Le 17 juin 2026, l’ANSSI a tranché. Passé 2027, l’agence française de cybersécurité cessera de certifier les produits de sécurité qui ne proposent pas de chiffrement résistant au quantique. Pare-feux, VPN, HSM, solutions de messagerie sécurisée : tout ce qui repose uniquement sur RSA ou sur les courbes elliptiques classiques perdra son visa de confiance national. La décision, prise en coordination avec les jalons fixés par l’Union européenne et par les États-Unis, marque la fin d’une phase de préparation entamée il y a près d’une décennie et ouvre une période d’exécution sous contrainte de calendrier pour les entreprises françaises et européennes.

Ce virage vers la cryptographie post-quantique ne sort pas de nulle part. Il s’appuie sur trois standards publiés par le NIST américain en août 2024, sur une feuille de route européenne qui impose des plans nationaux d’ici la fin 2026, et sur une pression croissante des secteurs les plus exposés, à commencer par la finance. Voici ce qui change, pourquoi maintenant, et ce que cela implique concrètement pour les équipes techniques.

Ce qui change le 17 juin 2026 : la décision de l’ANSSI

L’Agence nationale de la sécurité des systèmes d’information a confirmé qu’elle arrêtera de délivrer ses certifications de sécurité (visa de sécurité, CSPN, critères communs) aux produits qui ne proposent pas d’option de chiffrement résistant au quantique. Le couperet tombe en 2027. Concrètement, un éditeur de VPN, un fabricant de module matériel de sécurité (HSM) ou un fournisseur de solution de messagerie chiffrée devra intégrer au moins un mécanisme post-quantique dans son produit pour espérer conserver son agrément ANSSI.

Cette échéance n’est pas isolée. Elle est présentée par l’agence comme le pendant français du CNSA 2.0 procurement gate de la NSA américaine, qui exige que tout nouvel achat de système de sécurité nationale aux États-Unis supporte les algorithmes CNSA 2.0 dès le 1er janvier 2027. Les deux calendriers convergent quasiment au jour près, ce qui traduit une coordination de fait entre alliés occidentaux sur le rythme de la transition.

Pour la France, ce durcissement s’inscrit dans une trajectoire amorcée dès 2022. L’ANSSI avait publié ses premiers guides invitant les éditeurs à « commencer la planification », puis avait recommandé en 2024 d’« initier la transition ». La décision de juin 2026 referme cette phase de recommandation et ouvre une phase d’obligation, avec date butoir.

Le calendrier européen se resserre lui aussi

L’Union européenne avance en parallèle, avec un tempo légèrement différent mais tout aussi contraignant. La feuille de route publiée par le NIS Cooperation Group en juin 2025 demande à chaque État membre de publier, avant le 31 décembre 2026, un plan national de transition post-quantique accompagné d’un inventaire de sa cryptographie en usage. Les cas d’usage classés « à haut risque » (infrastructures critiques, énergie, santé) doivent avoir migré d’ici 2030. Les cas « à risque moyen » disposent d’un délai supplémentaire, jusqu’en 2035.

Le Cyber Resilience Act ajoute une couche réglementaire distincte. Ce texte impose un chiffrement « à l’état de l’art » pour tout produit numérique entrant sur le marché européen après 2027, ce qui inclut de facto la capacité d’intégrer des algorithmes post-quantiques. La feuille de route européenne va plus loin encore sur un point souvent négligé : tout produit dont la durée de vie prévue dépasse 2030 doit être conçu pour pouvoir être mis à niveau vers des algorithmes résistants au quantique, même s’il n’en dispose pas au moment de sa commercialisation.

Le NIST américain suit une logique proche mais plus tranchée dans son rapport IR 8547 : dépréciation des algorithmes classiques dans les environnements fédéraux dès 2030, interdiction pure et simple en 2035. Cet alignement des horizons 2030-2035 entre Washington et Bruxelles structure déjà les feuilles de route internes des grandes banques, opérateurs télécoms et administrations publiques du continent.

Trois standards NIST déjà publiés, prêts à l’emploi

Contrairement à une idée reçue, la cryptographie post-quantique n’est plus un sujet de recherche théorique. Le NIST a publié trois normes FIPS définitives le 13 août 2024, issues d’un processus de sélection lancé en 2016 et affiné sur plusieurs rounds successifs. Ces standards sont aujourd’hui considérés comme stables et déployables en production, ce que confirme le NIST lui-même dans ses communications 2025-2026.

