L'ANSSI, l'agence française chargée de la cybersécurité, cessera de certifier les produits de sécurité qui ne disposent pas d'un chiffrement résistant à l'informatique quantique

L'ANSSI, l'agence française chargée de la cybersécurité, cessera de certifier les produits de sécurité qui ne disposent pas d'un chiffrement résistant à l'informatique quantique

L'agence française de cybersécurité cessera de certifier les produits de sécurité ne disposant pas d'un chiffrement résistant à l'informatique quantique, une mesure qui devrait accélérer l'abandon des anciens systèmes de chiffrement au sein de l'administration et des infrastructures critiques. L’ANSSI, l’agence nationale française de cybersécurité, a indiqué que ce changement entrera en vigueur en 2027. Cette décision établit de fait un calendrier de retrait progressif des anciennes technologies de chiffrement dans certains des systèmes les plus sensibles du pays. La décision de la France devrait être suivie de près par d’autres gouvernements et régulateurs.

Les algorithmes de chiffrement protègent les informations électroniques confidentielles, qu'il s'agisse de messages électroniques, de dossiers médicaux ou d'états financiers, des personnes non autorisées. Pendant des décennies, ces algorithmes se sont avérés suffisamment puissants pour se défendre contre les attaques utilisant des ordinateurs conventionnels qui tentent de déjouer le chiffrement.

Cependant, un nouveau type d'appareil en cours de développement, appelé ordinateur quantique, pourrait casser ces algorithmes, rendant les secrets électroniques vulnérables à la découverte. Pour contrer cette menace imminente, nous avons besoin de méthodes de chiffrement capables de repousser les cyberattaques des ordinateurs classiques que nous connaissons aujourd'hui et des ordinateurs quantiques de demain. Ces nouvelles méthodes sont appelées algorithmes de chiffrement post-quantique.

Dans ce contexte, l'agence française de cybersécurité cessera de certifier les produits de sécurité ne disposant pas d'un chiffrement résistant à l'informatique quantique, une mesure qui devrait accélérer l'abandon des anciens systèmes de chiffrement au sein de l'administration et des infrastructures critiques. L’ANSSI, l’agence nationale française de cybersécurité, a indiqué que ce changement entrera en vigueur en 2027. Cette mesure signifie que les produits de sécurité ne disposant pas d’un chiffrement résistant à l’informatique quantique ne recevront plus l’agrément de l’agence, indispensable à leur utilisation au sein des administrations françaises et des opérateurs d’infrastructures critiques.

Cette décision établit de fait un calendrier de retrait progressif des anciennes technologies de chiffrement dans certains des systèmes les plus sensibles du pays. Les entreprises sont également invitées à n’acheter que des produits résistants à l’informatique quantique d’ici 2030, ce qui donne aux fournisseurs de technologies et aux grandes organisations une échéance claire pour préparer leurs systèmes.

Cette mesure reflète les inquiétudes croissantes concernant les risques de sécurité à long terme posés par l’informatique quantique. Bien que les ordinateurs quantiques actuels ne soient pas encore assez puissants pour déchiffrer à grande échelle les systèmes de chiffrement largement utilisés, les agences de sécurité se concentrent de plus en plus sur la menace que représentent les futures machines, susceptibles de compromettre les protections actuelles.

L’une des principales préoccupations est ce qu’on appelle le scénario « récolter maintenant, déchiffrer plus tard ». Dans ce scénario, les attaquants volent et stockent aujourd’hui des données chiffrées, puis attendent que les ordinateurs quantiques soient capables de briser le chiffrement utilisé pour les protéger. Cela est particulièrement préoccupant pour les dossiers gouvernementaux, les données de santé, le matériel de défense, les informations financières et autres données sensibles qui doivent rester confidentielles pendant de nombreuses années.

Le chiffrement post-quantique est conçue pour protéger les systèmes contre ce risque futur. Au lieu de s’appuyer sur des problèmes mathématiques qui pourraient devenir vulnérables face à de puissants ordinateurs quantiques, le chiffrement quantique utilise des algorithmes considérés comme résistants aux attaques tant classiques que quantiques.


La politique française devrait avoir un impact significatif sur les fournisseurs présents sur les marchés de l’administration, de la défense, des services publics, de la banque, des télécommunications et des infrastructures critiques. Les fournisseurs souhaitant obtenir la certification de l’ANSSI devront démontrer que leurs produits sont prêts pour l’ère post-quantique, sous peine d’être exclus des déploiements sensibles.

