Le régulateur de Hong Kong et HKUST livrent aux banques une boîte à outils post-quantique

La HKMA et HKUST ont publié une boîte à outils PQC avec un manuel en 23 chantiers et quatre outils, pour faire passer l'indice de préparation de 2,3 à 10 d'ici 2030.

Cette page a été traduite depuis l'anglais. Les noms d'entreprises et de produits ainsi que les liens vers les sources restent inchangés. Lire l'original en anglais

Le superviseur bancaire de Hong Kong ne se contente plus de mesurer la préparation quantique : il explique désormais aux banques comment la construire. Le 2 novembre, l'Autorité monétaire de Hong Kong (HKMA) et The Hong Kong University of Science and Technology (HKUST) ont publié un Post-Quantum Cryptography (PQC) Toolkit, élaboré avec la contribution d'acteurs du secteur, pour guider les banques dans le remplacement du chiffrement qu'un futur ordinateur quantique pourrait casser.

Ce qui a été annoncé

Selon la HKMA, le Toolkit est un cadre structuré qui aide les banques à mettre en place la gouvernance et la responsabilité de la transition, à évaluer leur exposition cryptographique, à déterminer ce qui doit changer et à suivre les progrès une fois le travail lancé. Ses outils pratiques couvrent l'inventaire des actifs et dépendances cryptographiques, la définition des priorités, le travail avec les fournisseurs et l'élaboration de calendriers réalistes.

Une circulaire adressée à toutes les institutions agréées le même jour apporte des précisions. Le Toolkit comprend un manuel de référence organisé en 23 chantiers, de la sensibilisation et de la planification jusqu'aux projets pilotes et à la préparation opérationnelle, également publié dans un format lisible par machine. Il est accompagné de quatre outils :

un modèle de données pour collecter et gérer les informations relatives à la transition ;
un questionnaire d'évaluation des dépendances pour échanger avec les prestataires et autres contreparties sur leur préparation à la PQC ;
des architectures de référence qui esquissent des configurations techniques cibles possibles ;
un outil de planification de projet pour bâtir une feuille de route de transition, avec des délais indicatifs pour les tâches clés.

Ce que l'on attend des banques

La circulaire encourage vivement les banques à utiliser le Toolkit à proportion de leur profil de risque, de leur environnement technologique et de leur complexité. Elle précise aussi qu'elles doivent fixer des jalons clairs et les soumettre à un examen régulier de la direction générale. Les priorités citées sont une feuille de route hiérarchisée tenant compte de la préparation des fournisseurs critiques et des prestataires du groupe, une attribution claire de la responsabilité du risque quantique sous la supervision de la direction, un inventaire cryptographique dont la couverture s'élargit progressivement, et une agilité cryptographique renforcée, c'est-à-dire la capacité de changer d'algorithme rapidement et sans perturbation majeure.

Les chiffres de la préparation

Le Toolkit s'appuie sur le Quantum Preparedness Index (QPI) lancé par la HKMA en juillet 2026. Le premier score du secteur était de 2,3 sur 10, ce que le régulateur a interprété comme un stade précoce de préparation. L'objectif affiché est une préparation complète, soit un QPI de 10, d'ici 2030. Dans la circulaire, la HKMA dit s'attendre à ce que le secteur atteigne 5 à 6 lors de la prochaine enquête QPI, prévue au deuxième trimestre 2028.

Le directeur général adjoint de la HKMA, Arthur Yuen, a déclaré que l'indice avait fixé un point de départ et que l'étape suivante consiste à aider les banques à traduire cette compréhension en « clear responsibilities, informed priorities and practical plans » (responsabilités claires, priorités éclairées et plans concrets). Frederik Anseel, doyen de la HKUST Business School, a décrit la préparation quantique comme un défi de leadership sur lequel les banques peuvent avancer même si l'échéance de la menace reste incertaine.

Pourquoi c'est important

Dans la finance, la migration post-quantique est avant tout un problème d'inventaire et de gouvernance : les banques doivent d'abord repérer où se trouve la cryptographie à clé publique dans leurs propres systèmes et dans ceux de leurs fournisseurs avant de pouvoir la remplacer. En publiant des modèles communs, une trajectoire attendue et une nouvelle enquête datée, la HKMA donne aux banques de Hong Kong un repère concret, et aux autres régulateurs un modèle de référence.

À surveiller

La HKMA indique que le Toolkit sera mis à jour au fil de l'évolution des technologies, des normes internationales et de l'expérience de mise en œuvre, et elle invite les banques à faire part de leurs retours. Le prochain point d'étape public sera l'enquête QPI de 2028, qui dira si le secteur atteint la fourchette de 5 à 6 attendue par le régulateur.