Préparation au contrôle qualité en production (PQC) :

Vue d'ensemble

Tous les cadres présentés dans ce guide vont dans le même sens : identifiez les techniques de cryptographie dont vous disposez, prouvez que vous en avez le contrôle et soyez prêt à les faire évoluer. C'est avec la cryptographie post-quantique que cette orientation se voit assortie d'une échéance. 

En 2024, le NIST a finalisé les trois premières normes de cryptographie post-quantique et publié un calendrier de transition prévoyant l’abandon progressif, d’ici 2030, des algorithmes RSA et à courbes elliptiques sur lesquels repose la majeure partie des infrastructures industrielles, l’interdiction totale étant prévue pour 2035. En juin 2026, le décret présidentiel n° 14412 a transposé ces orientations techniques en politique fédérale. Ce décret charge l'OMB et le directeur national de la cybersécurité de mener une migration nationale accélérée, impose aux agences de faire passer leurs actifs de grande valeur à la cryptographie post-quantique (PQC) d'ici 2030 ou 2031 selon les cas d'utilisation, et prévoit la mise en œuvre d'un projet pilote de migration au sein du ministère du Commerce, qui devra être achevé d'ici fin 2027. 

Pour les fabricants, deux dispositions revêtent une importance particulière. Premièrement, le décret charge le Conseil du FAR d’exiger des sous-traitants fédéraux concernés qu’ils se conforment, d’ici fin 2030, aux normes de cybersécurité et aux politiques de divulgation des vulnérabilités alignées sur le PQC, étendant ainsi l’obligation de migration à l’ensemble de la chaîne d’approvisionnement. Deuxièmement, elle charge la CISA, en coordination avec le NIST, de publier les éléments minimaux constitutifs d’une nomenclature cryptographique (CBOM) : un inventaire lisible par machine des actifs cryptographiques présents dans tout élément d’ hardware ou d’ software . Si la CBOM suit la trajectoire de la nomenclature de l’ software , elle passera du statut d’exigence fédérale en matière de marchés publics à celui d’attente commerciale standard. 

Pourquoi c'est important 

Un décret présidentiel ne constitue pas une norme de conformité, et les fabricants ne feront pas l'objet d'audits directement liés au décret 14412. Son importance réside dans ce qu'il laisse entrevoir : les questions soulevées dans chaque section de ce guide sont désormais assorties de dates butoirs. 

Les réalités économiques du secteur industriel font que ces dates sont plus proches qu’il n’y paraît. Un automate programmable mis en service cette année sera toujours en fonctionnement lorsque les algorithmes RSA et ECC seront officiellement interdits. Les données de processus propriétaires et le trafic du plan de contrôle cryptés aujourd’hui peuvent être collectés dès à présent et décryptés dès que la technologie quantique sera disponible, ce qui signifie que c’est la durée de sensibilité des données, et non la date de mise en service d’un ordinateur quantique, qui fixe la date butoir. Et les achats évoluent plus vite que la réglementation : les acheteurs fédéraux, les opérateurs d’infrastructures critiques et les maîtres d’œuvre commenceront à demander aux fournisseurs des plans de migration vers la cryptographie quantique (PQC) et des inventaires cryptographiques bien avant que la réglementation ne les y oblige. 

Les exigences de l'ACR en matière de visibilité des composants cryptographiques, les exigences de la norme CEI 62443 relatives à l'inventaire des algorithmes, les obligations de la directive NIS2 en matière de politique cryptographique et les exigences de la norme SP 800-82 concernant la documentation du cycle de vie des clés convergent toutes vers le même fondement que formalise le CBOM. Les organisations qui mettront en place ce fondement une seule fois satisferont à l'ensemble de ces exigences. 

En quoi cela s'applique-t-il à la cryptographie ? 

Questions sur l'état de préparation

Les audits de migration PQC, qu'ils soient lancés par un client fédéral, un maître d'œuvre ou un service interne chargé de la gestion des risques, visent principalement à déterminer si l'organisation a conscience de ses risques et dispose d'un plan conforme aux règles en vigueur. Les évaluateurs se pencheront notamment sur les points suivants : 

• Exhaustivité de l'inventaire cryptographique :l'organisation est-elle en mesure derépertorier l'ensemble des certificats, clés, algorithmes et bibliothèques cryptographiques utilisés dans les environnements informatiques (IT) et opérationnels (OT), ainsi que dans les produits commercialisés, y compris les dépendances héritées ? 

• Classification des vulnérabilités quantiques :l'inventaire a-t-ilété évalué au regard du calendrier de mise hors service du NIST, les actifs vulnérables aux attaques quantiques ayant été identifiés et classés en fonction de la sensibilité des données et de la durée de vie des actifs ? 

• Plan de migration et responsabilité : existe-t-ilun responsable désigné, un plan de migration documenté et un calendrier aligné sur les dates de fin de prise en charge prévue en 2030 et d'interdiction prévue en 2035 ? 

• Stratégie relative aux actifs à longue durée de vie : pourles dispositifs dont la durée de vie dépassera celle des algorithmes actuels et qui ne peuvent pas faire l'objet d'un changement de clé sur site, des mesures de contrôle compensatoires ou des plans de remplacement sont-ils documentés ? 

• Capacité de production d'une nomenclature cryptographique (CBOM) :L'organisation serait-elle en mesure deproduire dès aujourd'hui une nomenclature cryptographique pour ses produits si un client fédéral en faisait la demande ? 

• Politique de contrôle qualité des fournisseurs (PQC) :les fournisseurs de composants et d’ software s font-ilsl’objet d’une évaluation concernant leurs propres plans de migration, étant donné que la cryptographie héritée devient un risque pour le fabricant ?

TRANSMETTEZ CELA À LA DIRECTION

La transition vers la cryptographie post-quantique est désormais assortie de dates officielles au niveau fédéral : le NIST prévoit l’abandon des algorithmes actuels d’ici 2030, et le décret présidentiel n° 14412 impose aux prestataires du gouvernement fédéral de se conformer aux normes relatives à la cryptographie post-quantique (PQC) d’ici la fin de cette même année. Nos systèmes industriels et les produits que nous commercialisons resteront en service bien au-delà de ces deux dates ; les choix cryptographiques que nous faisons aujourd’hui détermineront donc si nous serons en mesure de respecter ces exigences.

La première étape concrète est la même que celle préconisée par tous les cadres présentés dans ce guide : un inventaire cryptographique complet. Le concept de « nomenclature cryptographique » prévu par le décret formalisera cette exigence pour tous ceux qui vendent aux chaînes d’approvisionnement fédérales, et les clients commerciaux emboîteront le pas. Si nous mettons en place dès maintenant l’inventaire, l’évaluation et l’automatisation du cycle de vie, la PQC deviendra une migration maîtrisée, selon notre propre calendrier, plutôt qu’une course effrénée imposée par d’autres.