L’Allemagne vient de poser un chiffre sur la table : 2030. C’est l’échéance que Berlin fixe désormais à ses administrations et à ses opérateurs d’infrastructures critiques pour basculer vers la cryptographie post-quantique. Le 16 octobre 2026, le ministère fédéral de l’Intérieur (BMI), le ministère de la Défense (BMDS) et l’Office fédéral de la sécurité des technologies de l’information (BSI) ont publié conjointement une directive nationale qui transpose la feuille de route européenne de transition. Le texte distingue deux horizons : fin 2030 pour les systèmes jugés à haut risque, et 2035 pour que la migration générale soit largement achevée. Avec cette annonce, l’Allemagne rejoint une liste de pays qui n’arrêtent plus de s’allonger, dans un contexte où Europol, l’Organisation mondiale du commerce et les superviseurs financiers européens ont tous publié des avertissements sur le sujet en moins de deux semaines.
Une directive qui pose un ultimatum à 2030
La directive allemande ne sort pas de nulle part. Elle transpose directement la feuille de route de l’Union européenne pour la migration vers la cryptographie post-quantique, un calendrier que Bruxelles pousse depuis plusieurs mois auprès des États membres. Le choix du BSI de fixer 2030 pour les systèmes à haut risque colle d’ailleurs à ce que recommandait déjà un texte conjoint signé par plusieurs autorités de cybersécurité européennes, qui demandait de protéger ces systèmes contre les attaques dites “store now, decrypt later” au plus tard à cette date.
Concrètement, les organismes allemands concernés doivent désigner un responsable clair de la migration, établir des échéances contraignantes pour leurs projets de remplacement cryptographique et réaliser une évaluation systématique de leur exposition au risque quantique. Le document insiste aussi sur un point souvent sous-estimé : la compatibilité avec les chaînes d’approvisionnement. Un ministère ou une banque peut bien vouloir migrer ses propres serveurs, mais si ses fournisseurs de matériel ou de logiciel n’ont pas encore de support post-quantique, la migration reste bloquée en amont.
Ce que le texte du BSI exige concrètement
La directive ne se contente pas de fixer une date. Elle détaille une méthode, articulée autour de plusieurs obligations pratiques pour les organismes publics et les opérateurs d’infrastructures critiques :
- Désigner un responsable identifié de la migration post-quantique au sein de chaque organisation
- Fixer des échéances contraignantes pour chaque projet de remplacement cryptographique
- Réaliser une évaluation systématique du risque quantique propre à chaque système
- Intégrer ce risque dans les dispositifs globaux de gestion des risques, pas dans un silo séparé
- Impliquer rapidement les fabricants et les fournisseurs dans la planification
- Vérifier la compatibilité post-quantique de l’ensemble de la chaîne d’approvisionnement
Le mot qui revient le plus souvent dans le texte, et que le BSI met en avant depuis plusieurs mois déjà dans ses recommandations publiques, c’est la “crypto-agilité”. L’idée : une organisation ne doit pas simplement remplacer RSA par ML-KEM une bonne fois pour toutes, elle doit se doter d’une architecture capable de changer d’algorithme rapidement si une faille est découverte, sans tout reconstruire. C’est une leçon tirée des mauvaises surprises récentes dans le domaine de la cryptographie post-quantique, où plusieurs candidats sélectionnés par le NIST ont ensuite montré des faiblesses inattendues face à des attaques par canal auxiliaire.
Harvest now, decrypt later : la menace qui justifie l’urgence
Pourquoi agir maintenant alors qu’un ordinateur quantique capable de casser RSA ou les courbes elliptiques n’existe pas encore ? La réponse tient en une expression devenue centrale dans le débat : “harvest now, decrypt later”, ou récolter maintenant, déchiffrer plus tard. Un acteur disposant de moyens suffisants peut intercepter et stocker aujourd’hui des flux chiffrés, pour les déchiffrer dans dix ou quinze ans quand la puissance de calcul quantique sera disponible. Pour des données qui doivent rester confidentielles pendant des décennies (secrets d’État, dossiers médicaux, données financières), la fenêtre de risque s’est donc déjà ouverte, même si l’attaque elle-même reste théorique pour l’instant.
