Les données chiffrées interceptées aujourd’hui peuvent être stockées et déchiffrées demain, dès qu’un ordinateur quantique suffisamment puissant sera disponible. En 2024, le NIST a finalisé trois normes de cryptographie post-quantique, correspondant à ML-KEM, ML-DSA et SLH-DSA ; une norme fondée sur FALCON était encore en préparation. Les États-Unis ont établi une transition fédérale vers des algorithmes résistants au quantique et ont priorisé les données devant rester sensibles en 2035 ; le NIST a proposé des échéances de dépréciation à partir de 2030 et d’interdiction après 2035 pour certains usages. La préparation est hétérogène en Amérique latine ; certains pays, dont le Brésil, ont déjà engagé des initiatives publiques liées à la cryptographie post-quantique.

L’essentiel

  • La migration post-quantique suit un calendrier fixe : les États qui ne le respectent pas voient leurs communications chiffrées d’aujourd’hui devenir déchiffrables demain.
  • En 2024, le NIST a standardisé quatre algorithmes PQC (CRYSTALS-Kyber, CRYSTALS-Dilithium, SPHINCS+ et FALCON) ; la NSA et la CISA exigent la migration des systèmes nationaux américains d’ici 2030.
  • La migration du seul secteur financier mondial est estimée entre 100 et 500 milliards d’euros ; le délai technique moyen est de trois à sept ans, selon le NIST.
  • La fenêtre critique dite “harvest now, decrypt later” (collecter maintenant, déchiffrer plus tard) est déjà ouverte : des acteurs hostiles stockent des flux chiffrés dans l’attente d’une capacité quantique, avec une fenêtre de cryptanalyse estimée entre 2026 et 2033.
  • L’Amérique latine affronte cette transition sans feuille de route nationale coordonnée, créant une asymétrie de risque exploitable pour ses données diplomatiques, financières et industrielles.

Les trois normes qui redessinent la sécurité mondiale

La standardisation du NIST ne s’est pas faite en un jour. Le processus a démarré en 2016 avec soixante-neuf candidats soumis par des équipes du monde entier. Huit ans plus tard, trois normes ont été finalisées à l’issue des évaluations de cryptographes universitaires, d’agences gouvernementales et d’industriels. CRYSTALS-Kyber protège les échanges de clés. CRYSTALS-Dilithium assure les signatures numériques.

SPHINCS+ offre une alternative fondée sur les fonctions de hachage. Les trois premières normes PQC finalisées par le NIST en 2024 constituent le premier ensemble NIST de standards conçus pour résister aux attaques quantiques.

La standardisation est une chose. La migration en est une autre. Changer l’infrastructure cryptographique d’un État, d’une banque centrale ou d’un opérateur télécoms ne se fait pas en quelques mois. Le NIST indique qu’historiquement, l’intégration complète de nouveaux algorithmes dans les systèmes peut prendre dix à vingt ans. Les États-Unis ont établi une transition fédérale vers des algorithmes résistants au quantique et ont priorisé les données devant rester sensibles en 2035.

Pour des pays disposant de ressources cybersécurité limitées, la migration peut présenter des difficultés supplémentaires.

Le coût est l’autre variable. Le coût de la migration du secteur financier dépend notamment de l’ampleur et de l’ancienneté des systèmes à remplacer. Les banques centrales, les registres de propriété, les systèmes de paiement interbancaire, les archives diplomatiques chiffrées : les systèmes et données dont la confidentialité doit durer longtemps doivent être priorisés selon une analyse de risque, de durée de sensibilité et de dépendances cryptographiques.

“Harvest now, decrypt later” : la menace qui se construit en silence

La contrainte de temps n’est pas théorique. Elle repose sur un mécanisme documenté par le NIST et les autorités fédérales américaines sous le nom de “harvest now, decrypt later” : les autorités américaines avertissent que des acteurs malveillants peuvent collecter et conserver dès aujourd’hui des données protégées par des algorithmes classiques vulnérables au quantique afin de tenter de les déchiffrer lorsque des capacités quantiques suffisantes seront disponibles. Les estimations publiques sur le calendrier varient ; la période 2030-2035 est parfois présentée comme une période d’inflexion, non comme une certitude. Cette estimation reste conditionnelle, personne ne sait avec précision quand un ordinateur quantique à grande échelle sera opérationnel, mais elle structure les décisions des agences de sécurité nationale des pays qui en ont les moyens.

