L'Informatique Quantique en Mai 2026 : État Réel, Menace Cryptographique et Réponse Normative Mondiale

Résumé exécutif

En mai 2026, l'informatique quantique se trouve à un point d'inflexion historique : des percées scientifiques réelles et documentées coexistent avec un discours marketing souvent exagéré, tandis que la menace sur la cryptographie actuelle s'accélère à un rythme que les estimations d'il y a cinq ans n'anticipaient pas. Trois constats s'imposent à l'issue d'une analyse rigoureuse des sources primaires disponibles.

Sur le plan scientifique, Google a franchi en décembre 2024 le seuil critique de la correction d'erreurs quantiques tolérant aux fautes (below-threshold fault-tolerant error correction) avec sa puce Willow, et a démontré un avantage quantique sur un benchmark de calcul spécifique. IBM a structurellement pivoté de la course aux qubits vers la qualité des opérations logiques. Microsoft a annoncé des qubits topologiques dans un article de Nature (février 2025), mais la communication de l'entreprise a été jugée trompeuse par la communauté scientifique, car l'article lui-même ne prouve pas l'existence de modes de Majorana. Le décodage assisté par IA (AlphaQubit, Nature 2024) représente une avancée réelle mais limitée à des distances de code modérées.

Sur le plan cryptographique, la menace s'est radicalement rapprochée. Des travaux publiés ou présentés entre mai 2025 et début 2026 ont réduit d'un facteur 20 à 200 les ressources quantiques estimées nécessaires pour factoriser RSA-2048, ramenant les estimations de 20 millions de qubits physiques (2021) à potentiellement moins de 100 000 dans les architectures les plus récentes. Les agences gouvernementales (NSA, NIST, CISA, ENISA, ANSSI) situent l'émergence d'un ordinateur quantique cryptographiquement pertinent (Cryptanalytically Relevant Quantum Computer — CRQC) dans la fenêtre 2030–2040, avec une probabilité croissante autour de 2035. La menace du type harvest now, decrypt later (HNDL) est d'ores et déjà qualifiée de réelle et active par l'ensemble des autorités.

Sur le plan normatif, la réponse institutionnelle est désormais substantielle et juridiquement contraignante. Le NIST a finalisé trois normes post-quantiques (FIPS 203, FIPS 204, FIPS 205) en août 2024. Les États-Unis ont mis en place un cadre exécutif et législatif complet (NSM-10, OMB M-23-02, CNSA 2.0). L'Union européenne a publié la Recommandation (UE) 2024/1101 sur la cryptographie post-quantique, adopté le Règlement (UE) 2024/2847 (Cyber Resilience Act), et la feuille de route coordonnée UE de juin 2025 fixe des jalons précis jusqu'en 2035. Malgré ce cadre dense, en 2026, seulement 5 % des entreprises ont déployé un chiffrement quantique-résistant.

Axe 1 — Avancées scientifiques réelles vs hype

La correction d'erreurs quantiques sous le seuil : la percée de Google (décembre 2024)

La démonstration la plus significative de l'année 2024 en informatique quantique est publiée dans Nature le 9 décembre 2024 par Google Quantum AI sous le titre "Quantum error correction below the surface code threshold" [1]. Il s'agit du premier résultat expérimental établissant de manière définitive que la correction d'erreurs quantiques peut fonctionner en dessous du seuil critique de tolérance aux fautes, un prérequis théorique fondamental pour toute architecture quantique à grande échelle.

Résultats techniques clés. Le processeur Willow (105 qubits supraconducteurs) implémente deux mémoires quantiques basées sur le code surfacique (surface code) : un code de distance 7 (101 qubits logiques) atteignant un taux d'erreur logique de 0,143 % ± 0,003 % par cycle, et un code de distance 5 avec décodeur en temps réel intégré sur un processeur de 72 qubits. Le facteur de suppression d'erreurs mesuré est Λ = 2,14 ± 0,02 lors du passage d'une distance de code à la suivante, confirmant la suppression exponentielle des erreurs prédite par la théorie. La durée de vie du qubit logique atteint 291 ± 6 microsecondes, soit 2,4 fois celle du meilleur qubit physique constitutif (médiane : 85 ± 7 μs) — un résultat dit "beyond breakeven" (au-delà du seuil de rentabilité). Le décodage en temps réel est réalisé avec une latence moyenne de 63 microsecondes à distance 5, sur 1 million de cycles, en maintenant des performances sous le seuil malgré le temps de cycle de 1,1 microseconde du processeur [1].

L'article cite textuellement :

"The logical error rate of our larger quantum memory is suppressed by a factor of Λ = 2.14 ± 0.02 when increasing the code distance by 2, culminating in a 101-qubit distance-7 code with 0.143% ± 0.003 per cent error per cycle. This logical memory is also beyond breakeven, exceeding the lifetime of its best physical qubit by a factor of 2.4 ± 0.3. Our results indicate device performance that, if scaled, could realize the operational requirements of large-scale fault-tolerant quantum algorithms." [1]

Des codes de répétition de haute distance (jusqu'à la distance 29) ont révélé un plancher d'erreur logique de 10⁻¹⁰ causé par des événements d'erreurs corrélées rares survenant environ une fois par heure — phénomène dont l'origine reste inexpliquée par les auteurs eux-mêmes [1]. Cette honnêteté scientifique contraste avec certaines présentations marketing. Michael Newman (chercheur chez Google Quantum AI) a déclaré : "No one has achieved this until now... using the Willow processor, we are finally below this threshold. More specifically, as Willow uses more qubits in these groupings, the errors are suppressed exponentially quickly." [3]

Contexte : le précédent de 2023. En février 2023, Google avait déjà publié dans Nature une comparaison entre un code surfacique de distance 3 (17 qubits physiques, taux d'erreur 3,028 %) et un code de distance 5 (49 qubits physiques, taux 2,914 %), démontrant pour la première fois expérimentalement que l'augmentation de la taille du code réduit effectivement les erreurs logiques, avec un degré de confiance de 5σ [4]. Les taux demeuraient alors trop élevés pour des applications pratiques (l'objectif étant 10⁻⁶ ou moins), mais la preuve de principe était établie. Google projetait alors que des codes de distance 17 (577 qubits physiques de qualité suffisante) pourraient atteindre des taux inférieurs à 10⁻⁶ [4].

IBM — Qualité plutôt que quantité : une stratégie de maturité

IBM Quantum a effectué un tournant stratégique majeur en 2023–2024, pivotant de la course annuelle au doublement du nombre de qubits vers la priorité à la résistance aux erreurs et à la fiabilité [5][6]. Cette évolution reflète une maturité croissante de la stratégie industrielle.

Évolution du matériel. Les familles de processeurs IBM ont progressé de Canary (5–16 qubits, 2017) à Condor (1 121 qubits, 2023), en passant par Eagle (127 qubits, 2021) et Osprey (433 qubits, 2022). Le processeur Heron (2023–2024), avec 133 à 156 qubits, représente ce pivot stratégique : il apporte une amélioration de performances de 3 à 5 fois par rapport à Eagle, avec une élimination quasi-complète de la diaphonie (cross-talk). La révision Heron r2 (juillet 2024) inclut des capacités de mitigation des systèmes à deux niveaux (TLS) [6].

IBM Quantum System Two, opérationnel au laboratoire d'IBM à Yorktown Heights, constitue le premier ordinateur quantique modulaire au monde : il abrite trois processeurs Heron avec une électronique de contrôle de troisième génération, et démontre plus de 95 % de disponibilité collective avec des erreurs de portes à deux qubits n'excédant pas 0,001 sur plusieurs mois [5].

