L’Agence de l’Union européenne pour la cybersécurité a mis sur la table, cet été, un texte qui va redessiner le socle cryptographique de milliers de produits certifiés en Europe. La version 3 des Agreed Cryptographic Mechanisms (ACM), soumise à consultation publique par le sous-groupe cryptographie de l’ECCG jusqu’à fin juillet 2026, fixe de nouvelles règles pour AES, SHA-2, SHA-3 et RSA dans le cadre du schéma de certification européen EUCC. Concrètement : les clés RSA sous 3000 bits sont poussées vers la sortie, AES-256 devient la référence pour les données sensibles, et SHA-3 gagne du terrain face à SHA-256 dans les architectures pensées pour durer. Ce texte technique, presque invisible du grand public, va peser directement sur les développeurs, les éditeurs de logiciels et les administrations qui visent une certification EUCC ou qui vendent en France via l’ANSSI.

Ce que change la version 3 des Agreed Cryptographic Mechanisms

Le schéma EUCC (European Common Criteria-based cybersecurity certification scheme) impose déjà aux produits certifiés de s’appuyer sur des mécanismes cryptographiques validés. Jusqu’ici, la liste de référence datait d’une version antérieure jugée trop permissive par plusieurs experts nationaux, notamment sur les longueurs de clés RSA et le statut de SHA-3. La version 3, mise en consultation par ENISA, resserre ces règles sur trois axes précis : le chiffrement symétrique, les fonctions de hachage et l’échange de clés asymétrique.

Pour le chiffrement symétrique, le texte maintient AES-128, AES-192 et AES-256 dans la liste des mécanismes acceptés, mais recommande désormais des clés d’au moins 192 bits pour les systèmes qui doivent anticiper la menace quantique à moyen terme. Sur les fonctions de hachage, SHA-256, SHA-384, SHA-512 et l’ensemble de la famille SHA-3 (SHA3-256, SHA3-384, SHA3-512) sont classés comme mécanismes à l’état de l’art. Sur RSA, le couperet est net : les modules inférieurs à 3000 bits basculent en catégorie « retiré » pour les nouvelles certifications EUCC, une bascule qui touche une bonne partie du parc logiciel encore construit sur RSA-2048.

Le document ACM v3 précise aussi un point souvent mal compris hors des cercles techniques : doubler mécaniquement toutes les longueurs de clés symétriques face à la menace quantique n’est pas nécessaire. ENISA écarte l’idée reçue selon laquelle il faudrait imposer AES-256 partout « pour se protéger de l’ordinateur quantique », et recommande plutôt un plancher de 192 bits pour les mécanismes conçus dans une logique post-quantique. AES-256 reste néanmoins le choix conservateur conseillé pour les données à très longue durée de vie.

SHA-256 contre SHA-3 : deux familles, deux usages

La cohabitation entre SHA-256 et SHA-3 illustre bien la logique du texte européen. SHA-256, publié par le NIST en 2001 dans la famille SHA-2, reste la fonction de hachage de référence pour la majorité des usages opérationnels à court et moyen terme : signatures TLS, vérification d’intégrité, preuve de travail dans certaines chaînes de blocs. Sa construction repose sur l’architecture Merkle-Damgård, la même famille structurelle que SHA-1, ce qui avait nourri des inquiétudes après la cryptanalyse de ce dernier.

SHA-3, normalisé par le NIST en 2015 sous la référence FIPS 202, repose sur une construction totalement différente : la fonction éponge Keccak, sélectionnée à l’issue d’une compétition publique ouverte en 2007 et achevée en 2012. Cette différence structurelle est précisément ce qui intéresse les régulateurs européens : si une faille venait un jour toucher la famille Merkle-Damgård dans son ensemble, SHA-3 constituerait une alternative non affectée par le même défaut de conception. C’est un principe de diversité algorithmique, pas une question de vitesse ou de popularité actuelle.

Dans les faits, l’adoption reste très inégale. Les guides techniques les plus récents, dont la version 2026 du BSI TR-02102-1 allemand, classent toujours SHA-256, SHA-384, SHA-512 et la famille SHA-3 comme « cryptographiquement forts », sans imposer de bascule complète vers Keccak. Les études d’usage évoquées dans les travaux techniques européens de 2025-2026 indiquent qu’une large majorité des organisations utilisent encore SHA-256 comme fonction principale, tandis qu’une minorité a commencé à intégrer SHA-3 dans des contextes de stockage à très long terme ou d’archivage réglementaire.