C’est exactement l’argument qu’Europol a développé début octobre. L’agence européenne a publié deux rapports les 7 et 8 octobre 2026, consacrés aux risques que l’informatique quantique fait peser sur les cryptomonnaies et sur les données sensibles conservées à long terme. Dans ces documents, Europol recommande explicitement de moderniser les communications vers TLS 1.3, de désactiver les protocoles obsolètes encore en usage dans beaucoup d’organisations, et d’imposer partout la confidentialité persistante, aussi appelée forward secrecy, qui empêche justement qu’une clé compromise plus tard ne permette de déchiffrer du trafic capturé aujourd’hui. On retrouve une analyse très proche de celle développée dans notre dossier sur les alertes d’Europol concernant cette menace, qui détaille le mécanisme technique de ces attaques différées.
L’OMC s’inquiète aussi pour le commerce mondial
Le sujet a dépassé le cercle des agences de cybersécurité. Le 16 octobre 2026, lors d’une session baptisée “Quantum 101”, des responsables de l’Organisation mondiale du commerce ont indiqué aux délégations des pays membres que le chiffrement qui protège aujourd’hui les échanges commerciaux internationaux pourrait être cassé par des ordinateurs quantiques dans un horizon d’environ cinq ans. Plus inquiétant encore selon ce même compte-rendu, le système commercial mondial n’a toujours pas de définition commune de ce que signifie être “quantum safe”. Chaque pays, chaque organisation internationale avance avec ses propres critères, ce qui complique sérieusement la coordination d’une transition qui, par nature, doit être synchronisée entre partenaires commerciaux.
Cette absence de référentiel commun explique en partie pourquoi des textes comme la directive allemande ou les recommandations d’Europol prennent une telle importance. Faute d’un standard mondial unique et contraignant, chaque bloc régional et chaque pays avance ses propres jalons, avec le risque de créer un patchwork de règles incompatibles entre elles au moment même où la coopération internationale serait la plus utile.
Les échéances post-quantiques dans le monde
Pour resituer l’annonce allemande dans son contexte, voici comment se positionnent les principales juridictions qui ont déjà publié un calendrier officiel de migration post-quantique :
| Pays / organisation | Autorité responsable | Échéance systèmes critiques | Échéance générale |
|---|---|---|---|
| Allemagne | BMI, BMDS, BSI | Fin 2030 | 2035 |
| France | ANSSI | RSA seul interdit dès 2027 | Non précisée, migration progressive |
| Union européenne | Feuille de route PQC commune | 2030 pour systèmes sensibles | Horizon 2035 |
| États-Unis | Executive order fédéral | 2030 | Non précisée |
| G7 | Déclaration commune | Recommandation d’accélération, pas d’échéance ferme | Non précisée |
Ce tableau illustre une convergence de fond, mais pas de méthode. Tout le monde vise grosso modo 2030 pour les systèmes les plus sensibles, mais les instruments juridiques utilisés varient énormément : la France passe par des exigences de certification contraignantes via l’ANSSI, l’Allemagne publie une directive qui reste pour l’instant une recommandation forte plutôt qu’une obligation légale au sens strict, et le G7 se limite à une déclaration d’intention sans date butoir précise.
Allemagne vs France : deux calendriers, une même urgence
La comparaison avec la France est éclairante parce que les deux pays ont choisi des voies différentes pour arriver à un objectif proche. L’ANSSI a opté pour une approche plus directive : son référentiel de certification bannit purement et simplement l’usage de RSA seul dès 2027, obligeant les éditeurs et intégrateurs à proposer des schémas hybrides ou entièrement post-quantiques pour continuer à obtenir une qualification. Nous avions détaillé ce mécanisme dans notre analyse de la position de l’ANSSI sur le RSA seul, qui reste l’une des règles les plus strictes en vigueur en Europe à ce jour.
Le BSI allemand, de son côté, privilégie une directive de gouvernance plutôt qu’une interdiction technique précise. Le texte publié le 16 octobre fixe des échéances et des obligations de méthode (désigner un responsable, cartographier les risques, planifier), sans lister d’algorithme interdit nommément. Cette différence d’approche reflète deux philosophies réglementaires distinctes : la France préfère fixer des règles techniques strictes et vérifiables lors d’audits de certification, l’Allemagne mise davantage sur la responsabilisation des organisations et un calendrier à deux vitesses, plus souple dans la forme mais tout aussi contraignant dans le fond pour les systèmes à haut risque.