Feuille de route (Quantum Developer Conference, novembre 2025). IBM a annoncé la puce Nighthawk (120 qubits logiques, 218 coupleurs accordables, disponible fin 2026), capable d'exécuter des circuits quantiques avec jusqu'à 5 000 portes à deux qubits, avec une projection à 15 000 portes par 2028. IBM revendique également une réduction de 10× de la vitesse de correction d'erreurs et de 100× du coût de la mitigation d'erreurs. Jay Gambetta, directeur d'IBM Research, a déclaré : "We believe that IBM is the only company that is positioned to rapidly invent and scale quantum software, hardware, fabrication, and error correction to unlock transformative applications." [7]

La feuille de route étendue (jusqu'en 2033) prévoit les jalons Starling (100 millions de portes sur 200 qubits logiques, 2029) et Blue Jay (1 milliard de portes sur 2 000 qubits logiques, 2033) [8]. IBM affirme que l'avantage quantique sera confirmé d'ici fin 2026 et que l'informatique quantique tolérante aux fautes sera opérationnelle d'ici 2029, une ambition que Sabrina Maniscalco (PDG d'Algorithmiq) a commentée en ces termes : "Making big claims in quantum computing is one thing. Backing them up in the cold, harsh light of independent peer review is quite another." [7] IBM a créé avec Algorithmiq, le Flatiron Institute et BlueQubit un open quantum advantage tracker permettant une vérification indépendante par les pairs.

Microsoft et les qubits topologiques : entre annonce et controverse

Microsoft a publié dans Nature le 19 février 2025 un article présentant une mesure interférométrique d'un seul coup de la parité fermionique dans un dispositif hybride d'arséniure d'indium-aluminium (InAs-Al), avec des boîtes quantiques comme mécanismes de lecture, atteignant une probabilité d'erreur d'assignation de parité de seulement 1 % [11]. La théorie des qubits topologiques repose sur les modes de Majorana zéro (MZM), qui existent aux extrémités de fils supraconducteurs et sont théoriquement résistants à de nombreux types d'erreurs.

La controverse sur la communication de Microsoft. Le communiqué de presse de Microsoft a prétendu que l'article Nature constituait une "peer-reviewed confirmation" que la société avait créé le premier qubit topologique au monde (puce Majorana-1). Cette affirmation a été largement critiquée par la communauté scientifique. De manière significative, l'équipe éditoriale de Nature a explicitement précisé dans l'article publié :

"The results in this manuscript do not represent evidence for the presence of Majorana zero modes in the reported devices. The work is published for introducing a device architecture that might enable fusion experiments using future Majorana zero modes." [13]

Chetan Nayak (Microsoft) a clarifié que les affirmations sur le qubit topologique réel (mesures Z et X) reposent sur des résultats non publiés présentés à la réunion Station Q après la soumission de l'article en mars 2024 — résultats qui ne figurent pas dans l'article Nature lui-même. Il a indiqué observer des erreurs sur une échelle de ~10 millisecondes pour les mesures Z et ~5 microsecondes pour les mesures X [13]. Scott Aaronson (informaticien, MIT) a commenté :

"If the claim stands, topological qubits have finally reached some sort of parity with where more traditional qubits were 20–30 years ago." [13]

Ce précédent s'inscrit dans un contexte difficile pour Microsoft : la société avait dû retirer en 2018 des affirmations antérieures sur les modes de Majorana, fondées sur des données inexactes. Une feuille de route technique publiée sur arXiv (arXiv:2502.12252, 17 février 2025) décrit un programme en quatre phases pour des qubits tetron à protection topologique, dont chacun stocke l'information quantique dans quatre modes de Majorana zéro à l'extrémité de deux fils supraconducteurs topologiques [12]. Même si les affirmations sont confirmées, la mise à l'échelle vers des ordinateurs quantiques pratiques présente des défis considérables en matière de cohérence, de stabilité et de pureté des matériaux.

Avantage quantique vérifié : Google Willow et le benchmark RCS

Google a annoncé la puce Willow le 9 décembre 2024 avec des résultats publiés dans Nature [1][2][3]. Le benchmark de Random Circuit Sampling (RCS) réalisé par Willow effectue en moins de cinq minutes un calcul que le supercalculateur Frontier (le plus rapide au monde jusqu'à fin 2024) prendrait approximativement 10 septillions d'années (10²⁵ ans) — soit un temps vastement supérieur à l'âge de l'univers.

Hartmut Neven, fondateur de Google Quantum AI, a déclaré : "Quantum processors are peeling away at a double exponential rate and will continue to vastly outperform classical computers as we scale up." [2] et "The more qubits we use in Willow, the more we reduce errors, and the more quantum the system becomes." [2]

Évaluations d'experts indépendants. Le professeur Javad Shabani (NYU) a qualifié la percée de "l'un des faits marquants de la décennie récente" [9]. Le professeur Kaden Hazzard (Rice University) a estimé qu'"il faudra encore au moins quelques années avant que les ordinateurs quantiques puissent être utilisés directement pour des applications commerciales" [9]. Le Dr Peter Leek (Oxford Quantum Institute) a salué l'avancée tout en précisant que "les résultats de traitement très rapides concernent des calculs qui n'ont pas beaucoup d'utilité réelle" [10].

Limites reconnues par Google elle-même. Le benchmark RCS ne résout pas de problèmes pratiquement utiles — c'est une démonstration de performance sur un calcul sans application directe. Hartmut Neven a explicitement reconnu que le prochain défi est de démontrer une computation "useful, beyond-classical" applicable à des problèmes du monde réel [2]. Les estimations industrielles indiquent que 200 à 1 000 qubits physiques seront nécessaires par qubit logique pour des applications à grande échelle ; l'objectif d'un million de qubits physiques de Google se traduit par environ 1 000 à 5 000 qubits logiques [3].

AlphaQubit : le décodage d'erreurs assisté par intelligence artificielle

Des chercheurs ont développé AlphaQubit, un réseau de neurones transformeur récurrent (recurrent transformer-based neural network) apprenant à décoder les erreurs quantiques dans les codes surfaciques avec une précision supérieure aux décodeurs existants. Les résultats ont été publiés dans Nature en 2024 [14].

Approche et performances. AlphaQubit utilise un entraînement en deux étapes : pré-entraînement sur des données simulées (jusqu'à 2,5 milliards d'échantillons) puis ajustement (finetuning) sur des données expérimentales limitées du processeur Sycamore de Google. Il atteint des taux d'erreur logique de (2,901 ± 0,023) × 10⁻² à distance 3 et (2,748 ± 0,015) × 10⁻² à distance 5, surpassant le décodeur à réseau de tenseurs et toutes les variantes de minimum-weight perfect matching (MWPM). Le décodeur est mis à l'échelle jusqu'à la distance de code 11 (supportant 17 à 241 qubits physiques) et se généralise à des expériences allant jusqu'à 100 000 rounds de correction d'erreurs alors qu'il n'a été entraîné que sur 25 rounds. Sa sortie probabiliste bien calibrée permet des stratégies de post-sélection réduisant les taux d'erreur d'un facteur 20 en rejetant seulement 0,2 % des échantillons [14].

L'article indique textuellement :

"Our work illustrates the ability of machine learning to go beyond human-designed algorithms by learning from data directly, highlighting machine learning as a strong contender for decoding in quantum computers." [14]

"To perform fault-tolerant quantum computation such as the factorization of a 2,000-bit number, the logical error rate needs to be reduced to about 10⁻¹² per logical operation, far below the error rates in today's hardware that are around 10⁻³ to 10⁻² per physical operation." [14]

Limites actuelles. La démonstration reste cantonnée aux distances de code inférieures ou égales à 11. Le défi majeur est la vitesse : l'objectif est 1 microseconde par round pour les qubits supraconducteurs, ce qu'AlphaQubit n'atteint pas encore dans sa forme actuelle.

Évaluation honnête : rupture réelle vs projections spéculatives

Plusieurs constats s'imposent pour distinguer les avancées réelles du discours marketing.