Cela incite également les organisations à commencer à recenser les utilisations du chiffrement au sein de leurs systèmes. Pour les grandes entreprises et les administrations publiques, le défi ne consiste pas simplement à remplacer une technologie par une autre. Le chiffrement est intégré dans les réseaux, les systèmes d’identité, les logiciels, les bases de données, les plateformes de paiement, les services cloud, les appareils connectés et les applications internes.

Cela signifie que la transition vers des systèmes résistants à l’informatique quantique pourrait prendre des années. Les organisations devront identifier les données sensibles à long terme, examiner les dépendances de chiffrement, mettre à jour leurs politiques d’achat, tester les nouvelles normes et s’assurer que les nouveaux systèmes pourront s’adapter à mesure que la technologie post-quantique mûrira.

Le marché des produits de sécurité résistants à l’informatique quantique est déjà en pleine croissance. Les banques, les services publics et les grandes entreprises commencent à évaluer les changements nécessaires, créant ainsi une nouvelle demande en matière de conseil, de logiciels, de modules de sécurité matériels, de services cloud et d’outils de migration cryptographique.

La France positionne également cette transition comme une question de souveraineté et de planification industrielle, et pas seulement de sécurité technique. En fixant des exigences de certification, le pays utilise la réglementation en matière de cybersécurité pour façonner le marché et encourager les fournisseurs à mettre au point des systèmes résistants à l’informatique quantique avant que la menace ne devienne urgente.

Cette politique s’inscrit dans une initiative européenne plus large visant à préparer le chiffrement post-quantique. Les États membres de l’UE ont déjà été invités à entamer la transition d’ici fin 2026 et à veiller à ce que les infrastructures critiques adoptent des protections post-quantiques d’ici 2030. Sur le plan international, les États-Unis ont également fait avancer les normes post-quantiques, offrant ainsi aux organisations des options de déploiement plus claires.

Pour les entreprises, le message est de plus en plus clair. Attendre que les ordinateurs quantiques puissent déchiffrer les systèmes de chiffrement existants serait trop tard, en particulier pour les données qui ont déjà été volées et stockées. La transition doit commencer avant que la menace ne se concrétise pleinement. Brian Witten, vice-président et directeur de la sécurité des produits chez Aptiv, a estimé en 2025 qu'il était temps d'investir dans la cybersécurité quantique.

Il a notamment déclaré : « Même si sept à dix ans peuvent sembler loin, la préparation aux menaces quantiques doit commencer dès maintenant, et non une fois qu'elles se seront concrétisées. Les organisations ont besoin de temps pour mettre en œuvre méthodiquement des plans de transition vers le chiffrement post-quantique (PQC), et cela s'applique aussi bien à ceux qui disposent d'une infrastructure informatique qu'à ceux qui développent des systèmes définis par logiciel. La remédiation nécessite une planification à long terme. Les organisations qui attendent que les ordinateurs quantiques aient brisé le chiffrement pour faire face à la menace constateront qu'il est trop tard. »

La décision de la France devrait être suivie de près par d’autres gouvernements et régulateurs. Si davantage de pays adoptent des règles de certification similaires, le chiffrement résistant à l’informatique quantique pourrait rapidement passer d’une préoccupation spécifique à la cybersécurité à une exigence standard pour toute relation commerciale avec les pouvoirs publics et les secteurs critiques.

Les conséquences immédiates se feront sentir chez les éditeurs de solutions de sécurité, les organismes publics et les opérateurs de services essentiels en France. À plus long terme, l’impact pourrait être bien plus large. En liant la certification à la préparation à l’ère quantique, l’ANSSI a clairement fait savoir que la transition vers l’ère post-quantique n’est plus un problème de recherche lointain. Elle devient désormais une priorité en matière de marchés publics, de conformité et de sécurité nationale.

Source : ANSSI

Et vous ?

Pensez-vous que cette décision est crédible ou pertinente ?
Quel est votre avis sur le sujet ?

Voir aussi :

Les avancées récentes dans le domaine quantique rapprochent les Big Tech de la zone de danger du « Q-Day », le moment critique où un ordinateur quantique brisera les systèmes de chiffrement actuels

Google annonce une nouvelle échéance pour se prémunir contre les menaces liées à l'informatique quantique, exhortant le secteur à passer au chiffrement post-quantique d'ici 2029

Europol : Les institutions financières devraient passer à un chiffrement à sécurité quantique, avec les progrès de l'informatique quantique, la sécurité du chiffrement est menacée de façon imminente