-1.png?w=1024)
Selon un rapport du Government Accountability Office (GAO) rendu public le 6 octobre, aucune des 24 agences soumises au Chief Financial Officers (CFO) Act n’avait pleinement mis en œuvre trois pratiques clés pour se préparer au passage à la cryptographie post-quantique (PQC). Ces conclusions s’appuient sur un audit achevé en septembre 2025.
Le GAO a évalué ces agences au regard de trois pratiques tirées des recommandations de l’Office of Management and Budget (OMB) : inventorier les systèmes utilisant une cryptographie vulnérable, estimer le financement nécessaire à son remplacement et tester des algorithmes résistants à l’informatique quantique. Une seule agence avait achevé l’intégralité de son inventaire. Aucune n’avait testé les nouveaux algorithmes.
Le rapport a été publié environ deux semaines avant le 22 octobre, date à laquelle les agences civiles doivent soumettre leurs plans de migration à l’OMB en vertu du mémorandum M-26-15. Ces plans doivent décrire les méthodes d’inventaire, les étapes clés de la migration ainsi que les besoins en financement et en personnel — des domaines qui recoupent les conclusions du GAO.
Comment les agences se sont-elles classées au regard des trois pratiques du GAO ?
L’audit du GAO sur la préparation à la cryptographie post-quantique s’est déroulé de février 2024 à septembre 2025. Le rapport public fait suite à une version sensible remise aux agences en septembre de cette même année.
| Pratique | Mise en œuvre complète | Constat du GAO |
|---|---|---|
| Inventaire priorisé des systèmes utilisant une cryptographie vulnérable | 1 sur 24 | 22 agences ont exclu des systèmes prioritaires, une ne disposait d’aucun inventaire et 19 n’utilisaient aucun outil automatisé de découverte |
| Financement nécessaire au passage des systèmes prioritaires à la PQC | 0 sur 24 | 21 agences ont fourni des estimations qu’elles ont déclarées incomplètes, et trois n’en ont fourni aucune |
| Tests de la PQC dans les environnements des agences | 0 sur 24 | Une agence a recensé des produits de fournisseurs à tester, mais n’a effectué aucun test, et 23 n’ont mené aucune activité de test |
L’audit s’est achevé environ neuf mois avant les décrets de juin 2026 sur l’informatique quantique. Le décret sur la cryptographie ordonne aux systèmes à forte valeur et aux systèmes à fort impact, à l’exclusion des systèmes de sécurité nationale, d’adopter la PQC pour l’établissement des clés d’ici au 31 décembre 2030 et pour les signatures numériques d’ici au 31 décembre 2031.
Les agences invoquent le manque de compétences et de produits chez les fournisseurs
Le GAO attribue ces lacunes au personnel, aux outils, aux données de coûts et à la préparation des fournisseurs :
- Expertise : 18 agences ont signalé un manque d’expertise en cryptographie et ne prévoyaient aucun moyen de combler cette lacune.
- Outils : 15 agences ont déclaré qu’il était trop tôt pour utiliser des outils automatisés de découverte ou qu’elles attendaient que la Cybersecurity and Infrastructure Security Agency (CISA) en identifie certains.
- Données de coûts : Au cours de l’audit, 11 agences ont déclaré que le manque de produits PQC disponibles dans le commerce et de tarifs communiqués par les fournisseurs compliquait l’élaboration d’estimations de financement.
- Tests : 16 agences ont déclaré qu’il était prématuré de procéder à des tests, car les fournisseurs intégraient encore les algorithmes à leurs produits.
Le GAO a rejeté cet argument concernant les tests. En novembre 2022, l’OMB avait encouragé les agences à effectuer des tests, avant que le NIST ne finalise FIPS 203 et les normes associées en août 2024. Selon le rapport, des outils de prototypage open source existaient également depuis au moins quatre ans.
Les acheteurs privés sont confrontés à une version du même problème lié aux fournisseurs, puisque le matériel présenté comme prêt pour l’informatique quantique doit encore être vérifié.
Parmi les 23 agences ayant reçu des recommandations, 12 les ont acceptées et une a rejeté trois des quatre recommandations qui lui étaient adressées.
Ce qu’a constaté eWeek : les budgets de migration doivent reposer sur davantage qu’une échéance
Les conclusions sur le financement mettent en évidence une faiblesse pratique : les agences estimaient les coûts de migration avant de comprendre pleinement les systèmes concernés. Le rapport de l’OMB de juillet 2024 évaluait grossièrement à environ 7,1 milliards de dollars le coût de la migration des systèmes fédéraux prioritaires, y compris le remplacement des systèmes obsolètes incapables de prendre en charge la PQC.
L’OMB et l’Office of the National Cyber Director ont indiqué que ces évaluations visaient à fournir une première estimation de planification, les coûts devant être affinés à mesure que les produits et les tarifs gagneraient en maturité. Les conclusions du GAO laissent penser que des inventaires incomplets pourraient laisser certains coûts de migration de côté, même si le rapport ne quantifie aucune hausse.
Pour les dirigeants d’entreprise, se préparer aux menaces quantiques avant qu’elles ne surviennent commence par comprendre l’ampleur de la migration avant de fixer un budget. Les équipes devraient identifier quels systèmes utilisent une cryptographie vulnérable, qui en est responsable et pendant combien de temps leurs données doivent rester protégées. Ces informations permettent de distinguer les systèmes qui nécessitent une attention précoce de ceux qui peuvent être mis à niveau lors du remplacement programmé du matériel ou de la modernisation des logiciels.
La disponibilité des fournisseurs influe également sur la préparation des organisations. L’annonce d’une fonctionnalité PQC ne permet pas de déterminer si elle fonctionnera avec les applications, les systèmes d’identité ou l’infrastructure existante d’une organisation. Les acheteurs doivent demander des informations précises sur la mise en œuvre et prévoir des tests de compatibilité avant de considérer la feuille de route d’un fournisseur comme la preuve que leur propre migration est couverte.
Le 22 octobre constitue la prochaine étape de planification fédérale. Le mémorandum M-26-15 exige des agences qu’elles décrivent leurs méthodologies d’inventaire et leurs outils automatisés, ainsi que leurs estimations de financement et de personnel. Il faudra disposer d’éléments actualisés pour établir les progrès accomplis par les agences depuis l’audit. Pour les entreprises qui définissent leur propre calendrier, le critère utile consiste à vérifier si leurs plans relient les systèmes identifiés à des équipes responsables, à des étapes de test et aux ressources nécessaires.
Pour en savoir plus : la feuille de route de Google Cloud sur la sécurité quantique à l’horizon 2029 explique comment articuler les mises à niveau des fournisseurs et les responsabilités des clients lors de la planification d’une migration d’entreprise vers la PQC.