Ce qui est réel et documenté : La démonstration below-threshold de Google (Nature, décembre 2024) est solide scientifiquement, avec des données quantitatives, des barres d'erreur précises et une reconnaissance explicite des limites. L'avantage quantique sur RCS est démontré mais sur un problème sans utilité pratique directe. AlphaQubit représente une véritable avancée en décodage, publiée dans une revue à comité de lecture.

Ce qui relève du hype ou de projections non vérifiées : Les annonces de Microsoft sur les qubits topologiques ont été présentées de manière trompeuse, le communiqué de presse attribuant à l'article Nature des confirmations que l'article lui-même réfute explicitement. Les feuilles de route de IBM et de Google pour 2029–2033 sont des projections commerciales, pas des résultats scientifiques. Le fossé entre les benchmarks RCS et la résolution de problèmes pratiquement utiles reste immense : comme AlphaQubit le rappelle, il faut réduire les taux d'erreur logique à 10⁻¹² par opération, là où les meilleurs systèmes actuels atteignent 10⁻³ à 10⁻² [14]. Scott Aaronson lui-même a souligné que même si les affirmations de Microsoft sur les qubits topologiques se confirment, ceux-ci "have finally reached some sort of parity with where more traditional qubits were 20–30 years ago" [13] — soulignant l'écart de développement considérable restant.

Google reconnaît dans son article Nature de décembre 2024 : "We do not yet understand the cause of these [correlated error] events, but mitigating them remains vital to building a fault-tolerant quantum computer" [1]. Cette intellectuelle honnêteté scientifique contraste avec la tendance du marketing à présenter chaque résultat comme un tournant immédiat vers des applications pratiques.

Axe 2 — Menace réelle sur la cryptographie

RSA-2048 : évolution spectaculaire des estimations de ressources quantiques

La question des ressources quantiques nécessaires pour factoriser RSA-2048 (via l'algorithme de Shor) a connu une évolution radicale entre 2021 et 2026, principalement par des progrès algorithmiques plutôt que matériels.

Gidney & Ekerå (2021) — l'estimation de référence. L'article "How to Factor 2048 Bit RSA Integers in 8 Hours Using 20 Million Noisy Qubits" (Craig Gidney & Martin Ekerå, Quantum 5, 433, 2021) a établi que casser RSA-2048 nécessite environ 4 000 qubits logiques et 10¹⁰ portes Toffoli, réalisables en 8 heures sur un ordinateur quantique d'environ 20 millions de qubits physiques bruités [15]. Cette estimation représentait déjà une réduction dramatique par rapport à l'évaluation de 2012 qui estimait à environ 1 milliard de qubits [15].

Sanders et al. (Physical Review Letters, 2021). L'article "Factoring 2048-bit RSA Integers in 177 Days with 13,436 Qubits and 177 Days" (Phys. Rev. Lett. 127, 140503, 2021) présente une estimation alternative : 13 436 qubits sur 177 jours [16]. La différence s'explique par des compromis différents entre nombre de qubits et durée de calcul.

Chevignard et al. (2024) — approche à faible nombre de qubits. Une approche de 2024 utilise seulement environ 1 730 qubits logiques mais exige 2³⁶ portes Toffoli et plusieurs exécutions. Toutes les approches viables requièrent environ 10⁷ jours-qubits de calcul [20].

Gidney (mai 2025, arXiv) — réduction d'un facteur ~20. Une nouvelle étude du chercheur de Google Quantum AI Craig Gidney (publiée sur arXiv en mai 2025) réduit significativement les estimations pour casser RSA-2048. Le résultat propose qu'un ordinateur quantique avec moins d'un million de qubits physiques pourrait factoriser une clé RSA de 2048 bits en moins d'une semaine — une réduction de 95 % par rapport à l'estimation de 2019/2021 de 20 millions de qubits [17]. L'innovation repose sur trois améliorations algorithmiques : arithmétique résiduelle approximative, stockage de qubits logiques à faible surcharge (yoked surface codes), et préparation d'état plus efficace. L'attaque nécessiterait un fonctionnement continu pendant cinq jours avec des cycles de code surfacique de 1 microseconde et des taux d'erreur de portes n'excédant pas 0,1 % — des performances hors de portée aujourd'hui mais cohérentes avec certaines feuilles de route [17]. Gidney a déclaré : "Not because I expect sufficiently large quantum computers to exist by 2030, but because I prefer security to not be contingent on progress being slow." [17]

Iceberg Quantum (février 2026) — réduction supplémentaire d'un facteur ~10. La start-up sydnéenne Iceberg Quantum a présenté une architecture Pinnacle utilisant des codes QLDPC (Quantum Low-Density Parity-Check) au lieu des codes surfaciques, réduisant les besoins à moins de 100 000 qubits physiques pour casser RSA-2048. Ce chiffre est présenté dans un livre blanc, non dans un article à comité de lecture, et doit être interprété avec prudence [20].

Trajectoire synthétique. Les trois générations de travaux illustrent une trajectoire où les estimations de qubits physiques nécessaires pour casser RSA-2048 ont évolué à travers des réductions de facteurs 10 à 20, pilotées par des progrès algorithmiques plutôt que matériels. Comme une analyse l'indique : "What once required 20 million qubits now requires fewer than one million for RSA, potentially fewer than 100,000 under newer architectures." [20]

Cryptographie sur courbes elliptiques (ECC) : la cible la plus vulnérable

Une vérité contre-intuitive mais établie scientifiquement est que l'ECC est plus vulnérable à une attaque quantique que RSA, malgré sa réputation de meilleure sécurité à taille de clé équivalente.

La raison fondamentale. L'algorithme de Shor s'applique aussi bien à la factorisation (RSA) qu'au problème du logarithme discret sur les courbes elliptiques (ECDLP). Comme l'explique Scott Aaronson (cité par Marin Ivezic) : "Elliptic curve crypto is likely to fall to quantum computers a bit before RSA and Diffie-Hellman will fall, because ECC's 'better security' led people to use 256-bit keys rather than 2,048-bit keys, and Shor's algorithm mostly just cares about the key size." [35] En d'autres termes, ECC utilise des clés petites (256 bits) parce que son problème mathématique sous-jacent est classiquement difficile par bit — mais l'algorithme de Shor ignore cette difficulté classique et s'adapte à la taille de clé. Résultat : casser ECC nécessite 2,6 fois moins de qubits et 148 fois moins de portes que RSA à niveaux de sécurité classique équivalents [35].

Chevignard, Fouque & Schrottenloher (EUROCRYPT 2026) — réduction de ~44 % des qubits nécessaires. Présenté à EUROCRYPT 2026, cet article réduit de manière significative les qubits logiques nécessaires pour résoudre l'ECDLP [18] :

P-256 : 1 193 qubits logiques (contre 2 124 estimés précédemment — réduction de 44 %)
P-224 : 1 098 qubits logiques
P-384 : 1 494 qubits logiques
P-521 : 1 895 qubits logiques

La contrepartie est une augmentation du nombre de portes d'environ 1 000 fois. Mais comme les qubits ont historiquement été la contrainte la plus limitante, cette réduction est jugée stratégiquement favorable [18]. Les implications sont directes pour ECDSA, ECDH et tous les protocoles déployés à grande échelle utilisant des courbes NIST.

Google (mars 2026) — ECC et secp256k1. Google a publié des résultats indiquant que la cryptographie sur courbes elliptiques protégeant Bitcoin et Ethereum pourrait être compromise avec moins de 500 000 qubits physiques en quelques minutes. Les circuits quantiques nécessitent soit moins de 1 200 qubits logiques et 90 millions de portes Toffoli, soit moins de 1 450 qubits logiques et 70 millions de portes Toffoli [19]. Dans un geste sans précédent, Google a renoncé à publier les circuits d'attaque détaillés et a utilisé une preuve à divulgation nulle de connaissance (zero-knowledge proof), justifiant ce départ de sa politique habituelle de divulgation responsable à 90 jours par le risque que "detailed cryptanalytic blueprints could be weaponized by adversarial actors" [19]. Google estime à 41 % la probabilité qu'un ordinateur quantique prêt à l'emploi puisse dériver une clé privée Bitcoin avant la confirmation d'une transaction (dans la fenêtre des 10 minutes du bloc Bitcoin) [19]. Cet article n'a pas encore été soumis à un comité de lecture formel.