Les algorithmes recommandés et leurs performances
Derrière ces calendriers nationaux, la boîte à outils technique reste la même partout en Europe : les quatre algorithmes standardisés par le NIST américain entre 2024 et 2025. Voici leurs caractéristiques principales, telles que publiées dans les standards FIPS correspondants :
| Algorithme | Fonction | Norme NIST | Taille clé publique | Taille signature / texte chiffré |
|---|---|---|---|---|
| ML-KEM-768 | Échange de clés | FIPS 203 | 1184 octets | 1088 octets (texte chiffré) |
| ML-DSA-65 | Signature numérique | FIPS 204 | 1952 octets | 3309 octets (signature) |
| SLH-DSA-128s | Signature numérique (à base de hachage) | FIPS 205 | 32 octets | 7856 octets (signature) |
| HQC-128 | Échange de clés (algorithme de secours) | Sélectionné par le NIST en 2025 | 2249 octets | 4481 octets (texte chiffré) |
ML-KEM et ML-DSA forment aujourd’hui le socle recommandé par défaut pour la grande majorité des usages, du TLS aux signatures de documents. SLH-DSA, plus lourd mais basé sur des fonctions de hachage dont la sécurité est mieux comprise mathématiquement, sert surtout pour les signatures qui doivent rester valides très longtemps, comme les certificats racine. HQC a été retenu par le NIST comme deuxième algorithme d’échange de clés, une sorte de filet de sécurité si une faiblesse structurelle venait à être découverte dans ML-KEM, qui repose sur une famille mathématique différente (réseaux euclidiens pour ML-KEM, codes correcteurs d’erreurs pour HQC).
Recherche en cours : les failles encore à corriger
Choisir le bon algorithme ne suffit pas si son implémentation reste vulnérable. C’est le message qu’a porté SEALSQ lors du LightSec 2026, le septième atelier international sur la cryptographie légère pour la sécurité et la vie privée, qui s’est tenu le 11 octobre 2026 à Antalya, en Turquie, en marge de la conférence CHES 2026 consacrée au matériel cryptographique. L’entreprise y a présenté des travaux de recherche sur les attaques par canal auxiliaire visant ML-KEM, c’est-à-dire des attaques qui n’exploitent pas une faille mathématique de l’algorithme lui-même, mais des fuites physiques (temps de calcul, consommation électrique) lors de son exécution sur un composant réel.
Cette ligne de recherche confirme une tendance que nous suivons depuis plusieurs mois : la sélection d’un algorithme par le NIST n’est que la première étape. Les implémentations concrètes, notamment sur du matériel embarqué ou des puces à bas coût, doivent ensuite faire l’objet d’un durcissement spécifique contre les attaques par canal auxiliaire. SEALSQ, déjà présente sur ce terrain via ses puces sécurisées destinées aux satellites et aux objets connectés, avait fait l’objet d’une précédente couverture sur ses investissements dans le post-quantique embarqué. Ces travaux renforcent l’idée que la crypto-agilité mise en avant par le BSI n’est pas un gadget réglementaire : elle devra absorber les correctifs d’implémentation qui continueront d’arriver, même après la publication des standards NIST.
Les marchés financiers sous surveillance renforcée
Le secteur financier est le premier concerné par ce type de calendrier, et les superviseurs européens l’ont rappelé le 17 octobre 2026. Le comité conjoint des autorités européennes de surveillance (l’EBA pour les banques, l’EIOPA pour les assurances, l’ESMA pour les marchés) a publié une mise en garde selon laquelle les ordinateurs quantiques pourraient, à terme, menacer la sécurité des chaînes de blocs. Selon ce communiqué relayé le jour même, environ 6,9 millions de bitcoins, soit une valeur approximative de 586 milliards de dollars au cours actuel, resteraient protégés par des signatures cryptographiques potentiellement vulnérables à terme, ce qui pousse les régulateurs à recommander une bascule vers des schémas de signature résistants au quantique.
