L’informatique quantique ne relève plus de la seule prospective scientifique. Les autorités estiment qu’entre 2030 et 2035, un ordinateur quantique suffisamment puissant pourrait casser les mécanismes cryptographiques à clé publique aujourd’hui utilisés pour sécuriser les communications, les transactions et les données d’entreprise.
Cette échéance, désignée sous le terme de « Q-Day », s’accompagne d’un risque immédiat : la captation différée des données, souvent résumée sous la formule « Harvest Now, Decrypt Later » (HNDL). Des données chiffrées interceptées aujourd’hui pourraient être déchiffrées demain, une fois la capacité quantique disponible. Loin d’être un sujet purement technique, cette rupture quantique engage d’ores et déjà la responsabilité juridique des organisations, au titre d’obligations de sécurité déjà en vigueur.
Une menace quantique déjà prise en compte par l’ANSSI
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a publié dès 2023 un avis sur la migration vers la cryptographie post-quantique (1), recommandant aux organisations d’inventorier leurs usages cryptographiques et de privilégier des mécanismes hybrides, combinant un algorithme pré-quantique éprouvé et un algorithme post-quantique.
L’Agence a également indiqué qu’à compter de 2027, elle ne délivrera plus de visa de sécurité aux produits cryptographiques dépourvus de protection post-quantique (2). Cette annonce transforme une simple recommandation technique en un facteur déterminant de la politique d’achat et de certification des solutions de sécurité pour l’ensemble des acteurs économiques.
Le socle transversal : l’obligation de sécurité « adaptée à l’état de l’art »
Le règlement général sur la protection des données (RGPD, règlement (UE) 2016/679) (3) constitue le premier fondement juridique de cette anticipation. Son article 32, paragraphe 1er, impose au responsable de traitement et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque, en tenant compte de « l’état des connaissances ». Cette formulation, dynamique par construction, intègre nécessairement l’évolution de la menace quantique : un chiffrement jugé robuste aujourd’hui, mais notoirement vulnérable à une attaque post-quantique documentée, pourrait être considéré comme insuffisant au regard de l’article 32, indépendamment de toute violation avérée.
La directive NIS 2 (directive (UE) 2022/2555) (4) renforce cette exigence pour les entités essentielles et importantes relevant de son champ d’application. Son article 21, paragraphe 2, point h), impose explicitement l’adoption de « politiques et procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement », au titre des dix catégories de mesures de gestion des risques exigées. La menace quantique, en fragilisant les fondements mathématiques de la cryptographie asymétrique actuelle, s’inscrit directement dans le périmètre de cette obligation.
Des obligations sectorielles renforcées
Le secteur financier est soumis à un cadre encore plus précis. Le règlement DORA (règlement (UE) 2022/2554) (5) impose, en son article 9, la mise en œuvre de politiques de sécurité des technologies de l’information et de la communication couvrant la protection des clés cryptographiques ; les actes délégués complétant ce règlement détaillent l’obligation, pour les entités financières, d’élaborer, documenter et mettre en œuvre une politique de chiffrement et de contrôles cryptographiques proportionnée à leur cartographie des risques. Une politique de chiffrement figée, sans mécanisme de révision face à l’évolution de la menace quantique, s’expose ainsi à une critique de non-conformité.
Les fabricants de produits comportant des éléments numériques constituent une autre catégorie directement concernée. Le règlement sur la cyberrésilience (CRA), règlement (UE) 2024/2847 (6), impose à ces opérateurs, en ses articles 6 à 8, le respect d’exigences essentielles de cybersécurité (annexe 1) couvrant tant la conception du produit que la gestion continue de ses vulnérabilités pendant l’intégralité de son cycle de vie. Cette obligation, structurellement évolutive, suppose que le fabricant tienne compte de l’état de la menace au moment considéré. Ceci inclura, à mesure que la capacité de calcul quantique se rapprochera de sa maturité opérationnelle, la robustesse post-quantique des mécanismes cryptographiques intégrés au produit.
Anticiper : de l’obligation de moyens à la crypto-agilité documentée
Ce panorama réglementaire converge vers une même exigence pratique : les organisations ne peuvent plus se borner à une conformité statique. Il leur appartient d’engager, dès à présent, un inventaire de leurs actifs cryptographiques (clés, certificats, protocoles), d’évaluer leur exposition au scénario de captation différée des données chiffrées, et de formaliser une trajectoire de migration vers des mécanismes hybrides, en cohérence avec les préconisations de l’ANSSI.
Cette démarche, documentée, doit permettre de démontrer, en cas de contrôle, que l’organisation a pris en compte l’état de l’art au sens de l’article 32 du RGPD, satisfait aux exigences de l’article 21 de la directive NIS 2, et, le cas échéant, aux obligations sectorielles issues de DORA ou du CRA. L’absence d’une telle démarche pourrait, à terme, être regardée comme une négligence caractérisée au regard de ces textes.
Conclusion
La rupture quantique ne constitue pas un vide juridique appelant un futur texte dédié : elle active, dès aujourd’hui, des obligations de sécurité déjà codifiées dans le RGPD, la directive NIS 2, le règlement DORA et le règlement CRA. Anticiper cette transition, c’est se conformer à un cadre juridique existant, avant que son inobservation ne devienne, au moment du Q-Day, une faute manifeste.
- Règlement (UE) 2024/2847 du Parlement européen et du Conseil du 23 octobre 2024 concernant des exigences de cybersécurité horizontales pour les produits comportant des éléments numériques et modifiant les règlements (UE) n° 168/2013 et (UE) 2019/1020 et la directive (UE) 2020/1828 (règlement sur la cyberrésilience)
- Avis de l’ANSSI sur la migration vers la cryptographie post-quantique (suivi 2023), 21 décembre 2023
- Site internet de l’ANSSI : Premiers visas de sécurité incluant de la cryptographie post-quantique, 16 octobre 2025
- Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)
- Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n° 910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2)
- Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier et modifiant les règlements (CE) no 1060/2009, (UE) n° 648/2012, (UE) n° 600/2014, (UE) n° 909/2014 et (UE) 2016/1011
Avocate, Directrice du département Informatique contentieux complexe
Avocat, collaboratrice du département Informatique contentieux complexe