La conclusion stratégique est sans ambiguïté : "ECC is now definitively the easier quantum target. The debate about whether RSA or ECC would fall first to a quantum computer is effectively settled at the logical-qubit level." [18]

AES et chiffrement symétrique : impact limité de l'algorithme de Grover

Contrairement aux algorithmes à clé publique (RSA, ECC), les algorithmes de chiffrement symétrique sont affectés différemment par l'informatique quantique.

Mécanisme de Grover. L'algorithme de Grover (1996) accélère quadratiquement la recherche exhaustive des clés secrètes dans les algorithmes symétriques [22]. En pratique :

AES-128 voit sa sécurité effective réduite à environ 64 bits contre un attaquant quantique (équivalent à une recherche classique de 2⁶⁴)
AES-256 voit sa sécurité effective réduite à environ 128 bits (équivalent à AES-128 classique)

AES-256 est considéré quantique-résistant. Le niveau de sécurité post-Grover d'AES-256 (~128 bits) reste computationnellement infaisable. IBM confirme : "Symmetric encryption, such as the Advanced Encryption Standard, and secure hash families are not broken outright by quantum computing." [23] ANSSI précise que Grover "quadratically speeds up the exhaustive search of secret keys in symmetric algorithms" [22] mais que AES-256 demeure sûr. En revanche, AES-128 n'est pas considéré quantique-sûr selon les standards NIST, sa sécurité effective tombant à ~64 bits. La recommandation universelle est de migrer d'AES-128 vers AES-256 comme mesure préventive.

Analyse du fossé : matériel actuel vs seuil d'attaque

La situation en mai 2026 révèle un fossé qui s'est considérablement réduit par rapport aux estimations antérieures, mais qui reste important sur le plan qualitatif.

État de l'art du matériel quantique actuel (données mi-2025 à début 2026) :

Atom Computing : 1 180 qubits physiques
IBM Condor : 1 121 qubits physiques
Google Willow : ~1 000–105 qubits physiques (selon le processeur utilisé)
Qubits logiques démontrés en mode tolérant aux fautes : 28 (Microsoft/Atom Computing), 48 (QuEra)
Tableaux d'atomes neutres : dépassement des 6 100 qubits déjà démontré

Ressources nécessaires vs disponibles. Sous les estimations les plus récentes utilisant des architectures QLDPC, on parle de moins de 100 000 qubits physiques pour RSA-2048 — soit environ 15 fois les capacités actuelles en nombre brut de qubits. Mais le nombre de qubits n'est qu'une des dimensions du fossé. Les exigences non encore satisfaites incluent des taux d'erreur de portes ≤ 0,1 % (les meilleurs systèmes actuels atteignent 0,1–1 %), des temps de cohérence soutenant 5 jours de fonctionnement continu, et des temps de cycle de code surfacique de 1 microseconde [17]. Vijoy Pandey (Cisco) a résumé la situation : "The gap between theory and practice just went from roughly 3,000x to about 2x" [35] — mais ce "2x" en nombre de qubits cache des exigences qualitatives bien plus contraignantes.

Coût énergétique de la cryptanalyse quantique. Le scénario Gidney & Ekerå nécessiterait environ 125 mégawatts en continu — l'équivalent d'une petite centrale électrique fonctionnant pour un seul calcul — à un coût d'environ 64 000 $ en électricité par clé RSA-2048 [21]. Ce niveau de ressources rend la cryptanalyse quantique économiquement viable uniquement pour des États-nations ciblant des objectifs à haute valeur (communications gouvernementales, commandement militaire, données financières sensibles). La plupart des communications d'entreprises et personnelles ne justifieront pas cette dépense, créant une période de grâce pour les secteurs non critiques [21].

La menace "Harvest Now, Decrypt Later" (HNDL) : une réalité active

La menace du type harvest now, decrypt later ou store now, decrypt later (SNDL) est classifiée par l'ensemble des autorités compétentes comme réelle et nécessitant une action immédiate, indépendamment du délai estimé pour l'émergence d'un CRQC.

La CISA a publié le 22 août 2023 une fiche de renseignement commune avec la NSA et le NIST intitulée "Quantum-Readiness: Migration to Post-Quantum Cryptography" [34], dans laquelle elle déclare : "Adversaries steal sensitive encrypted data today in hopes of decrypting it tomorrow with quantum capabilities. In effect, any data with a long secrecy lifetime — from critical infrastructure blueprints to personal medical records or state secrets — could be at risk if stolen now and decrypted years from now by a powerful quantum computer."

L'ANSSI emploie un raisonnement identique dans ses recommandations officielles : "Because of a 'store now, decrypt later' attack outlined above, the quantum threat should be taken into account today." [22]

Le Service de recherche du Parlement européen, dans son document EPRS_BRI(2024)766237 de 2024 intitulé "Cryptographic Security: A Question for Europe's Digital Sovereignty", classe les attaques SNDL comme "an active threat that puts current data at risk" [49].

La Banque de France et la Monetary Authority of Singapore ont conjointement publié en novembre 2024 un rapport sur leurs expérimentations en cryptographie post-quantique, conduites "in strict compliance with NIST strategic guidelines and ANSSI recommendations" [48], concluant : "The reality of quantum threats cannot be understated. Advancements in hardware and breakthroughs in algorithms may accelerate the arrival of Q-day, necessitating proactive measures to address quantum security challenges." [48]

L'outil de modélisation du risque est le théorème de Mosca : si X (temps de migration) + Y (durée de vie requise du secret) > Z (délai estimé pour l'émergence d'un CRQC), la migration est urgente. Pour des données protégées pendant 10 à 20 ans, et une migration nécessitant 5 à 10 ans, même une émergence quantique en 2035–2040 justifie une action immédiate [34].

Délais officiels selon les agences gouvernementales

Le Global Risk Institute a publié le Quantum Threat Timeline Report 2025, rédigé par les Drs Michele Mosca et Marco Piani (evolutionQ), basé sur un sondage de 26 experts [37]. Les conclusions sont :

28 à 49 % de probabilité d'émergence d'un CRQC dans les 10 prochaines années (d'ici ~2035)
51 à 70 % de probabilité dans les 15 prochaines années (d'ici ~2040)
La trajectoire temporelle de la menace quantique a accéléré par rapport aux rapports précédents

La NSA (via CNSA 2.0) et le NIST estiment conjointement que des ordinateurs quantiques capables de casser RSA se situeront dans la fenêtre 2030–2040 [50]. Gartner estime que les avancées du matériel quantique rendront la cryptographie asymétrique classique non sécurisée d'ici 2029 [47]. Certains experts cités par la NSA situent la menace "as soon as three to five years" — soit d'ici 2028 à 2031 — sans qu'aucun consensus ne se dégage sur ce scénario agressif.

