Si vous manipulez des données financières, des systèmes financiers ou des transactions financières, vous devez être attentif à certains changements dans le secteur.
Le groupe d'experts cyber du G7 a récemment publié une feuille de route de haut niveau afin d'aider le secteur financier à se préparer aux risques liés à la cybersécurité découlant de l'informatique quantique.
Ces recommandations ne s'adressent pas uniquement aux Morgan Stanley et Citibank de ce monde. La feuille de route ne fait aucune distinction entre les « grandes banques » et les « petites banques ». Son point de vue s'applique à l'ensemble de l'écosystème financier.
Bien que la feuille de route n'introduise pas de nouvelles obligations réglementaires, elle encourage une collaboration étroite entre les économies les plus influentes du monde, dans le but de façonner la manière dont les institutions envisagent, planifient et gèrent cette transition.
Il convient de s'attarder sur l'identité de l'émetteur de ce message. Le G7 représente les sept plus grandes économies mondiales. Lorsque ce groupe exprime collectivement son inquiétude, la question dépasse largement le cadre théorique ou celui d'un débat technique de niche.
« L'introduction d'ordinateurs quantiques capables de contourner nos outils de chiffrement représente un risque important pour la sécurité et la solidité de notre écosystème financier. C'est un problème que nous devons résoudre ensemble, et les orientations de la feuille de route constitueront une référence importante pour les organisations qui souhaitent préparer leurs systèmes et leurs données à résister aux ordinateurs quantiques. »
– Duncan Mackinnon, coprésident du groupe d'experts sur la cybersécurité du G7 et directeur exécutif chargé des risques de surveillance à la Banque d'Angleterre
Beaucoup de choses peuvent changer en deux ans
Le risque quantique est depuis longtemps compris au sein PKI cryptographiques et PKI . Les ordinateurs quantiques avancés seront capables de briser les algorithmes cryptographiques largement utilisés qui protègent les données financières.
Les premières directives publiées en 2024 reconnaissaient le risque, mais laissaient de nombreuses organisations dans l'incertitude quant à la marche à suivre. De plus, il y a seulement deux ans, les normes étaient encore en cours d'élaboration et les approches variaient selon les régions.
Cette feuille de route pour 2026 est très différente. Elle est notamment la première à reconnaître explicitement que, même si plusieurs normes post-quantiques coexisteront à travers le monde, elles présentent des points communs significatifs et que les différences ne doivent pas servir de prétexte à l'inaction.
Le G7 affirme haut et fort : il s'agit d'un risque international qui exige une attention et une coordination internationales.
En effet, nous avons déjà vu ce changement commencer à prendre forme. Dans la région Asie-Pacifique, par exemple, les gouvernements nationaux ont commencé à publier des cadres de préparation à la cryptographie post-quantique , considérant le risque quantique comme une question de résilience nationale et régionale, et non comme un débat sur le choix des fournisseurs ou des algorithmes.
5 mesures à prendre pour se préparer à l'ère quantique
Ce problème ne concerne pas uniquement une poignée d'institutions mondiales. Si vous opérez dans l'écosystème financier, vous faites partie du risque, mais aussi de la solution.
Qu'il s'agisse d'améliorer votre agilité ou d'accroître votre vigilance, voici cinq mesures essentielles à prendre pour vous préparer.
1. Porter la question du risque quantique à l'attention du conseil d'administration
La première étape la plus importante n'est pas l'exécution technique. Il s'agit plutôt de l'escalade. Du point de vue de la gestion des risques, l'objectif n'est pas la perfection. Il s'agit plutôt de planifier la plus grande perturbation possible dans le laps de temps le plus court possible.
Les conseils d'administration n'ont pas besoin d'une expertise approfondie en cryptographie. Beaucoup n'en ont pas. Une étude a révélé que moins d'un tiers des RSSI déclarent que leur conseil d'administration comprend une personne ayant une expertise en matière de cybersécurité
Quels tableaux ont besoin de clarifier certaines réalités :
- Les algorithmes cryptographiques largement déployés finiront par échouer.
- Les données financières cryptées peuvent être collectées aujourd'hui et décryptées plus tard
- Le remplacement de la cryptographie dans les systèmes interconnectés prend des années.
Ces recommandations du G7 donnent aux praticiens à la fois la permission – et la responsabilité – d'entamer cette conversation. Elles apportent une validation externe sans être alarmistes. Elles présentent la préparation au quantique comme une question de gouvernance qui nécessite une planification à long terme.
2. Reconnaître la cryptographie comme un risque pour la chaîne d'approvisionnement
L'interdépendance est l'un des thèmes les plus importants de la feuille de route du G7.
Les institutions financières ne fonctionnent pas de manière isolée. La cryptographie sous-tend les plateformes bancaires centrales, les systèmes de paiement, les services cloud, les intégrations fintech et les fournisseurs tiers. Toute faiblesse dans l'un des maillons de cette chaîne entraîne un risque pour l'ensemble de l'écosystème.
Un point de départ pratique consiste à comprendre :
- Lorsque la cryptographie est utilisée dans des systèmes gérés en interne
- Quels services critiques dépendent des fournisseurs pour les contrôles cryptographiques ?