Norme FIPSNom du standardAlgorithme d’origineFonctionDate de publication
FIPS 203ML-KEMCRYSTALS-KyberEncapsulation de clés (échange de clés)13 août 2024
FIPS 204ML-DSACRYSTALS-DilithiumSignature numérique13 août 2024
FIPS 205SLH-DSASPHINCS+Signature numérique (algorithme de secours)13 août 2024

ML-KEM remplace à terme les échanges de clés Diffie-Hellman classiques et sur courbes elliptiques dans TLS. ML-DSA vise à remplacer RSA et ECDSA pour les signatures numériques, avec un usage attendu dans les certificats X.509 et les infrastructures à clé publique. SLH-DSA, plus lent mais construit sur des hypothèses mathématiques différentes (fonctions de hachage plutôt que réseaux euclidiens), sert de filet de sécurité au cas où une faiblesse serait un jour découverte dans les approches à base de réseaux.

Neuf algorithmes de signature supplémentaires en lice

Le NIST ne s’arrête pas à ces trois standards. Le 21 mai 2026, l’agence a fait avancer neuf algorithmes de signature numérique supplémentaires vers le troisième round de son processus « Additional Digital Signature Schemes » : FAEST, HAWK, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign et UOV. Cette étape est documentée dans le rapport NIST IR 8610, mis à jour le 29 juillet 2026, qui prévoit une phase d’évaluation d’environ deux ans avec possibilité, pour les équipes candidates, d’ajuster leurs propositions techniques.

L’objectif de cette démarche est de diversifier les fondations mathématiques disponibles. ML-DSA et FN-DSA reposent tous deux sur des réseaux euclidiens (lattices). Si une avancée cryptanalytique venait un jour fragiliser cette famille de problèmes, disposer d’alternatives basées sur des systèmes d’équations multivariées (MAYO, SNOVA) ou sur l’isogénie de courbes elliptiques supersingulières (SQIsign) offrirait une porte de sortie. C’est une logique de portefeuille, pas de pari unique.

Pourquoi maintenant : la menace « harvest now, decrypt later »

Aucun ordinateur quantique capable de casser RSA-2048 ou une courbe elliptique P-256 n’existe aujourd’hui. Alors pourquoi cette urgence réglementaire dès 2026-2027 ? La réponse tient en une expression devenue centrale dans les briefings de sécurité nationale : « harvest now, decrypt later ». Un acteur étatique disposant de capacités d’interception peut collecter et stocker aujourd’hui du trafic chiffré avec RSA ou ECC, dans l’attente qu’un ordinateur quantique suffisamment puissant permette de le déchiffrer rétroactivement, potentiellement dans cinq, dix ou quinze ans.

Pour des données à durée de vie longue, dossiers médicaux, secrets industriels, communications diplomatiques, correspondance d’avocats, cette fenêtre de vulnérabilité rétroactive rend la migration urgente dès maintenant, indépendamment de la date exacte à laquelle un ordinateur quantique cryptographiquement pertinent verra le jour. C’est cette logique qui explique pourquoi l’ANSSI fixe une échéance de certification en 2027 plutôt qu’en 2032 ou 2035 : le temps de migration d’un parc applicatif complet se compte lui-même en années, souvent davantage que le délai qui sépare 2026 de l’apparition d’une menace quantique opérationnelle.

Le secteur financier en première ligne

En janvier 2026, Europol a publié un rapport intitulé « Prioritising post-quantum cryptography migration activities in financial services », qui identifie explicitement le secteur bancaire et des paiements comme prioritaire dans l’effort de migration européen. Le document recommande de faire basculer en priorité les certificats TLS utilisés pour les connexions interbancaires, les signatures apposées sur les ordres de paiement et les systèmes de règlement de produits dérivés vers des schémas hybrides ou entièrement post-quantiques.

Le choix n’est pas anodin. Les flux financiers combinent deux caractéristiques qui en font une cible de choix pour l’attaque « harvest now, decrypt later » : une durée de vie de la donnée sensible qui peut dépasser dix ans (contrats, garanties, historiques de transactions) et une surface d’attaque internationale, avec des correspondants bancaires répartis sur des dizaines de juridictions aux calendriers réglementaires disparates. Europol recommande une coordination avec l’ENISA et un alignement sur les standards NIST plutôt qu’une cavalerie de solutions propriétaires incompatibles entre elles.

