Post-quantique : les Pays-Bas visent 2030 pour les systèmes publics à haut risque

Le 5 octobre 2026, le gouvernement néerlandais a transmis au Parlement sa stratégie quantique interministérielle (Rijksbrede Quantumstrategie), sous-titrée « Kansen benutten, belangen beschermen, integraal verbinden » (« Saisir les opportunités, protéger les intérêts, relier de manière intégrée »). Portée par la ministre des Affaires économiques et du Climat Heleen Herbert et la secrétaire d'État à l'Économie numérique et à la Souveraineté Willemijn Aerdts, elle comporte un calendrier précis de migration vers la cryptographie post-quantique (PQC) pour l'administration centrale. Les usages à haut risque doivent avoir migré fin 2030, ceux à risque moyen fin 2035.

Un calendrier en cinq étapes

Le document (pages 36 et 37) fixe les jalons suivants aux organisations de l'État central :

• fin 2026 : intégrer le risque quantique dans la gestion des risques et disposer d'une politique cryptographique propre ;
• fin 2027 : prendre en compte le risque « collecter maintenant, déchiffrer plus tard », rédiger un plan de migration (au moins provisoire), préparer ou mener des essais sur les usages à risque élevé et moyen, gérer l'inventaire cryptographique et budgéter les moyens humains et financiers ;
• fin 2028 : pouvoir imposer de la cryptographie résistante au quantique dans les achats publics et avoir rédigé des lignes directrices pour orienter les entreprises essentielles ;
• fin 2030 : avoir terminé la migration des usages à haut risque, avec des logiciels et micrologiciels qui utilisent par défaut une cryptographie résistante au quantique ;
• fin 2035 : avoir terminé la migration des usages à risque moyen, et celle des usages à faible risque « dans la mesure du possible ».

Un objectif, pas une obligation légale

Le texte reste prudent sur sa portée. L'État néerlandais écrit qu'il « s'efforce » de tenir ce calendrier, aligné sur la feuille de route européenne coordonnée publiée en 2025. Il pourra l'ajuster ou l'accélérer si la menace évolue. Ce calendrier ne concerne que l'administration centrale et, selon l'analyse du site juridique AIRecht, ne crée aucune obligation légale pour les entreprises, les collectivités ou les hôpitaux. La stratégie rappelle cependant que la Cyberbeveiligingswet, la loi néerlandaise qui transpose NIS2, exige en son article 13 une politique spécifique en matière de cryptographie, ce qui prépare le terrain.

Selon les estimations internationales citées par le document, un ordinateur quantique capable de casser la cryptographie asymétrique actuelle pourrait apparaître vers 2029-2035, sans certitude sur la date. Le service de renseignement AIVD et l'inspection des infrastructures numériques (RDI) conseillent de se préparer à son arrivée dès 2030 environ. Le document cite le manuel de migration de l'AIVD, du TNO et du CWI, selon lequel une migration prend au moins huit ans pour une organisation de l'État. Enfin, l'État n'utilise pas la distribution quantique de clés (QKD) pour protéger ses informations : plusieurs services de sécurité européens, dont l'ANSSI, ont exprimé de sérieuses objections à cette technologie.

Ce qu'on peut en retenir

Pour un responsable informatique français, ce calendrier montre concrètement comment décliner la feuille de route européenne. Les deux premières étapes, la politique cryptographique et l'inventaire, ne demandent aucune technologie nouvelle et peuvent démarrer dès maintenant. L'étape de 2028 concerne aussi les fournisseurs : un acheteur public qui exige de la PQC dans ses appels d'offres attendra des feuilles de route produits crédibles.