Le G7 presse les organisations d’inventorier leur cryptographie dès maintenant
Le 3 septembre 2026, sous la présidence française du G7, le groupe de travail sur la cybersécurité dirigé par l’ANSSI a appelé les organisations publiques et privées à commencer dès que possible leur transition vers la cryptographie post-quantique. Le communiqué de l’ANSSI présente cet appel comme un passage à l’action face à une menace qui concerne tous les secteurs, et non les seules infrastructures critiques.
Dans ce texte commun du 3 septembre 2026, le G7 préconise une migration progressive et fondée sur les risques, dont les premiers travaux sont l’inventaire des actifs cryptographiques, l’identification des systèmes critiques et la cartographie de leurs dépendances. La présentation du Centre canadien pour la cybersécurité précise aussi que le calendrier d’arrivée d’ordinateurs quantiques cryptographiquement pertinents reste incertain.
Cinq priorités pour organiser la transition
L’appel articule l’action autour de cinq priorités : sensibiliser au risque quantique, élaborer des stratégies nationales, soutenir la recherche et le déploiement pratique, renforcer les partenariats public-privé et intégrer la cryptographie post-quantique aux exigences de cybersécurité. Il s’adresse à la fois aux gouvernements et aux organisations, mais ne fixe ni date limite mondiale ni calendrier réglementaire uniforme.
Pour les responsables techniques, le message central n’est donc pas de remplacer immédiatement chaque algorithme. Il consiste à préparer une migration par étapes, en commençant par les connaissances nécessaires pour décider : où la cryptographie est employée, quels services en dépendent et quels actifs concentrent les risques les plus durables.
Le périmètre dépasse le chiffrement des fichiers. La cryptographie à clé publique intervient dans les connexions sécurisées, les certificats, les signatures numériques, les infrastructures de clés publiques, l’authentification et la distribution de mises à jour. Une dépendance oubliée dans l’un de ces mécanismes peut compliquer la migration de tout un service.
L’inventaire doit relier les mécanismes aux systèmes
Un inventaire exploitable ne se résume pas à une liste d’algorithmes ou de bibliothèques. Pour chaque usage, il doit permettre de retrouver le système concerné, sa fonction, son responsable, les données protégées, les composants associés et les possibilités de mise à niveau.
Un premier périmètre peut couvrir les applications internes et accessibles aux usagers, les passerelles, les serveurs, les certificats, les équipements réseau, les services cloud et les composants chargés de gérer les clés. Il faut aussi faire apparaître les solutions développées en interne, les systèmes anciens et les fonctions cryptographiques fournies indirectement par un prestataire.
Cette logique explique pourquoi l’inventaire précède le choix algorithmique. Retenir une primitive post-quantique ne résout pas la question de son déploiement lorsque les interfaces, les certificats ou les équipements qui devront l’accepter restent inconnus.
La durée de confidentialité change l’ordre des priorités
Le risque le plus immédiat pour la confidentialité est celui consistant à collecter aujourd’hui des données chiffrées afin de tenter de les déchiffrer plus tard. L’attaquant n’a pas besoin de disposer maintenant d’un ordinateur quantique suffisamment puissant : il peut conserver les communications interceptées jusqu’à l’apparition d’une telle capacité.
La priorité ne dépend donc pas seulement du niveau de sensibilité actuel d’une information, mais aussi de la durée pendant laquelle elle doit rester secrète. Des données personnelles, des secrets industriels ou des dossiers administratifs qui conserveront leur valeur pendant de nombreuses années peuvent nécessiter une migration plus précoce que des informations très sensibles mais rapidement périssables.
La confidentialité et l’authenticité n’ont toutefois pas la même temporalité. La collecte de données chiffrées crée une exposition différée dès maintenant, tandis que la falsification de signatures, de certificats ou de mises à jour suppose qu’un attaquant dispose effectivement de capacités quantiques suffisantes. Les deux risques appartiennent à la même feuille de route, sans imposer nécessairement le même ordre de traitement.
Les fournisseurs appartiennent à la carte cryptographique
Une organisation peut contrôler ses propres clés tout en dépendant d’une bibliothèque embarquée, d’une autorité de certification, d’un équipement réseau ou du calendrier d’un service cloud. Chaque actif inventorié doit donc être relié aux produits et fournisseurs dont dépend sa migration.
Les recommandations techniques canadiennes demandent notamment de repérer les systèmes internes ou exposés aux clients, les infrastructures de clés publiques, les serveurs web, les annuaires d’authentification et les systèmes anciens difficiles à remplacer. Elles préconisent également d’évaluer la sensibilité et la durée de vie des informations, d’examiner les solutions sur mesure et d’interroger les fournisseurs sur leurs feuilles de route post-quantiques.
Cette dépendance concerne aussi les achats futurs. Documenter les mécanismes employés, les possibilités de mise à jour et les conditions de remplacement matériel réduit le risque qu’un nouveau contrat prolonge la durée de vie d’un composant impossible à migrer. L’objectif est l’agilité cryptographique : pouvoir faire évoluer un mécanisme sans reconstruire le service entier.
Un appel commun, pas une échéance quantique
Le G7 ne dit pas qu’un ordinateur quantique capable de compromettre la cryptographie à clé publique courante existe déjà. Il ne fournit pas non plus une date certaine pour son apparition. L’urgence invoquée tient au temps nécessaire pour recenser des environnements complexes, remplacer des composants et protéger les données qui doivent rester confidentielles longtemps.
À ce stade, l’attente commune est claire : les organisations doivent connaître leurs actifs cryptographiques, leurs systèmes critiques et leurs dépendances, puis construire un plan progressif fondé sur le risque. Les calendriers concrets dépendront encore des stratégies nationales, des exigences sectorielles, de l’intégration des standards dans les protocoles et des produits proposés par les fournisseurs.
À lire aussi:
Abonnez-vous à notre newsletter
Recevez directement les dernières actualités sur le Web3, l’IA et les cryptomonnaies.