Des données chiffrées aujourd’hui avec des mécanismes à clé publique vulnérables au quantique peuvent devenir déchiffrables ultérieurement par un adversaire ayant enregistré les échanges et disposant d’un ordinateur quantique cryptographiquement pertinent. Cette menace, appelée « harvest now, decrypt later », rend nécessaire une transition cryptographique anticipée pour les États qui doivent protéger des données sensibles sur le long terme. L’Arabie saoudite et les Émirats arabes unis ont engagé des initiatives distinctes dans le quantique et la cybersécurité post-quantique.

L’essentiel

  • La menace quantique sur les données chiffrées est active dès aujourd’hui : des acteurs adverses collectent des données pour les déchiffrer plus tard, ce qui rend l’inaction immédiatement coûteuse.
  • Aramco et la société française Pasqal ont déployé un système de 200 qubits opérationnel en 2026, faisant de l’Arabie saoudite l’un des premiers États à exploiter une infrastructure quantique domestique à cette échelle.
  • KAUST en Arabie saoudite et MBZUAI aux Émirats arabes unis forment la prochaine génération de chercheurs en cryptographie post-quantique, réduisant la dépendance aux expertises occidentales.
  • Le NIST américain a publié ses premiers standards post-quantiques en 2024, mais leur déploiement opérationnel à l’échelle des États et des entreprises restera partiel avant 2030-2032.
  • Le chiffrement résistant au quantique pourrait devenir un standard mondial ouvert ou un avantage propriétaire que les premiers entrants transformeront en levier de dépendance.

La menace qui s’accumule avant même que les ordinateurs quantiques existent

Pour comprendre pourquoi des États du Golfe investissent massivement dans la cryptographie post-quantique en 2024-2026, il faut saisir une logique contre-intuitive : la menace est présente avant que la menace soit opérationnelle.

De nombreux systèmes de communication utilisent RSA, ECDH ou ECDSA pour l’établissement de clés, les signatures ou l’authentification, tandis que le chiffrement des données en transit repose souvent sur des algorithmes symétriques. RSA repose sur la difficulté de la factorisation entière ; ECDSA repose sur la difficulté du problème du logarithme discret sur courbe elliptique. Un ordinateur quantique cryptographiquement pertinent utilisant l’algorithme de Shor pourrait casser RSA et les cryptosystèmes fondés sur le logarithme discret, mais le temps de calcul dépendrait fortement des paramètres techniques. Aucun tel ordinateur n’existe encore. Un adversaire peut collecter et conserver certains flux protégés par des mécanismes à clé publique vulnérables afin de tenter de les déchiffrer lorsqu’une capacité quantique pertinente sera disponible.

C’est la stratégie dite « harvest now, decrypt later », documentée par le National Cybersecurity Center britannique et plusieurs agences occidentales.

Le délai entre la collecte et le déchiffrement dépend des mécanismes cryptographiques employés, de la durée de conservation des données et des capacités de calcul disponibles. Des données classifiées, des contrats d’infrastructure et des communications diplomatiques pourraient devenir lisibles ultérieurement si elles sont protégées par des mécanismes vulnérables au quantique. Pour un État pétrolier dont les négociations contractuelles à long terme représentent des centaines de milliards de dollars d’expositions, l’enjeu est concret et immédiat. L’Arabie saoudite et les Émirats arabes unis investissent dans leurs capacités quantiques et de cybersécurité.

Le partenariat Aramco-Pasqal révèle la stratégie saoudienne

Saudi Aramco et Pasqal ont installé un processeur quantique de 200 qubits à Dhahran en novembre 2025, puis ont officiellement inauguré son exploitation et une plateforme QCaaS commerciale en mai 2026. Le chiffre mérite d’être situé : Google avait annoncé 127 qubits avec son processeur Eagle en 2021, et IBM atteignait 433 qubits en 2022. Un système de 200 qubits n’est pas la frontière absolue du domaine. Mais la localisation géographique de l’infrastructure, et non son seul volume de qubits, est ce qui compte ici.

Posséder un ordinateur quantique domestique signifie plusieurs choses simultanément. D’abord, la capacité à expérimenter des algorithmes post-quantiques sur une infrastructure souveraine, sans dépendre d’un accès cloud aux calculateurs d’IBM, Google ou IonQ, et sans exposer ses propres données à des environnements étrangers. Ensuite, la possibilité de former des ingénieurs et des chercheurs nationaux sur du matériel réel, pas uniquement sur des simulateurs. Enfin, un signal politique fort : l’Arabie saoudite se positionne comme acteur de la transition quantique, non comme consommateur passif de technologies définies ailleurs.