Ce chiffre vient s’ajouter à un travail de cartographie plus large mené par les superviseurs bancaires européens, qui évaluaient déjà l’exposition de 110 banques représentant plusieurs milliers de milliards d’euros d’actifs dans un précédent rapport. On peut consulter le détail de cette estimation dans notre couverture du rapport sur le risque quantique bancaire européen. Le message des deux textes converge : le secteur financier, parce qu’il manipule des actifs dont la valeur dépend directement de l’intégrité cryptographique, est traité comme prioritaire dans tous les calendriers nationaux examinés plus haut, y compris la directive allemande.
Ce que la migration va coûter aux entreprises
La directive du BSI ne chiffre pas elle-même le coût de la migration, mais elle en dessine la structure. Trois postes de dépense reviennent systématiquement dans les analyses du secteur : l’inventaire complet des actifs cryptographiques existants (souvent le chantier le plus long, car beaucoup d’organisations ignorent où et comment elles utilisent RSA ou les courbes elliptiques), le remplacement des infrastructures à clé publique (PKI) qui doivent gérer à la fois les certificats classiques et post-quantiques pendant la période de transition, et la mise à niveau de la chaîne de fournisseurs, explicitement mentionnée dans le texte allemand comme un point de blocage potentiel.
C’est précisément ce dernier point qui inquiète le plus les responsables sécurité. Une organisation peut avoir toute la volonté du monde de migrer, mais si son fournisseur de matériel réseau, son éditeur de logiciel RH ou son prestataire cloud n’a pas encore intégré ML-KEM ou ML-DSA dans ses produits, le calendrier de 2030 devient difficile à tenir en pratique. D’où l’insistance du BSI pour que les organisations impliquent leurs fournisseurs dès que possible, et non pas une fois le projet de migration déjà lancé.
Ce que disent le BSI et ses partenaires européens
Plusieurs autorités de cybersécurité européennes, dont le BSI, ont cosigné un texte commun sur la transition post-quantique qui éclaire la logique derrière la directive du 16 octobre. Les signataires y affirment :
“We urge public administration, critical infrastructure providers, IT providers, as well as all of industry, to make the transition to post-quantum cryptography a top priority.” (BSI et autorités de cybersécurité européennes, déclaration commune sur la cryptographie post-quantique)
Concrètement, c’est l’appel à traiter ce chantier comme une priorité stratégique et non comme une mise à jour technique parmi d’autres. Le même texte précise le calendrier qui a visiblement inspiré la directive allemande :
“To ensure an acceptable level of readiness, we recommend that these should be protected against ‘store now, decrypt later’ attacks as soon as possible, latest by the end of 2030.” (BSI et autorités de cybersécurité européennes)
Les signataires ajoutent une recommandation plus technique sur les infrastructures à clé publique, directement reprise dans le texte du 16 octobre : “we also recommend to develop detailed transition plans for public-key infrastructure systems in the same timeframe.” Enfin, le BSI justifie l’urgence de sa propre directive par un changement de posture qu’il assume publiquement. Sur sa page consacrée aux technologies quantiques, l’office fédéral explique : “From the BSI’s point of view, the question of ‘if’ or ‘when’ there will be quantum computers is no longer paramount.” L’agence en tire une conclusion sans détour : “Therefore, the migration to post-quantum cryptography should be pushed forward.”
Contexte historique : de la sélection du NIST à l’urgence actuelle
Pour comprendre pourquoi 2026 marque une accélération aussi nette, il faut remonter quelques années en arrière. Le NIST a lancé son concours international de cryptographie post-quantique en 2016, pour répondre à une menace qui n’était alors qu’une hypothèse de long terme. En 2022, les premiers algorithmes gagnants ont été annoncés. En 2024, les standards définitifs ont été publiés sous les désignations FIPS 203, 204 et 205. En 2025, le NIST a ajouté HQC comme algorithme de secours pour diversifier les familles mathématiques utilisées. Et en 2026, la phase qui s’ouvre est celle de la mise en œuvre réglementaire à grande échelle : la France via l’ANSSI, les États-Unis via leur executive order fédéral fixant 2030, le G7 via une déclaration commune, et désormais l’Allemagne via sa directive BSI-BMI-BMDS.
