques du pays.”
Si vous pensez que cela ne constitue un casse-tête que pour les organismes publics, détrompez-vous. Ce décret provoque un effet domino considérable sur les cycles d’approvisionnement, obligeant les fournisseurs de technologies et les entreprises à privilégier les systèmes résistants aux attaques quantiques dans leurs cycles d’achat actuels.
Au-delà du « Q-Day » : les échéances opérationnelles
Pendant des années, l’idée communément admise était que la « menace quantique » — le moment où les ordinateurs quantiques pourraient facilement casser les systèmes de chiffrement classiques comme RSA — était encore très lointaine. Nous pensions avoir largement le temps de nous préparer au « jour Q ».
Mais le matériel physique progresse plus vite que ne le prévoyaient initialement les modèles mathématiques. De récentes avancées réalisées par les chercheurs de la Harvard Quantum Initiative laissent penser que les systèmes quantiques stables et tolérants aux pannes progressent bien plus rapidement que prévu, ce qui pourrait ramener l’échéance à la fin de cette décennie.
Le décret présidentiel 14412 apporte une forte dose de réalisme à ce contexte. Il fait passer le débat d’un lointain scénario hypothétique à une exigence immédiate de conformité, obligeant les organisations à donner la priorité à des échéances concrètes afin de sécuriser les systèmes critiques du pays.
- D’ici au 31 décembre 2030 : les agences fédérales devront avoir entièrement migré vers des algorithmes de cryptographie post-quantique (PQC) approuvés par le National Institute of Standards and Technology (NIST) des États-Unis pour l’établissement de clés (chiffrement). L’objectif est de neutraliser les attaques consistant à « collecter maintenant pour déchiffrer plus tard », dans lesquelles des adversaires interceptent et stockent dès aujourd’hui des communications chiffrées, sachant que l’informatique quantique permettra à terme de les déchiffrer.
- D’ici au 31 décembre 2031 : la migration vers la cryptographie post-quantique (PQC) pour les signatures numériques (authentification) devra être achevée afin de se prémunir contre les attaques par usurpation d’identité et mystification.
Ces échéances peuvent sembler avoir une portée limitée, mais il n’en est rien. Afin de mettre en œuvre le décret, l’Office of Management and Budget (OMB) a publié le mémorandum M-26-15 le 24 juin, accordant aux agences civiles un délai strict de 120 jours pour soumettre leurs plans officiels de migration, tandis que des chantiers d’exécution parallèles sont lancés par le Department of War (DoW).
Le décret charge également le Conseil américain de la réglementation des marchés publics fédéraux (FAR) d’intégrer ces mêmes échéances dans les exigences applicables aux contrats fédéraux. Une obligation gouvernementale devient ainsi une réalité commerciale : l’ensemble de la base industrielle de défense et des milliers de prestataires fédéraux devront prouver leur conformité à la cryptographie post-quantique (PQC) pour pouvoir continuer à travailler avec le gouvernement.
En outre, l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) demande aux organismes fédéraux de privilégier fortement les fournisseurs prenant en charge la cryptographie post-quantique (PQC) lors des prochains cycles d’approvisionnement. Que vous fassiez directement partie de la chaîne d’approvisionnement militaire ou que vous exerciez dans d’autres secteurs fortement réglementés, comme la finance et la santé, le constat reste le même : si vos systèmes traitent des données fédérales, être prêt à faire face à la menace quantique est une condition non négociable pour pouvoir exercer vos activités.
L’angle mort de la chaîne d’approvisionnement : place au CBOM
Les données ne restent pas confinées en un seul endroit. Elles circulent en permanence entre des API tierces, des plateformes SaaS externes, des clouds hébergés par des fournisseurs, et bien plus encore. Ces dépendances créent des vulnérabilités qui échappent à votre contrôle direct, ce qui rend la préparation à la cryptographie post-quantique (PQC) bien plus complexe que la simple sécurisation de vos systèmes internes.
Conformément au décret présidentiel 14412, les directives de la Maison-Blanche qui l’accompagnent introduisent la nomenclature cryptographique (CBOM) afin de remédier à cet angle mort en exigeant des fournisseurs qu’ils communiquent des informations détaillées sur leurs systèmes cryptographiques. À l’instar d’une nomenclature logicielle (SBOM), la CBOM met l’accent sur la transparence du chiffrement en révélant les algorithmes, bibliothèques et certificats intégrés à leurs produits.
Le problème ? La plupart des infrastructures d’entreprise ne sont pas prêtes à répondre à ces exigences de transparence, et le manque de préparation des fournisseurs à la cryptographie post-quantique (PQC) rend cette dépendance encore plus critique. Par exemple, les données de F5 Labs montrent que si 57 % du trafic mondial des navigateurs web est techniquement compatible avec la PQC grâce aux mises à jour automatiques, les systèmes back-end des entreprises accusent un retard considérable. Parmi le million de sites web les plus consultés, seuls 8,6 % prennent en charge l’échange de clés PQC hybride, et ce chiffre tombe à seulement 3 % pour les sites bancaires.
La préparation à l’ère quantique ne dépend pas uniquement de la qualité de vos préparatifs : elle repose aussi sur vos partenaires, et la moindre faiblesse dans vos dépendances pourrait tout compromettre. La transparence offerte par les CBOM sera essentielle pour évaluer les fournisseurs et garantir que votre organisation puisse gérer sereinement la transition vers l’ère quantique.
