Préparation à l'ère post-quantique : le calendrier est désormais établi

La préparation à l'ère post-quantique dans le secteur des services financiers a franchi une étape décisive. Ce qui n'était autrefois qu'une préoccupation théorique que les équipes de sécurité pouvaient classer dans la catégorie « un jour ou l'autre » est désormais une obligation programmée, assortie de dates précises.

Tous les cadres de conformité cryptographique auxquels une institution financière doit se conformer vont dans le même sens : savoir de quelles techniques cryptographiques on dispose, prouver qu'on les maîtrise et être prêt à les faire évoluer. C'est avec la cryptographie post-quantique que cette orientation se voit enfin assortie d'une échéance.

Cet article présente le calendrier qui a conduit à la transformation des recommandations en politique officielle, explique pourquoi les échéances sont plus proches qu'il n'y paraît, notamment en matière de finance, précise qui est concerné et détaille les mesures à prendre sous forme de contrôles cryptographiques concrets que vous pouvez mettre en œuvre dès maintenant.

Pourquoi la date limite est bien réelle : le calendrier par écrit

La nécessité d'agir dès maintenant ne repose pas sur des hypothèses quant à la date à laquelle un ordinateur quantique capable de réaliser des opérations cryptographiques fera son apparition. Elle repose sur des étapes clés qui ont déjà été rendues publiques.

Les normes du NIST et le calendrier 2030 / 2035

En 2024, le NIST a finalisé les trois premières normes de cryptographie post-quantique et publié un projet de calendrier de transition dans le document NIST IR 8547. Ce calendrier prévoit la dépréciation, d’ici 2030, des algorithmes RSA et à courbes elliptiques sur lesquels repose la majeure partie de l’infrastructure financière, leur interdiction totale étant prévue pour 2035. La voie à suivre est tracée : les algorithmes sur lesquels s’appuient aujourd’hui la plupart des systèmes bancaires et de paiement ont une date d’expiration.

Décret présidentiel n° 14412 et directive M-26-15 de l'OMB

En juin 2026, le décret présidentiel n° 14412 a transformé les recommandations techniques du NIST en politique fédérale. Il chargeait le Bureau de la gestion et du budget (OMB) et le directeur national de la cybersécurité de mener une migration nationale accélérée, avec des échéances échelonnées pour les actifs fédéraux de grande valeur. Le mémorandum M-26-15 de l’OMB régit la mise en œuvre de cette migration. Le décret exige que tous les actifs fédéraux de grande valeur et tous les systèmes à fort impact utilisent la cryptographie post-quantique (PQC) pour la génération de clés d’ici le 31 décembre 2030, et pour les signatures numériques d’ici le 31 décembre 2031. Le mémorandum M-26-15 de l’OMB, publié le 24 juin 2026, établit un calendrier en cinq phases s’étendant jusqu’en 2035 pour les systèmes restants.

La feuille de route coordonnée du G7

En janvier 2026, le groupe d’experts sur la cybersécurité du G7, coprésidé par le Trésor américain et la Banque d’Angleterre, a publié une feuille de route coordonnée et spécifique à chaque secteur. Celle-ci exhorte les banques, les assureurs, les bourses et les infrastructures des marchés financiers à passer de la prise de conscience à l’inventaire, à l’évaluation des risques et à une migration progressive bien avant l’horizon de planification fixé au milieu des années 2030. Pour le secteur financier, il s’agit là du signal le plus clair à ce jour indiquant que les autorités considèrent la transition cryptographique comme un enjeu de gestion des risques systémiques plutôt que comme une préoccupation future.

Swift se fixe un objectif

Swift prévoit de lancer SwiftNet 8.0, son réseau compatible avec la cryptographie post-quantique, fin juillet 2027. Il s'agit d'une mise à jour majeure obligatoire, sans possibilité de mise à niveau depuis la version 7.7, et le support de la version 7.9 prendra fin 15 mois après la mise à disposition de la version 8.0. Cela définit une période de migration de quelques mois, et non de plusieurs années, pour plus de 11 500 établissements connectés au réseau.

Groupe de travail du ministère des Finances sur la préparation du secteur financier à la technologie quantique

Le 24 août 2026, le Trésor américain a lancé le « Quantum-Readiness Task Force », une initiative publique-privée visant à accélérer la transition du secteur financier américain vers des technologies résistantes à l’informatique quantique. Cette initiative s’inscrit dans le cadre du décret présidentiel n° 14412 et s’appuie sur la feuille de route du groupe d’experts sur la cybersécurité du G7. Le groupe de travail s'articule autour de trois axes : l'alignement sectoriel et la transition vers la cryptographie quantique (PQC) ; la préparation des tiers et des fournisseurs ; et les risques liés aux actifs numériques et aux technologies émergentes.

