Cryptographie post-quantique (PQC)

La transition PQC ne se fera pas sans disponibilité de produits de confiance. Aussi, l'ANSSI œuvre dès à présent à la disponibilité d'une offre de solutions PQC certifiées/qualifiées par l'ANSSI pour les organisations.

Evaluations de sécurité :

L’ANSSI s’implique sur l’évolution du cadre d’évaluation des produits de sécurité, afin que ceux-ci puissent intégrer les aspects PQC. Ainsi, l’Agence accompagne les centres d'évaluation de solutions de cybersécurité (CESTI) afin que ceux-ci développent des compétences sur l'évaluation des mécanismes hybrides, l'évaluation des algorithmes PQC ou encore l'évaluation des attaques sur leurs implémentations. Le centre de certification national de l’ANSSI (CCN) a initié les premiers projets pilotes d’évaluation et a mis à jour sa doctrine d’agrément cryptographique. Par ailleurs, l'Agence vise la mise en place d’obligations PQC pour entrer en qualification, à partir de 2027.

L’ANSSI a récemment émis les deux premières certifications de produits comprenant des algorithmes de cryptographie post-quantique à base de réseaux euclidiens en France. Les solutions des entreprises Thales et Samsung ont ainsi été reconnues par un Visa de sécurité ANSSI, suite à des évaluations conduites par le Centre d’évaluation CEA-Leti.

Guides et référentiels de l’ANSSI

L’ANSSI est actuellement en train de mettre à jour ses différents guides et référentiels pour intégrer de la PQC, notamment son guide des mécanismes cryptographiques (annexe B1 du RGS) et son référentiel IPsecDR.

Suivi de l’offre

L’ANSSI s’implique pour suivre l’offre en matière de cryptographie post-quantique. Fin 2024, l’ANSSI a publié les résultats d’une enquête menée auprès de développeurs de produits de cybersécurité intégrant de la cryptographie. Celle-ci a contribué à identifier des freins techniques et organisationnels à la transition post-quantique.

Dispositifs de soutien financier

L’ANSSI s’est impliquée dans le lancement du dernier appel à projets « Développement de technologies innovantes critiques » lancé par le Secrétariat général pour l’investissement (SGPI), qui permet d’apporter un soutien financier au développement d’outils d’aide à la transition.

Par ailleurs, l’ANSSI contribue à rendre visible et lisible, auprès de l’écosystème des offreurs de solutions de cybersécurité, les appels à projets européens du programme Digital Europe et Horizon Europe qui concernent la PQC. Ces activités s’effectuent via le Centre de coordination cyber français (NCC-FR) hébergé par l’ANSSI.

Pour tous détails complémentaires, veuillez consultez la FAQ de l'ANSSI dédiée à la PQC.

L’ANSSI a pour objectif d’accompagner les organisations régulées (considérées comme les « bénéficiaires » de l’ANSSI) dans leur transition vers la PQC.

Afin d’obtenir un état des lieux des pratiques des bénéficiaires, l’ANSSI a mené une étude de marché auprès d'une cinquantaine de ministères et d'entreprises stratégiques. En parallèle, l’ANSSI a mené une enquête sur l’offre de prestations d’accompagnement et de conseil en PQC auprès d’une trentaine de prestataires de services susceptibles d’accompagner la transition post-quantique des organisations.

Recommandations de l’ANSSI pour préparer la transition post-quantique 

L'ANSSI conseille aux organisations publiques et privées, quels que soient les secteurs d'activité, à inclure la menace quantique dans leur analyse de risque et à démarrer dès à présent un premier travail d'inventaire, afin d'obtenir une bonne visibilité de leurs usages de la cryptographie. Les cas d'usage identifiés comme critiques devront être les premiers à être pris en compte dans une optique de transition post-quantique.

L'ANSSI indique qu'il ne sera pas raisonnable d'acheter des produits qui n'intègrent pas de la PQC après 2030. Les enjeux PQC doivent être pris en compte dans le cycle de renouvellement des systèmes d'information, afin que la transition soit anticipée, maîtrisée et coûte possiblement moins cher.

Cadre réglementaire

Le périmètre actuellement réglementé en matière de cryptographie concerne les données classifiées de défense ou portant la mention de protection Diffusion Restreinte, les systèmes d'information vitale (dispositif SAIV), ainsi que les certifications/qualifications de produits (Visas de sécurité ANSSI). Pour ces éléments, les textes réglementaires et référentiels vont évoluer pour intégrer la PQC. Au-delà du périmètre mentionné, il n'est pas prévu à l'heure actuelle de réglementation dédiée.

Pour tous détails complémentaires, veuillez consulter la FaQ de l’ANSSI dédiée à la PQC.