Ce qui change par rapport aux années précédentes, ce n’est pas la technique (les algorithmes existent et sont stabilisés depuis 2024), mais la pression politique et calendaire. Les rapports d’Europol, la session de l’OMC et l’alerte des superviseurs financiers européens, tous publiés en l’espace de dix jours autour de la mi-octobre 2026, montrent que le sujet est passé du cercle restreint des cryptographes à celui des régulateurs, des diplomates commerciaux et des autorités financières.
Prédictions : ce qui va changer d’ici 2030
- D’autres États membres de l’Union européenne devraient publier leur propre directive nationale de migration d’ici fin 2027, sur le modèle allemand ou français
- Le secteur financier restera le premier secteur audité concrètement par les régulateurs, avec des contrôles qui s’étendront des banques vers les assureurs et les gestionnaires d’actifs
- La crypto-agilité deviendra un critère explicite dans les appels d’offres publics et les certifications sectorielles, au-delà des seules recommandations actuelles
- Les recherches sur les attaques par canal auxiliaire contre ML-KEM et ML-DSA vont se multiplier à mesure que les implémentations se généralisent sur du matériel bon marché
- Les fournisseurs technologiques sans feuille de route post-quantique crédible d’ici 2027-2028 commenceront à perdre des marchés publics en Allemagne et en France
Rien dans ces prédictions ne suppose un saut technologique soudain côté ordinateurs quantiques. C’est au contraire l’empilement des obligations réglementaires, combiné à la lenteur structurelle des chaînes d’approvisionnement, qui va dicter le rythme réel de la transition d’ici la fin de la décennie.
Questions fréquentes
Qu’est-ce que la cryptographie post-quantique ?
Ce sont des algorithmes de chiffrement et de signature conçus pour résister aux attaques menées par un futur ordinateur quantique suffisamment puissant, contrairement à RSA ou aux courbes elliptiques classiques qui deviendraient vulnérables face à un tel ordinateur.
Pourquoi l’Allemagne fixe-t-elle 2030 comme échéance ?
Cette date correspond à la recommandation d’une déclaration commune signée par plusieurs autorités européennes de cybersécurité, qui demandait de protéger les systèmes à haut risque contre les attaques de type “harvest now, decrypt later” au plus tard fin 2030.
Quelle différence avec la règle de l’ANSSI en France ?
L’ANSSI impose une interdiction technique précise, l’usage de RSA seul devient non conforme dès 2027 pour les produits certifiés, tandis que la directive allemande fixe des obligations de gouvernance et un calendrier à deux échéances (2030 puis 2035) sans interdire nommément un algorithme.
Qu’est-ce qu’une attaque “harvest now, decrypt later” ?
C’est une attaque en deux temps où des données chiffrées sont interceptées et stockées aujourd’hui, puis déchiffrées plus tard lorsque la puissance de calcul quantique nécessaire sera disponible. Elle vise surtout les données qui doivent rester confidentielles pendant de longues années.
Quels algorithmes remplacent RSA et les courbes elliptiques ?
Les standards publiés par le NIST recommandent principalement ML-KEM pour l’échange de clés, ML-DSA et SLH-DSA pour les signatures numériques, avec HQC comme algorithme de secours sélectionné en 2025.
Les entreprises françaises sont-elles concernées par la directive allemande ?
Directement, non, puisque le texte s’applique aux organismes allemands. Indirectement, oui, car toute entreprise française qui fournit des produits ou services à des clients ou partenaires allemands soumis à cette directive devra démontrer sa compatibilité post-quantique pour continuer à être choisie.
Qu’est-ce que la crypto-agilité ?
C’est la capacité d’une organisation à remplacer rapidement un algorithme cryptographique par un autre sans devoir reconstruire entièrement son infrastructure, une qualité jugée indispensable face aux failles qui continuent d’être découvertes dans les implémentations post-quantiques.
Quand un ordinateur quantique pourra-t-il casser le chiffrement actuel ?
Aucune date certaine n’existe à ce jour. Lors de la session “Quantum 101” de l’OMC le 16 octobre 2026, des responsables ont évoqué un horizon d’environ cinq ans, un ordre de grandeur partagé par plusieurs agences, mais qui reste une estimation et non une certitude technique.