Pourquoi est-ce important pour les établissements financiers ?

Un décret et une feuille de route du G7 ne constituent pas des normes de conformité, et aucune institution ne fera l'objet d'un audit directement sur la base de l'un ou de l'autre. Leur importance réside dans ce qu'ils indiquent : les exigences en matière d'inventaire cryptographique, de gestion des certificats et d'agilité cryptographique, déjà intégrées dans les normes DORA, PCI DSS et NYDFS, sont désormais assorties de dates butoirs.

Récolter maintenant, décrypter plus tard

Les historiques de transactions, les registres de conservation ainsi que les données KYC et AML conservées à long terme, qui sont aujourd’hui chiffrées, peuvent être enregistrées dès maintenant et déchiffrées dès que la technologie quantique sera disponible. La véritable échéance est donc déterminée par la durée de sensibilité des données, et non par la date de mise en service d’un ordinateur quantique. Dans le secteur financier, où les registres doivent rester confidentiels pendant des années, voire des décennies, la fenêtre d’exposition est en réalité déjà ouverte.

Le déficit de préparation et le risque lié au maillon faible

Des enquêtes récentes menées dans le secteur ont révélé que seul un faible pourcentage des institutions financières mondiales a entamé une migration à grande échelle. Les grandes banques de catégorie 1 sont en tête en matière d’évaluation, tandis que les établissements plus modestes sont à la traîne, ce qui crée précisément le risque lié au « maillon faible » qu’un réseau de correspondance bancaire ne peut absorber sans heurts. Une seule contrepartie mal préparée devient alors un problème pour tous.

Les achats évoluent plus vite que la réglementation

Les acheteurs fédéraux, les banques centrales et les partenaires correspondants commenceront à exiger des plans de migration vers le PQC et des inventaires cryptographiques bien avant que la réglementation ne les y oblige. Les dispositions de la directive DORA relatives à l'agilité cryptographique orientent déjà toutes les entités financières de l'UE vers cette même base. Pour la plupart des institutions, ce sera un questionnaire de diligence raisonnable, et non une loi, qui constituera le déclencheur concret.

Qui est concerné ?

Si vous reconnaissez votre établissement dans l'une des catégories ci-dessous, la préparation à l'ère post-quantique est déjà une préoccupation pour vous.

• Les banques et les prestataires de services de paiement ayant des activités au niveau fédéral ou transfrontalières, y compris les établissements concernés qui relèveront de la règle FAR prévue par le décret présidentiel n° 14412.
• Les établissements connectés au réseau SWIFT et les établissements correspondants concernés par la mise en place de la version SwiftNet compatible avec le PQC et par la période de migration correspondante.
• Toute institution détenant des données financières à long terme, telles que des registres de transactions, des données de dépôt, ainsi que des dossiers relatifs à l’identification des clients (KYC) et à la lutte contre le blanchiment d’argent (AML), dont la confidentialité doit perdurer au-delà de la durée de vie des algorithmes actuels.

Ce champ d’application s’étend encore davantage : aux entités de l’UE soumises à la DORA, aux prestataires fédéraux qui seront concernés par la future règle du FAR exigeant que les prestataires concernés se conforment aux normes FIPS du NIST, y compris celles intégrant des algorithmes PQC normalisés, d’ici fin 2030, ainsi qu’aux institutions supervisées par des autorités ayant fixé leurs propres échéances.

Comment la préparation à l'ère post-quantique s'articule avec les contrôles cryptographiques

Le calendrier se concrétise à travers un ensemble de domaines de contrôle interdépendants. Chacun d’entre eux correspond à une capacité distincte que vous pouvez mettre en place dès maintenant.

Inventaire cryptographique et préparation au CBOM

Identifiez et recensez les certificats, les clés, les algorithmes et les bibliothèques cryptographiques intégrées dans les systèmes bancaires centraux, les systèmes de paiement et l’open banking. Cette visibilité au niveau des actifs est précisément ce qu’exige une nomenclature cryptographique (CBOM) ; elle est conforme au décret présidentiel n° 14412 et aux prochaines recommandations de la CISA relatives à la CBOM. Elle répond également à l’exigence 12.3.3 de la norme PCI DSS, qui impose la tenue d’un inventaire à jour des suites de chiffrement et des protocoles cryptographiques.

