Cryptographie post-quantique : pourquoi votre PME doit anticiper la migration dès maintenant

Chaque fois qu’un de vos collaborateurs se connecte à votre messagerie professionnelle, ouvre une session VPN ou signe un document en ligne, un algorithme de chiffrement asymétrique travaille en silence : RSA ou ECC (courbes elliptiques). Ces algorithmes protègent aujourd’hui la quasi-totalité des échanges numériques de votre PME, et ils sont considérés comme incassables… par un ordinateur classique. Le problème, c’est qu’un autre type de machine est en train d’émerger, et qu’elle n’a pas été conçue pour jouer selon les mêmes règles.

Rassurons-nous tout de suite : aucun ordinateur quantique capable de casser du RSA en production n’existe aujourd’hui. Mais la migration vers la cryptographie post-quantique n’est plus un sujet de recherche académique, c’est un chantier déjà lancé par le NIST américain, par l’ANSSI, par l’Union européenne et par les plus grands éditeurs logiciels. Pour une PME française, comprendre cette transition dès maintenant permet d’éviter deux écueils symétriques : paniquer inutilement, ou découvrir dans quelques années que ses prestataires, ses certificats et ses sauvegardes sont restés sur une cryptographie obsolète.

Ce guide s’inscrit dans la continuité de notre panorama des nouvelles obligations réglementaires 2026 (NIS2, DORA, Cyber Resilience Act) et de notre guide pratique du chiffrement des données au repos et en transit. Il approfondit spécifiquement la question post-quantique : ce qu’elle signifie concrètement, ce que changent les standards publiés en 2024, et surtout la feuille de route qu’une PME, sans équipe cryptographique dédiée, peut suivre pour se préparer sans se ruiner ni se précipiter.

Qu’est-ce que la cryptographie post-quantique et pourquoi RSA est menacé ?

La cryptographie post-quantique (souvent abrégée PQC, pour « post-quantum cryptography ») désigne les algorithmes cryptographiques conçus pour résister aux attaques d’un ordinateur quantique suffisamment puissant. Elle ne doit pas être confondue avec la cryptographie quantique, qui utilise les propriétés de la physique quantique pour transmettre des clés de chiffrement : la PQC, elle, tourne sur des ordinateurs classiques, exactement comme RSA ou AES aujourd’hui, mais repose sur des problèmes mathématiques différents, jugés difficiles même pour un ordinateur quantique.

Pour comprendre la menace, il faut revenir à ce qui rend RSA et les courbes elliptiques (ECC/ECDSA) sûrs aujourd’hui. RSA repose sur la difficulté de factoriser un très grand nombre en ses facteurs premiers ; ECC repose sur un problème mathématique voisin, le logarithme discret sur une courbe elliptique. Avec un ordinateur classique, même les plus puissants supercalculateurs mettraient des milliards d’années à casser une clé RSA de 2048 bits. C’est cette asymétrie, facile à calculer dans un sens, quasiment impossible à inverser dans l’autre, qui fonde toute la sécurité du chiffrement asymétrique utilisé par le protocole HTTPS, les VPN d’entreprise, la signature électronique ou les certificats de messagerie.

Le mathématicien Peter Shor a démontré dès 1994 qu’un ordinateur quantique disposant d’un nombre suffisant de qubits stables pourrait résoudre ces deux problèmes (factorisation et logarithme discret) en un temps raisonnable, grâce à un algorithme qui porte son nom. Autrement dit : RSA et ECC ne sont pas vulnérables à cause d’une faille de conception, ils sont vulnérables parce que leur sécurité repose sur un problème mathématique que l’algorithme de Shor sait résoudre efficacement sur l’architecture quantique. Aucun correctif logiciel ne peut réparer cela : il faut changer d’algorithme.

Les ordinateurs quantiques actuels, de quelques centaines à quelques milliers de qubits physiques bruités, sont encore très loin de la puissance nécessaire : les estimations sérieuses évoquent plusieurs millions de qubits physiques stables (ou « tolérants aux fautes ») pour casser du RSA-2048 en un temps exploitable. Les experts divergent sur l’échéance, certains évoquant un horizon de dix à vingt ans, d’autres restant plus prudents, mais le consensus des agences de cybersécurité (ANSSI, NIST, ENISA) n’est plus de savoir « si » un tel ordinateur verra le jour, mais « quand ». Et la migration d’une infrastructure cryptographique complète prend elle-même plusieurs années, ce qui change complètement le calcul du bon moment pour commencer.

