Préparation à l'ère post-quantique pour le secteur des services financiers :

Vue d'ensemble

Tous les cadres présentés dans ce guide vont dans le même sens : identifiez les techniques de cryptographie dont vous disposez, prouvez que vous en avez le contrôle et soyez prêt à les faire évoluer. C'est avec la cryptographie post-quantique que cette orientation se voit assortie d'une échéance.

En 2024, le NIST a finalisé les trois premières normes cryptographiques post-quantiques et publié un calendrier de transition prévoyant l’abandon progressif, d’ici 2030, des algorithmes RSA et à courbes elliptiques sur lesquels repose la majeure partie de l’infrastructure financière, l’interdiction totale étant prévue pour 2035. En juin 2026, le décret 14412 a transposé ces orientations techniques en politique fédérale, chargeant l’OMB et le directeur national de la cybersécurité de mener une migration nationale accélérée et fixant des échéances progressives pour les actifs fédéraux de grande valeur. En janvier 2026, le groupe d’experts cyber du G7, coprésidé par le Trésor américain et la Banque d’Angleterre, a publié une feuille de route coordonnée et spécifique à chaque secteur, exhortant les banques, les assureurs, les bourses et les infrastructures des marchés financiers à passer de la sensibilisation à l’inventaire, à l’évaluation des risques et à une migration progressive bien avant l’horizon de planification fixé au milieu des années 2030.

Pour les institutions financières, deux aspects sont particulièrement importants. Premièrement, ce même décret présidentiel charge le Conseil du FAR d’exiger des prestataires fédéraux concernés qu’ils se conforment à des normes de cybersécurité alignées sur la PQC d’ici fin 2030, étendant ainsi l’obligation de migration à toute institution fournissant des services aux chaînes d’approvisionnement fédérales. D'autre part, SWIFT a elle-même annoncé une date cible : SwiftNet devrait être compatible avec la PQC vers 2027, avec une période de migration de l'ordre de quelques mois plutôt que de plusieurs années pour les quelque 11 000 institutions connectées au réseau.

Pourquoi c'est important 

Un décret et une feuille de route du G7 ne constituent pas des normes de conformité, et les institutions financières ne feront l’objet d’aucun audit direct au regard de l’un ou de l’autre. Leur importance réside dans ce qu’ils laissent entrevoir : les questions soulevées dans chaque chapitre de ce guide, les attentes de la DORA en matière d’agilité cryptographique, l’exigence d’inventaire cryptographique de la norme PCI DSS, ainsi que l’inventaire des certificats et des clés imposé par le NYDFS, sont désormais assortis de dates butoirs.

Les réalités économiques du secteur financier font que ces échéances sont plus proches qu’il n’y paraît. Les historiques de transactions, les registres de conservation et les données KYC/AML conservées à long terme, qui sont aujourd’hui chiffrées, pourront être récupérées dès à présent et déchiffrées dès que la technologie quantique sera disponible ; cela signifie que c’est la durée de sensibilité des données, et non la date de mise en service d’un ordinateur quantique, qui fixe la véritable échéance. Des enquêtes récentes menées auprès du secteur ont révélé que moins de 3 % des institutions financières mondiales ont entamé une migration concrète, alors même que l’évaluation de l’état de préparation réalisée par SWIFT a montré que la grande majorité des banques de premier rang ont commencé à évaluer la situation, tandis que les institutions plus petites sont à la traîne, créant ainsi précisément le risque du « maillon faible » qu’un réseau de correspondance bancaire ne peut absorber sans heurts.

Les procédures de passation de marchés et de vérification préalable des contreparties évolueront plus rapidement que la réglementation. Les acheteurs fédéraux, les banques centrales et les partenaires correspondants commenceront à exiger des plans de migration vers le PQC et des inventaires cryptographiques bien avant que la réglementation ne les y oblige, et les dispositions de la directive DORA en matière d’« agilité cryptographique » orientent déjà toutes les entités financières de l’UE vers cette même base.

En quoi cela s'applique-t-il à la cryptographie ? 

La préparation à l'ère post-quantique aborde la cryptographie à travers plusieurs domaines de contrôle étroitement liés. Les principaux domaines ayant des implications cryptographiques directes sont les suivants :

Questions sur l'état de préparation

Les audits de migration PQC, qu'ils soient lancés par un client fédéral, une contrepartie correspondante ou une fonction interne de gestion des risques, visent à déterminer si l'organisation connaît son exposition au risque et dispose d'un plan conforme aux règles en vigueur. Les domaines clés sur lesquels les évaluateurs se pencheront sont les suivants :

• Exhaustivité de l'inventaire cryptographique : l'organisation est-elle en mesure de répertorier l'ensemble des certificats, clés, algorithmes et bibliothèques cryptographiques utilisés dans ses systèmes bancaires centraux, de paiement et d'open banking, y compris les dépendances héritées ?
• Classification des vulnérabilités quantiques : l'inventaire a-t-il été évalué au regard du calendrier de mise hors service du NIST, les actifs vulnérables aux attaques quantiques ayant été identifiés et classés en fonction de la sensibilité des données et de la durée de conservation ?
• Plan de migration et responsabilité : existe-t-il un responsable désigné, un plan de migration documenté et un calendrier aligné sur les dates de dépréciation (2030) et d'interdiction (2035) ?
• Stratégie de conservation des données à longue durée de vie et de conservation des actifs : pour les données relatives aux transactions, à la conservation des actifs et au KYC/AML qui doivent rester confidentielles bien au-delà de la durée de vie des algorithmes actuels, les contrôles compensatoires ou les calendriers de migration sont-ils documentés ?
• Capacité à établir une nomenclature cryptographique : l'organisation serait-elle en mesure d'établir dès aujourd'hui un inventaire cryptographique de ses systèmes si un client fédéral ou une banque correspondante le lui demandait ?
• Position des fournisseurs et des correspondants en matière de PQC : les contreparties SWIFT, les réseaux de cartes bancaires et les fournisseurs de systèmes bancaires centraux ou de solutions cloud font-ils l'objet d'une évaluation concernant leurs propres plans de migration, étant donné que la cryptographie héritée devient un risque pour l'établissement ?

TRANSMETTEZ CELA À LA DIRECTION

La transition vers la cryptographie post-quantique est désormais assortie de dates butoirs, et ce de plusieurs côtés. Le NIST prévoit de déconseiller l’utilisation des algorithmes actuels d’ici 2030 ; le décret présidentiel n° 14412 impose aux prestataires fédéraux de se conformer à des normes alignées sur la cryptographie post-quantique d’ici la fin de cette même année ; enfin, SWIFT vise à mettre en place un réseau SwiftNet compatible avec la cryptographie post-quantique vers 2027. Nos registres de transactions, nos données de conservation et notre infrastructure de correspondance bancaire continueront de s’appuyer sur la cryptographie actuelle bien au-delà de ces dates, à moins que nous n’agissions selon notre propre calendrier plutôt que selon celui d’autrui.

La première étape concrète est la même que celle exigée par tous les cadres présentés dans ce guide : un inventaire cryptographique complet. Le concept de « nomenclature cryptographique » permettra de formaliser cette exigence pour les contreparties fédérales ; les banques correspondantes et les réseaux de cartes suivront. Si nous mettons dès maintenant en place l’inventaire, l’évaluation et l’automatisation du cycle de vie, la PQC deviendra une migration maîtrisée, selon notre propre calendrier, plutôt qu’une course effrénée imposée par quelqu’un d’autre.