Trois autorités, trois calendriers
Le 12 octobre, le ministère fédéral de l'Intérieur (BMI), le ministère fédéral du Numérique et de la Modernisation de l'État (BMDS) et l'Office fédéral de la sécurité des technologies de l'information (BSI) ont publié une ligne directrice pour mettre en pratique en Allemagne la feuille de route européenne sur la cryptographie post-quantique. Elle confirme les calendriers européens et ajoute une date pour l'ensemble de la transition.
| Autorité | Démarrage | Systèmes à haut risque | Tout le reste |
|---|---|---|---|
| Feuille de route de l'UE (juin 2025) | chaque État membre démarre d'ici fin 2026 | dès que possible et au plus tard fin 2030 | non précisé sur la page de la Commission |
| Ligne directrice allemande (12 octobre 2026) | pour le haut risque, dès que possible | migration achevée fin 2030 au plus tard | en grande partie achevée en 2035 |
| NCSC, Royaume-Uni | d'ici 2028 : objectifs, découverte complète, plan initial | d'ici 2031 : migration précoce de plus haute priorité | achevée d'ici 2035 |
La version allemande est une ligne directrice, pas une loi. Le communiqué du BSI la présente comme un cadre pour une transition coordonnée et ne mentionne aucune sanction.
Ce que l'Allemagne demande aux organisations
La ligne directrice s'adresse aux administrations fédérales, régionales et locales ainsi qu'aux organisations et aux entreprises, dont les opérateurs d'infrastructures critiques. Le BSI énumère cinq mesures : des responsabilités claires et des délais contraignants au sein de l'organisation, la cryptographie post-quantique comme état de l'art, une évaluation systématique du risque quantique dans la gestion des risques, l'implication précoce des fabricants et des chaînes d'approvisionnement et la crypto-agilité.
La crypto-agilité consiste à concevoir systèmes, achats et gestion des risques pour que les méthodes cryptographiques, ou des réglages comme la longueur des clés, puissent être remplacés vite et de façon maîtrisée. Le BSI dit qu'elle compte davantage parce que l'IA accélère la recherche en sécurité et, de plus en plus, les méthodes d'attaque contre la cryptographie.
La découverte est la première étape datée
Le Royaume-Uni est le plus précis sur la première tâche. D'ici 2028, le NCSC veut des objectifs, un exercice de découverte complet et un plan initial qui nomme les activités prioritaires, les dépendances envers les fournisseurs et l'infrastructure, l'investissement requis et les racines de confiance matérielles de longue durée. Il demande aux organisations de cartographier la cryptographie, les protocoles et le matériel dont elles dépendent, et précise que ce n'est pas censé être un registre formel des actifs.
La découverte doit aussi noter combien de temps les données doivent rester secrètes et ce qu'elles valent pour un adversaire. C'est important, car la Commission dit que les attaques de type 'store now, decrypt later' ont probablement déjà lieu et que les données devant rester confidentielles longtemps sont peut-être déjà en danger.
Le NCSC vise surtout les grandes organisations, les opérateurs d'infrastructures nationales critiques et les entreprises dotées d'un SI sur mesure. Il prévoit une migration plus simple pour les petites entreprises à l'informatique surtout standard, gérée en grande partie par les mises à jour des fournisseurs, tandis que les logiciels sur mesure suivent le même calendrier que tous les autres.
Une courte liste pour ce trimestre
Commencez par une liste des endroits où votre organisation utilise la cryptographie à clé publique, par exemple les certificats, les tunnels VPN et les micrologiciels signés, et nommez une personne qui en répond. Fixez une date, car la ligne directrice allemande demande des délais contraignants et le Royaume-Uni une découverte d'ici 2028.
Demandez ensuite à vos fournisseurs leurs feuilles de route post-quantiques, puisque le BSI veut impliquer tôt fabricants et chaînes d'approvisionnement, et vérifiez si vos systèmes permettent de changer d'algorithme ou de longueur de clé sans reconstruction. Classez en premier les données qui doivent rester secrètes le plus longtemps.
À lire ensuite: Failles de 2014 : un sous-traitant chinois s'en sert | Le logiciel espion iranien s'est fait passer pour Norton Antivirus