Pour un pays d’Amérique latine dont les négociations diplomatiques, les contrats d’infrastructure ou les réserves de données financières sont chiffrées avec des protocoles classiques, la menace est concrète. Les données correctement protégées par les mécanismes asymétriques actuels ne sont pas censées être déchiffrables avec les capacités classiques disponibles, mais cette sécurité dépend de l’implémentation et de la gestion des clés. Elles pourraient être déchiffrées ultérieurement si un ordinateur quantique cryptographiquement pertinent devenait disponible. La cryptographie post-quantique, souvent déployée avec des mécanismes hybrides et une stratégie de crypto-agilité, est la principale réponse à long terme ; d’autres mesures réduisent toutefois le risque pendant la transition.

Le décalage de calendrier entre pays développés et pays en développement a des conséquences concrètes. Une migration complète et correctement mise en œuvre réduirait fortement le risque quantique futur, mais ne garantit pas à elle seule la protection de toutes les données. Les données déjà collectées et chiffrées avec des mécanismes asymétriques vulnérables peuvent demeurer exposées pendant la transition si elles gardent de la valeur jusqu’à l’arrivée d’une capacité quantique pertinente. Le retard de migration accroît le risque que des données protégées par des mécanismes asymétriques vulnérables, et interceptées, soient déchiffrées ultérieurement. Le risque varie selon les pays et les systèmes.

L’Amérique latine face à une transition sans boussole nationale

Le continent latino-américain n’est pas homogène. Le Brésil dispose de l’ANPD, l’Agence nationale de protection des données, compétente principalement en matière de données personnelles et de vie privée, et non d’une agence nationale de cybersécurité appelée ANPD, d’un secteur bancaire sophistiqué et d’une communauté de recherche en cryptographie. Le Chili a produit une stratégie nationale de cybersécurité révisée en 2023. La Colombie dispose d’organismes actifs en sécurité numérique, notamment ColCERT et un centre national d’opérations de sécurité ; la création d’une agence nationale spécialisée en sécurité numérique était encore en cours de préparation selon la source officielle consultée. Dans la région, les approches de la migration post-quantique diffèrent selon les pays.

L’obstacle principal n’est pas l’ignorance du problème. Les chercheurs latino-américains participent aux conférences internationales de cryptographie ; les banques centrales de la région connaissent les travaux du NIST. L’obstacle est structurel : migrer vers les algorithmes PQC exige des compétences rares, un inventaire exhaustif des systèmes cryptographiques existants, une capacité à tester et déployer de nouveaux protocoles sur des infrastructures hétérogènes, et des budgets pluriannuels dédiés. La disponibilité de ces facteurs varie selon les pays et les secteurs de la région.

Les délais s’allongent mécaniquement. Un pays qui commence son inventaire cryptographique en 2026 finira sa cartographie en 2027 ou 2028. La migration elle-même peut s’étendre sur plusieurs années selon les systèmes. La pleine protection dépendra du rythme de migration et de la couverture effective des systèmes. Les données à longue durée de confidentialité qui restent protégées par des mécanismes vulnérables peuvent être exposées au risque de collecte en vue d’un déchiffrement ultérieur durant tout retard de migration.

L’asymétrie est exploitable de manière différenciée. Les communications et données dont la sensibilité persiste sur une longue période doivent être priorisées selon leur durée de confidentialité, leur exposition à l’interception et leur dépendance à la cryptographie vulnérable. Un acteur disposant de capacités quantiques avancées en 2030 pourrait déchiffrer des négociations menées en 2025 avec des partenaires latino-américains. Cela inclut potentiellement des positions de négociation sur des accords commerciaux, des données sur des infrastructures critiques, ou des communications entre gouvernements et entreprises stratégiques.

Les États qui migrent tôt

La migration post-quantique n’est pas uniquement un défi défensif. Comme nous l’examinions dans un article précédent sur la cryptographie post-quantique, les États qui investissent tôt dans cette transition acquièrent un avantage structurel : ils maîtrisent les protocoles, forment les compétences, et participent à la définition des standards. Les trois normes finalisées par le NIST en 2024 sont ML-KEM, ML-DSA et SLH-DSA, dérivées respectivement de CRYSTALS-Kyber, CRYSTALS-Dilithium et SPHINCS+. La Chine conduit ses propres programmes de standardisation d’algorithmes post-quantiques, indépendamment du NIST, dans une logique de souveraineté cryptographique.

Pour les États-Unis, la Directive sur la sécurité nationale NSM-10 de 2022 a établi la priorité de migration et la NSA a publié des lignes directrices sectorielles pour la défense, le renseignement et les infrastructures critiques. Le gouvernement britannique a suivi en 2023 avec un cadre similaire. La Corée du Sud, Singapour et l’Australie ont lancé des programmes nationaux d’inventaire cryptographique. Ces États ne se contentent pas de respecter un calendrier : ils forment des cohortes d’ingénieurs spécialisés, certifient des fournisseurs, et créent les conditions d’un marché intérieur de la sécurité post-quantique.

