Sécurité post-quantique : les entreprises doivent-elles déjà s’y préparer en 2026 ?

En bref : Oui. En 2026, la sécurité post-quantique en entreprise n’est plus un sujet de veille : c’est un chantier de planification. Trois raisons : 

1. Les données sensibles sont déjà exposées : Des attaquants peuvent intercepter et stocker aujourd’hui des données chiffrées pour les déchiffrer plus tard (attaque « harvest now, decrypt later »), un risque que Gartner demande d’anticiper. 
2. Les échéances sont posées : Gartner estime que la cryptographie asymétrique classique sera non sûre d’ici 2030. La feuille de route européenne fixe un premier jalon fin 2026 et une migration des cas d’usage à haut risque avant fin 2030. 
3. La migration est longue : Inventaire, tests, fournisseurs, systèmes hérités : la plus grande part des organisations interrogées par DigiCert (mai 2026) l’estime à 3 à 5 ans. 

Ce qu’il faut faire en 2026, ce n’est pas de tout migrer, mais de cartographier sa cryptographie, prioriser les données à longue durée de vie et lancer des pilotes. 

Parmi les grandes tendances IT 2026 relevées par la presse spécialisée, la sécurité post-quantique côtoie la confiance dans les environnements hybrides et multi-cloud. Le lien est direct : plus votre système d’information est distribué (clouds multiples, APIs, objets connectés, sites industriels), plus la cryptographie est partout : certificats TLS, VPN, signatures de code, authentification, sauvegardes, firmware. 

La cryptographie post-quantique (PQC) désigne l’ensemble des algorithmes conçus pour résister à la fois aux ordinateurs classiques et aux futurs ordinateurs quantiques « cryptographiquement pertinents ». Ils s’exécutent sur des machines classiques : il ne s’agit pas d’acheter un ordinateur quantique, mais de remplacer ou compléter les algorithmes actuels, notamment RSA et les courbes elliptiques, qui protègent l’essentiel des échanges numériques. 

Pour un DSI, l’enjeu n’est donc pas « quand arrivera l’ordinateur quantique ? », mais « combien de temps mes données doivent-elles rester confidentielles, et combien de temps me faut-il pour migrer ? » 

Les risques quantiques en cybersécurité ne se limitent pas à un futur hypothétique. Le scénario le plus immédiat repose sur un principe simple : un attaquant capte des communications ou des bases chiffrées aujourd’hui, les conserve, puis les déchiffre quand la puissance de calcul quantique le permettra. 

Cette logique est reconnue par Gartner, qui invite les responsables sécurité et gestion des risques à anticiper ces attaques en préparant dès maintenant un passage vers des alternatives résistantes au quantique. 

Les données les plus exposées sont celles dont la durée de confidentialité dépasse l’horizon 2030-2035 : 

• Dossiers de santé et données personnelles sensibles ;
• Propriété intellectuelle, plans industriels, brevets, données R&D ; 
• Contrats, données financières et juridiques ; 
• Données de systèmes industriels et d’infrastructures critiques à longue durée de vie ; 
• Clés, certificats racine et secrets d’authentification. 

Selon l’enquête DigiCert de mai 2026, 84 % des organisations estiment qu’au moins une partie de leurs données chiffrées est déjà vulnérable à ce type d’attaque. 

Gartner : un horizon fixé à 2030 

Dans son rapport Top Cybersecurity Trends for 2026 (février 2026), Gartner prévoit que les avancées de l’informatique quantique rendront la cryptographie asymétrique actuelle non sûre d’ici 2030. Ses publications de 2024 évoquaient 2029 pour ce seuil et 2034 pour une cassure totale : l’échéance affichée a donc glissé d’un an, sans changer le message. Gartner précise aussi qu’aucun des nouveaux algorithmes post-quantiques n’est un simple remplacement « à l’identique » : la migration est un projet d’architecture, pas un correctif. 

NIST : les premiers standards sont publiés 

En août 2024, le NIST américain a publié ses trois premiers standards de chiffrement post-quantique finalisés (FIPS 203, 204 et 205), ce qui a donné aux entreprises un cadre de référence pour démarrer la migration. Dans un projet de rapport (IR 8547, novembre 2024), encore à l’état de brouillon, il propose de déprécier les algorithmes vulnérables (RSA-2048, ECC P-256) après 2030 et de les interdire après 2035. 

Union européenne : un premier jalon fin 2026 

En juin 2025, les États membres et la Commission européenne ont adopté une feuille de route coordonnée pour la transition vers la cryptographie post-quantique : 

Cette feuille de route (texte officiel) s’adresse d’abord aux États membres, mais elle donne le tempo attendu pour les opérateurs d’infrastructures critiques et leurs fournisseurs, et donc pour les entreprises de leur écosystème. 

Les grands acteurs accélèrent 

Le 25 mars 2026, Google a avancé à 2029 son propre calendrier interne de migration vers la cryptographie post-quantique, selon la presse spécialisée. Quand les hyperscalers resserrent leurs échéances, leurs clients et partenaires en ressentent vite les effets (exigences de conformité, certificats, bibliothèques cryptographiques). 