Axe 3 — Réponse institutionnelle et normative

Les normes NIST : FIPS 203, 204, 205 et l'horizon de la standardisation

Finalisation des premières normes (13 août 2024)

Le 13 août 2024, le NIST a publié les versions finales des trois premières normes de cryptographie post-quantique, approuvées par le Secrétaire au Commerce des États-Unis [24] :

FIPS 203 — Module-Lattice-Based Key-Encapsulation Mechanism Standard (ML-KEM)

Dérivé de la soumission CRYSTALS-KYBER
Mécanisme d'encapsulation de clé (KEM) pour l'établissement de clés partagées sur des canaux publics
Trois variantes : ML-KEM-512, ML-KEM-768, ML-KEM-1024
CNSA 2.0 spécifie ML-KEM-1024 pour les systèmes de sécurité nationale [28]

FIPS 204 — Module-Lattice-Based Digital Signature Standard (ML-DSA)

Dérivé de CRYSTALS-Dilithium
Schéma de signature numérique pour l'authentification et la non-répudiation
Trois variantes : ML-DSA-44, ML-DSA-65, ML-DSA-87
CNSA 2.0 spécifie ML-DSA-87 pour les systèmes de sécurité nationale [28]
Note d'implémentation : les signatures ML-DSA dans les handshakes TLS peuvent dépasser les limites de la fenêtre de congestion initiale TCP (~14 600 octets) ; les certificats ML-DSA requièrent environ 15 ko, susceptibles de dépasser les limites communes de 10 ko pour les middleboxes [42]

FIPS 205 — Stateless Hash-Based Digital Signature Standard (SLH-DSA)

Dérivé de SPHINCS+
Schéma de signature à base de hachage, stateless, avec des signatures plus longues mais une sécurité solide reposant sur des hypothèses cryptographiques établies [24]

Le NIST a déclaré : "The algorithms announced today are specified in the first completed standards from NIST's PQC project, and are ready for immediate use." [24]

FIPS 206 (FN-DSA / FALCON) : standardisation en cours

NIST développe également FIPS 206, dérivé de l'algorithme FALCON (désignation dans la norme : FN-DSA). Sa publication finale n'est pas encore intervenue [39] :

L'ébauche initiale publique (Initial Public Draft) a été soumise au NIST le 28 août 2025 pour approbation
La période de révision publique devrait durer environ un an
La norme finale est attendue fin 2026 ou début 2027 [39]
FN-DSA présente des signatures et des clés publiques très compactes par rapport à ML-DSA, mais son implémentation est complexe en raison de l'arithmétique en virgule flottante ; FIPS 206 interdit la signature déterministe et les instructions fused multiply-add pour garantir l'exactitude des distributions de signatures [40]
DigiCert considère FN-DSA comme "a special-purpose scheme rather than a full replacement for ML-DSA", particulièrement adapté aux certificats racines et intermédiaires [39]

HQC — Cinquième algorithme sélectionné (mars 2025)

Le 11 mars 2025, le NIST a sélectionné HQC (Hamming Quasi-Cyclic) comme cinquième algorithme pour l'encapsulation de clé post-quantique — une approche à base de codes fournissant une diversité algorithmique par rapport aux schémas à base de réseaux. La norme intégrant HQC est attendue en ébauche début 2026, avec une version finale en 2027 [24].

NIST IR 8547 — Feuille de route de transition

Le NIST a publié le projet initial (Initial Public Draft) de NIST IR 8547 "Transition to Post-Quantum Cryptography Standards" en novembre 2024 [26][51], établissant les jalons de dépréciation suivants :

Après 2030 : dépréciation des algorithmes offrant 112 bits de sécurité (RSA-2048, ECC sur courbes standard)
Après 2035 : interdiction des algorithmes à 112 bits et dépréciation des algorithmes à 128 bits et plus

Le NIST précise que la date limite de 2035 repose sur "the expectation of a viable quantum technique for breaking current encryption methods" [26].

Cadre exécutif et législatif américain

NSM-10 (4 mai 2022)

Le Mémorandum de Sécurité Nationale NSM-10, signé par le Président Biden le 4 mai 2022, constitue le texte fondateur de la politique américaine de transition post-quantique [31][32]. Intitulé "National Security Memorandum on Promoting United States Leadership in Quantum Computing While Mitigating Risks to Vulnerable Cryptographic Systems", il fixe l'objectif suivant : "The United States must prioritize the timely and equitable transition of cryptographic systems to quantum-resistant cryptography, with the goal of mitigating as much of the quantum risk as is feasible by 2035." [31]

Les échéances établies par NSM-10 incluent :

31 octobre 2022 : Inventaire des systèmes cryptographiques par les agences
4 mai 2023 : Rapport des systèmes vulnérables à la CISA
2024 : Publication des normes QRC par le NIST (accomplie)
Dans l'année suivant la publication des normes NIST : Élaboration des plans de transition par les agences
2035 : Objectif de transition complète de tous les systèmes du gouvernement américain [31]

OMB Memorandum M-23-02 (18 novembre 2022)

Le Mémorandum OMB M-23-02 "Memorandum on Migrating to Post-Quantum Cryptography", publié par le Bureau de la Gestion et du Budget le 18 novembre 2022 en coordination avec le Bureau du Directeur National de la Cybersécurité (ONCD) [32], traduit NSM-10 en obligations opérationnelles pour les agences fédérales :

Avant le 4 mai 2023 et annuellement jusqu'en 2035 : Inventaire prioritaire des systèmes contenant des algorithmes vulnérables à un CRQC, transmis à l'ONCD et à la CISA
Dans les 30 jours : Désignation d'un responsable de l'inventaire cryptographique et de la migration
Dans les 30 jours suivant la soumission de l'inventaire : Évaluation des besoins de financement pour migrer les systèmes sur les 4 exercices fiscaux suivants
Les algorithmes vulnérables identifiés comprennent : ECDH, MQV, ECDSA, Diffie-Hellman, RSA, et l'algorithme de signature numérique (DSA) [32]

Quantum Computing Cybersecurity Preparedness Act (H.R. 7535)

Signé en loi le 21 décembre 2022, ce texte encourage l'adoption par le gouvernement fédéral de technologies protégées contre le décryptage quantique et établit des réglementations sur la procuration de logiciels, la standardisation et la formation [33]. Il lie formellement les actions de cybersécurité fédérales au processus de standardisation du NIST.

Executive Order sur la cybersécurité (post-2024)

Un décret présidentiel sur le renforcement de la cybersécurité nationale a renforcé les mandats de chiffrement quantique-résistant avec des échéances précises [55] :

Avant le 1er décembre 2025 : La directrice de la CISA doit publier et mettre à jour régulièrement une liste de catégories de produits supportant la PQC ("PQC product category list")
Avant le 2 janvier 2030 : Les agences fédérales doivent supporter TLS 1.3 ou versions ultérieures
Le décret étend explicitement les exigences PQC aux Systèmes de Sécurité Nationale (NSS), pas seulement aux agences civiles [55]

NSA — Suite d'Algorithmes de Sécurité Nationale Commerciale 2.0 (CNSA 2.0)

Annoncée en septembre 2022 et mise à jour en mai 2025, la Suite Commerciale d'Algorithmes de Sécurité Nationale 2.0 (CNSA 2.0) protège les Systèmes de Sécurité Nationale (NSS) — systèmes du Département de la Défense, de la Communauté du Renseignement et des infrastructures associées — contre les menaces classiques et quantiques [28][29].

Algorithmes mandatés par CNSA 2.0 :

AES-256 : Chiffrement symétrique pour tous les niveaux de classification
ML-KEM-1024 : Établissement de clé asymétrique, remplace ECDH et RSA
ML-DSA-87 : Signatures numériques asymétriques, remplace RSA/ECDSA
SHA-384/512 : Hachage pour la vérification d'intégrité
LMS et XMSS : Schémas à base de hachage à état (stateful) pour la signature de firmware et logiciels [28][29]

Calendrier de transition CNSA 2.0 :

1er janvier 2027 : Toutes les nouvelles acquisitions pour les NSS doivent être conformes CNSA 2.0
31 décembre 2030 : Tout l'équipement déployé doit être capable de résistance quantique
Fin 2031 : Application complète pour toutes les implémentations cryptographiques dans les NSS
2035 : Conformément à NSM-10, tous les NSS doivent être quantique-résistants [28][29]

La NSA favorise la coexistence plutôt que les approches hybrides (classique + post-quantique simultanément), expliquant : "A hybrid agreement offers no quantum-resistant cryptographic security beyond what a pure quantum resistant option." [28] La NSA ne recommande pas l'utilisation de la distribution quantique de clés (QKD) pour les NSS, préférant la cryptographie post-quantique comme "a more cost effective and easily maintained solution" [29].