Ce dernier point mérite attention. La migration PQC génère une demande industrielle considérable : audit des systèmes existants, développement de bibliothèques cryptographiques, intégration dans les protocoles réseau (TLS, SSH, VPN), mise à jour des équipements matériels. Les pays qui lancent tôt leurs programmes nationaux font croître un tissu industriel local. Les pays qui migrent tardivement achèteront des solutions à des fournisseurs étrangers, reproduisant une dépendance technologique que l’on observe déjà dans d’autres domaines, une dynamique que l’on retrouve dans la structuration inégale de la chaîne de valeur technologique mondiale.

La valeur de l’information pour les pays qui migrent en retard

La question posée par la migration inégale dépasse la cybersécurité au sens strict. Elle touche à la souveraineté informationnelle sur le moyen terme. Un pays dont les données stratégiques de la décennie 2020 sont potentiellement déchiffrables par des puissances adverses en 2030 subit une forme d’asymétrie informationnelle durable. Les décisions passées, les positions de négociation, les vulnérabilités identifiées dans les communications gouvernementales deviennent lisibles après coup. L’effet n’est pas immédiat, mais il est cumulatif.

Deux trajectoires semblent probables à l’horizon 2030-2035 pour l’Amérique latine. Dans la première, quelques pays, vraisemblablement le Brésil et le Chili, éventuellement le Mexique, lancent des programmes nationaux entre 2025 et 2027, soutiennent la montée en compétence d’équipes spécialisées, et atteignent une migration partielle des systèmes les plus sensibles d’ici 2032-2033. Leur exposition reste réelle pendant la transition, mais ils entrent dans la catégorie des États qui ont agi. Dans la seconde, plusieurs économies de la région progressent plus lentement, notamment lorsque le financement, les capacités institutionnelles et la priorisation politique sont insuffisants.

Ces deux trajectoires ne s’excluent pas : elles peuvent coexister au sein d’un même pays, selon les secteurs. Une banque centrale peut migrer ses systèmes de paiement d’ici 2030 tandis que les ministères sectoriels restent sur des protocoles classiques jusqu’en 2038. Cette hétérogénéité interne est elle-même une vulnérabilité : les acteurs hostiles n’attaquent pas les systèmes les mieux protégés, ils cherchent les maillons faibles.

L’Union internationale des télécommunications (UIT) et l’Organisation des États américains (OEA) ont toutes deux publié des orientations sur la transition post-quantique pour les pays en développement. Ces cadres existent. Dans plusieurs pays de la région, la traduction de ces orientations en budgets, en recrutements et en calendriers contraignants reste à consolider. Quelques initiatives méritent d’être suivies : le programme de coopération cybersécurité entre le Brésil et l’Union européenne lancé en 2023, les travaux de l’INCO (Institut national de cryptologie) en Argentine, et les discussions au sein du MERCOSUR sur une harmonisation des standards de sécurité numérique. Ces dispositifs n’ont pas nécessairement produit de feuille de route PQC coordonnée à l’échelle régionale.

La question qui reste ouverte est celle du financement. La migration post-quantique des infrastructures critiques d’un pays à revenus intermédiaires peut-elle être intégrée dans les programmes d’aide au développement numérique ? L’Union européenne, les États-Unis et la Banque interaméricaine de développement disposent de mécanismes qui pourraient financer une partie de ces transitions, à condition que les gouvernements bénéficiaires construisent les capacités institutionnelles pour les absorber. Le verrou n’est pas uniquement financier : il est politique et administratif. La cryptographie post-quantique est un sujet qui ne fait pas de une, mais dont les effets se feront sentir quand il sera trop tard pour réagir vite.

Sources

  1. NIST Post-Quantum Cryptography Standardization, https://csrc.nist.gov/projects/post-quantum-cryptography
  2. SOCI Report 2026, “Ten Scientific Advances Getting Ready to Change the World”, https://www.soci.org/news/2026/6/ten-scientific-advances-getting-ready-to-change-the-world
  3. NSA/CISA, “Quantum-Resistant Cryptography Migration Guidelines”, NSA Cybersecurity Advisory, 2022-2024
  4. ENISA, “Post-Quantum Cryptography: Current state and quantum mitigation”, Agence de l’Union européenne pour la cybersécurité
  5. UIT, “Quantum Technologies and Developing Countries: Bridging the Gap”, Union internationale des télécommunications
  6. OEA, “Cybersecurity in Latin America and the Caribbean”, Organisation des États américains, rapports annuels
  7. Directive NSM-10, National Security Memorandum on Quantum Computing, Maison Blanche, mai 2022