L’Allemagne veut que les organisations commencent à se préparer aux menaces de cybersécurité de l’ère quantique avant fin 2026, même si les nouvelles échéances concernant la cryptographie post-quantique ne sont pas encore universellement contraignantes.
Le ministère fédéral de l’Intérieur (BMI), le ministère fédéral des Affaires numériques et de la Modernisation de l’État (BMDS) et l’Office fédéral de la sécurité de l’information (BSI) ont publié conjointement la directive, qui applique à l’Allemagne la feuille de route de l’Union européenne pour la cryptographie post-quantique (PQC).
Les systèmes à haut risque doivent avoir migré au plus tard fin 2030, et la transition globale devrait être largement achevée d’ici 2035, selon le BSI.
La directive s’adresse aux administrations fédérales, régionales et municipales, ainsi qu’aux entreprises et aux opérateurs d’infrastructures critiques. Ses échéances sont des recommandations, mais le document renvoie également au droit existant, qui pourrait leur conférer une portée contraignante.
Le calendrier allemand correspond à celui de l’Union européenne et suit celui des États-Unis
| Jalon | Allemagne | Agences fédérales américaines |
| Premières étapes | Fin 2026 : premier inventaire, responsables désignés, migration lancée | 22 octobre 2026 : plans de migration à remettre à l’OMB |
| Systèmes à haut risque | Migration achevée d’ici fin 2030 | Établissement des clés d’ici le 31 décembre 2030 ; signatures d’ici le 31 décembre 2031 |
| Transition globale | Largement achevée d’ici 2035 | Calendrier par étapes jusqu’en 2035 |
| Statut juridique | Recommandations urgentes ; adoption contraignante demandée d’ici fin 2026 | Contraignant pour les agences civiles |
Source : directive du BMI, du BMDS et du BSI, 12 octobre 2026 ; décret présidentiel 14412 et mémorandum M-26-15 de l’OMB.
Pour les organisations multinationales, le chevauchement des jalons de 2030 et 2035 pourrait simplifier la planification à long terme. Toutefois, les cadres allemand et américain couvrent des systèmes et des organisations différents ; les exigences de conformité ne peuvent donc pas être considérées comme interchangeables.
Ce que la directive demande d’abord aux organisations
La première phase est axée sur la planification et la visibilité :
- Responsabilités : désigner un service responsable et fixer des échéances internes contraignantes pour la transition.
- Inventaire : établir un premier inventaire cryptographique, calqué sur le registre cryptographique prévu par l’exigence CON.1.A19 d’IT-Grundschutz du BSI.
- Risques : intégrer le risque quantique au registre des risques courant et classer les cas d’usage par niveau de risque.
- Fournisseurs : associer rapidement les fabricants et les chaînes d’approvisionnement, et concevoir les achats en prévoyant l’agilité cryptographique.
Le BSI recommande des schémas hybrides associant un algorithme classique à un algorithme post-quantique. Son communiqué de presse cite également l’IA comme raison de privilégier l’agilité cryptographique, l’IA accélérant la recherche sur les attaques visant les méthodes cryptographiques.
Ce qu’a constaté eWeek : une directive souple adossée à un droit contraignant
Le détail le plus lourd de conséquences n’est peut-être pas une date. La directive qualifie ses échéances de recommandations urgentes, mais elle rattache la cryptographie à l’article 30 de la loi sur le BSI, qui transpose la directive NIS2 de l’Union européenne. Cet article impose aux entités concernées d’atteindre l’état de l’art dans leurs mesures de sécurité, notamment dans leurs processus cryptographiques.
La directive place la cryptographie post-quantique sous cette notion d’état de l’art. Elle ne va pas jusqu’à affirmer qu’un système dépourvu de PQC serait déjà inférieur à la norme, selon les analyses du document publiées par PostQuantum.com et Quentir. Les régulateurs et les auditeurs appelés à examiner un incident futur pourraient néanmoins utiliser la directive comme point de référence.
La force contraignante de la directive pour les gouvernements régionaux et locaux dépend d’une étape distincte. Elle demande à l’IT-Planungsrat, le conseil fédéral-régional allemand chargé de la planification informatique, ainsi qu’à UP KRITIS, le partenariat consacré aux infrastructures critiques, d’adopter ses échéances comme obligations contraignantes d’ici fin 2026.
L’échéance de l’inventaire constitue le test à court terme. L’expérience américaine montre que la tâche est plus difficile qu’il n’y paraît : l’audit du GAO portant sur 24 agences fédérales a révélé qu’une seule avait entièrement réalisé l’inventaire de ses systèmes prioritaires.
La feuille de route allemande clarifie un point : la transition vers la cryptographie post-quantique n’est plus seulement une préoccupation technique lointaine. Même lorsque les échéances restent consultatives, les organisations sont encouragées à se préparer dès maintenant plutôt qu’à attendre de futures exigences de conformité.
À lire aussi : ORCA Computing a déployé son ordinateur quantique photonique PT-3 avec des GPU Nvidia dans le centre de données londonien de Digital Realty.