L’informatique quantique n’est plus de la science-fiction. Avec l’accélération des investissements des États et des géants technologiques — IBM, Google, Microsoft, IonQ ou encore les programmes nationaux chinois et européens —, la perspective d’un ordinateur quantique cryptographiquement pertinent (CRQC — Cryptographically Relevant Quantum Computer) devient de plus en plus tangible. Si les experts s’accordent sur une fenêtre encore de plusieurs années, la menace est d’ores et déjà réelle pour certains secteurs, notamment en raison de la stratégie dite « harvest now, decrypt later » : des acteurs malveillants collectent aujourd’hui des données chiffrées pour les déchiffrer demain, lorsque la puissance quantique le permettra. Face à cette réalité, toutes les industries ne sont pas exposées au même niveau ni de la même façon.

Comprendre la menace quantique sur la cryptographie

L’essentiel de la sécurité numérique repose sur des problèmes mathématiques que les ordinateurs classiques ne peuvent résoudre en un temps raisonnable : la factorisation de grands entiers (RSA), le problème du logarithme discret (ECC, DH, DSA). Un ordinateur quantique suffisamment puissant, exploitant l’algorithme de Shor, pourrait résoudre ces problèmes exponentiellement plus vite, rendant caduques les mécanismes d’échange de clés, de signature numérique et d’authentification qui sécurisent l’essentiel des communications modernes.

La cryptographie symétrique (AES, ChaCha20) est moins immédiatement menacée : l’algorithme de Grover offre un avantage quadratique, nécessitant théoriquement de doubler la longueur des clés (passer à AES-256) pour maintenir le même niveau de sécurité. L’enjeu prioritaire concerne donc les algorithmes asymétriques, omniprésents dans les protocoles TLS, SSH, PKI, et les mécanismes d’authentification forte.

Le secteur financier : une cible de premier rang

Le secteur financier — banques, assurances, marchés de capitaux, paiements — figure sans conteste parmi les industries les plus exposées à la menace quantique. Les raisons sont multiples et se renforcent mutuellement.

En premier lieu, la sensibilité et la durée de vie des données financières. Les transactions, les informations clients, les positions de marché et les données contractuelles ont souvent une valeur qui s’étend sur des décennies. Une donnée chiffrée aujourd’hui avec RSA-2048 et collectée par un attaquant qui dispose d’un ordinateur quantique dans dix ans pourra être déchiffrée rétroactivement. Les données de clients captées aujourd’hui peuvent encore avoir une valeur en 2035 ou 2040.

En second lieu, l’interconnexion et la criticité des infrastructures. Le système SWIFT, les chambres de compensation, les plateformes de trading haute fréquence et les systèmes interbancaires reposent massivement sur des protocoles cryptographiques asymétriques pour l’authentification et la non-répudiation. Une compromission de ces mécanismes pourrait avoir des effets systémiques immédiats.

Enfin, les exigences réglementaires sont particulièrement fortes dans ce secteur. La BCE, l’EBA et les régulateurs nationaux commencent à intégrer la dimension post-quantique dans leurs orientations prudentielles. Les établissements financiers doivent anticiper ces exigences sous peine de se retrouver en situation de non-conformité.

La défense et les agences gouvernementales : un horizon de menace immédiat

Pour les organisations de défense nationale, les agences de renseignement et les administrations régaliennes, la menace quantique est déjà considérée comme opérationnelle. La logique « harvest now, decrypt later » est particulièrement redoutée dans ce contexte : des communications classifiées ou des données stratégiques interceptées aujourd’hui pourraient être exploitées par des puissances adverses dans les prochaines années.

L’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) en France, la NSA aux États-Unis (avec sa directive CNSA 2.0), le NCSC au Royaume-Uni et le BSI en Allemagne ont tous publié des feuilles de route pour la migration post-quantique dans les systèmes gouvernementaux. Ces recommandations s’imposent progressivement aux industriels de défense et aux prestataires de confiance.

Les systèmes d’armes, les communications tactiques, les infrastructures C4ISR et les réseaux gouvernementaux sécurisés ont des cycles de vie extrêmement longs — souvent 20 à 30 ans. Tout équipement déployé aujourd’hui sans prévoir la crypto-agilité post-quantique sera probablement vulnérable avant la fin de sa durée de vie opérationnelle.

Le secteur de la santé : des données à durée de vie exceptionnelle

Le secteur de la santé présente une vulnérabilité spécifique liée à la nature des données traitées. Un dossier médical complet a une valeur qui peut s’étendre sur toute la vie du patient — 70, 80 ans ou plus. Des données de santé chiffrées aujourd’hui et interceptées par un attaquant patient pourraient être déchiffrées rétroactivement bien avant que le patient ne soit décédé, causant des préjudices considérables : discrimination à l’assurance, chantage, usurpation d’identité médicale.

Les hôpitaux, laboratoires pharmaceutiques, organismes de sécurité sociale et acteurs de la e-santé doivent donc considérer la migration post-quantique comme une priorité stratégique, même si l’horizon temporel semble encore lointain. La recherche clinique et les données génomiques, dont la sensibilité ne diminue pas avec le temps, sont particulièrement concernées.