QoreChain : une blockchain post-quantique déjà en production

Pendant que les régulateurs fixent des échéances, certains acteurs privés sont déjà passés à l’exécution. QoreChain, une blockchain de couche 1 présentée comme « quantum-safe » et développée sous l’égide de la QoreChain Association basée en Suisse, a lancé son réseau principal le 7 juin 2026. Le projet fait tourner la suite d’algorithmes NIST aux paramètres les plus élevés disponibles : ML-DSA-87 (équivalent Dilithium-5, FIPS 204) pour les signatures de transaction, ML-KEM-1024 (équivalent Kyber, FIPS 203) pour l’encapsulation de clés, et SHAKE-256 (FIPS 202) pour les fonctions de hachage.

Ce déploiement, documenté le 13 août 2026, est présenté par ses promoteurs comme la démonstration que les standards NIST peuvent tourner en production, à pleine puissance, sur une infrastructure publique et non plus seulement dans des environnements de test contrôlés. Pour un secteur crypto-actifs traditionnellement critiqué pour la lenteur de sa mise à niveau en matière de sécurité, l’exemple sert d’argument commercial autant que de preuve technique.

Ce que la migration change concrètement pour les équipes techniques

Pour un développeur ou un responsable sécurité, la transition post-quantique se traduit d’abord par un changement de taille des clés et des signatures, bien supérieures à celles de RSA ou d’ECDSA. Une clé publique ML-KEM ou ML-DSA pèse plusieurs centaines à plusieurs milliers d’octets contre quelques dizaines pour une clé ECDSA, ce qui a un impact direct sur la taille des paquets TLS, les handshakes réseau et les certificats X.509.

La pratique qui s’impose aujourd’hui côté navigateurs et serveurs n’est pas un remplacement brutal, mais un mode hybride : un échange de clés classique (X25519) est combiné à un échange post-quantique (ML-KEM) dans une seule négociation TLS, de façon à conserver une sécurité au moins égale à l’existant même si l’un des deux mécanismes venait à être cassé. C’est déjà le comportement par défaut de plusieurs navigateurs et de certains grands fournisseurs de CDN depuis 2024-2025.

# Vérifier si un serveur TLS propose un groupe hybride post-quantique
openssl s_client -connect exemple.fr:443 -groups X25519MLKEM768 -tls1_3

# Lister les groupes de clés supportés par une build OpenSSL récente
openssl list -kem-algorithms

Sur le terrain, la première étape recommandée par les guides ANSSI et par la feuille de route européenne n’est pas de migrer, mais d’inventorier : recenser où et comment RSA, ECC et leurs dérivés sont utilisés dans le système d’information, des certificats TLS aux signatures de code en passant par les VPN site à site. Sans cet inventaire, aucune migration ordonnée n’est possible avant l’échéance de 2027.

Calendrier comparé : qui impose quoi, et quand

La multiplication des textes et des organismes rend le paysage réglementaire difficile à lire d’un seul coup d’œil. Voici les échéances qui structurent aujourd’hui la transition post-quantique en Europe et aux États-Unis.

OrganismeÉchéanceExigence
UE, NIS Cooperation Group31 décembre 2026Chaque État membre publie un plan national de transition PQC et un inventaire cryptographique
ANSSI (France)2027Fin de la certification des produits sans chiffrement résistant au quantique
NSA, CNSA 2.0 (États-Unis)1er janvier 2027Tout nouveau système de sécurité nationale doit supporter CNSA 2.0
UE, Cyber Resilience Act2027Chiffrement « état de l’art » exigé pour les produits entrant sur le marché européen
UE, cas d’usage à haut risque2030Migration post-quantique des infrastructures critiques
NIST IR 8547 (environnements fédéraux US)2030Début de dépréciation des algorithmes classiques
UE, cas d’usage à risque moyen2035Migration post-quantique complète
NIST IR 8547 (environnements fédéraux US)2035Interdiction des algorithmes classiques

Ce tableau illustre un point souvent sous-estimé : la France, avec son échéance de certification 2027, se positionne en tête du peloton européen plutôt qu’en simple suiveuse des délais de Bruxelles fixés à 2030 et 2035. L’ANSSI justifie ce rythme plus rapide par le rôle des produits certifiés dans les marchés publics sensibles, où un retard de mise en conformité se traduit directement par une perte d’éligibilité aux appels d’offres.

Ce que risquent les entreprises qui ne migrent pas à temps

Le risque immédiat n’est pas une attaque quantique, il est réglementaire et commercial. À partir de 2027, un éditeur français dont le produit repose exclusivement sur RSA ou ECC classique perdra la possibilité d’obtenir ou de renouveler un visa de sécurité ANSSI. Concrètement, cela ferme l’accès à une large part des marchés publics français et à de nombreux appels d’offres du secteur de la défense et des opérateurs d’importance vitale, pour lesquels la certification est une condition d’entrée non négociable.