Vérifiez si votre entreprise a déjà basculé vers le modèle AppPoints ou si elle reste sur des licences utilisateur classiques. Cela détermine si vous bénéficiez ou non du Dual Entitlement jusqu’en avril 2027. 

Les études récentes dessinent le même constat : la prise de conscience est large, le déploiement reste marginal. 

• 87 % des organisations déclarent planifier, tester ou déployer des initiatives PQC, mais le déploiement n’a progressé que de 2 points en un an et seulement 7 % ont déployé une cryptographie quantum-safe ou hybride sur la majorité de leurs certificats (DigiCert, enquête de mai 2026). 

• 50 % ont réalisé une évaluation du risque quantique ; 44 % ont élaboré un plan de transition et un inventaire cryptographique (DigiCert, 2026). 

• 48 % des organisations se disent non préparées, et 56 % pour les organisations de taille intermédiaire (Keyfactor / Wakefield Research, 450 responsables cybersécurité, juillet 2025). 

• Les principaux freins : manque de compétences (40 %), manque de temps et priorités concurrentes (40 %), standards jugés peu clairs (39 %) (Keyfactor, 2025). 

• Un écart de perception apparaît entre direction et terrain : 90 % des dirigeants disent disposer d’un inventaire cryptographique à jour, contre 33 % des praticiens (Axiad, 315 responsables sécurité et IT aux États-Unis, juillet 2026). 

Les motivations à agir sont aussi business : renforcement de la cybersécurité (54 %), confiance des clients (50 %), baisse potentielle des primes de cyber-assurance (49 %) et avantage concurrentiel (48 %), selon Keyfactor. 

Note : ces chiffres proviennent d’enquêtes éditeurs, principalement nord-américaines. Ils donnent une tendance, pas une statistique française représentative. 

Pour préparer son infrastructure IT à l’ère quantique sans bloquer les projets en cours, voici une démarche pragmatique, compatible avec les environnements hybrides et multi-cloud. 

Étape 1 : Cartographier la cryptographie (inventaire) 

Recensez les algorithmes, bibliothèques, certificats, clés et protocoles utilisés : applications métier, VPN, PKI, API, équipements réseau, objets connectés, systèmes industriels (OT), sauvegardes, prestataires SaaS. Sans inventaire, aucune priorisation n’est possible. C’est l’étape la plus sous-estimée, comme le montre l’écart de perception relevé par Axiad. 

Étape 2 : Classer les données selon leur durée de vie 

Croisez la sensibilité des données, leur durée de confidentialité requise et leur exposition (flux interceptables, stockage chez un tiers). Les données à confidentialité longue, qui doivent rester secrètes au-delà de 2030, passent en priorité. 

Étape 3 : Adopter la crypto-agilité 

La crypto-agilité est la capacité à changer d’algorithme sans refondre les applications : abstraction des bibliothèques cryptographiques, gestion centralisée des certificats et des clés, automatisation du renouvellement. C’est le meilleur investissement « sans regret », utile aussi contre d’autres risques cryptographiques. 

Étape 4 : Piloter en mode hybride 

Testez des pilotes sur un périmètre limité (échanges TLS, VPN site à site, signature de code, passerelles API) en mode hybride : algorithme classique et post-quantique combinés. Mesurez l’impact sur les performances, la taille des certificats, la compatibilité des équipements et la latence, notamment dans les environnements legacy et industriels. 

Étape 5 : Intégrer le post-quantique aux contrats et à la gouvernance 

Interrogez vos éditeurs, hébergeurs et prestataires sur leur feuille de route PQC : Gartner recommande de ne pas présumer que les fournisseurs sont prêts. Inscrivez les exigences dans vos appels d’offres, votre politique de sécurité, vos analyses de risques et vos plans de renouvellement matériel. 

• Attendre « le jour J » : la migration prend plusieurs années ; 39 % des répondants de l’étude DigiCert l’estiment à 3-5 ans. 
• Tout migrer en même temps : le coût et le risque d’interruption sont élevés ; priorisez par risque. 
• Ignorer le legacy et l’OT : équipements à durée de vie longue, firmware non mis à jour, systèmes industriels difficiles à patcher. 
• Confondre chiffrement symétrique et asymétrique : ce sont surtout les algorithmes à clé publique (RSA, ECC) qui sont menacés ; le symétrique se renforce en augmentant la taille des clés. 
• Traiter le sujet comme un projet purement technique : il touche la gouvernance, les achats, la conformité et la continuité d’activité. 

Préparer son infrastructure IT à l’ère post-quantique demande de la méthode, des compétences rares et une vision d’ensemble sur le cloud, le réseau, les applications et les environnements industriels. Chez VAGANET, nous accompagnons les DSI dans la sécurisation et la modernisation de leurs systèmes d’information.