CritèreSHA-256 (famille SHA-2)SHA-3 (Keccak)
Année de normalisation2001 (FIPS 180-2)2015 (FIPS 202)
ConstructionMerkle-DamgårdFonction éponge Keccak
Taille de sortie usuelle256 bits224 à 512 bits, sortie variable (SHAKE)
Statut ENISA ACM v3Mécanisme accepté, état de l’artMécanisme accepté, état de l’art
Statut BSI TR-02102-1 (2026)Recommandé, usage généralRecommandé, diversité algorithmique
Usage dominant en 2026TLS, blockchains, signatures courantesArchivage long terme, secteurs à haute sécurité
Vulnérabilité structurelle connueAucune faille pratique, mais famille liée à SHA-1Conception indépendante de SHA-1/SHA-2

RSA sous pression : la fin des clés à 2048 bits en ligne de mire

Le point le plus concret du texte ENISA concerne RSA. Le projet ACM v3 classe les modules RSA inférieurs à 3000 bits comme mécanismes à retirer pour les nouvelles certifications EUCC. Or RSA-2048, encore massivement déployé dans les certificats TLS, les infrastructures de signature de code et de nombreux systèmes bancaires, se retrouve directement dans la zone concernée par ce durcissement.

Cette exigence ne sort pas de nulle part. Elle prolonge une tendance amorcée depuis plusieurs années par les recommandations de longueur de clé calculées en fonction de la puissance de calcul disponible et de la durée de protection recherchée. Mais le contexte 2026 change la donne : la pression ne vient plus seulement de la puissance de calcul classique, elle vient aussi de la perspective d’un ordinateur quantique capable, un jour, de casser RSA via l’algorithme de Shor. Passer de 2048 à 3000 bits gagne quelques années de marge face au calcul classique, mais ne change rien face à une menace quantique mature : c’est un correctif transitoire, pas une solution définitive.

C’est précisément pour cette raison que le texte européen s’articule avec la feuille de route post-quantique publiée par la Commission en juin 2025, qui fixe le début de la transition des États membres avant fin 2026 et la migration des infrastructures critiques avant fin 2030. En France, l’ANSSI a déjà annoncé la fin de la certification de produits sans chiffrement résistant aux attaques quantiques à partir de 2027. Le durcissement des règles RSA et le calendrier post-quantique convergent vers le même message : les architectures purement classiques ont une date de péremption, même quand elles utilisent des clés plus longues.

Pourquoi ENISA agit maintenant

Le calendrier n’est pas neutre. L’EUCC est le premier schéma de certification cybersécurité pleinement opérationnel sous le règlement européen sur la cybersécurité (Cybersecurity Act), et son adoption progresse dans les administrations et les grands intégrateurs depuis 2024. Faire évoluer la liste des mécanismes cryptographiques acceptés à ce stade, alors que le schéma commence tout juste à monter en charge, permet à ENISA d’aligner les nouvelles certifications sur les standards les plus récents avant que le parc certifié ne devienne trop volumineux pour être corrigé facilement.

Le contexte réglementaire plus large joue aussi un rôle. ENISA rappelle, dans son Secure by Design and Default Playbook publié en 2026, que chaque produit certifié doit disposer d’une identité cryptographique unique et de secrets propres par instance, en bannissant les clés ou certificats partagés entre plusieurs appareils. La révision des mécanismes acceptés (ACM v3) et ce guide de conception sécurisée forment un même mouvement : sortir la cryptographie du statut de simple case à cocher pour en faire un critère d’architecture vérifié dès la conception.

Enfin, la divergence entre pays européens pousse à une clarification. Le BSI allemand continue d’accepter AES-128 pour certains profils, tandis que les synthèses d’exigences internationales notent que l’ANSSI française penche pour AES-256 comme recommandation par défaut sur les systèmes sensibles. Sans un texte de référence commun comme l’ACM v3, chaque État membre risque de certifier avec des critères différents, ce qui fragmente le marché unique numérique que la Commission tente justement de consolider.