Un grand nombre d’équipements aujourd’hui en service, pare-feux, HSM, passerelles VPN, solutions de chiffrement de flux, devront donc être mis à jour ou remplacés pour conserver leur agrément, selon l’analyse publiée en août 2026 par le cabinet suisse ELCASecurity. Pour les fournisseurs qui n’anticipent pas, la fenêtre entre l’annonce de juin 2026 et l’échéance de 2027 laisse peu de marge pour concevoir, tester et faire certifier une nouvelle version post-quantique de leur produit.

Une décennie de préparation, du théorème de Shor aux standards NIST

La menace que ces calendriers cherchent à anticiper n’est pas nouvelle. L’algorithme de Shor, publié en 1994, démontre théoriquement qu’un ordinateur quantique suffisamment puissant pourrait factoriser de grands nombres premiers et donc casser RSA, ainsi que résoudre le problème du logarithme discret sur lequel repose ECC. Pendant deux décennies, cette menace est restée cantonnée à la recherche académique, faute de matériel quantique pertinent.

Le tournant opérationnel intervient en 2016, quand le NIST lance officiellement son processus de standardisation post-quantique, invitant la communauté cryptographique mondiale à soumettre des algorithmes candidats. Après plusieurs rounds d’élimination et de cryptanalyse publique, les finalistes CRYSTALS-Kyber et CRYSTALS-Dilithium sont annoncés en 2022, avant d’être formalisés sous les noms ML-KEM et ML-DSA dans les standards FIPS 203 et 204 publiés le 13 août 2024. Ce que 2026 ajoute à cette trajectoire, ce n’est pas une nouveauté technique, mais une contrainte de calendrier : les algorithmes existent depuis deux ans, l’obligation de les déployer, elle, ne fait que commencer.

Impact sur le marché : HSM, PKI, cloud et VPN sous pression

La mise en conformité post-quantique redessine plusieurs segments de marché à la fois. Les fabricants de modules matériels de sécurité (HSM) doivent revoir leurs puces et leur microcode pour supporter des opérations sur des clés bien plus volumineuses que celles de RSA, sans dégrader le débit. Les autorités de certification et les gestionnaires d’infrastructure à clé publique doivent préparer une double émission de certificats, classiques et post-quantiques, pendant toute la période de transition hybride.

Les grands fournisseurs cloud et les opérateurs de CDN, déjà engagés dans le déploiement de groupes hybrides comme X25519MLKEM768 pour TLS, se retrouvent en position d’accélérer le mouvement pour l’ensemble de leur clientèle européenne, ne serait-ce que pour rester éligibles aux appels d’offres publics français après 2027. À l’inverse, les éditeurs de VPN et de messagerie chiffrée qui tardent à intégrer ML-KEM ou ML-DSA dans leur pile technique risquent de perdre du terrain face à des concurrents déjà conformes, notamment sur le segment des clients institutionnels et bancaires visés par les recommandations d’Europol.

Nos prédictions pour 2027-2030

  • 2027 restera une année de tri du marché. Une partie des éditeurs de sécurité qui n’auront pas anticipé la bascule ML-KEM/ML-DSA perdront leur agrément ANSSI, ce qui devrait accélérer les rachats et les consolidations dans le secteur des HSM et des VPN d’entreprise.
  • Le mode hybride va devenir la norme par défaut avant de devenir la norme exclusive. Les combinaisons X25519+ML-KEM et ECDSA+ML-DSA devraient rester le standard de facto sur le web public jusqu’à la fin de la décennie, le temps que les audits de sécurité valident pleinement les nouveaux algorithmes seuls.
  • Le secteur bancaire ira plus vite que l’échéance réglementaire ne l’exige. Les recommandations Europol de janvier 2026 devraient pousser plusieurs grandes banques européennes à annoncer une migration achevée avant 2030, en avance sur le délai fixé pour les infrastructures à haut risque.
  • D’autres blockchains suivront l’exemple de QoreChain, sous la pression d’investisseurs institutionnels de plus en plus attentifs à la résistance quantique des actifs numériques qu’ils détiennent sur le long terme.
  • Le troisième round NIST sur les signatures supplémentaires (FAEST, HAWK, MAYO, SNOVA, SQIsign et les autres) devrait aboutir vers 2028, ajoutant au catalogue des alternatives non basées sur les réseaux euclidiens, ce qui réduira le risque de dépendance excessive à une seule famille mathématique.