Par ailleurs, le secteur de la santé est déjà fortement ciblé par les cybercriminels en raison de la valeur de marché des données médicales. L’avènement du quantique ne fera qu’amplifier cette attractivité pour les acteurs malveillants les plus sophistiqués.

L’énergie et les infrastructures critiques : des systèmes à longue durée de vie

Les opérateurs d’importance vitale (OIV) du secteur de l’énergie — réseaux électriques, gazoducs, raffineries, centrales nucléaires — exploitent des systèmes industriels (SCADA, DCS, PLC) dont la durée de vie dépasse souvent 20 à 30 ans. Ces systèmes, conçus bien avant que la menace quantique ne soit identifiée, intègrent rarement la crypto-agilité et sont souvent limités en ressources computationnelles, ce qui complique leur mise à jour.

La compromission de la cryptographie qui sécurise les communications entre les centres de contrôle et les équipements de terrain pourrait permettre à un attaquant de manipuler des processus industriels critiques, avec des conséquences potentiellement catastrophiques : coupures d’électricité, accidents industriels, perturbation de l’approvisionnement énergétique.

La convergence IT/OT — l’interconnexion croissante des systèmes informatiques de gestion et des systèmes industriels — amplifie encore l’exposition de ce secteur, en réduisant l’isolation qui servait historiquement de protection.

Les télécommunications : le nerf de la sécurité numérique

Les opérateurs de télécommunications occupent une position particulièrement stratégique : leur infrastructure est le support sur lequel transitent toutes les communications numériques. La compromission de la cryptographie qui sécurise les réseaux mobiles (5G, LTE), les fibres optiques intercontinentales ou les protocoles de routage BGP aurait des répercussions sur l’ensemble des secteurs économiques.

La 5G a introduit de nouvelles fonctions de sécurité cryptographiques (SUPI, SUCI, clés de session) qui reposent sur des algorithmes asymétriques classiques vulnérables au quantique. Les équipementiers (Nokia, Ericsson, Huawei) et les opérateurs doivent anticiper la migration vers des algorithmes post-quantiques dans leurs standards et déploiements.

Par ailleurs, les opérateurs de télécommunications sont souvent des prestataires de confiance pour des secteurs encore plus sensibles (défense, finance, santé), ce qui amplifie l’impact potentiel d’une compromission de leur infrastructure cryptographique.

La supply chain et l’industrie manufacturière

L’industrie manufacturière, souvent perçue comme moins exposée que la finance ou la défense, est en réalité fortement concernée par la menace quantique à travers deux vecteurs principaux.

D’une part, la propriété intellectuelle : les plans de fabrication, les formules chimiques, les innovations brevetées ou les secrets de fabrication chiffrés aujourd’hui représentent des cibles de valeur pour des attaquants qui patientent jusqu’à disposer de la puissance quantique nécessaire à leur déchiffrement.

D’autre part, les systèmes embarqués et l’IoT industriel : les équipements connectés intégrés dans les chaînes de production ont des cycles de vie longs et des contraintes de ressources limitées. La migration post-quantique sur ces systèmes sera techniquement et économiquement complexe, justifiant une anticipation précoce.

Comment évaluer son niveau d’exposition ?

Pour toute organisation, l’évaluation de l’exposition à la menace quantique repose sur trois questions fondamentales :

Quelle est la durée de vie de mes données sensibles ? Si vos données doivent rester confidentielles pendant plus de dix ans, vous devez agir dès maintenant, quelle que soit votre industrie.

Quels algorithmes asymétriques utilisez-vous et où ? Un inventaire cryptographique complet est indispensable pour répondre à cette question et identifier les systèmes prioritaires à migrer.

Quelle est la durée de vie de vos systèmes cryptographiques ? Les systèmes déployés pour des décennies (équipements industriels, systèmes embarqués, infrastructures critiques) nécessitent d’intégrer la crypto-agilité dès aujourd’hui pour éviter une obsolescence cryptographique prématurée.

Conclusion

Si toutes les organisations utilisant de la cryptographie asymétriques seront tôt ou tard concernées par la transition post-quantique, certains secteurs — finance, défense, santé, énergie, télécommunications — présentent une exposition plus immédiate en raison de la sensibilité et de la durée de vie de leurs données, de la criticité de leurs infrastructures et de la sophistication des acteurs qui les ciblent. La préparation ne peut être repoussée : les standards post-quantiques du NIST sont publiés, les recommandations des agences nationales de cybersécurité sont claires, et l’horloge de la menace quantique tourne.

Dans une stratégie de cybersécurité moderne, la transition vers la cryptographie post-quantique devient un enjeu critique pour les entreprises. Les organisations doivent anticiper ces évolutions afin de garantir la sécurité de leurs systèmes face aux futures menaces.

Pour approfondir ces sujets, consultez nos ressources sur : la cybersécurité post-quantique, les stratégies d’audit de sécurité, ainsi que les mécanismes de migration cryptographique.

Cybersécurité quantique : quelles industries sont les plus exposées ?