Contexte historique : trois générations de fonctions de hachage

Pour comprendre l’enjeu, il faut revenir sur l’histoire mouvementée des fonctions de hachage cryptographiques. MD5, publié en 1992, a été cassé en pratique dès 2004 par des chercheurs chinois qui ont produit des collisions en quelques heures de calcul. SHA-1, standardisé en 1995 par le NIST, a résisté plus longtemps, mais Google et le CWI d’Amsterdam ont démontré en 2017 la première collision pratique via l’attaque SHAttered, entraînant sa dépréciation progressive dans les navigateurs et les autorités de certification.

SHA-2, dont SHA-256 fait partie, a succédé à SHA-1 en conservant la même architecture Merkle-Damgård, mais avec des paramètres internes renforcés. Cette continuité architecturale a suffi à rassurer la communauté cryptographique pendant deux décennies, sans qu’aucune attaque pratique ne vienne casser SHA-256 à ce jour. Mais le précédent SHA-1 a laissé une leçon durable : une famille de fonctions qui partage la même structure peut, en théorie, partager les mêmes failles de conception. C’est ce raisonnement qui a motivé le lancement, dès 2007, d’une compétition ouverte du NIST pour sélectionner une fonction de hachage bâtie sur des fondations totalement différentes. Keccak a remporté cette compétition en 2012 et est devenu SHA-3 en 2015.

ENISA reprend aujourd’hui cette logique de diversité algorithmique à l’échelle réglementaire : ce n’est pas parce que SHA-256 fonctionne bien en 2026 qu’il faut s’interdire d’exiger, pour certains profils de certification, une alternative structurellement indépendante. C’est la même philosophie qui guide la transition post-quantique, où les architectures hybrides combinent volontairement un algorithme classique et un algorithme post-quantique pour ne pas dépendre d’un seul pari cryptographique.

Impact sur le marché : qui doit agir en premier

Les premiers concernés sont les éditeurs de produits de sécurité qui visent ou renouvellent une certification EUCC : pare-feux, modules matériels de sécurité (HSM), cartes à puce, solutions de VPN d’entreprise, systèmes d’exploitation embarqués pour l’industrie. Pour ces éditeurs, un audit de dépendance cryptographique devient une étape obligatoire avant tout dépôt de dossier de certification à partir de l’entrée en vigueur de l’ACM v3.

Les intégrateurs et prestataires de services cloud opérant en France sont doublement exposés : ils doivent composer à la fois avec le calendrier ENISA sur les mécanismes cryptographiques et avec les exigences ANSSI sur la fin de certification des produits non résistants aux attaques quantiques à partir de 2027. Pour une banque ou un assureur français qui héberge des données à conserver plus de dix ans, cela signifie concevoir dès maintenant des architectures capables d’accueillir un remplacement d’algorithme sans réécriture complète, ce que les experts appellent la crypto-agilité.

Le secteur financier a d’ailleurs été identifié comme prioritaire par les institutions européennes. Un rapport diffusé début 2026 sur la priorisation des activités de migration post-quantique dans les services financiers insiste sur les données à longue durée de sensibilité, comme les données bancaires ou les dossiers de crédit, qui doivent migrer en premier. La même logique de priorisation s’applique implicitement au durcissement RSA et SHA de l’ACM v3 : les systèmes qui protègent des données à longue durée de vie doivent bouger avant les systèmes à cycle de vie court.

SecteurExigence principaleÉchéance indicative
Produits certifiés EUCCRetrait progressif RSA < 3000 bitsDès l’entrée en vigueur de l’ACM v3 (fin 2026)
Services financiers (UE)Priorisation des données longue durée pour migration PQCRecommandations 2026, calendrier propre à chaque institution
Opérateurs d’infrastructures critiques (UE)Migration vers cryptographie quantum-safe31 décembre 2030
Produits certifiés ANSSI (France)Fin de certification sans PQCÀ partir de 2027
Ensemble des systèmes UE (toutes catégories de risque)Migration post-quantique complète31 décembre 2035