Cette logique s’inscrit dans une stratégie plus large de souveraineté technologique que le Golfe déploie depuis plusieurs années. La question de réguler sans construire se pose avec acuité pour les États qui cherchent à contrôler des technologies fondamentales : l’Arabie saoudite a visiblement opté pour la deuxième option. Aramco n’est pas une start-up : c’est la compagnie pétrolière la plus profitable du monde, avec les moyens d’engager des partenariats technologiques à long terme sur des sujets jugés stratégiques par l’État.

Le choix de Pasqal, entreprise française spécialisée dans les atomes neutres, une technologie de qubits différente des qubits supraconducteurs de Google et IBM, révèle aussi une volonté de diversification des dépendances. Travailler avec un acteur européen de taille intermédiaire, plutôt qu’avec les géants américains, réduit l’exposition à un seul écosystème et préserve des marges de négociation.

KAUST et MBZUAI : former les experts avant que le marché les réclame

L’infrastructure matérielle ne suffit pas. La transition cryptographique post-quantique exige des ingénieurs capables de migrer les systèmes existants, d’auditer les protocoles et de déployer les nouveaux standards. Cette compétence est aujourd’hui rare et concentrée dans quelques universités et laboratoires occidentaux.

Le King Abdullah University of Science and Technology (KAUST), fondé en 2009 en Arabie saoudite avec un endowment initial de 10 milliards de dollars, a intégré la cryptographie post-quantique dans ses programmes de recherche en informatique. L’institution est entrée dans le top 100 mondial des universités en moins de quinze ans, une trajectoire qui illustre ce que des investissements soutenus et une politique de recrutement international peuvent accomplir sur une fenêtre courte. KAUST ne forme pas uniquement des chercheurs saoudiens : elle attire des doctorants du monde entier, crée des publications citées dans les revues de référence, et construit une masse critique d’expertise locale.

Aux Émirats arabes unis, le Mohamed bin Zayed University of Artificial Intelligence (MBZUAI), fondé en 2019 à Abu Dhabi, s’est spécialisé dans l’intelligence artificielle et ses fondements mathématiques, un domaine directement adjacent à la cryptographie. Doté d’une faculté recrutée dans les meilleures universités mondiales et de bourses qui couvrent intégralement les frais de formation, MBZUAI produit en quelques années une cohorte de chercheurs qui n’auraient, il y a dix ans, eu d’autre option que d’aller se former à Stanford ou à l’ETH Zurich.

Cette stratégie de formation préemptive a un précédent : c’est exactement ce que la Corée du Sud et Taïwan ont fait dans les semi-conducteurs dans les années 1980-1990, en formant massivement des ingénieurs dans des domaines jugés stratégiques avant que le marché mondial en réclame. La fragmentation géopolitique actuelle accélère cette logique : les États qui ne maîtrisent pas les compétences clés d’une technologie fondamentale se retrouveront structurellement dépendants de ceux qui les maîtrisent.

Le calendrier du NIST illustre la lenteur occidentale

En août 2024, le National Institute of Standards and Technology américain a publié ses trois premiers standards de cryptographie post-quantique : FIPS 203 (ML-KEM, dérivé de CRYSTALS-Kyber) pour l’établissement de clés, FIPS 204 (ML-DSA, dérivé de CRYSTALS-Dilithium) et FIPS 205 (SLH-DSA, dérivé de SPHINCS+) pour les signatures. C’est une avancée réelle, fruit de plusieurs années de travail collaboratif avec des cryptographes du monde entier, dont plusieurs équipes européennes et asiatiques. Ces standards constituent la base sur laquelle les systèmes futurs devront migrer.

Mais la publication de standards et leur déploiement opérationnel sont deux choses séparées par un fossé considérable. Les systèmes bancaires, les infrastructures critiques, les réseaux gouvernementaux utilisent des bibliothèques cryptographiques intégrées dans des dizaines de couches logicielles. Migrer ces systèmes demande de l’inventaire, de l’audit, du test, de la formation et du temps. ENISA indique que la transition prendra des années ; un calendrier détaillé sur environ dix ans est notamment proposé par le NCSC britannique, non par le NIST et ENISA sous la forme d’une fourchette explicite de cinq à dix ans. De grandes organisations doivent encore établir un inventaire systématique de leurs actifs cryptographiques.

