Le NIST fixe une feuille de route de migration vers la PQC avec des échéances fédérales en 2030, 2031 et 2035

Le NIST a publié des orientations définitives pour passer d’une cryptographie vulnérable au quantique à la PQC, avec des échéances fédérales échelonnées et des conseils de planification pour la chaîne d’approvisionnement.

Cette page a été traduite depuis l'anglais. Les noms d'entreprises et de produits ainsi que les liens vers les sources restent inchangés. Lire l'original en anglais

Le NIST a publié une feuille de route définitive pour remplacer la cryptographie à clé publique qui pourrait être compromise par un futur ordinateur quantique à grande échelle, par des alternatives post-quantiques. Le document, NIST IR 8547, fournit aux agences fédérales et à leurs fournisseurs un cadre de planification pour cette transition et aligne ce processus sur des échéances déjà fixées par la politique américaine : 2035 pour la plupart des systèmes fédéraux, avec des jalons plus précoces pour les systèmes les plus sensibles.

Ce qui a été annoncé

Le rapport, Transition to Post-Quantum Cryptography Standards (NISTIR 8547), a été finalisé le 27 octobre 2026, selon le Computer Security Resource Center du NIST. Le NIST indique que le rapport identifie les normes cryptographiques actuellement vulnérables au quantique, les met en correspondance avec des remplacements résistants au quantique, et vise à aider les agences fédérales, l’industrie et les organismes de normalisation à coordonner la migration.

Ces orientations font suite à la publication par le NIST, en août 2024, de ses trois premières normes définitives de chiffrement post-quantique. Le NIST positionne IR 8547 comme le principal document de transition de haut niveau pour passer des algorithmes hérités à ces nouvelles normes.

Selon l’annonce citée par The Quantum Insider, le rapport vise à répondre à un problème pratique : les organisations ne migreront pas toutes de la même manière ni au même rythme, mais elles ont tout de même besoin de jalons communs et d’une vision partagée de ce qui sera progressivement abandonné.

Les échéances et le contexte réglementaire

La feuille de route soutient deux niveaux de calendrier fédéral. L’objectif général reste 2035 pour achever la migration dans l’ensemble des systèmes fédéraux, une date qui, selon l’article, a été fixée par le National Security Memorandum 10.

Un décret présidentiel du 22 juin 2026, Executive Order 14412, a fixé des échéances plus rapprochées pour les actifs à forte valeur et les systèmes à fort impact. En vertu de ce décret, les agences doivent faire passer ces systèmes à la cryptographie post-quantique pour l’établissement de clés d’ici le 31 décembre 2030, et pour les signatures numériques d’ici le 31 décembre 2031.

La page CSRC du NIST indique qu’IR 8547 soutient également la mise en œuvre de l’Executive Order 14412 et du mémorandum OMB M-26-15, qui demandent aux agences de donner la priorité à leurs systèmes les plus sensibles.

Les orientations techniques et opérationnelles

Le NIST indique que le rapport couvre à la fois les signatures numériques post-quantiques et les mécanismes d’établissement de clés. L’article met en avant un domaine prioritaire précis : en raison du risque de type « harvest now, decrypt later », les organisations pourraient vouloir faire migrer en priorité les données sensibles à longue durée de vie vers la norme PQC d’établissement de clés FIPS 203.

Les orientations exhortent également les organisations à regarder au-delà de leurs propres réseaux et applications. Le NIST souligne que la migration dépend de l’ensemble de la chaîne d’approvisionnement cryptographique, y compris des produits et services acquis auprès de fournisseurs externes.

Une autre option décrite dans le rapport est un modèle de déploiement hybride, combinant cryptographie conventionnelle et PQC. Selon l’annonce, le NIST présente cette approche comme une posture de sécurité plus prudente, bien qu’elle nécessite des ressources de calcul supplémentaires.

Pourquoi c’est important

Le rapport est important moins parce qu’il introduit un nouvel algorithme que parce qu’il transforme l’adoption de la PQC en programme de modernisation piloté par des échéances. Pour les sous-traitants de l’État et les opérateurs du secteur privé liés à des systèmes fédéraux, le message concret est que les inventaires cryptographiques, les dépendances vis-à-vis des fournisseurs et les cycles de mise à niveau des systèmes doivent désormais être mis en regard de dates explicites.

Il renforce aussi l’idée que la menace quantique est traitée comme une réalité immédiate du point de vue de la protection des données. Même avant l’existence d’un ordinateur quantique pertinent pour la cryptanalyse, des adversaires peuvent collecter dès aujourd’hui des données chiffrées et tenter de les déchiffrer plus tard.

Ce qu’il faut surveiller

À court terme, une question sera de savoir à quelle vitesse les agences et les fournisseurs pourront identifier les endroits où une cryptographie vulnérable est intégrée dans les produits, les micrologiciels et les infrastructures de longue durée. Une autre concernera l’adoption des schémas de mise en œuvre issus du National Cybersecurity Center of Excellence du NIST, que le NIST présente comme menant un projet de migration distinct axé sur la visibilité cryptographique, la gestion des risques et les déploiements pratiques de la PQC.

Comme l’a résumé Dustin Moody, qui dirige le projet de normalisation PQC du NIST : « We understand there’s not one strategy that fits all use cases. »