Post-quantique : l'ETI qui a décidé de ne pas attendre que ses données soient déjà percées

# Post-quantique : l'ETI qui a décidé de ne pas attendre que ses données soient déjà percées

*Retour terrain — Format étude de cas anonymisée*

Il y a une phrase que le RSSI de cette ETI industrielle m'a dite, et que je n'oublie pas : « Le jour où quelqu'un aura un ordinateur quantique opérationnel, ce n'est pas ce jour-là qu'il faudra commencer à chiffrer autrement. Ce sera trop tard depuis longtemps. »

Nous sommes en 2026. La menace quantique n'est pas encore là — enfin, pas publiquement, pas commercialement. Mais le paradigme « harvest now, decrypt later » est une réalité documentée : des acteurs étatiques, et peut-être d'autres, collectent aujourd'hui des flux chiffrés en attendant d'avoir demain les moyens de les ouvrir. Vos données industrielles de 2024 pourraient être lisibles dans cinq ans. Ou trois. Ou moins.

Cette ETI l'a compris. Et ce qu'elle a fait mérite d'être raconté, non pas comme un cas d'école technologique, mais comme une leçon d'organisation.

Le point de départ : une prise de conscience, pas une panique

L'entreprise en question fabrique des équipements industriels de précision. Huit cents salariés, présence dans plusieurs pays européens, un carnet de commandes qui court sur plusieurs années. Son patrimoine informationnel — plans, formules, données clients, contrats de sous-traitance défense — a une durée de vie stratégique longue. Très longue.

Fin 2024, leur RSSI assiste à une conférence technique où le NIST américain vient de finaliser ses premiers standards post-quantiques. Il rentre avec une conviction : ce n'est pas un sujet de laboratoire, c'est un sujet de gouvernance. Et il a dix-huit mois pour convaincre sa direction générale avant que le sujet ne lui soit imposé de l'extérieur — par un client grand compte, par un donneur d'ordre ou par une régulation européenne.

PremiÈre décision : ne pas externaliser la réflexion stratégique à un prestataire américain. Ce choix mérite d'être souligné, parce qu'il n'est pas anodin.

Pourquoi la dépendance aux prestataires US est précisément le problème

Quand on parle de chiffrement post-quantique en entreprise, la tentation est immédiate : appeler son intégrateur habituel, demander une roadmap, signer un contrat. Sauf que les grands acteurs du conseil et de la cybersécurité capables de répondre rapidement à cette demande sont, pour l'essentiel, américains. Et là, je vais être direct : confier la migration post-quantique de ses infrastructures à un prestataire soumis au Cloud Act ou au Patriot Act, c'est potentiellement déplacer le problème sans le résoudre.

La cryptographie post-quantique protège vos données contre un adversaire futur équipé d'un ordinateur quantique. Elle ne vous protège pas contre un prestataire qui a accès légal à vos clés, à vos métadonnées, à la topologie de votre architecture. Ce n'est pas une paranoïa : c'est du droit positif américain.

L'ETI l'a intégré. Et c'est à partir de là que les vraies décisions organisationnelles ont commencé.

Ce qu'ils ont fait, concrètement

1. Cartographier avant de migrer

La première phase a duré plusieurs mois et n'a impliqué aucun outil externe. Une petite équipe interne — le RSSI, un architecte réseau, et une personne issue de la direction juridique — a produit ce qu'ils appellent leur « inventaire cryptographique » : où sont les algorithmes vulnérables dans leurs systèmes ? RSA, ECDH, les certificats TLS, les VPN, les signatures électroniques sur les documents contractuels... La liste est plus longue qu'ils ne le pensaient.

Ce travail de cartographie est ingrat, peu visible, et pourtant absolument fondamental. Il ne peut pas être délégué à un tiers sans lui donner une vue complète sur votre architecture. C'est un travail de souveraineté, au sens le plus concret du terme.