L’Union européenne avance sur le sujet : l’ENISA a publié des lignes directrices, et plusieurs États membres, Allemagne, Pays-Bas, France, ont lancé des programmes nationaux de transition. Mais il n’existe pas de calendrier unifié contraignant pour les opérateurs d’importance vitale, ni de mécanisme de vérification commun. Le règlement européen sur la cybersécurité (NIS2, en vigueur depuis octobre 2024) impose des exigences générales de résilience, mais n’adresse pas spécifiquement la migration post-quantique avec des délais précis.

L’écart entre la disponibilité des standards et leur déploiement effectif peut permettre aux États qui investissent dans cette transition de développer leurs capacités. Pendant que les administrations occidentales négocient leurs budgets de migration et cartographient leurs dépendances, des États qui partent d’infrastructures plus récentes et moins complexes peuvent construire des systèmes nativement post-quantiques, sans avoir à migrer un héritage technique accumulé sur quarante ans.

Ce qui se joue dans les cinq prochaines années

Les stratégies saoudiennes et qataries de transformation et de cybersécurité soutiennent la diversification, l’innovation et les capacités numériques nationales ; l’affirmation d’une référence explicite et symétrique à la « souveraineté numérique » exige une source textuelle plus précise. La Qatar National Cyber Security Agency a publié une stratégie nationale de cybersécurité 2024-2030 ; aucune stratégie nationale spécifiquement post-quantique n’a été confirmée. Le Technology Innovation Institute d’Abu Dhabi dispose d’un centre quantique actif. Ces institutions ne travaillent pas en vase clos : elles s’appuient sur des partenariats avec des universités américaines, européennes et asiatiques, et publient dans des forums ouverts comme le NIST Post-Quantum Cryptography Standardization Project.

Cette ouverture est importante à noter. Des institutions du Golfe développent leurs compétences dans un domaine où la recherche et la normalisation restent largement collaboratives. La concentration du pouvoir dans les mains d’un petit nombre d’acteurs technologiques est un risque systémique que des puissances régionales cherchent précisément à éviter en construisant leurs propres capacités. La cryptographie post-quantique est un terrain où cela reste possible : le domaine est suffisamment ouvert, les publications suffisamment accessibles, les standards suffisamment récents pour qu’un acteur déterminé puisse rattraper son retard et même prendre de l’avance sur des segments précis.

Les algorithmes post-quantiques peuvent être intégrés à des services, des bibliothèques et des outils de migration proposés par différents acteurs. Les standards du NIST sont ouverts, mais les implémentations, les bibliothèques optimisées, les services de migration et l’expertise opérationnelle ne le sont pas nécessairement. La maîtrise des compétences, des outils de déploiement et de la formation peut contribuer aux capacités nationales de sécurisation des systèmes critiques.

Les organisations qui n’ont pas encore commencé doivent établir un inventaire de leurs actifs cryptographiques. Cet inventaire porte sur deux points : les systèmes utilisant RSA ou ECDSA, et les données dont la valeur s’étend sur un horizon de dix ans ou plus. Ces deux critères permettent de privilégier une migration qui, sans eux, reste une abstraction budgétaire facile à reporter. Les États du Golfe ont engagé cette démarche.

L’Occident dispose encore du temps pour le faire, à condition de le mesurer correctement.

Sources

  1. Middle East Institute, AI, the Gulf, and the US: A Primé : https://mei.edu/report/ai-the-gulf-and-the-us-a-primer/
  2. NIST Post-Quantum Cryptography Standards (FIPS 203, 204, 205), août 2024 : https://www.nist.gov/pqcrypto
  3. KAUST, King Abdullah University of Science and Technology : https://www.kaust.edu.sa
  4. Mohamed bin Zayed University of Artificial Intelligence (MBZUAI) : https://mbzuai.ac.ae
  5. ENISA, Post-Quantum Cryptography: Current State and Quantum Mitigation, 2024 : https://www.enisa.europa.eu/publications/post-quantum-cryptography-current-state-and-quantum-mitigation
  6. Qatar National Cybersecurity Agency, National Cybersecurity Strategy : https://www.ncsa.gov.qa
  7. Technology Innovation Institute, Quantum Research Center (Abu Dhabi) : https://www.tii.ae/quantum