Helmi Rais, Directeur de la practice Cybersécurité chez Expleo
Le jour où les protections cryptographiques actuelles commenceront à céder face aux capacités quantiques, les industriels qui n’auront ni cartographié leurs dépendances, ni priorisé leurs actifs critiques, ni préparé leur transition n’auront plus le luxe de la réflexion. En cybersécurité, l’attentisme coûte toujours plus cher que l’anticipation. Beaucoup de DSI industriels continuent de considérer la cryptographie post-quantique (PQC) comme un sujet de science-fiction. C’est une erreur. Le vrai risque n’est pas le quantique. Le vrai risque, c’est de le traiter trop tard.
La question n’est plus scientifique, elle est devenue purement stratégique. Notre économie numérique repose sur des mécanismes conçus pour résister aux machines classiques. Or, la rupture qui s’annonce est vertigineuse : des codes cryptographiques traditionnels qui résisteraient pendant des milliers d’années face à des ordinateurs conventionnels pourraient être brisés en quelques secondes par l’informatique quantique. Les experts estiment que ce basculement, le fameux
« Q-Day », pourrait survenir autour de 2030. L’impact serait dévastateur : on estime qu’une attaque quantique réussie contre une seule grande banque américaine pourrait causer des dommages économiques colossaux, compris entre 2 000 et 3 300 milliards de dollars.
Une dimension particulière pour le monde industriel
Cela signifie pourtant que certaines attaques intègrent déjà cette perspective. Des données sensibles (propriété intellectuelle, secrets industriels, contrats stratégiques, données de R&D, données souveraines) peuvent être interceptées aujourd’hui, stockées, pour être déchiffrées demain. C’est le principe du harvest now, decrypt later. Le compte à rebours a déjà commencé.
Dans le monde industriel, cette réalité revêt une dimension particulière. Au-delà des enjeux de sûreté et de souveraineté nationale, les cycles de vie des produits et des chaînes de production de l’aéronautique, du ferroviaire, de la défense ou de l’automobile durent dix, vingt, voire cinquante ans. Ces systèmes vivront dans un monde où la pression quantique sera bien réelle. De plus, la cryptographie y est omniprésente (PKI, HSM, firmwares, environnements OT, API , modèles IA), souvent profondément intégrée et rarement simple à remplacer. C’est ce qui rend le chantier post-quantique aussi sensible.
Sans détour : cette transition aura un coût
Le coût de la transition vers la PQC est d’ailleurs considérable. Il se chiffrera en millions pour les entreprises et touchera principalement deux grands postes de dépense : la mise à niveau de l’infrastructure informatique (IT) et la mise à jour des objets connectés (IoT). À titre d’exemple, les constructeurs automobiles mondiaux pourraient faire face à des coûts allant de 400 à 750 millions de dollars pour mettre à jour le matériel et les logiciels des véhicules. Pour de nombreuses organisations, la PQC représentera un effort réel de 2 à 5 % du budget annuel de la DSI.
Mais attention au calcul à court terme : retarder cette migration pourrait doubler ce coût en raison des risques de violation de données et de la prime à l’urgence. En cyber, les transitions subies sont toujours plus risquées et plus chères que les transitions préparées.
Tout ne basculera pas du jour au lendemain
Ne nous y trompons pas : la transition vers la PQC représente un changement de paradigme fondamental dans la confiance numérique. Elle marque le passage d’une ère de sécurité « statique » à une ère de « crypto-agilité ». Ce n’est pas une simple mise à jour logicielle ou un correctif, mais un programme d’ingénierie complet qui bouleverse le rôle et les chantiers des DSI.
Beaucoup d’industriels ont compris qu’un virage se dessine. Beaucoup moins ont réellement engagé les moyens, les arbitrages et la gouvernance nécessaires pour l’aborder. Selon des données publiées par Keyfactor en 2025, 48 % des entreprises déclarent ne pas être prêtes pour la cryptographie post-quantique. Et seules 28 % disent disposer à la fois du budget et des ressources humaines nécessaires pour préparer la transition, tandis que 57 % attendent encore un déclencheur externe. L’écart ne se situe plus entre ceux qui savent et ceux qui ignorent. Il se situe entre ceux qui ont commencé à bouger et ceux qui attendent encore un signal extérieur. Et c’est dans cet intervalle entre lucidité et exécution que se crée la fragilité.
La première erreur serait de croire qu’il faut tout traiter, partout, en même temps. En cybersécurité comme en stratégie, l’important est de choisir ses combats. Tous les actifs n’ont pas la même valeur. Toutes les données ne présentent pas la même sensibilité. Tous les systèmes n’ont pas le même niveau de criticité opérationnelle.
Une démarche sérieuse commence donc par une question simple : qu’est-ce qui, chez nous, doit absolument rester digne de confiance dans cinq, dix ou quinze ans ?
Vouloir tout protéger au même niveau est une illusion. Prioriser, au contraire, permet de réduire la surface d’exposition, de concentrer les investissements et d’éviter la dispersion. C’est là qu’il faut concentrer l’effort : sur les secrets industriels, les systèmes critiques, les mécanismes d’authentification, les briques embarquées difficiles à mettre à jour.
Le quantique ne simplifie rien, il exige plus
La bonne réponse n’est donc ni l’alarmisme, ni le grand soir technologique. C’est une trajectoire. D’abord, établir un inventaire précis des usages cryptographiques, en intégrant les recommandations CISA et ANSSI. Ensuite, identifier les dépendances et prioriser les actifs selon leur criticité. Puis introduire de l’agilité cryptographique, pour éviter que l’organisation ne reste prisonnière de choix techniques figés. Enfin, tester progressivement des approches hybrides, mêlant briques classiques et post-quantiques, afin de préparer une migration réaliste.
Les entreprises qui réussiront cette transition seront celles qui auront commencé tôt, fait les bons arbitrages et accepté une vérité simple : en cybersécurité, la vraie force n’est pas de nier la rupture, mais de s’y préparer avant qu’elle n’impose son calendrier. Le quantique n’est peut-être pas encore dans sa pleine puissance. Mais lui laisser de l’avance serait déjà une défaite.