Les actions NSA en cours (présentation de mars 2026) comprennent : l'établissement d'une PKI DoD quantique-résistante d'ici 2027 ; la réécriture de tous les profils de protection NSA d'ici fin 2026 pour exiger des capacités de mise à jour quantique-résistante ; et la publication de six RFC associées [29].

CISA — Directives fédérales et orientation des achats

La CISA a déployé plusieurs actions significatives autour de la transition PQC.

Fiche de renseignement commune CISA/NSA/NIST (22 août 2023). Intitulée "Quantum-Readiness: Migration to Post-Quantum Cryptography", cette fiche constitue la première communication gouvernementale conjointe classifiant la menace HNDL comme active et urgente [34]. Elle précise que les organisations doivent "ensure that new procurements will come with PQC built-in, and that there are provisions or timelines for existing products to be upgraded to quantum-safe algorithms."

Stratégie de migration (15 août 2024). La CISA a publié "Strategy for Migrating to Automated Post-Quantum Cryptography Discovery and Inventory Tools" [35], qui énonce : "Once operational, a CRQC is expected to be able to compromise certain widely used cryptographic algorithms used to secure federal data and information systems." Ce document détaille les plans d'évaluation de la progression des agences fédérales du secteur exécutif civil (FCEB) vers la PQC, en réponse au Mémorandum OMB 23-02.

Directives d'achats fédéraux (23 janvier 2026). La CISA a publié des directives fédérales dirigeant les agences américaines et les opérateurs d'infrastructures critiques à n'acquérir que des produits capables de PQC dans les catégories technologiques où de tels outils sont désormais mûrs commercialement [36]. La CISA a identifié deux fonctions cryptographiques centrales (établissement de clé et signatures numériques) et a créé deux listes :

Technologies où la PQC est largement disponible : services cloud (IaaS, PaaS), outils de collaboration, logiciels web (navigateurs et serveurs), produits de sécurité pour terminaux (chiffrement de disque complet)
Technologies en transition : matériel et logiciels réseau, plateformes SaaS, équipements de télécommunication, systèmes d'exploitation, stockage, gestion des identités et des accès, email et partage de fichiers

2026 a été désignée "Année de la Sécurité Quantique" au niveau mondial (FBI, NIST, CISA) [20].

Réponse européenne : ANSSI, ENISA et Recommandation de la Commission

ANSSI (France)

L'ANSSI a publié un Avis scientifique et technique sur la migration vers la cryptographie post-quantique, référencé dans un document de la Commission européenne publié sur EUR-Lex (COM(2024)81, 21 février 2024) [41]. L'agence recommande explicitement les implémentations hybrides combinant algorithmes classiques et post-quantiques, et utilise le cadre SNDL pour justifier l'urgence de la transition. Les recommandations de l'ANSSI sont explicitement citées aux côtés de la NSA, du BSI allemand et du NCSC britannique comme référence pour les délais de migration. La Banque de France a d'ailleurs conduit ses expérimentations PQC de 2024 "in strict compliance with NIST strategic guidelines and ANSSI recommendations" [48].

ENISA (Union européenne)

L'ENISA a publié le rapport "Post-Quantum Cryptography: Current State and Quantum Mitigation" (publication initiale : février 2021, mise à jour : 3 mai 2021) [40]. Ce rapport couvre les cinq principales familles d'algorithmes PQC (à base de codes, d'isogénies, de hachage, de réseaux, et multivariées), détaille les finalistes du Round 3 du NIST, et propose deux stratégies d'implémentation pratiques : (1) implémentations hybrides combinant schémas pré-quantiques et post-quantiques ; et (2) mélange de clés pré-partagées dans toutes les clés établies via cryptographie à clé publique [40].

L'ENISA a actualisé ses recommandations en mai 2025, préconisant "the use of symmetric mechanisms with adjusted parameter lengths and the adoption of PQ/T hybrid schemes" pour protéger contre les vulnérabilités potentielles dans les nouveaux mécanismes post-quantiques [47]. L'agence est impliquée dans l'évaluation et la sélection des algorithmes PQC appropriés pour adoption comme normes européennes, en collaboration avec le Groupe de Coopération NIS [41].

Recommandation de la Commission européenne (EU) 2024/1101

La Commission européenne a publié le 11 avril 2024 la Recommandation (UE) 2024/1101 intitulée "Recommendation on a Coordinated Implementation Roadmap for the transition to Post-Quantum Cryptography" [59][47]. Ce texte encourage les États membres de l'UE à développer et mettre en œuvre une approche harmonisée pour la transition vers une infrastructure numérique quantique-sûre. Il implique les experts en cybersécurité de l'UE, le Groupe de Coopération NIS et l'ENISA dans la sélection des algorithmes PQC appropriés à adopter comme normes européennes.

Feuille de route coordonnée UE pour la PQC (juin 2025)

Publiée le 23 juin 2025 par le Groupe de Coopération NIS, la feuille de route coordonnée UE pour la transition PQC établit une transition en trois phases [47][51] :

Avant décembre 2025 : Les organisations doivent inventorier les systèmes cryptographiques vulnérables (logiciels, matériel, certificats, archives)
2026–2027 : Pilotes hybrides combinant algorithmes classiques et PQC (ex. : X25519 + Kyber768) dans des environnements de production
Avant décembre 2030 : Tous les nouveaux échanges de clés et signatures doivent utiliser exclusivement des algorithmes PQC approuvés par le NIST ou endossés par l'ENISA

Cibles étendues :

Systèmes à risque élevé : sécurisés d'ici fin 2030
Transition complète des systèmes : avant 2035
Des rapports de progression semestriels sont soumis à l'ENISA pour surveiller la conformité par État membre [47]

BSI (Allemagne) et NCSC (Royaume-Uni)

Le BSI allemand publie les recommandations de la série TR-02102 sur la cryptographie quantique-résistante [47]. Le NCSC britannique a publié en 2025 une feuille de route PQC en trois phases soulignant "une migration gérée de manière centralisée pour éviter les risques de transitions précipitées ou fragmentées", avec des étapes pour : (1) comprendre l'état actuel du parc ; (2) prioriser les actifs ; et (3) tests continus [47]. Les deux agences, avec la NSA et l'ANSSI, renforcent conjointement l'urgence de la migration PQC depuis la publication des normes NIST en août 2024 [25].

Cadre réglementaire européen : CRA, eIDAS 2, NIS2 et DORA

Règlement (UE) 2024/2847 — Cyber Resilience Act (CRA)

Le Cyber Resilience Act est le texte le plus structurant du cadre réglementaire européen pour la cybersécurité des produits [60][61] :

Adopté : 23 octobre 2024
Entré en vigueur : 20 novembre 2024
Référence au Journal Officiel : OJ L, 2024/2847, 20.11.2024
ELI : http://data.europa.eu/eli/reg/2024/2847/oj

Le CRA établit des exigences horizontales en matière de cybersécurité pour tous les produits avec des éléments numériques mis sur le marché de l'UE, couvrant le matériel et les logiciels ainsi que leurs solutions de traitement de données à distance intégrées. Il s'applique aux produits fournis dans le cadre d'une activité commerciale.

Principales obligations pour les fabricants :

Mettre en œuvre des exigences essentielles de cybersécurité pour les phases de conception, développement et production
Gérer les vulnérabilités pendant une période de support d'au moins cinq ans (ou la durée d'utilisation prévue si plus courte)
Notification obligatoire des vulnérabilités activement exploitées dans les 24 heures
Notification des incidents de sécurité graves dans les 72 heures
Conservation de la documentation technique pendant au moins 10 ans

Les produits importants (Classes I et II) et critiques (Annexe IV) sont soumis à des procédures d'évaluation de conformité plus strictes. Le CRA crée un cadre harmonisé empêchant les États membres d'imposer des exigences supplémentaires pour les matières harmonisées [60][61]. Un document EUR-Lex (CELEX 52026PC0011) référence le CRA dans le contexte des "algorithmes cryptographiques, en particulier dans le domaine de la cryptographie post-quantique" [62].

