Depuis des années, la conversation autour de la cryptographie post-quantique (PQC) s’est concentrée sur la course aux algorithmes : quel schéma résiste le mieux, quel sera le standard, quelle bibliothèque l’intégrera en premier. Mais une nouvelle lecture commence à s’imposer dans le secteur : le véritable obstacle n’est plus uniquement technique, mais organisationnel. La clé du succès réside dans la gouvernance.

C’est la thèse centrale d’un article publié aujourd’hui sur HackerNoon par Sarath Chandra Vidya Sagar Machupalli, qui met en lumière un aspect moins glamour — et donc plus réaliste — du saut post-quantique : qui mène la transition, comment mesurer le progrès et comment assurer la conformité réglementaire durant des années où systémes “classiques” et post-quantiques coexistent.

Ce n’est ni alarmiste ni de science-fiction. L’auteur explique que, dans les environnements d’entreprise, la menace quantique n’est pas perçue comme une simple “mise à jour de sécurité”. Son argument est que cela oblige à repenser la gouvernance des actifs cryptographiques, car une grande partie de leurs politiques, inventaires et contrôles ont été conçus à l’époque où “RSA-2048 était considéré comme inviolable”. Dans ce contexte, la transition ne consiste pas à patcher une vulnérabilité : elle consiste à migrer une infrastructure invisible qui supporte identités, sessions, certificats, chiffrement de données, signatures et chaîne d’approvisionnement.

Le problème que presque personne n’évoque : la cryptographie comme “dépendance cachée”

Un des constats les plus dérangeants est simple : de nombreuses organisations ne savent pas précisément où elles utilisent la cryptographie, avec quels algorithmes, quels tailles de clés, et sous quelles dépendances. Ce n’est pas par négligence, mais parce que la cryptographie est souvent intégrée dans des couches techniques et fournisseurs : TLS ici, une PKI là, un module dans un ERP, un firmware dans un équipement industriel, une passerelle mobile, un service cloud géré.

Ce vide a des conséquences directes. Si une entreprise ne peut répondre avec précision à la question “quels algorithmes protègent quels données”, elle ne peut pas prioriser ses actions. Or, la priorisation est au cœur du sujet, car la transition post-quantique ne se fait pas en un trimestre : elle se planifie en phases, avec des systèmes critiques, des contraintes réglementaires, des dépendances avec des partenaires et des legacy qui ne disparaissent pas par décret.

L’article insiste sur le fait que, pour gérer efficacement le risque quantique, il faut traiter la cryptographie comme un actif gérable : inventaire, criticité, responsables, métriques, traçabilité et cycle de vie.

De la “PQC” à la “sécurité quantique” : la nouvelle donne

Une autre contribution importante de cet article est la distinction entre PQC (résistance des algorithmes) et Sécurité Quantique (cadre global de gouvernance, conformité et stratégie). La différence est subtile, mais opérationnelle :

• La PQC répond à la question “Quel algorithme implémenter ?”.
• La gouvernance de la sécurité quantique traite de questions plus complexes : qui est responsable ? quels systèmes migrent en priorité ? qu’est-ce que l’état “préparé” ? comment auditer ? que faire du legacy en attendant ?

Selon l’auteur, c’est là que beaucoup d’entreprises échouent actuellement : elles disposent de politiques “classiques”, d’inventaires incomplets et de structures décisionnelles pas adaptées pour une migration cryptographique pluriannuelle avec des impacts transversaux.

Conformité réglementaire : des objectifs mouvants et des audits nuancés

Le texte insiste sur un point qui préoccupe particulièrement les responsables de la sécurité et de la conformité : la réglementation et les standards évoluent, mais les systèmes ne migrent pas au même rythme. Pendant la transition, des approches hybrides cohabitent (classique + post-quantique) avec des systèmes encore dépendants d’algorithmes traditionnels, soulevant des questions complexes :

• Si l’on déploie un TLS hybride (avec deux mécanismes), cela est-il considéré comme “résistant quantiquement” lors d’un audit ?
• Si une norme évoque “quantum-resistant”, exige-t-elle une conformité post-quantique complète ou accepte-t-elle un pont temporaire ?
• Comment documenter une feuille de route crédible pour des auditeurs qui ne disposent pas forcément du contexte technique ?

