Lorsque le G7 signale un risque quantique, il est temps d'écouter

Si vous manipulez des données financières, des systèmes financiers ou des transactions financières, vous devez être attentif à certains changements dans le secteur.

The G7 Cyber Expert Group recently released a high-level roadmap to help the financial sector prepare for cybersecurity risks arising from quantum computing.  

Ces recommandations ne s'adressent pas uniquement aux Morgan Stanley et Citibank de ce monde. La feuille de route ne fait aucune distinction entre les « grandes banques » et les « petites banques ». Son point de vue s'applique à l'ensemble de l'écosystème financier.

Bien que la feuille de route n'introduise pas de nouvelles obligations réglementaires, elle encourage une collaboration étroite entre les économies les plus influentes du monde, dans le but de façonner la manière dont les institutions envisagent, planifient et gèrent cette transition.

Il convient de s'attarder sur l'identité de l'émetteur de ce message. Le G7 représente les sept plus grandes économies mondiales. Lorsque ce groupe exprime collectivement son inquiétude, la question dépasse largement le cadre théorique ou celui d'un débat technique de niche.

“The introduction of quantum computers that can break our encryption tools presents a significant risk to the safety and soundness of our financial ecosystem. This is something we must address together, and the roadmap guidance will be an important reference for organizations to consider as they prepare their systems and data to be quantum resilient.” 

– Duncan Mackinnon, G7 Cyber Expert Group Co Chair and Bank of England’s Executive Director for Supervisory Risk

Beaucoup de choses peuvent changer en deux ans 

Le risque quantique est depuis longtemps compris au sein PKI cryptographiques et PKI . Les ordinateurs quantiques avancés seront capables de briser les algorithmes cryptographiques largement utilisés qui protègent les données financières. 

Earlier guidance in 2024 acknowledged the risk but left many organizations unsure how to act. Plus, just two years ago, standards were still emerging and approaches varied by geography. 

Cette feuille de route pour 2026 est très différente. Elle est notamment la première à reconnaître explicitement que, même si plusieurs normes post-quantiques coexisteront à travers le monde, elles présentent des points communs significatifs et que les différences ne doivent pas servir de prétexte à l'inaction. 

The G7 is saying loud and clear: this is an international risk that demands international attention and coordination. 

Indeed, we’ve already seen this shift beginning to take shape. In Asia-Pacific, for example, national governments have begun publishing post-quantum cryptography readiness frameworks – treating quantum risk as a matter of national and regional resilience, not vendor selection or algorithm debate. 

5 mesures à prendre pour se préparer à l'ère quantique

Ce problème ne concerne pas uniquement une poignée d'institutions mondiales. Si vous opérez dans l'écosystème financier, vous faites partie du risque, mais aussi de la solution.

Qu'il s'agisse d'améliorer votre agilité ou d'accroître votre vigilance, voici cinq mesures essentielles à prendre pour vous préparer.

1. Porter la question du risque quantique à l'attention du conseil d'administration

La première étape la plus importante n'est pas l'exécution technique. Il s'agit plutôt de l'escalade. Du point de vue de la gestion des risques, l'objectif n'est pas la perfection. Il s'agit plutôt de planifier la plus grande perturbation possible dans le laps de temps le plus court possible. 

Boards don’t need deep cryptographic expertise. Many don’t have it. One study found that fewer than one-third of CISOs say their board includes someone with cybersecurity expertise.

What boards do need is clarity on a few realities:

• Les algorithmes cryptographiques largement déployés finiront par échouer.
• Encrypted financial data can be harvested today and decrypted later
• Le remplacement de la cryptographie dans les systèmes interconnectés prend des années.

Ces recommandations du G7 donnent aux praticiens à la fois la permission – et la responsabilité – d'entamer cette conversation. Elles apportent une validation externe sans être alarmistes. Elles présentent la préparation au quantique comme une question de gouvernance qui nécessite une planification à long terme.

2. Reconnaître la cryptographie comme un risque pour la chaîne d'approvisionnement

L'interdépendance est l'un des thèmes les plus importants de la feuille de route du G7.

Les institutions financières ne fonctionnent pas de manière isolée. La cryptographie sous-tend les plateformes bancaires centrales, les systèmes de paiement, les services cloud, les intégrations fintech et les fournisseurs tiers. Toute faiblesse dans l'un des maillons de cette chaîne entraîne un risque pour l'ensemble de l'écosystème.

Un point de départ pratique consiste à comprendre :

• Lorsque la cryptographie est utilisée dans des systèmes gérés en interne
• Quels services critiques dépendent des fournisseurs pour les contrôles cryptographiques ?
• Où se trouvent les données financières à longue durée de vie ou à forte valeur ajoutée
  
  

Il ne s'agit pas ici de rejeter la responsabilité sur quelqu'un. Cela montre plutôt que la préparation au quantum est une responsabilité partagée par l'ensemble de la chaîne d'approvisionnement financière.