Harvest now, decrypt later : la menace qui vise déjà vos données

C’est le point le plus mal compris de la menace post-quantique : il n’est pas nécessaire qu’un ordinateur quantique existe aujourd’hui pour que vos données soient déjà en danger. La stratégie « harvest now, decrypt later » (« collecter maintenant, déchiffrer plus tard ») consiste, pour un attaquant patient et bien doté en ressources, souvent un service de renseignement étatique ou un groupe parrainé par un État, à intercepter et stocker dès maintenant du trafic chiffré ou des sauvegardes exfiltrées, en pariant qu’il disposera un jour des moyens de les déchiffrer rétroactivement.

Cette attaque est entièrement passive et indétectable : rien ne distingue, sur le réseau, un flux chiffré simplement observé et stocké d’un flux chiffré ignoré. Elle ne vise pas en priorité les PME pour elles-mêmes, mais elle les concerne dès lors qu’elles détiennent des données dont la confidentialité doit tenir dans la durée : secrets de fabrication, plans industriels, données de recherche et développement, dossiers de santé, contrats commerciaux pluriannuels, correspondances juridiques, ou données personnelles sensibles au sens du RGPD. Une PME sous-traitante d’un grand groupe industriel ou d’un donneur d’ordre stratégique peut ainsi devenir une cible de choix, non pas pour sa propre valeur, mais comme porte d’entrée vers des informations plus sensibles qu’elle héberge ou transite.

La question à se poser n’est donc pas « ai-je des données si sensibles qu’un État voudrait les espionner ? », mais plutôt : « si ces données chiffrées aujourd’hui étaient lisibles en clair dans dix ou quinze ans, quel en serait l’impact ? ». Pour un brevet, un contrat commercial encore en vigueur ou un dossier médical, la réponse est souvent loin d’être neutre.

Ce que changent les standards NIST et les recommandations de l’ANSSI

Le 13 août 2024, l’agence américaine de normalisation NIST a mis fin à huit années d’évaluation publique en finalisant trois premiers standards de cryptographie post-quantique, un évènement comparable à l’adoption d’AES en son temps :

• FIPS 203, ML-KEM (ex-CRYSTALS-Kyber) : mécanisme d’encapsulation de clés, destiné à remplacer l’échange de clés RSA ou Diffie-Hellman/ECDH dans TLS, les VPN et le SSH.
• FIPS 204, ML-DSA (ex-CRYSTALS-Dilithium) : algorithme de signature numérique à base de réseaux euclidiens (lattices), choix par défaut pour la plupart des usages de signature.
• FIPS 205, SLH-DSA (ex-SPHINCS+) : signature fondée uniquement sur des fonctions de hachage, plus volumineuse mais reposant sur des fondations mathématiques différentes de ML-KEM et ML-DSA. Elle sert de filet de sécurité : si une faiblesse était un jour découverte dans les réseaux euclidiens, cette famille resterait intacte.

Le NIST a par ailleurs publié un calendrier de dépréciation (NIST IR 8547) qui fixe des jalons désormais utilisés comme référence par l’ensemble de l’industrie, bien au-delà des seules administrations américaines : RSA et ECC seraient déconseillés pour tout nouveau déploiement après 2030, puis explicitement interdits après 2035. Ces dates ne sont pas une loi française, mais elles structurent déjà les feuilles de route des éditeurs de logiciels, des autorités de certification et des navigateurs que vos équipes utilisent tous les jours.

Côté français et européen, l’ANSSI recommande depuis plusieurs avis successifs une approche d’hybridation : combiner un algorithme classique (par exemple X25519 ou ECDSA) avec un algorithme post-quantique (ML-KEM ou ML-DSA), plutôt que de remplacer brutalement l’un par l’autre. L’objectif est double : se protéger dès maintenant contre la menace quantique future, tout en conservant la robustesse éprouvée des algorithmes classiques tant que la confiance dans les nouveaux algorithmes n’est pas pleinement consolidée par des années d’analyse cryptographique. L’ANSSI recommande ainsi, pour les usages les plus sensibles, l’hybridation X25519 + ML-KEM-768 pour les échanges de clés, et ECDSA P-256 + ML-DSA-65 pour la signature.