L’approche pragmatique de l’auteur est claire : attendre une “clarté parfaite” est une erreur. Il préconise plutôt d’établir des cadres de gouvernance flexibles, capables de s’adapter à l’évolution des standards, tout en permettant de démontrer une diligence aujourd’hui.

Risques opérationnels : quand le “sécurisé” ouvre aussi des surfaces d’attaque

Au-delà des algorithmes, l’article met en lumière des risques opérationnels classiques, amplifiés par la nature même de la cryptographie :

• Gestion des clés plus complexe (changements de taille, performance, stockage ou hypothèses de conception).
• Compromis de performance (impact sur la latence, l’utilisation CPU, la mémoire ou le débit).
• Interopérabilité (les partenaires et fournisseurs migrent à des rythmes différents, nécessitant coexistences et configurations duales).
• Chaîne d’approvisionnement (la cryptographie se trouve également chez des tiers : SaaS, dispositifs, intégrateurs, fabricants, etc.).

Le message essentiel est que la transition vers la cryptographie post-quantique ne se limite pas à un simple “projet de sécurité” : c’est une refonte de l’architecture, de l’exploitation et de la gouvernance.

Les recommandations en pratique : un cadre opérationnel, pas une simple affiche

L’article propose une série d’étapes concrètes, qui, plutôt que de fournir des “recettes magiques”, servent de squelette organisationnel pour des entreprises souhaitant éviter la théorie :

1. Sponsorisation exécutive efficace (visibilité au comité de direction, pas seulement en IT).
2. Équipe de transition avec autorité, budget dédié et responsabilité transverse.
3. Inventaire cryptographique automatisé (plutôt que basé uniquement sur la documentation historique).
4. Feuille de route basée sur le risque (sensibilité des données, horizon de confidentialité, exposition).
5. Solutions hybrides comme pont pour assurer la compatibilité sans freiner la progression.
6. Suivi continu des métriques d’adoption, des goulets d’étranglement et de l’impact sur la performance.
7. Formation des équipes techniques, responsables de risques et décideurs.

La clé n’est pas tant la liste en soi — nombre d’organisations en ont une idée — mais l’approche : transformer la transition quantique en un programme gouvernable, avec des critères, des indicateurs et une responsabilisation claire.

Questions fréquentes

Qu’entend-on par “gouvernance de la sécurité quantique” en entreprise ?
Il s’agit de l’ensemble des processus, responsables, politiques et indicateurs pour gérer le risque cryptographique face à l’avènement de la computation quantique : inventaire des usages, priorisation des migrations, contrôle des changements et conformité.

Pourquoi ne suffit-il pas de “changer simplement pour des algorithmes post-quantiques” ?
Parce que la cryptographie est dispersée dans différents systèmes, fournisseurs et dispositifs. Sans inventaire, priorisation et coordination, le changement peut créer des zones d’ombre, des incompatibilités et des risques opérationnels.

Que signifie une approche “hybride” en cryptographie post-quantique ?
C’est une transition combinant mécanismes classiques et post-quantiques pour maintenir la compatibilité tout en augmentant la résistance face aux menaces futures.

Quels secteurs anticipent le plus la préparation post-quantique ?
Ceux manipulant des données à longue durée de vie ou de haute criticité (par exemple, infrastructures critiques, finance, secteur public, santé ou gros écosystèmes avec des partenaires complexes), car le risque augmente avec la prolongation de la période de maintien de la confidentialité.

Sources :

• Hackernoon — “Quantum Security Governance: Building a Framework for the Post-Quantum World”, Sarath Chandra Vidya Sagar Machupalli (19 décembre 2025).