3. Concentrez-vous sur l'agilité cryptographique, et non sur un événement de migration unique

La feuille de route du G7 renforce un point que PKI cryptographiques et PKI ont compris depuis longtemps : la transition post-quantique n'est pas une mise à niveau technologique ponctuelle.

Treating this as the next version of a software update is a mistake. Quantum readiness is an infrastructure and risk management challenge that touches systems, data, processes, and third-party dependencies. In December 2025, NIST released its final white paper, Considerations for Achieving Crypto Agility (CSWP 39). As we shared in a related blog, cryptographic agility is the only viable way forward.

L'agilité cryptographique signifie :

• Savoir où se trouve la cryptographie grâce à un inventaire complet
• Concevoir des systèmes permettant de modifier la cryptographie sans perturber les applications
• Maintaining continuous visibility rather than relying on point-in-time snapshots

Les organisations qui manquent de visibilité sur leurs actifs cryptographiques – ou qui migrent une seule fois sans pouvoir ensuite surveiller et s'adapter – resteront exposées. L'agilité permet aux institutions financières de toutes formes et de toutes tailles d'évoluer au rythme des régulateurs, des fournisseurs et des normes du secteur, plutôt que de se démener pour rattraper leur retard sous la pression.

4. Adopter une approche progressive fondée sur les risques

Le G7 est explicite : tous les systèmes, fonctions ou institutions ne sont pas exposés au même niveau de risque au même moment.

Certaines données financières doivent rester confidentielles pendant des décennies. Certains systèmes sont essentiels à la confiance du marché et à la continuité opérationnelle. D'autres présentent un risque immédiat moindre.

Les organisations devraient :

• Donnez la priorité aux données à longue durée de vie et aux systèmes à fort impact.
• Appliquer des délais plus stricts lorsque les risques sont les plus élevés.
• Utilisez des systèmes à faible risque comme premiers projets pilotes pour acquérir de l'expérience.

Cette approche allie progrès constants et flexibilité à mesure que les normes continuent d'évoluer.

5. Utiliser les structures de gouvernance existantes pour renforcer la responsabilisation

La préparation quantique ne nécessite pas de réinventer la gouvernance.

Les conseils d'administration et les comités exécutifs supervisent déjà la cybersécurité, les risques liés aux tiers et la résilience opérationnelle. La préparation quantique doit faire partie de ces mêmes discussions, suivie à travers :

• Responsabilité claire entre les équipes chargées de la sécurité, de l'informatique et des risques
• Étapes mesurables liées à la visibilité et à l'agilité
• Réévaluation continue à mesure que les risques et les dépendances évoluent

Cela garantit que le risque quantique fait partie intégrante de la gestion des risques d'entreprise, et non un problème futur abstrait.

Penser en phases, pas en délais

Pour faciliter la planification, la feuille de route du G7 comprend un calendrier. Elle divise la transition en phases qui se chevauchent, que de nombreuses organisations reconnaîtront :

• Sensibilisation et préparation au niveau de la direction et du conseil d'administration
• Découverte et inventaire des actifs cryptographiques et des dépendances
• Évaluation des risques et planification fondées sur l'exposition et l'importance systémique
• Exécution de la migration, en commençant par les systèmes prioritaires
• Test, validation et surveillance continue dans le temps

Il est important de noter que le timing suggère : 

• 2025 était le moment de réfléchir à cela. 
• 2026 est l'année où vous devez faire votre inventaire.
• 2028 est le moment de commencer la migration

Pour les conseils d'administration, le message consiste à reconnaître que la transition cryptographique est un effort qui s'étend sur plusieurs années et qui commence bien avant le changement d'algorithmes, et que l'attente ne réduit pas la charge de travail, mais la comprime.

Collaboration : une affaire internationale  

La feuille de route du G7 renforce les principes que PKI cryptographiques et PKI ont compris depuis longtemps : l'informatique quantique bouleversera les hypothèses qui protègent les systèmes financiers, et tout retard ne fera que réduire les options futures.

Lorsque les plus grandes économies mondiales reconnaissent collectivement ce risque, cela fournit aux conseils d'administration un contexte essentiel, non seulement sur ce qui va arriver, mais aussi sur l'ampleur et le caractère inévitable de la transition à venir.

The call to action is simple: begin now. Build awareness at the board level, inventory cryptographic dependencies, and engage with industry partners shaping the transition.

La préparation quantique n'est pas un problème à résoudre seul, mais c'est un problème qu'il faut commencer à traiter dès aujourd'hui.