L'Allemagne cale sa migration post-quantique sur le calendrier européen : 2030, puis 2035

Le 12 octobre, à Bonn, le BSI, l'Office fédéral de la sécurité des technologies de l'information, publie un document attendu. Signé avec les ministères de l'Intérieur (BMI) et du Numérique (BMDS), il décline au niveau national le calendrier européen de passage à la cryptographie post-quantique, celle qui doit résister aux futurs ordinateurs quantiques.

Ses dates sont celles de la feuille de route coordonnée adoptée par les États membres en juin 2025 : fin 2030 pour les usages à haut risque, 2035 pour l'essentiel du reste.

Qui est visé, et avec quelle force ?

Le texte s'adresse aux administrations fédérales, régionales et communales, mais aussi aux organisations et aux entreprises, dont les opérateurs d'infrastructures critiques. Son vocabulaire mérite d'être lu de près.

Pour les usages à haut risque, le BSI écrit qu'ils « devraient » basculer « le plus tôt possible » et que la migration « doit être achevée au plus tard fin 2030 » (en allemand, soll, un « doit » de recommandation forte). Pour 2035, le verbe redevient conditionnel : la transition « devrait être largement achevée ».

Le communiqué ne présente pas le document comme juridiquement contraignant. Il parle d'un « cadre d'orientation ». Selon le site spécialisé heise, les autorités compétentes doivent en revanche transformer ces échéances en exigences contraignantes d'ici fin 2026 pour les administrations.

Ce que le texte demande concrètement

Le communiqué du BSI énumère plusieurs chantiers :

• désigner des responsables et fixer des échéances contraignantes en interne ;
• intégrer le risque quantique dans la gestion des risques ;
• associer tôt les fabricants et la chaîne d'approvisionnement ;
• concevoir architectures, achats et gestion des risques pour pouvoir changer vite d'algorithme ou de longueur de clé, ce que l'on appelle l'agilité cryptographique.

Selon heise, la ligne directrice recommande aussi les schémas hybrides, qui combinent un algorithme classique et un algorithme post-quantique, et demande à chaque organisation d'inventorier ses composants cryptographiques. Le BSI justifie l'urgence par un autre argument : l'IA accélère à la fois la recherche en sécurité et les attaques contre la cryptographie.

Beaucoup de dates, peu de nouveautés

heise se montre sévère : le contenu utile tient en quatre pages environ et « offre peu de nouveautés ». Le média relève aussi que le texte ne mentionne pas les projets pilotes exigés par la feuille de route européenne, alors que certains existent déjà, comme le passeport et la carte d'identité électroniques résistants au quantique.

Pour une entreprise française, le message est surtout celui de la convergence. Après les Pays-Bas, l'Allemagne reprend les mêmes jalons européens. Si vous avez des clients ou des filiales outre-Rhin, attendez-vous à voir l'inventaire cryptographique et l'agilité apparaître dans les appels d'offres. Le BSI a d'ailleurs ses propres exigences techniques : il vient de déconseiller Classic McEliece.

Prochaine étape à surveiller : la fin 2026, date à laquelle chaque État membre doit avoir arrêté sa feuille de route nationale.