Comparaison avec les référentiels nationaux : ANSSI, BSI et NIST

La comparaison entre les trois grands référentiels cryptographiques qui pèsent sur le marché européen éclaire les choix des développeurs. Le référentiel américain CNSA 2.0, publié par la NSA, impose d’emblée AES-256 pour tous les nouveaux systèmes gouvernementaux, sans tolérer AES-128. Le BSI allemand, dans sa version 2026 du TR-02102-1, se montre plus permissif et continue d’accepter AES-128, AES-192 et AES-256 selon le profil de risque. L’ANSSI française occupe une position intermédiaire mais plutôt conservatrice : elle recommande AES-256 par défaut pour les systèmes sensibles, sans l’imposer systématiquement à tous les usages.

Cette absence d’alignement complet entre référentiels nationaux crée une charge réelle pour les entreprises qui vendent leurs produits dans plusieurs pays européens : un module cryptographique validé par le BSI avec AES-128 peut ne pas satisfaire un client français qui applique la doctrine ANSSI. L’ACM v3 d’ENISA cherche justement à réduire cet écart en proposant un socle commun applicable à l’ensemble du marché unique, plutôt que de laisser chaque État membre fixer sa propre doctrine cryptographique en silo.

Le NIST, de son côté, avance sur un calendrier distinct mais convergent. Le 21 septembre 2026, tous les modules validés FIPS 140-2 basculent vers la liste « Historical », ce qui pousse mécaniquement les fournisseurs qui vendent au gouvernement américain vers des modules FIPS 140-3 intégrant les nouveaux algorithmes post-quantiques ML-KEM et ML-DSA. Pour une entreprise européenne qui exporte vers les États-Unis, ce calendrier américain se superpose au calendrier ENISA et au calendrier ANSSI, avec trois horloges différentes à synchroniser.

Les zones d’ombre et les critiques du texte

Le projet ACM v3 n’échappe pas aux critiques exprimées pendant la consultation publique. Plusieurs contributeurs techniques pointent le flou qui entoure la notion de « mécanisme retiré » : un module RSA-2048 déjà certifié reste-t-il valide jusqu’à l’expiration de son certificat, ou faut-il recertifier immédiatement ? ENISA n’a pas encore tranché publiquement cette question au moment de la clôture de la consultation fin juillet 2026, ce qui laisse les éditeurs dans l’incertitude sur le coût réel de la transition.

Une deuxième critique porte sur le calendrier lui-même. Contrairement à la feuille de route post-quantique, qui fixe des dates précises (2026, 2030, 2035), l’ACM v3 ne propose pas de date d’entrée en vigueur ferme au moment de sa publication en consultation, ce qui complique la planification budgétaire des entreprises. Les organismes de certification nationaux, qui appliquent l’EUCC au quotidien, réclament davantage de visibilité sur le calendrier de bascule effective.

Enfin, certains experts en cryptographie appliquée estiment que le seuil de 3000 bits pour RSA reste un compromis fragile : il gagne quelques années face au calcul classique, mais n’apporte aucune protection face à un futur ordinateur quantique cryptographiquement pertinent. Pour ces critiques, l’énergie dépensée à faire migrer des systèmes RSA-2048 vers RSA-3072 serait mieux investie directement dans des architectures hybrides post-quantiques, en particulier pour les systèmes dont la durée de vie prévue dépasse dix ans.

Ce que disent les institutions européennes

Les documents publics de la Commission européenne et d’ENISA, qui encadrent cette transition cryptographique plus large, sont explicites sur l’urgence du calendrier :

« Tous les États membres devraient commencer leur transition vers la cryptographie post-quantique d’ici la fin 2026. »

Commission européenne — digital-strategy.ec.europa.eu

Sur la protection des infrastructures critiques, le message est tout aussi ferme :

« Dans le même temps, la protection des infrastructures critiques devrait basculer vers la cryptographie post-quantique dès que possible, et au plus tard fin 2030. »

Commission européenne — digital-strategy.ec.europa.eu

La recommandation de la Commission sur une feuille de route coordonnée insiste par ailleurs sur la nécessité d’un cadre commun aux États membres :

« La stratégie devrait définir des objectifs clairs, des jalons et des calendriers aboutissant à une feuille de route commune de mise en œuvre de la cryptographie post-quantique. »

