Résumé

  • L’objectif de migration de 2031 concerne les infrastructures d’information critiques ; la recommandation de 2035 vise les autres organisations exposées au risque quantique.
  • Le travail initial consiste à repérer la cryptographie vulnérable dans les systèmes, les fournisseurs et les dépendances opérationnelles, puis à désigner des responsables et à éprouver les solutions de remplacement.

Le calendrier singapourien de transition vers des systèmes résistants au quantique commence par une tâche moins visible que le choix d’un algorithme : retrouver tous les endroits où la cryptographie est devenue une pièce du service.

Le 14 octobre, la Cyber Security Agency of Singapore (CSA) a conseillé aux organisations exposées au risque quantique d’établir un plan d’ici fin 2027 et de terminer leur migration d’ici 2035. Pour ces organisations, il s’agit d’orientations, non d’une échéance légale générale. Les infrastructures d’information critiques (CII) suivent un calendrier plus serré dans les recommandations de juin : transmettre un plan au responsable sectoriel avant le 31 mars 2027, viser l’achèvement au 31 décembre 2031 et, à partir du 1er janvier 2028, acheter des équipements compatibles avec la cryptographie post-quantique ou prêts à l’être avant cette échéance.

Cette distinction empêche de présenter 2031 comme une obligation applicable à toute entreprise. Mais une échéance plus lointaine ne dispense pas de l’inventaire. Les recommandations de la CSA demandent d’identifier les systèmes et les données exposés, d’attribuer la responsabilité, d’examiner les feuilles de route des fournisseurs et de tester compatibilité et performances.

La difficulté tient aux dépendances. La cryptographie peut être intégrée dans un protocole, un équipement industriel, un service géré ou un composant fourni, sans apparaître dans les achats sous une ligne « cryptographie ». Les données confidentielles conservées longtemps n’ont pas le même profil de risque qu’un service remplaçable rapidement. Un inventaire limité au code développé en interne peut donc omettre précisément les éléments qui déterminent l’ordre de migration.

La règle d’achat des CII rapproche cette question de la gouvernance. Il faut obtenir des preuves de compatibilité auprès des fournisseurs avant la fenêtre de migration, préciser qui finance l’intégration et vérifier qu’une mise à niveau peut être annulée sans interrompre le service. Une feuille de route commerciale ne constitue pas un test opérationnel.

La CSA évoque la possibilité d’un ordinateur quantique cryptographiquement pertinent dans cinq à dix ans, tout en soulignant l’incertitude. C’est un scénario de planification, pas une date d’arrivée annoncée ni la preuve que les systèmes actuels ont déjà été cassés. Le NIST a finalisé trois normes post-quantiques en 2024 ; elles donnent une cible commune, sans résoudre les contraintes locales de compatibilité ou de matériel ancien.

Le Quantum-Safe Kickstarter Grant peut financer l’essai d’un cas circonscrit par une organisation non gouvernementale constituée à Singapour : jusqu’à 70 % des dépenses admissibles, avec au moins 30 % de cofinancement en espèces, pour un projet de six mois au maximum. Le rapport doit exposer méthode, résultats et limites. Un pilote peut révéler un coût caché ou une incompatibilité ; il ne certifie pas l’ensemble d’un parc informatique.

La mesure immédiate de préparation n’est donc pas le nombre de projets étiquetés « post-quantiques », mais la capacité à nommer les systèmes concernés, leurs responsables, les preuves fournisseurs manquantes et les tests qui autoriseraient une mise en production.

Sources