Ce 22 octobre, les administrations américaines doivent rendre leur plan de migration post-quantique

Cent vingt jours. C'est le délai que l'Office of Management and Budget (OMB), le bureau du budget de la Maison-Blanche, a donné le 24 juin 2026 aux administrations fédérales pour remettre leur plan de migration vers la cryptographie post-quantique. Compté à partir de cette date, il expire ce jeudi 22 octobre.

Le mémo M-26-15, signé par le directeur de l'OMB Russell Vought, applique un décret présidentiel du 22 juin sur la protection contre les attaques cryptographiques avancées. Il ne concerne pas les systèmes de sécurité nationale, régis par d'autres textes. Le risque visé est connu : un ordinateur quantique assez puissant pourrait déchiffrer des données protégées par de nombreuses formes de cryptographie courantes aujourd'hui et contourner les mécanismes d'authentification. Le texte précise qu'un tel ordinateur n'est pas connu à ce jour, mais qu'il pourrait apparaître dans la décennie.

Ce que le plan doit contenir

Le mémo est précis, et c'est ce qui le rend utile au-delà des États-Unis. Chaque plan doit comporter au minimum :

• une stratégie de priorisation des systèmes, justifiée par le risque ;
• un calendrier et des jalons pour chaque phase ;
• la méthode et les outils automatisés de l'inventaire cryptographique ;
• un plan d'architecture « crypto-agile », capable de changer d'algorithme ;
• un plan de coordination avec les fournisseurs, une estimation du budget et des effectifs, une gestion des risques et une répartition des rôles.

Les priorités sont fixées : systèmes à fort impact, actifs de grande valeur, systèmes d'accès fondés sur une infrastructure à clés publiques et données qui devront rester sensibles en 2030. Les systèmes incapables de passer au post-quantique doivent être repérés, puis remplacés ou retirés en priorité.

Cinq phases jusqu'en 2035

Le calendrier va de l'inventaire (2026-2027) aux projets pilotes (2027-2028), puis à la migration des échanges de clés des systèmes prioritaires (2028-2030). Les signatures numériques suivent en 2031, et le reste en 2035. L'objectif affiché est de réduire « autant que possible » le risque quantique d'ici le 31 décembre 2030. Les administrations doivent aussi prendre en charge TLS 1.3 au plus tard le 2 janvier 2030 et aligner leurs plans sur le rapport NIST IR 8547.

Il s'agit d'obligations pour les administrations fédérales américaines, pas pour les entreprises. Mais le calendrier rejoint celui de l'Europe, qui vise aussi 2030 pour les systèmes à haut risque et 2035 pour le reste, comme l'a rappelé la feuille de route allemande. Pour une organisation qui démarre, la liste du mémo est une bonne grille de départ, à compléter par notre guide en six étapes.

Reste à savoir si toutes les administrations ont tenu le délai. L'OMB n'a encore rien publié sur les plans reçus.