Règlement (UE) 2024/1183 — eIDAS 2

Le règlement eIDAS 2 (Règlement (UE) 2024/1183 du Parlement européen et du Conseil, modifiant le Règlement (UE) n° 910/2014) a été :

Publié/finalisé : 11 avril 2024
Entré en vigueur : 20 mai 2024 [63][64]

L'innovation principale est le Portefeuille d'Identité Numérique Européen (EUDI Wallet) — une application virtuelle gratuite et volontaire permettant aux citoyens et entreprises de stocker des identifiants et certificats d'identité. Cinq règlements d'exécution ont été adoptés le 28 novembre 2024 couvrant l'intégrité du portefeuille, les protocoles et interfaces, les données d'identification des personnes, les standards de certification, et les exigences de notification [63]. Sept nouveaux règlements d'exécution ont été adoptés le 30 juillet 2025, avec un règlement supplémentaire adopté le 29 septembre 2025 [63]. Les États membres doivent déployer les portefeuilles EUDI avant novembre 2026, et les entreprises devront les accepter comme vérification d'identité valide avant novembre 2027 [64]. Les spécifications du portefeuille sont "to be updated on a regular basis to keep in line with technology and standards developments" [63] — ce qui inclut implicitement l'adaptation à la cryptographie post-quantique, explicitement référencée dans le document EUR-Lex CELEX 52026PC0011 [62].

Directive (UE) 2022/2555 — NIS2

La Directive NIS2 (Directive (UE) 2022/2555 sur des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union) :

Entrée en vigueur : 16 janvier 2023
Date limite de transposition par les États membres : 17 octobre 2024 [44]

NIS2 étend les mesures de sécurité obligatoires, incluant le chiffrement, aux secteurs d'infrastructures critiques. Le Plan Stratégique Horizon Europe (2025–2027) référence NIS2 comme partie du "cadre législatif de cybersécurité récemment mis à jour dans l'UE (c'est-à-dire NIS2 et la transition proposée vers la cryptographie post-quantique)" [44].

Digital Operational Resilience Act (DORA)

DORA est entré en vigueur le 17 janvier 2025 et s'applique aux entités financières et TIC, exigeant des contrôles cryptographiques robustes [47]. Les auditeurs évaluant la conformité DORA "will inevitably ask how an organisation's crypto-baseline aligns with the PQC roadmap; procrastination therefore translates into direct regulatory risk" [47].

ProtectEU — Stratégie de sécurité intérieure européenne

Une Communication de la Commission européenne intitulée "ProtectEU: a European Internal Security Strategy" (CELEX 52025DC0148) déclare explicitement : "Deploying post-quantum cryptography (PQC) solutions will be crucial to safeguard sensitive communications, data at rest and to protect [...]" [45], marquant l'intégration de la PQC dans la stratégie de sécurité intérieure de l'UE.

Coordination internationale et état de l'adoption mondiale

La transition post-quantique s'accélère globalement, avec des cadres nationaux et régionaux convergents :

Canada. Feuille de route publiée en juin 2025 ; transition des systèmes IT non classifiés à la PQC mandatée avant 2035 ; plan initial avant avril 2026 ; systèmes à haute priorité avant fin 2031 [51].

Australie. Le plan de transition mandate l'arrêt de la cryptographie asymétrique traditionnelle d'ici fin 2030 ; les organisations doivent développer des plans de transition avant fin 2026 et commencer la migration des systèmes critiques avant fin 2028 [51].

Corée du Sud. A développé ses propres algorithmes sélectionnés via le concours KPQC : AIMer et HAETAE pour les signatures ; SMAUG-T et NTRU+ pour l'établissement de clés [51].

Japon. Approche duale combinant développement PQC et distribution quantique de clés (QKD), avec le CRYPTREC évaluant les algorithmes et mettant l'accent sur le "Problème cryptographique de 2030" [47].

G7. Les pays du G7 ont émis des directives spécifiques pour la préparation du secteur des services financiers face aux risques quantiques [51].

Adoption entreprises. Malgré ce cadre réglementaire dense, en 2026, seulement 5 % des entreprises ont déployé un chiffrement quantique-résistant, alors que le NIST a finalisé les normes PQC en août 2024. 81 % des organisations signalent que leurs bibliothèques cryptographiques et modules de sécurité matériels (HSM) ne sont pas encore prêts pour l'intégration PQC [69]. Les grandes entreprises font face à 8 à 12 ans pour une migration complète. En octobre 2025, seulement 3,7 % des origines Cloudflare utilisaient le chiffrement post-quantique en TLS [42]. Amazon S3, Cloudflare et Google ont déployé TLS hybride (classique + PQC) depuis 2024, et Signal ainsi qu'Apple ont mis en œuvre avec succès le chiffrement post-quantique dans leurs applications de messagerie [20].

Conclusion

L'état de l'informatique quantique en mai 2026 peut se résumer en trois constats synthétiques.

Premièrement, les percées scientifiques sont réelles mais les applications pratiques restent éloignées. La démonstration below-threshold de Google (Nature, décembre 2024) marque une étape scientifique fondamentale et documentée. L'avantage quantique sur le benchmark RCS est vérifié mais sans utilité pratique directe. Le décodage assisté par IA (AlphaQubit) est prometteur mais limité. Les annonces de Microsoft sur les qubits topologiques mêlent résultats réels non publiés et communication marketing trompeuse. Les feuilles de route d'IBM (avantage quantique en 2026, tolérance aux fautes en 2029) sont des projections commerciales ambitieuses, pas des résultats établis. Le fossé entre les benchmarks actuels et les 10⁻¹² d'erreur par opération logique nécessaires pour factoriser RSA-2048 reste de neuf ordres de grandeur.

Deuxièmement, la menace cryptographique s'est radicalement rapprochée sur le plan des estimations algorithmiques. Les ressources quantiques estimées pour casser RSA-2048 sont passées de 20 millions à potentiellement moins de 100 000 qubits physiques en moins de cinq ans, par des progrès purement algorithmiques. ECC est la cible la plus vulnérable quantiquement, avec des besoins en qubits logiques inférieurs de 44 % à ceux estimés précédemment (EUROCRYPT 2026). La fenêtre consensus des agences gouvernementales pour l'émergence d'un CRQC se situe entre 2030 et 2040, avec une probabilité supérieure à 50 % autour de 2035. La menace HNDL est active dès aujourd'hui et justifie une action immédiate pour toutes les données à longue durée de vie.

Troisièmement, la réponse normative est substantielle mais l'adoption reste critique. Le cadre américain (FIPS 203/204/205, NSM-10, OMB M-23-02, CNSA 2.0) et européen (Recommandation (UE) 2024/1101, CRA (EU) 2024/2847, feuille de route PQC coordonnée UE) sont désormais en place avec des jalons juridiquement contraignants. La date butoir de 2035 est partagée par toutes les grandes puissances. Mais avec seulement 5 % d'adoption d'entreprise à ce jour, la transition la plus grande de l'histoire de la cybersécurité n'a pas encore réellement commencé à l'échelle requise.