Évaluation de la vulnérabilité quantique

Analysez les techniques de cryptographie détectées par rapport aux listes d'algorithmes approuvés et obsolètes, conformément au calendrier d'obsolescence défini dans la norme NIST IR 8547. Classez les résultats par ordre de priorité en fonction de la sensibilité des données et de leur durée de conservation, afin que les ressources présentant le risque le plus élevé et la durée de vie la plus longue soient traitées en premier.

Émission de certificats compatibles PQC

Émettre et gérer des certificats à l’aide d’algorithmes PQC normalisés par le NIST, y compris des certificats hybrides permettant une migration progressive au sein d’infrastructures bancaires et de paiement à longue durée de vie. Ce travail s’inscrit dans le cadre du décret présidentiel n° 14412 et de la directive OMB M-26-15.

Agilité cryptographique à l'échelle du parc informatique

Renouveler, réémettre et réinitialiser les clés des certificats au sein de l'infrastructure bancaire centrale, des services de cartes et des relations avec les banques correspondantes à l'échelle d'un parc, sans intervention manuelle sur chaque terminal. Cette fonctionnalité s'inscrit dans la feuille de route du Groupe d'experts sur la cybersécurité du G7 et dans les articles 6 et 7 du règlement DORA RTS.

Infrastructure de messagerie compatible avec le PQC

Préparez l'infrastructure de certificats et de clés avant la mise en service de la version de SwiftNet compatible avec la cryptographie post-quantique (PQC) et la période de migration qui s'ensuivra. Compte tenu du délai très court annoncé par Swift, les établissements qui auront mis en place cette infrastructure à l'avance pourront effectuer leur migration en toute sérénité, sans avoir à se précipiter.

Signature du code et du micrologiciel compatible PQC

Signer les applications de paiement, les micrologiciels des distributeurs automatiques de billets et des terminaux de point de vente, ainsi que les versions du système bancaire central à l’aide d’algorithmes résistants à l’informatique quantique, afin que les chaînes de mise à jour restent fiables pendant toute leur durée de prise en charge. Cette approche est conforme aux dispositions relatives aux marchés publics du décret présidentiel n° 14412 et à l’exigence 12.3.3 de la norme PCI DSS.

Questions à se poser dès maintenant pour évaluer son état de préparation

Voici les questions que les évaluateurs, les clients fédéraux et les interlocuteurs ne manqueront pas de vous poser. Si vous êtes en mesure d'y répondre en vous appuyant sur des éléments concrets, vous aurez une longueur d'avance.

• Is your cryptographic inventory complete?
  
  Can you enumerate every certificate, key, algorithm, and cryptographic library across core banking, payments, and open banking, including inherited dependencies?
• Have you classified quantum vulnerability?
  
  Has the inventory been assessed against the NIST deprecation schedule, with quantum-vulnerable assets ranked by data sensitivity and retention period?
• Do you have a migration plan and an owner?
  
  Is there a named owner, a documented plan, and a timeline aligned to the 2030 deprecation and 2035 disallowance dates?
• What is your long-lived data and custody strategy?
  
  For transaction, custody, and KYC and AML data that must stay confidential past current algorithm lifespans, are compensating controls or migration timelines documented?
• Can you produce a CBOM today?
  
  If a federal customer or correspondent bank requested a cryptographic bill of materials right now, could you generate one?
• Do you know your vendors’ PQC posture?
  
  Are SWIFT counterparties, card networks, and core banking or cloud vendors being assessed for their own migration plans, given that inherited cryptography becomes your exposure?

Comment Keyfactor vous aider

La préparation à l'ère post-quantique est une capacité opérationnelle, et non un projet ponctuel. Le « Trust Control Plane » d'Keyfactor surveille, analyse, provisionne, orchestre et gère chaque ressource cryptographique et chaque identité de machine dans les domaines de la banque centrale, des paiements et de l'open banking. Il en résulte un système d'enregistrement unique à partir duquel il est possible d'extraire les preuves requises par n'importe quel cadre réglementaire.

Les produits complémentaires identifiés lors des travaux de cartographie des contrôles ont été utilisés conjointement tout au long de la migration :

• Command et AgileSec pour la découverte, l’inventaire et l’évaluation des vulnérabilités quantiques.
• EJBCA pour la délivrance de certificats compatibles PQC et hybrides.
• SignServer et Signum pour la signature de codes et de micrologiciels résistante aux attaques quantiques.

Au lieu de rassembler des éléments de preuve cadre par cadre, les institutions disposent d'une plateforme unique qui répond à toutes les questions cryptographiques qu'elles se posent.