Deux échéances méritent une attention particulière si votre PME travaille avec des produits qualifiés ou certifiés par l’État, ou si elle évolue dans un secteur régulé : l’Union européenne vise une préparation minimale des États membres d’ici fin 2026, avec des projets pilotes de migration sur les cas d’usage à risque « intermédiaire » et « élevé » ; et l’ANSSI a annoncé qu’elle cessera, à partir de 2027, de délivrer des certifications de sécurité à des produits dépourvus de mécanismes résistants aux ordinateurs quantiques. Concrètement, cela signifie que les pare-feux, VPN ou solutions de messagerie sécurisée que votre PME pourrait acheter dans deux ans devront déjà intégrer cette hybridation pour conserver leur visa de sécurité français. Ces échéances s’articulent avec les obligations de NIS2, de DORA pour le secteur financier et du Cyber Resilience Act pour les éditeurs de logiciels, qui imposent de plus en plus une véritable gestion du cycle de vie cryptographique plutôt qu’un choix figé une fois pour toutes.

Autre recommandation structurante de l’ANSSI, publiée le 19 janvier 2026 : la crypto-agilité, soit la capacité d’un système à changer de jeu d’algorithmes cryptographiques sans refonte complète de son architecture. C’est elle qui déterminera si la prochaine transition cryptographique (et il y en aura d’autres) coûtera des semaines ou des années à une organisation.

Tableau comparatif : algorithmes classiques et remplacements post-quantiques

Ce tableau résume, algorithme par algorithme, ce qui est réellement menacé, ce qui peut être conservé, et par quoi le remplacer.

Un point rassure souvent les dirigeants de PME lorsqu’ils découvrent ce tableau : le chiffrement symétrique (AES) et les fonctions de hachage (SHA) ne sont pas cassés par l’ordinateur quantique, seulement affaiblis, et restent exploitables avec des clés suffisamment longues. La véritable rupture ne concerne que la cryptographie asymétrique, celle qui sert à échanger des clés et à signer, c’est-à-dire RSA, ECC et Diffie-Hellman.

Quelles données de votre PME sont concernées en priorité ?

Toutes les données ne méritent pas la même urgence. Le critère déterminant n’est pas la sensibilité perçue, mais la durée pendant laquelle leur confidentialité doit absolument être garantie. Les experts utilisent souvent une règle simple, parfois appelée « théorème de Mosca », pour trancher : si la durée pendant laquelle vos données doivent rester secrètes (X), additionnée au temps nécessaire pour migrer votre système (Y), dépasse le temps restant avant l’apparition d’un ordinateur quantique capable de casser RSA (Z), alors ces données sont déjà en danger, même si cet ordinateur n’existe pas encore.

Concrètement, voici les catégories de données à auditer en priorité dans une PME :

• Propriété intellectuelle et secrets industriels : brevets en cours de dépôt, formules, plans techniques, codes sources propriétaires, dont la valeur économique peut rester intacte pendant des décennies.
• Contrats et correspondances juridiques à exécution longue : baux commerciaux, pactes d’actionnaires, contrats de licence, correspondances avec vos avocats couvertes par le secret professionnel.
• Données de santé : pour les PME du secteur médical, paramédical ou des mutuelles, ces données bénéficient d’une durée de protection légale particulièrement longue.
• Données personnelles sensibles au sens du RGPD : données RH, paie, données biométriques, dont la fuite différée resterait sanctionnable des années après l’incident initial.
• Sauvegardes archivées et infrastructures à clé publique (PKI) internes : une sauvegarde chiffrée aujourd’hui avec RSA et conservée dix ans reste vulnérable à une attaque différée, même si elle n’est jamais reconnectée à un réseau.

Les échanges du quotidien (une facture envoyée par email, une session de navigation web classique) restent, eux, beaucoup moins urgents : leur valeur s’effondre généralement bien avant qu’un ordinateur quantique opérationnel ne voie le jour. C’est cette hiérarchisation qui doit guider l’ordre de vos actions, plutôt qu’une migration générale et indifférenciée. Si votre PME gère des identités et des certificats internes, notre guide sur la gestion des identités et des accès (IAM) sans DSI complète utilement cette cartographie.

La feuille de route de migration en 4 étapes pour une PME

L’ANSSI estime qu’une migration complète d’une infrastructure à clé publique (PKI) d’entreprise prend généralement entre trois et cinq ans. Pour une PME, l’enjeu n’est pas de tout migrer seul en interne, mais de suivre un chantier progressif et réaliste.

Étape 1 : l’inventaire cryptographique

Vous ne pouvez pas migrer ce que vous ne savez pas que vous utilisez. Listez où la cryptographie asymétrique intervient dans votre système d’information : certificats TLS de votre site et de vos applications, configuration VPN, clés SSH, solutions de signature électronique, messagerie chiffrée, logiciels métiers tiers. Pour la plupart des PME, cet inventaire tient en quelques jours de travail avec votre prestataire informatique, et c’est le préalable indispensable à tout le reste.