- Où se trouvent les données financières à longue durée de vie ou à forte valeur ajoutée
Il ne s'agit pas ici de rejeter la responsabilité sur quelqu'un. Cela montre plutôt que la préparation au quantum est une responsabilité partagée par l'ensemble de la chaîne d'approvisionnement financière.
3. Concentrez-vous sur l'agilité cryptographique, et non sur un événement de migration unique
La feuille de route du G7 renforce un point que PKI cryptographiques et PKI ont compris depuis longtemps : la transition post-quantique n'est pas une mise à niveau technologique ponctuelle.
Considérer cela comme la prochaine version d'une software est une erreur. La préparation quantique est un défi en matière d'infrastructure et de gestion des risques qui touche les systèmes, les données, les processus et les dépendances tierces. En décembre 2025, le NIST a publié son livre blanc final, Considérations pour atteindre la crypto-agilité (CSWP 39). Comme nous l'avons partagé dans un blog connexe, l'agilité cryptographique est la seule voie viable pour l'avenir.
L'agilité cryptographique signifie :
- Savoir où se trouve la cryptographie grâce à un inventaire complet
- Concevoir des systèmes permettant de modifier la cryptographie sans perturber les applications
- Maintenir une visibilité continue plutôt que de se fier à des instantanés ponctuels
Les organisations qui manquent de visibilité sur leurs actifs cryptographiques – ou qui migrent une seule fois sans pouvoir ensuite surveiller et s'adapter – resteront exposées. L'agilité permet aux institutions financières de toutes formes et de toutes tailles d'évoluer au rythme des régulateurs, des fournisseurs et des normes du secteur, plutôt que de se démener pour rattraper leur retard sous la pression.
4. Adopter une approche progressive fondée sur les risques
Le G7 est explicite : tous les systèmes, fonctions ou institutions ne sont pas exposés au même niveau de risque au même moment.
Certaines données financières doivent rester confidentielles pendant des décennies. Certains systèmes sont essentiels à la confiance du marché et à la continuité opérationnelle. D'autres présentent un risque immédiat moindre.
Les organisations devraient :
- Donnez la priorité aux données à longue durée de vie et aux systèmes à fort impact.
- Appliquer des délais plus stricts lorsque les risques sont les plus élevés.
- Utilisez des systèmes à faible risque comme premiers projets pilotes pour acquérir de l'expérience.
Cette approche allie progrès constants et flexibilité à mesure que les normes continuent d'évoluer.
5. Utiliser les structures de gouvernance existantes pour renforcer la responsabilisation
La préparation quantique ne nécessite pas de réinventer la gouvernance.
Les conseils d'administration et les comités exécutifs supervisent déjà la cybersécurité, les risques liés aux tiers et la résilience opérationnelle. La préparation quantique doit faire partie de ces mêmes discussions, suivie à travers :
- Responsabilité claire entre les équipes chargées de la sécurité, de l'informatique et des risques
- Étapes mesurables liées à la visibilité et à l'agilité
- Réévaluation continue à mesure que les risques et les dépendances évoluent
Cela garantit que le risque quantique fait partie intégrante de la gestion des risques d'entreprise, et non un problème futur abstrait.
Penser en phases, pas en délais
Pour faciliter la planification, la feuille de route du G7 comprend un calendrier. Elle divise la transition en phases qui se chevauchent, que de nombreuses organisations reconnaîtront :
- Sensibilisation et préparation au niveau de la direction et du conseil d'administration
- Découverte et inventaire des actifs cryptographiques et des dépendances
- Évaluation des risques et planification fondées sur l'exposition et l'importance systémique
- Exécution de la migration, en commençant par les systèmes prioritaires
- Test, validation et surveillance continue dans le temps
Il est important de noter que le timing suggère :
- 2025 était le moment de réfléchir à cela.
- 2026 est l'année où vous devez faire votre inventaire.
- 2028 est le moment de commencer la migration
Pour les conseils d'administration, le message consiste à reconnaître que la transition cryptographique est un effort qui s'étend sur plusieurs années et qui commence bien avant le changement d'algorithmes, et que l'attente ne réduit pas la charge de travail, mais la comprime.
Collaboration : une affaire internationale
La feuille de route du G7 renforce les principes que PKI cryptographiques et PKI ont compris depuis longtemps : l'informatique quantique bouleversera les hypothèses qui protègent les systèmes financiers, et tout retard ne fera que réduire les options futures.
Lorsque les plus grandes économies mondiales reconnaissent collectivement ce risque, cela fournit aux conseils d'administration un contexte essentiel, non seulement sur ce qui va arriver, mais aussi sur l'ampleur et le caractère inévitable de la transition à venir.
L'appel à l'action est simple : commencez dès maintenant. Sensibilisez les membres du conseil d'administration, dressez l'inventaire des dépendances cryptographiques et engagez-vous auprès des partenaires industriels qui façonnent la transition.
La préparation quantique n'est pas un problème à résoudre seul, mais c'est un problème qu'il faut commencer à traiter dès aujourd'hui.
