La violation qui n'a pas encore fini

Des adversaires interceptent et stockent dès maintenant le trafic et les fichiers chiffrés. Ils ne peuvent pas encore les lire. Le plan ne l'exige pas. Lorsqu'un ordinateur quantique cryptographiquement pertinent existera, l'archive collectée aujourd'hui sera déchiffrée rétrospectivement, et les données n'auront jamais besoin d'être dérobées une seconde fois. Les services de renseignement occidentaux ont un nom pour ce schéma : harvest now, decrypt later.

Pour la plupart des données opérationnelles, une violation qui apparaît dans huit ans est un problème gérable. Pour un dirigeant ou un family office, l'arithmétique est différente. Les structures de propriété, les plans de succession, les conditions de transaction et les positions juridiques restent confidentiels pendant des décennies. La durée de vie du secret est plus longue que celle du chiffrement qui le protège, et c'est dans cet écart que réside désormais le risque.

Deux gouvernements viennent de lancer le compte à rebours

Le 22 juin 2026, les États-Unis ont signé l'Executive Order 14409, Securing the Nation Against Advanced Cryptographic Attacks. Il impose aux systèmes fédéraux et à leurs sous-traitants de passer au chiffrement post-quantique d'ici fin 2030 et à l'authentification post-quantique d'ici fin 2031. Cela a avancé d'une demi-décennie l'objectif précédent de 2035, ce qui constitue une déclaration inhabituellement directe sur la brièveté du délai jugé disponible.

L'Allemagne n'a pas attendu ce signal. En février 2026, le BSI a déclaré la fin du chiffrement classique RSA et à courbe elliptique, avec le même horizon à fin 2030 pour les données sensibles. Il a indiqué clairement que la recommandation couvre toute organisation traitant des données dignes de protection, et pas seulement les organismes publics et les infrastructures critiques. Pour une entreprise dirigée par son propriétaire, ce n'est pas une obligation future à surveiller. C'est une recommandation actuelle de l'autorité nationale.

La crypto-agilité est la seule vraie réponse

Les normes de remplacement existent déjà. Le NIST les a finalisées en 2024 sous les références FIPS 203, 204 et 205, et l'approche hybride recommandée par le BSI les fait fonctionner aux côtés du chiffrement actuel afin que rien ne casse pendant la transition. La mathématique est résolue. Ce n'est pas la partie qui devrait inquiéter un conseil.

Le plus difficile est l'inventaire. La plupart des organisations sont incapables de dire où réside leur chiffrement, quels prestataires le contrôlent, ni combien de temps un remplacement prendrait réellement. Les calendriers de migration publiés vont de plusieurs années pour une petite entreprise à bien plus d'une décennie pour une grande. Un programme qui démarre après l'arrivée de la machine quantique a déjà échoué, car les données qu'il devait protéger avaient été collectées des années plus tôt.

À lire ensuite: Une voix familière ne prouve plus rien  ·  Vos agents IA dépassent vos salariés