Commission européenne — digital-strategy.ec.europa.eu

Une présentation ENISA détaillant le calendrier précise les jalons attendus par État membre :

« D’ici le 31/12/2026 : les feuilles de route PQC doivent être définies dans chaque État membre. »

ENISA / présentation de la Commission européenne — enisa.europa.eu

Et pour les secteurs jugés les plus sensibles :

« D’ici le 21/12/2030 : les cas d’usage à haut risque doivent être migrés, notamment les infrastructures critiques (eau, énergie, santé, finance et transport) et les domaines à haut risque. »

ENISA / présentation de la Commission européenne — enisa.europa.eu

Ces prises de position, formulées à l’échelle de la cryptographie post-quantique, s’appliquent par ricochet au durcissement des mécanismes classiques : un module RSA renforcé à 3000 bits ou une architecture SHA-3 déployée aujourd’hui n’a de sens que si elle s’inscrit dans une trajectoire de crypto-agilité compatible avec les jalons 2026, 2030 et 2035.

Comment les développeurs peuvent se préparer dès aujourd’hui

Sur le plan technique, la première étape reste l’inventaire. Sans une cartographie précise des algorithmes, longueurs de clés et bibliothèques cryptographiques utilisées dans un produit, aucune migration planifiée n’est possible. C’est exactement l’objet du « Cryptography Bill of Materials » évoqué par les recommandations européennes en 2026 : un inventaire lisible par machine de tous les composants cryptographiques d’un système, sur le modèle du Software Bill of Materials déjà répandu pour les dépendances logicielles.

// Exemple simplifié d'audit de dépendances cryptographiques
// pour un système Node.js utilisant le module crypto natif

const crypto = require('crypto');

// Vérifier les algorithmes de hachage disponibles
console.log(crypto.getHashes().filter(h => h.startsWith('sha')));

// Générer une paire de clés RSA conforme au nouveau seuil ACM v3 (>= 3000 bits)
const { publicKey, privateKey } = crypto.generateKeyPairSync('rsa', {
  modulusLength: 3072,
  publicKeyEncoding: { type: 'spki', format: 'pem' },
  privateKeyEncoding: { type: 'pkcs8', format: 'pem' }
});

// Utiliser AES-256-GCM pour le chiffrement symétrique
const key = crypto.randomBytes(32); // 256 bits
const iv = crypto.randomBytes(12);
const cipher = crypto.createCipheriv('aes-256-gcm', key, iv);

Deuxième étape : privilégier des bibliothèques cryptographiques qui exposent une couche d’abstraction, plutôt que de coder en dur un algorithme précis dans chaque module de l’application. Cette pratique, connue sous le nom de crypto-agilité, permet de remplacer SHA-256 par SHA-3 ou RSA-2048 par un schéma hybride post-quantique sans devoir réécrire l’ensemble de la logique métier. Les frameworks TLS 1.3 récents, qui gèrent déjà la négociation d’algorithmes de manière dynamique, offrent un bon modèle à suivre pour le reste de la pile applicative.

Troisième étape : classer les données selon leur durée de vie prévue plutôt que de traiter tout le système de la même façon. Une donnée transactionnelle à cycle de vie court peut rester protégée par des paramètres actuels pendant encore plusieurs années, alors qu’une donnée archivée pour dix ou vingt ans doit basculer en priorité vers AES-256, SHA-3 ou une longueur de clé RSA renforcée, en attendant l’intégration d’algorithmes post-quantiques.

Prédictions : ce qui va se passer d’ici 2027

Sur la base du calendrier connu et des textes déjà publiés, plusieurs évolutions semblent probables pour les dix-huit prochains mois.