Un programme, pas un projet

Ces cadres diffèrent en termes de champ d’application, de portée et de mise en œuvre, mais ils exigent tous la même capacité sous-jacente. Recensez les actifs cryptographiques présents au sein de l’entreprise, sur le réseau de paiement et chez chaque contrepartie à laquelle vous vous connectez. Analysez-les à la lumière des exigences actuelles et des calendriers de mise hors service. Attribuez des identités fiables à chaque système, application et charge de travail. Gérez les cycles de vie des certificats et des clés à l’échelle de l’institution. Assurez la gouvernance de l’ensemble du parc informatique à l’aide de politiques, de preuves et de mécanismes de responsabilité pouvant être vérifiés par un contrôleur.

Il ne s'agit pas d'un projet de mise en conformité assorti d'une date butoir. Il s'agit d'une capacité opérationnelle, et les institutions qui l'envisageront ainsi constateront que chaque nouvelle exigence s'appuie sur une infrastructure qui y répond déjà. Les premières mesures concrètes à prendre sont les mêmes, quelles que soient les dates qui vous concernent : commencez dès maintenant à dresser l'inventaire cryptographique et à évaluer les vulnérabilités quantiques, en amont des échéances de 2030 et 2035.

Prêt à découvrir à quoi cela ressemble pour l'ensemble de votre patrimoine ? Demander une démo.

Vous vous posez des questions sur la préparation à l'ère post-quantique ? Nous avons les réponses.

What is post-quantum readiness for financial services?
Post-quantum readiness is an institution’s ability to migrate its cryptographic systems to quantum-resistant algorithms without disruption. It combines complete visibility into cryptographic assets, a prioritized view of quantum vulnerability, and the automation to re-key and reissue certificates at estate scale.

When do financial institutions need to migrate to post-quantum cryptography?
 Draft NIST IR 8547 deprecates RSA and elliptic curve algorithms after 2030 and disallows them after 2035. Executive Order 14412 sets firmer dates for federal high value assets and high impact systems: PQC for key establishment by December 31, 2030, and for digital signatures by December 31, 2031. Sooner still, Swift plans to release its PQC-enabled SwiftNet 8.0 at the end of July 2027, giving connected institutions a migration window measured in months.

What is “harvest now, decrypt later” and why does it matter for banks?
Harvest now, decrypt later is the practice of capturing encrypted data today and decrypting it once quantum capability arrives. It matters for finance because transaction histories, custody records, and KYC and AML data must stay confidential for years, so their sensitivity horizon sets the real deadline rather than the arrival of a quantum computer.

Which institutions are in scope for post-quantum readiness?
In scope are banks and payment providers with federal or cross-border exposure, SWIFT-connected and correspondent institutions, and any institution holding long-lived financial data. It also reaches EU entities subject to DORA and federal contractors captured by the forthcoming FAR rule requiring PQC-aligned standards by the end of 2030.

What is a cryptographic bill of materials (CBOM)?
A CBOM is an asset-level inventory of the certificates, keys, algorithms, and cryptographic libraries in use across an environment. Executive Order 14412 directs CISA, in coordination with NIST, to publish the minimum elements for a CBOM, with elements that enable automated assessment of an asset’s cryptography. A CBOM also supports PCI DSS Requirement 12.3.3, which asks for an inventory of cipher suites and protocols in use, monitoring of their continued viability, and a documented plan to respond when one stops being viable.

How does Executive Order 14412 affect financial institutions?
Executive Order 14412, issued in June 2026, converted NIST’s guidance into federal policy and directed an accelerated national migration with phased deadlines for federal high-value assets. It reaches private industry through a forthcoming FAR rule requiring covered federal contractors to meet PQC-aligned standards by the end of 2030.

What is the Treasury Quantum-Readiness Task Force?
Launched by the U.S. Treasury on August 24, 2026, it is a public-private initiative to accelerate the financial sector’s transition to quantum-safe technology, building on the G7 Cyber Expert Group roadmap. It operates through three workstreams: Sector Alignment and PQC Transition, Third-Party and Vendor Readiness, and Digital Assets and Emerging Technology Risk.

How can Keyfactor help with post-quantum migration?
The Keyfactor Trust Control Plane observes, analyzes, provisions, orchestrates, and governs every cryptographic asset and machine identity across core banking, payments, and open banking. Command and AgileSec handle discovery and vulnerability assessment, EJBCA issues PQC-capable and hybrid certificates, and SignServer and Signum provide quantum-resistant code and firmware signing.