Singapour vise 2031 pour protéger ses infrastructures critiques des ordinateurs quantiques

Le 14 octobre, deuxième journée de la Singapore International Cyber Week, a été marquée par une annonce post-quantique. La ministre du Numérique, Josephine Teo, a présenté une subvention destinée à aider les organisations à tester la migration vers des algorithmes résistants aux ordinateurs quantiques. Le même jour, l'agence de cybersécurité de Singapour (CSA) a publié un avis qui fixe un calendrier pour tout le pays.

En résumé : migration achevée en 2031 pour les infrastructures critiques, et en 2035 pour les autres organisations exposées. Mais ces dates sont des objectifs, pas des obligations légales.

Trois jalons pour les opérateurs critiques

Les échéances des opérateurs d'infrastructures critiques (les « CII », Critical Information Infrastructure) figurent dans le guide de migration publié par la CSA le 16 juillet 2026. D'après ce document, résumé par le site spécialisé PostQuantum.com, ces opérateurs devraient :

• remettre un plan de migration à la CSA d'ici le 31 mars 2027 ;
• à partir du 1er janvier 2028, n'acheter que des systèmes compatibles avec les algorithmes post-quantiques, ou prêts à l'être ;
• avoir terminé la migration, sans plus aucune cryptographie vulnérable, au 31 décembre 2031.

Le communiqué du 14 octobre se contente de dire que la migration des systèmes critiques « devrait » être achevée en 2031. Le guide précise lui-même qu'il n'est ni obligatoire ni prescriptif. À Singapour, les obligations des opérateurs critiques passent normalement par des codes de pratique ou des instructions du commissaire à la cybersécurité. Début août, PostQuantum.com n'avait repéré aucun texte de ce type reprenant ces dates.

Et pour les autres entreprises ?

L'avis de la CSA encourage les organisations exposées au risque quantique à avoir un plan de migration fin 2027 et à terminer en 2035. Il justifie l'urgence par deux arguments. D'abord, un ordinateur quantique capable de casser RSA, ECDSA ou DSA pourrait apparaître d'ici 5 à 10 ans, même si l'échéance reste incertaine. Ensuite, des attaquants peuvent dès aujourd'hui collecter des données chiffrées pour les déchiffrer plus tard.

La subvention « Quantum-Safe Kickstarter » est ouverte du 1er novembre 2026 au 31 octobre 2027. Elle finance des projets pilotes de six mois au plus, avec trois priorités : migrer une application de bout en bout, inventorier la cryptographie utilisée, et traiter les systèmes industriels ou anciens. Son montant n'est pas publié. Les opérateurs critiques sont prioritaires et chaque pilote doit rendre un rapport.

Ce que la méthode singapourienne apprend aux Européens

Les dates ressemblent beaucoup à celles de l'Europe. La feuille de route européenne vise 2030 pour les systèmes à haut risque et 2035 pour le reste. L'Allemagne vient de s'y aligner, comme les Pays-Bas pour leurs systèmes publics.

Les étapes que la CSA recommande valent aussi pour une entreprise française :

• repérer les données qui doivent rester confidentielles longtemps, les services exposés sur Internet et les équipements à longue durée de vie ;
• désigner une personne responsable du projet ;
• tester les solutions avant de les déployer, car les clés plus grandes peuvent ralentir les échanges ;
• demander aux fournisseurs leur feuille de route post-quantique et en tenir compte au renouvellement des contrats ;
• éviter les algorithmes codés en dur, pour pouvoir en changer plus tard.

Prochaine étape à suivre : Singapour transformera-t-il ces jalons en obligations pour ses opérateurs critiques avant l'échéance de mars 2027 ?