2. Former en interne plutôt que de sous-traiter la compétence

C'est la décision que je considère la plus courageuse — et la plus rare. Plutôt que de mandater un cabinet pour gérer la migration, la direction a investi dans la montée en compétences de deux ingénieurs internes. Pas une formation certifiante de deux jours : un accompagnement long, avec des organismes de formation européens spécialisés, sur les algorithmes retenus par le NIST (CRYSTALS-Kyber pour l'encapsulation de clé, CRYSTALS-Dilithium pour les signatures) et sur les travaux de l'ANSSI en la matière.

L'ANSSI, justement, est ici une ressource que trop d'ETI ignorent. Ses guides, ses recommandations, ses positions sur la crypto post-quantique sont publics, rigoureux, et rédigés avec un prisme européen assumé. C'est une boussole. Utilisez-la.

Former en interne, c'est plus lent. C'est plus cher à court terme. Mais c'est la seule façon de ne pas se retrouver captif d'un prestataire qui détient seul la compétence sur votre propre infrastructure.

3. Prioriser par sensibilité des données, pas par commodité technique

Ils n'ont pas cherché à tout migrer d'un coup. Ils ont classé leurs flux et leurs données en trois niveaux de priorité selon un critère simple : combien de temps cette donnée doit-elle rester confidentielle ?

Les données à durée de vie stratégique longue — propriété intellectuelle, données de R&D, contrats pluriannuels — ont été traitées en premier. Les flux internes à faible sensibilité temporelle, en dernier. C'est du bon sens opérationnel, mais c'est surtout une décision de gouvernance que la direction générale a dû valider. Ce n'est pas un sujet que l'on peut laisser uniquement à la DSI.

Les implications RH que personne ne veut entendre

Je vais dire ce que beaucoup de consultants évitent : la migration post-quantique va créer des tensions internes. Pas parce que la technologie est complexe, mais parce qu'elle redistribue le pouvoir dans l'organisation.

Dans cette ETI, l'architecte réseau historique — en poste depuis quinze ans, excellent dans ce qu'il fait — s'est retrouvé face à des algorithmes qu'il ne maîtrisait pas. La question de la formation ou de l'évolution de poste s'est posée. Elle a été gérée avec soin, mais elle a été posée. Ne pas l'anticiper, c'est prendre le risque que les résistances au changement se cristallisent sur le sujet technique alors qu'elles sont en réalité humaines.

Autre tension : la relation avec les fournisseurs de logiciels. Plusieurs éditeurs présents dans le SI de l'ETI — dont certains acteurs américains bien installés — n'ont pas de roadmap claire sur la compatibilité post-quantique de leurs produits. Que fait-on ? On attend ? On change de logiciel ? On maintient deux couches de chiffrement en parallèle ?

Ces questions ne sont pas des questions techniques. Ce sont des questions de stratégie d'achat, de relation fournisseur, et finalement de dépendance. Et elles remontent directement au COMEX.

Ce que j'en retiens pour vous

Je pense que le chiffrement post-quantique est le premier grand test de maturité souverainiste des ETI européennes dans la décennie qui vient. Pas parce que la menace quantique est imminente — elle ne l'est peut-être pas. Mais parce que la façon dont une organisation aborde ce sujet révèle exactement sa capacité à reprendre la main sur son destin numérique.

Si vous attendez que votre prestataire américain habituel vous propose une migration clé en main, vous aurez une migration. Mais vous n'aurez pas la compétence. Pas la maîtrise. Et probablement pas la souveraineté.

Il faut, dès maintenant, cartographier votre exposition cryptographique en interne. Il faut identifier les deux ou trois personnes dans votre équipe qui peuvent monter en compétences sur ce sujet. Il faut regarder ce que l'ANSSI publie, ce que le BSI allemand recommande, ce que l'ENISA européenne commence à structurer. Ces ressources existent. Elles sont gratuites. Et elles ont l'avantage de ne pas vous facturer un abonnement annuel en dollars.

L'ETI dont je vous ai parlé n'a pas tout résolu. Elle est en plein milieu du gué. Mais elle sait où elle met les pieds — et c'est elle qui tient la carte.

*L'identité de l'entreprise et de ses responsables a été modifiée pour préserver leur confidentialité.*