Singapour veut que les systèmes vitaux des banques résistent aux ordinateurs quantiques d'ici 2030

Le 6 novembre, l'Autorité monétaire de Singapour (MAS), à la fois banque centrale et régulateur financier de la cité-État, a ouvert une consultation sur un projet de circulaire au titre explicite : des orientations et un calendrier pour la migration du secteur financier vers la cryptographie résistante aux ordinateurs quantiques. Les institutions financières et toute autre partie intéressée ont jusqu'au 23 novembre pour réagir.

Le texte, référencé P019-2026, n'impose aucune obligation juridique. Il décrit les « attentes prudentielles » de la MAS, autrement dit ce que le superviseur attend de chaque établissement, avec des échéances précises.

Pourquoi fixer des dates maintenant ?

La MAS reconnaît qu'aucune date ne fait consensus au niveau international pour l'arrivée d'un ordinateur quantique capable de casser RSA et la cryptographie sur courbes elliptiques (ECC), qui protègent aujourd'hui une grande partie des échanges numériques. Elle écrit pourtant qu'il existe un « fort consensus » pour dire que cela pourrait arriver « dans les prochaines années ». C'est une appréciation plus pressante que celle de l'agence de cybersécurité du pays, la CSA, qui évoquait mi-octobre un horizon de cinq à dix ans. Le projet prolonge un premier avis adressé aux établissements financiers en février 2024.

Le calendrier proposé

Pour toutes les institutions financières :

• 31 décembre 2027 : disposer d'un plan de migration approuvé par le conseil d'administration ou la direction ;
• 31 décembre 2030 : avoir migré les systèmes critiques, ceux dont la panne perturberait gravement l'activité ou le service aux clients, comme le traitement des transactions urgentes ;
• 31 décembre 2034 : avoir migré tous les autres systèmes.

Les banques d'importance systémique, les opérateurs d'infrastructures critiques et NETS, le réseau de paiement électronique du pays, devront en plus remettre leur plan à la MAS dès le 30 juin 2027. Les opérateurs d'infrastructures critiques du secteur devront avoir migré ces infrastructures avant fin 2029. C'est deux ans plus tôt que l'échéance de 2031 retenue par la CSA pour l'ensemble des infrastructures critiques, que nous avions détaillée en octobre.

Un établissement qui ne tiendra pas une échéance pour des raisons techniques ou opérationnelles devra en documenter les raisons et appliquer des protections provisoires. La MAS se réserve le droit de revoir ces dates selon l'évolution de la menace et des normes.

Une liste de contrôle utile bien au-delà de Singapour

Le texte ne désigne aucun algorithme post-quantique. Il renvoie au guide pratique de la CSA et décrit plutôt une méthode, que n'importe quel responsable de la sécurité peut reprendre :

• un engagement du conseil d'administration ou de la direction, avec un responsable désigné, des moyens et un suivi régulier ;
• un inventaire des actifs cryptographiques (algorithmes, longueurs de clés, protocoles, systèmes concernés et dépendances), en commençant par ce qui est critique, exposé à Internet ou lié à des données conservées longtemps ;
• une règle d'achat : tout nouveau système devra prendre en charge les algorithmes post-quantiques ou pouvoir être mis à niveau dans les délais ;
• un dialogue avec les fournisseurs pour aligner leurs feuilles de route sur celle de l'établissement ;
• des tests de performance et d'interopérabilité avant déploiement, les nouveaux algorithmes demandant des clés plus grandes et plus de calcul ;
• des points d'étape chiffrés pour mesurer l'avancement.

Pour une banque européenne, ces dates rejoignent dans les grandes lignes la feuille de route européenne, qui vise fin 2030 pour les usages à haut risque puis 2035 pour le plus grand nombre de systèmes possible, et que l'Allemagne a reprise à son compte. Les établissements européens présents à Singapour seront, eux, directement concernés par la circulaire si elle est adoptée.

Prochaine étape : la version définitive, après la clôture du 23 novembre. Les contributions seront publiées, sauf demande contraire de leurs auteurs. On saura alors si les banques jugent ces dates tenables.