Étape 2 : prioriser selon la durée de vie des données

Appliquez la logique décrite plus haut : classez vos usages selon que les données concernées doivent rester confidentielles pendant quelques mois, quelques années, ou plusieurs décennies. Les systèmes protégeant des données à longue durée de vie passent en haut de la liste, même si leur migration est plus complexe.

Étape 3 : activer l’hybridation dès qu’elle est disponible

La bonne nouvelle, c’est que pour la majorité des PME, cette étape ne demande ni développement ni expertise cryptographique interne : elle consiste à mettre à jour des logiciels qui intègrent déjà, par défaut, l’hybridation post-quantique. Les navigateurs Chrome et Firefox négocient depuis 2024 des connexions TLS hybrides X25519Kyber768 avec les sites qui le supportent, OpenSSH propose cette hybridation depuis sa version 9.9, et de grands opérateurs d’infrastructure (Cloudflare, Google) l’ont déjà déployée côté serveur. Vérifier que votre hébergeur, votre pare-feu et vos solutions VPN ont inscrit cette hybridation à leur feuille de route (ou l’ont déjà déployée) est souvent l’action la plus rentable à court terme.

Étape 4 : exiger la crypto-agilité de vos prestataires

Intégrez une clause de crypto-agilité dans vos prochains contrats avec vos éditeurs logiciels, votre hébergeur et vos intégrateurs : demandez-leur explicitement leur feuille de route de migration post-quantique et leur capacité à faire évoluer les algorithmes utilisés sans refonte complète. Cette exigence devient d’autant plus naturelle qu’elle recoupe les obligations de vigilance envers les tiers déjà imposées par NIS2.

Faut-il agir maintenant ? Le calcul coût/risque pour une PME

Pour l’immense majorité des PME françaises, il ne s’agit pas de lancer dès demain un chantier de migration cryptographique complet avec budget dédié : selon l’ANSSI elle-même, la plupart des PME en sont encore au stade de la sensibilisation, sans inventaire ni plan engagé, et c’est précisément cette situation qu’il s’agit de corriger en douceur plutôt que dans l’urgence. Trois principes simples permettent de doser l’effort :

1. L’inventaire et la sensibilisation ne coûtent presque rien et doivent démarrer dès maintenant, quelle que soit la taille de votre PME.
2. La migration technique suit le rythme de vos fournisseurs : pour la majorité des usages, votre PME n’a pas à développer de cryptographie post-quantique elle-même, elle doit s’assurer que ses prestataires (hébergeur, éditeur de VPN, banque en ligne, logiciel de signature) l’ont déjà fait ou s’y engagent sur un calendrier clair.
3. L’urgence réelle se concentre sur les données à longue durée de vie identifiées plus haut : c’est là, et uniquement là, qu’un investissement spécifique peut se justifier à court terme.

Intégrer cet inventaire cryptographique à une démarche d’audit plus large reste la façon la plus efficace d’avancer sans se disperser. Notre partenaire SIAC Media propose un audit cybersécurité pour PME qui permet de situer ce chantier post-quantique parmi vos priorités réelles, aux côtés de vos autres obligations de sécurité et de conformité.

Souveraineté française et européenne : un enjeu stratégique

La transition post-quantique n’est pas qu’une question technique : c’est aussi un enjeu de souveraineté numérique. Dans le cadre du plan France 2030, l’État a mis en place une stratégie nationale quantique, avec un volet dédié à la cryptographie post-quantique porté notamment par le consortium RESQUE (RESilience QUantiquE), coordonné par Thales et associant l’ANSSI, l’Inria, et des entreprises françaises spécialisées comme CryptoNext Security (essaimage de Sorbonne Université, Inria et du CNRS), TheGreenBow ou CryptoExperts, avec un financement de 6 millions d’euros via Bpifrance.

Cet effort vise à développer une offre souveraine de cryptographie post-quantique, plutôt que de dépendre exclusivement d’implémentations développées par des acteurs étrangers, en particulier américains, pour des mécanismes qui protégeront les communications sensibles des administrations et des entreprises françaises pour les décennies à venir. L’enjeu rejoint celui déjà documenté dans notre guide sur la cybersécurité souveraine et le CLOUD Act : au-delà de la simple localisation des données, la maîtrise des briques cryptographiques elles-mêmes, et la transparence sur leur fonctionnement, conditionnent la confiance qu’une entreprise peut accorder à ses outils numériques.

