Le régulateur britannique presse les banques d'adapter leur chiffrement à l'ordinateur quantique

Le 4 novembre, Mark Francis, directeur des spécialistes à la Financial Conduct Authority (FCA), le gendarme financier britannique, a publié un billet au titre sans détour : Act now to be resilient in the quantum future (« Agissez maintenant pour résister dans le futur quantique »). Il s'adresse aux entreprises financières que la FCA supervise. Leur passage à la cryptographie post-quantique, conçue pour résister aux futurs ordinateurs quantiques, doit commencer sans attendre.

La raison est connue : un ordinateur quantique assez puissant pourrait casser des méthodes de chiffrement très répandues. « Nous ne savons pas avec certitude quand un ordinateur quantique viable apparaîtra », reconnaît la FCA. Mais pour la plupart des entreprises, prévient-elle, la migration demandera beaucoup de temps, d'investissements et d'efforts.

Trois dates empruntées à l'agence de cybersécurité britannique

La FCA ne fixe pas son propre calendrier. Elle reprend celui du National Cyber Security Centre (NCSC), l'équivalent britannique de l'ANSSI. Il prévoit un premier plan de migration établi d'ici 2028, les migrations prioritaires menées d'ici 2031, et tous les systèmes, services et produits passés au post-quantique d'ici 2035. La FCA ajoute aussitôt que les entreprises ne devraient pas attendre ces échéances pour agir, et qu'elles devraient être prêtes plus tôt quand c'est possible sans danger.

Il faut lire ces dates pour ce qu'elles sont : des recommandations du NCSC, que la FCA présente comme ses attentes. Ce n'est pas une règle contraignante assortie de sanctions. Le régulateur demande toutefois aux dirigeants de consacrer assez de temps, d'argent et de personnel pour tenir les échéances.

Ce que la FCA attend concrètement

Le billet formule trois attentes, qui font une bonne liste de départ pour n'importe quelle organisation :

• savoir où la cryptographie est utilisée dans ses systèmes et ses données ;
• se fixer des objectifs de migration clairs, atteignables, sûrs et fondés sur les risques ;
• mettre en œuvre le plan, puis le surveiller, le tester, le valider et l'ajuster.

Pour suivre les progrès, la FCA teste un outil d'autoévaluation auprès d'un premier groupe d'entreprises, qu'elle compte étendre ensuite. Elle annonce aussi une consultation sur des lignes directrices de cyber-résilience, qui préciseront comment traiter le risque quantique dans les contrôles cryptographiques. Aucune date n'est donnée.

Le danger d'une migration bâclée

Pourquoi tant d'insistance sur le mot « sûr » ? La FCA donne un chiffre : en 2025, environ un incident sur cinq qui lui a été signalé venait d'un projet de changement qui avait échoué. Or la cryptographie, rappelle-t-elle, aide les entreprises à protéger les données de leurs clients et à vérifier à qui elles ont affaire ; sans elle, l'intégrité des transactions financières serait menacée. Une bascule précipitée pourrait provoquer la panne que l'on voulait éviter.

Le lendemain, le 5 novembre, le même régulateur montrait l'autre face du sujet. Il invite entreprises, fournisseurs et laboratoires britanniques à tester, sur un jeu de données fictives, si l'informatique quantique peut mieux repérer le blanchiment et la fraude. Les inscriptions sont ouvertes jusqu'au 31 décembre, et les travaux doivent commencer au premier trimestre 2027.

Pour un lecteur français, ce calendrier ressemble à celui de l'Union européenne, que l'Allemagne a repris à son compte : 2030 pour les usages les plus sensibles, puis 2035. Pour savoir par où commencer, l'inventaire reste la première étape, comme l'explique notre guide en six étapes. Prochaine étape à surveiller à Londres : le texte de la consultation, qui dira si les attentes de la FCA deviennent des lignes directrices formelles.