Ce que les équipes techniques doivent faire dès maintenant

La séquence recommandée par les guides ANSSI et par les cabinets spécialisés en migration post-quantique tient en quatre étapes. D’abord, dresser un inventaire cryptographique complet : où RSA, ECC et leurs dérivés sont-ils utilisés, dans quels certificats, quels protocoles, quelles bibliothèques. Ensuite, prioriser les données à longue durée de vie, celles qui restent sensibles au-delà de dix ans, car ce sont elles qui sont exposées en premier à la menace « harvest now, decrypt later ». Troisième étape, activer les modes hybrides disponibles dès aujourd’hui dans TLS 1.3, sans attendre la disparition complète des algorithmes classiques. Enfin, suivre de près les mises à jour des bibliothèques cryptographiques utilisées en production, OpenSSL, BoringSSL, ou les SDK cloud, pour intégrer ML-KEM et ML-DSA au rythme où elles deviennent disponibles en stable.

Pour les entreprises soumises à la certification ANSSI, le compte à rebours est désormais public et daté. Attendre 2027 pour commencer l’inventaire reviendrait à découvrir le problème au moment même où il devient bloquant pour l’accès aux marchés publics.

Foire aux questions

Qu’est-ce que la cryptographie post-quantique ?

C’est une famille d’algorithmes cryptographiques conçus pour résister aux attaques d’un futur ordinateur quantique suffisamment puissant, contrairement à RSA ou ECC qui deviendraient théoriquement cassables via l’algorithme de Shor. Le NIST a standardisé trois de ces algorithmes en août 2024 : ML-KEM, ML-DSA et SLH-DSA.

Pourquoi l’ANSSI impose-t-elle une échéance en 2027 alors qu’aucun ordinateur quantique menaçant n’existe encore ?

À cause du risque « harvest now, decrypt later » : des données chiffrées aujourd’hui avec RSA ou ECC peuvent être interceptées et stockées en vue d’un déchiffrement futur, une fois un ordinateur quantique pertinent disponible. Pour les données à longue durée de vie, migrer tôt limite cette exposition rétroactive.

Quelle est la différence entre ML-KEM, ML-DSA et SLH-DSA ?

ML-KEM (FIPS 203) sert à l’échange de clés, comme le ferait Diffie-Hellman. ML-DSA (FIPS 204) et SLH-DSA (FIPS 205) servent à la signature numérique. ML-DSA repose sur des réseaux euclidiens et sera l’algorithme de signature le plus utilisé, tandis que SLH-DSA, basé sur des fonctions de hachage, sert de solution de secours en cas de faiblesse découverte dans les réseaux euclidiens.

Les entreprises françaises doivent-elles migrer avant 2027 ?

L’échéance ANSSI concerne directement les éditeurs de produits soumis à certification (visa de sécurité, CSPN, critères communs). Les entreprises clientes de ces produits ont, elles, intérêt à commencer leur inventaire cryptographique dès maintenant pour ne pas se retrouver bloquées par un fournisseur qui perdrait sa certification en 2027.

Le mode hybride TLS est-il déjà utilisable en production ?

Oui. Des groupes hybrides comme X25519MLKEM768, qui combinent un échange de clés classique et un échange post-quantique dans une seule négociation TLS 1.3, sont déjà proposés par plusieurs navigateurs et grands fournisseurs de CDN depuis 2024-2025, sans attendre le retrait des algorithmes classiques.

Qu’est-ce que le rapport NIST IR 8610 ?

C’est le rapport officiel du NIST, mis à jour le 29 juillet 2026, qui documente l’avancement de neuf algorithmes de signature numérique supplémentaires (FAEST, HAWK, MAYO, MQOM, QR-UOV, SDitH, SNOVA, SQIsign, UOV) vers un troisième round d’évaluation, destinés à diversifier le catalogue post-quantique au-delà de ML-DSA et SLH-DSA.

Quels secteurs sont prioritaires pour la migration post-quantique en Europe ?

Le rapport Europol de janvier 2026 identifie le secteur financier comme prioritaire, avec un accent sur les certificats TLS interbancaires, les signatures d’ordres de paiement et les systèmes de règlement de produits dérivés. Les infrastructures critiques classées « à haut risque » par le NIS Cooperation Group ont, elles, jusqu’à 2030 pour migrer.

Sources externes : NIST, Post-Quantum Cryptography, NIST CSRC, standardisation PQC, NIST CSRC, Additional Digital Signature Schemes, PostQuantum.com, échéance ANSSI 2027, Europol, migration PQC dans la finance, The Quantum Insider, calendrier PQC, Centre canadien pour la cybersécurité, standards NIST.