Pour une PME, cela se traduit par un critère de choix concret lors du renouvellement de ses prestataires de sécurité, de son hébergeur ou de ses outils de signature électronique : privilégier, à qualité égale, des solutions qui s’inscrivent dans cet écosystème français et européen, qualifiées ou en cours de qualification par l’ANSSI, plutôt que des boîtes noires dont la feuille de route post-quantique reste opaque.

Questions fréquentes sur la cryptographie post-quantique

Les ordinateurs quantiques actuels peuvent-ils déjà casser RSA ?

Non. Les machines quantiques disponibles aujourd’hui comptent quelques centaines à quelques milliers de qubits physiques, encore très bruités, loin des millions de qubits stables estimés nécessaires pour casser RSA-2048 en un temps exploitable. Le risque n’est donc pas immédiat pour des données à courte durée de vie, mais il l’est déjà pour les données interceptées aujourd’hui et déchiffrables demain, selon la logique du « harvest now, decrypt later ».

Que signifie « hybridation » en cryptographie post-quantique ?

L’hybridation consiste à combiner, dans une même connexion ou une même signature, un algorithme classique (RSA, ECC) et un algorithme post-quantique (ML-KEM, ML-DSA). Tant que l’un des deux reste incassé, la communication reste protégée. C’est l’approche recommandée par l’ANSSI pendant toute la phase de transition, le temps que la confiance dans les nouveaux algorithmes se consolide.

AES-256 est-il concerné par la menace post-quantique ?

Beaucoup moins que RSA ou ECC. L’algorithme de Grover, qui s’applique au chiffrement symétrique comme AES, accélère la recherche exhaustive de clé mais ne la résout pas en temps polynomial : il réduit en pratique la sécurité d’AES-256 à l’équivalent d’AES-128, ce qui reste largement suffisant. Conserver AES-256 (plutôt qu’AES-128) pour les données à longue durée de vie est la seule précaution généralement recommandée sur ce point.

Par où une PME doit-elle commencer concrètement ?

Par un inventaire cryptographique simple (où utilisez-vous RSA ou ECC ?), suivi d’une discussion avec vos principaux prestataires (hébergeur, éditeur de VPN, solution de signature électronique) sur leur feuille de route post-quantique. Pour la majorité des PME, ces deux actions suffisent à passer d’un niveau de préparation nul à un niveau raisonnable, sans investissement technique lourd.

Combien coûte une migration post-quantique pour une PME ?

Pour l’essentiel des PME, le coût direct reste limité : la migration est portée par les mises à jour de vos fournisseurs (navigateurs, systèmes d’exploitation, VPN, hébergeur), déjà incluses dans vos contrats de maintenance et d’abonnement existants. Le véritable coût, souvent sous-estimé, est celui du temps consacré à l’inventaire initial et au dialogue avec vos prestataires, pas celui d’un développement cryptographique sur mesure.

Conclusion

La cryptographie post-quantique illustre bien une règle générale de la cybersécurité des PME : il n’est jamais nécessaire d’être la cible immédiate d’une menace pour devoir déjà s’en préoccuper. RSA et ECC ne seront pas cassés demain matin, mais les données que votre PME chiffre aujourd’hui avec ces algorithmes peuvent être interceptées dès maintenant et déchiffrées plus tard. Les standards publiés par le NIST en août 2024, les recommandations d’hybridation de l’ANSSI et l’échéance de certification 2027 dessinent un calendrier déjà engagé, que vos fournisseurs suivent, avec ou sans vous.

La bonne nouvelle, c’est que l’essentiel de l’effort pour une PME tient en trois actions accessibles : réaliser l’inventaire de vos usages cryptographiques, prioriser selon la durée de vie réelle de vos données, et exiger de vos prestataires une feuille de route claire plutôt qu’une migration faite maison. Replacée dans la durée, cette démarche s’inscrit naturellement dans une stratégie de cybersécurité plus large, celle que nous détaillons dans notre guide complet de la cybersécurité pour PME et dans notre panorama des technologies de cybersécurité IA pour PME.

Si votre feuille de route 2026 inclut également la formalisation de vos pratiques numériques internes, pensez aussi à cadrer l’usage de l’intelligence artificielle dans votre entreprise grâce au générateur de charte IA de SIAC Media, un document de gouvernance qui, comme votre politique cryptographique, gagne à être écrit avant d’en avoir un besoin urgent.