  • L’ACM v3 entrera en vigueur avant fin 2026, probablement en cohérence avec le jalon post-quantique européen du 31 décembre 2026, forçant les nouveaux dossiers EUCC à intégrer RSA supérieur ou égal à 3000 bits.
  • Les prix des audits de certification EUCC vont grimper à mesure que les laboratoires accrédités absorbent la charge supplémentaire d’évaluation des mécanismes ACM v3, avec un effet mécanique sur les délais de mise sur le marché des produits de sécurité.
  • SHA-3 restera minoritaire face à SHA-256 en 2027, faute d’urgence opérationnelle immédiate, mais son usage progressera nettement dans les secteurs à obligation d’archivage long, comme la santé, la finance et l’administration.
  • Le « Quantum Act » européen attendu en 2026 viendra consolider à la fois la doctrine post-quantique et les exigences classiques sur AES, SHA et RSA dans un cadre législatif unique, réduisant la fragmentation actuelle entre recommandations techniques et obligations réglementaires.
  • Les divergences entre ANSSI et BSI sur AES-128 contre AES-256 devraient se réduire sous la pression du texte ENISA commun, sans disparaître totalement avant 2028, le temps que chaque pays transpose ses propres exigences nationales.

Foire aux questions

Qu’est-ce que l’EUCC et pourquoi concerne-t-il les développeurs ?

L’EUCC (European Common Criteria-based cybersecurity certification scheme) est le premier schéma de certification cybersécurité pleinement opérationnel sous le règlement européen sur la cybersécurité. Il concerne tout éditeur qui souhaite certifier un produit de sécurité (pare-feu, HSM, carte à puce, OS embarqué) pour le vendre aux administrations ou aux opérateurs d’infrastructures critiques en Europe.

Faut-il abandonner RSA-2048 immédiatement ?

Pas dans l’urgence absolue pour les systèmes existants, mais tout nouveau projet visant une certification EUCC doit désormais viser au minimum RSA-3072. Pour les données à longue durée de vie, les experts recommandent d’anticiper directement une architecture hybride combinant un algorithme classique et un algorithme post-quantique plutôt que de simplement allonger la clé RSA.

SHA-3 va-t-il remplacer SHA-256 ?

Non, pas à court terme. Les deux fonctions sont classées comme mécanismes acceptés par ENISA et par le BSI allemand. SHA-3 sert avant tout de filet de sécurité structurel : en cas de faille future touchant la famille SHA-2, SHA-3 offrirait une alternative indépendante déjà normalisée et disponible.

AES-128 est-il devenu insuffisant en 2026 ?

Non, AES-128 reste un mécanisme accepté par ENISA et par le BSI allemand pour de nombreux profils. La recommandation d’un plancher à 192 bits vise surtout les systèmes conçus explicitement pour résister à la menace quantique à moyen terme, pas l’ensemble du parc logiciel existant.

Quel est le lien entre ce texte et la transition post-quantique de l’ANSSI ?

Les deux calendriers convergent sans être identiques. L’ANSSI cessera de certifier les produits de sécurité sans chiffrement résistant aux attaques quantiques à partir de 2027, avec un horizon de migration complète fixé à 2030 pour les opérateurs d’importance vitale. L’ACM v3 d’ENISA, elle, durcit dès maintenant les paramètres classiques (RSA, AES, SHA) qui serviront de base aux futures architectures hybrides post-quantiques.

Qu’est-ce que la crypto-agilité ?

C’est la capacité d’un système à remplacer un algorithme cryptographique par un autre (par exemple SHA-256 par SHA-3, ou RSA par un schéma post-quantique) sans devoir réécrire l’ensemble de l’application. Elle repose sur des couches d’abstraction cryptographique et sur un inventaire précis des dépendances, ce que les régulateurs européens appellent le Cryptography Bill of Materials.

Où trouver le texte officiel de la consultation ENISA ?

La consultation publique sur les Agreed Cryptographic Mechanisms v3 est publiée par ENISA dans le cadre du schéma de certification EUCC, avec les guides de référence disponibles sur le site officiel de l’agence, aux côtés des publications sur la cryptographie post-quantique.

Sources et références

Cet article s’appuie sur les publications officielles de la Commission européenne et d’ENISA sur la feuille de route post-quantique et le schéma de certification EUCC (digital-strategy.ec.europa.eu), la recommandation de la Commission sur une feuille de route coordonnée (digital-strategy.ec.europa.eu), les publications d’ENISA (enisa.europa.eu), la norme FIPS 202 du NIST qui définit SHA-3 (csrc.nist.gov), le projet du NIST sur les fonctions de hachage (csrc.nist.gov) ainsi que les publications de l’ANSSI (cyber.gouv.fr).