La checklist en trois étapes pour se préparer à la cryptographie post-quantique
La migration vers des algorithmes résistants aux attaques quantiques ne peut pas se régler par un simple correctif logiciel. Il s’agit d’un processus qui s’étale sur plusieurs années et exige une planification rigoureuse. À l’heure actuelle, la Maison-Blanche n’accorde aux agences fédérales que 30 jours pour désigner un responsable dédié à la migration vers la cryptographie post-quantique (PQC). Les entreprises devraient adopter le même rythme.
Voici trois mesures immédiates à prendre dès aujourd’hui :
- Attribuer la responsabilité et cartographier les dépendances : priorité immédiateDésignez une personne chargée de piloter la préparation de l’ensemble de votre organisation à l’informatique quantique. Sa première priorité doit être de recenser les endroits où des algorithmes de chiffrement classiques tels que RSA et ECC sont actuellement utilisés, aussi bien au sein de votre propre infrastructure que dans les API tierces, les plateformes SaaS et les écosystèmes de fournisseurs.
- Préparez-vous à l’obligation de fournir une CBOM : dans les trois à six prochains mois. Mettez à jour vos directives d’achat. Exigez de vos futurs fournisseurs de matériel, de logiciels et de services cloud qu’ils fournissent une feuille de route claire pour la prise en charge de la cryptographie post-quantique conforme aux normes du NIST, et demandez-leur comment ils comptent fournir une CBOM transparente. Il est nettement préférable de repérer rapidement ces lacunes en matière de dépendances plutôt que d’attendre les échéances de mise en conformité.
- Tester des modèles de déploiement hybrides : au cours des six à douze prochains mois. Adoptez TLS 1.3 et commencez à tester les échanges de clés hybrides dans des environnements hors production afin d’évaluer l’incidence des clés post-quantiques sur la latence réelle de votre réseau et les performances de vos applications. Effectuer ces tests dès aujourd’hui permet d’éviter d’importantes perturbations opérationnelles demain.
Réussir la transition avec F5
Pour réussir la migration vers une cryptographie résistante aux attaques quantiques, il est indispensable de disposer d’une crypto-agilité, c’est-à-dire de la capacité à remplacer facilement les algorithmes de chiffrement à mesure que les normes évoluent, sans interrompre les systèmes ni entraîner de temps d’arrêt.
La réécriture de milliers d’applications existantes peut prendre des années, ce qui représente une entreprise colossale et coûteuse pour la plupart des équipes. C’est pourquoi F5 a rejoint le projet « Migration to PQC » du National Cybersecurity Center of Excellence (NCCoE) du NIST, un consortium qui s’attache à élaborer des cadres pratiques afin d’accompagner les organisations dans cette transition.
F5 simplifie cette migration grâce à une architecture de plateforme de passerelle qui réduit considérablement les risques liés au déploiement. Au lieu d’obliger les développeurs à repenser manuellement l’architecture des applications, qu’elles se trouvent dans des environnements hybrides, multicloud ou existants, F5 intègre une prise en charge native des chiffrements PQC hybrides (côté serveur et côté client) directement dans sa plateforme F5 Application Delivery and Security Platform (ADSP). Cela permet de sécuriser dès aujourd’hui les échanges de données critiques, tout en donnant à votre équipe la marge de manœuvre nécessaire pour assurer une transition fluide, sur le long terme.
Se préparer à l’ère quantique
Le décret présidentiel 14412 est sans équivoque : il est temps de poser les bases dès maintenant. Cette transition n’est plus une échéance lointaine sur une feuille de route future.
Les organisations qui agissent dès aujourd’hui — en remaniant leurs règles d’approvisionnement, en exigeant davantage de transparence de la part de leurs fournisseurs et en testant des modèles de déploiement hybrides — seront mieux préparées à mener à bien la transition vers la cryptographie post-quantique (PQC), bien avant l’entrée en vigueur des échéances de mise en conformité.
Commencez à vous préparer dès aujourd’hui.
À propos de l’auteur
Articles de blog associés
IA et cybersécurité
Découvrez comment l’IA et la cybersécurité fonctionnent de concert. Découvrez comment l’IA et le machine learning (ML) permettent à votre entreprise de rester sécurisée, efficace et prête à innover avec F5.
Suivre le rythme de l’innovation de pointe ne suffit pas à faire avancer l’entreprise : se préparer à la réglementation de l’IA
À mesure que la réglementation de l’IA évolue, réfléchissez aux mesures de protection que vous pouvez mettre en place dès maintenant.
Les contrôleurs de mise à disposition d’applications reviennent au cœur des priorités stratégiques
L’IA rebat les cartes de la livraison d’applications. Nirav Shah de F5 revient sur la nouvelle étude de Gartner® consacrée aux ADC et explique ce qu’elle implique pour les décisions des entreprises en matière d’infrastructure.
Ce que nos clients nous disent sur l’IA, le multicloud hybride et la sécurité des applications
Le nouveau vice-président senior du marketing produit de F5 explique les pressions liées à l’IA auxquelles sont confrontés les dirigeants d’entreprise et ce dont ils ont besoin pour renforcer leur organisation.
Cinq niveaux de cyberrésilience antifragile transforment les pratiques en résultats
Découvrez comment cinq niveaux de résilience antifragile transforment les perturbations en comportements adaptatifs qui limitent les défaillances et renforcent l’architecture multicloud hybride.
Optimiser les pipelines d’IA en éliminant les goulets d’étranglement dans les charges de travail modernes
À mesure que les charges de travail d’IA montent en puissance, les entreprises constatent des ralentissements provenant du pipeline de données en amont qui alimente le modèle d’IA. Voici comment F5 BIG-IP peut les aider.