Sources

[1] Google Quantum AI, "Quantum error correction below the surface code threshold", Nature, décembre 2024: https://www.nature.com/articles/s41586-024-08449-y

[2] Hartmut Neven, "Meet Willow, our state-of-the-art quantum chip", Google Blog, 9 décembre 2024: https://blog.google/innovation-and-ai/technology/research/google-willow-quantum-chip

[3] HPCwire, "Google Debuts New Quantum Chip, Error Correction Breakthrough and Roadmap Details", 9 décembre 2024: https://www.hpcwire.com/2024/12/09/google-debuts-new-quantum-chip-error-correction-breakthrough-and-roadmap-details

[4] Google Research Blog, "Suppressing quantum errors by scaling a surface code logical qubit", 2023: https://research.google/blog/suppressing-quantum-errors-by-scaling-a-surface-code-logical-qubit

[5] Muhammad AbuGhanem, "IBM quantum computers: evolution, performance, and future directions", The Journal of Supercomputing, avril 2025: https://link.springer.com/article/10.1007/s11227-025-07047-7

[6] IBM Quantum — arXiv:2410.00916v1 [quant-ph], 17 septembre 2024: https://arxiv.org/pdf/2410.00916

[7] John Koetsier, "IBM Verified Quantum Advantage by 2026, Fault-Tolerant Quantum Computing by 2029", Forbes, 12 novembre 2025: https://www.forbes.com/sites/johnkoetsier/2025/11/12/ibm-verified-quantum-advantage-by-2026-fault-tolerant-quantum-computing-by-2029

[8] IBM, "IBM Quantum Development & Innovation Roadmap 2024 Update": https://www.ibm.com/quantum/assets/IBM_Quantum_Developmen_&_Innovation_Roadmap_Explainer_2024-Update.pdf

[9] Fortune, "Google's breakthrough Willow chip means we'll get useful quantum computers sooner than some people feared", 11 décembre 2024: https://fortune.com/2024/12/11/google-willow-chip-quantum-computing

[10] The Guardian, "Google unveils 'mindboggling' quantum computing chip", 9 décembre 2024: https://www.theguardian.com/technology/2024/dec/09/google-unveils-mindboggling-quantum-computing-chip

[11] The Quantum Insider, "Microsoft's Majorana Topological Chip — An Advance 17 Years in The Making", 19 février 2025: https://thequantuminsider.com/2025/02/19/microsofts-majorana-topological-chip-an-advance-17-years-in-the-making

[12] Microsoft Quantum, "Device roadmap for fault-tolerant quantum computing with tetrons", arXiv:2502.12252v1 [quant-ph], 17 février 2025: https://arxiv.org/pdf/2502.12252

[13] Scott Aaronson, "FAQ on Microsoft's topological qubit thing", Shtetl-Optimized: https://scottaaronson.blog/?p=8669

[14] Google DeepMind / Google Quantum AI, "Learning high-accuracy error decoding for quantum processors" (AlphaQubit), Nature, 2024: https://www.nature.com/articles/s41586-024-08148-8

[15] Craig Gidney & Martin Ekerå, "How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits", Quantum 5, 433, 2021 — ResearchGate: https://www.researchgate.net/publication/350910758_How_to_factor_2048_bit_RSA_integers_in_8_hours_using_20_million_noisy_qubits

[16] Sanders et al., "Factoring 2048-bit RSA Integers in 177 Days with 13,436 Qubits", Physical Review Letters 127, 140503, 2021: https://link.aps.org/doi/10.1103/PhysRevLett.127.140503

[17] The Quantum Insider, "Google Researcher Lowers Quantum Bar to Crack RSA Encryption" (Craig Gidney, mai 2025): https://thequantuminsider.com/2025/05/24/google-researcher-lowers-quantum-bar-to-crack-rsa-encryption

[18] PostQuantum.com, "A New Algorithm Shrinks the Quantum Attack Surface for ECC" (Chevignard, Fouque & Schrottenloher, EUROCRYPT 2026): https://postquantum.com/security-pqc/algorithm-quantum-ecc

[19] Ars Technica, "Quantum computers need vastly fewer resources than thought to break vital encryption", mars 2026: https://arstechnica.com/security/2026/03/new-quantum-computing-advances-heighten-threat-to-elliptic-curve-cryptosystems

[20] The Quantum Insider, "Q-Day Just Got Closer: Three Papers in Three Months Are Rewriting the Quantum Threat Timeline", mars 2026: https://thequantuminsider.com/2026/03/31/q-day-just-got-closer-three-papers-in-three-months-are-rewriting-the-quantum-threat-timeline

[21] PostQuantum.com, "The Enormous Energy Cost of Breaking RSA-2048 with Quantum Computers": https://postquantum.com/post-quantum/energy-cost-rsa-2048-quantum

[22] ANSSI, "Views on the Post-Quantum Cryptography Transition" (avis scientifique et technique): https://messervices.cyber.gouv.fr/guides/en-anssi-views-post-quantum-cryptography-transition

[23] Ivana Pham, "Post-quantum cryptography and the future of the RSA-2048 algorithm", IBM Community, 1er octobre 2025: https://community.ibm.com/community/user/blogs/ivana-pham/2025/10/01/pqc-and-the-future-of-the-rsa-2048

[24] NIST CSRC, "Post-Quantum Cryptography FIPS Approved", 13 août 2024: https://csrc.nist.gov/news/2024/postquantum-cryptography-fips-approved

[25] PQShield, "The New NIST Post Quantum Cryptography Standards": https://pqshield.com/the-new-nist-post-quantum-cryptography-standards

[26] PQShield, "NIST Recommends Timelines for Transitioning Cryptographic Algorithms" (NIST IR 8547): https://pqshield.com/nist-recommends-timelines-for-transitioning-cryptographic-algorithms

[27] Dustin Moody (NIST), "NIST PQC: The Road Ahead", mars 2025: https://csrc.nist.gov/csrc/media/Presentations/2025/nist-pqc-the-road-ahead/images-media/rwcpqc-march2025-moody.pdf

[28] Dr. Morgan Stern (NSA), "Transitioning National Security Systems to a Post Quantum Future", PKI Consortium, 15 janvier 2025: https://pkic.org/events/2025/pqc-conference-austin-us/WED_PLENARY_1130_Morgan-Stern_UNCL_PQ_PKI_conf_talk_20250115_v2.pdf

[29] Dr. Morgan Stern (NSA), "CNSA 2.0 and New Security Requirements", Cryptologic Foundation, 17 mars 2026: https://cryptologicfoundation.org/wp-content/uploads/2026/03/Dr.-Morgan-Stern-QRC_NCF_Conf_20260317.published.pdf

[30] NSA, "Post-Quantum Cybersecurity Resources" (page officielle NSA): https://www.nsa.gov/Cybersecurity/Post-Quantum-Cybersecurity-Resources

[31] Congressional Research Service, "Preparing Secrets for a Post-Quantum World — National Security Memorandum 10": https://www.congress.gov/crs_external_products/IN/PDF/IN11921/IN11921.2.pdf

[32] Office of Management and Budget, "Memorandum M-23-02 on Migrating to Post-Quantum Cryptography", 18 novembre 2022: https://www.whitehouse.gov/wp-content/uploads/2022/11/M-23-02-M-Memo-on-Migrating-to-Post-Quantum-Cryptography.pdf

[33] PQShield, "A Plain English Guide to Recent White House Guidance and Legislation on PQC" (Quantum Computing Cybersecurity Preparedness Act): https://pqshield.com/guide-to-recent-white-house-guidance-post-quantum-cryptography

[34] PostQuantum.com, "CISA's 'Quantum-Readiness' Fact Sheet: A Call to Prepare for Post-Quantum Cryptography" (fiche conjointe CISA/NSA/NIST, 22 août 2023): https://postquantum.com/quantum-policy/cisa-quantum-readiness

[35] CISA, "Strategy for Migrating to Automated Post-Quantum Cryptography Discovery and Inventory Tools", 15 août 2024: https://www.cisa.gov/sites/default/files/2024-09/Strategy-for-Migrating-to-Automated-PQC-Discovery-and-Inventory-Tools.pdf

[36] The Quantum Insider, "CISA Issues Federal Buying Guidance for Post-Quantum Cryptography", 23 janvier 2026: https://thequantuminsider.com/2026/01/27/cisa-issues-federal-buying-guidance-for-post-quantum-cryptography

[37] Dr. Michele Mosca & Dr. Marco Piani (evolutionQ), "Quantum Threat Timeline Report 2025", Global Risk Institute: https://globalriskinstitute.org/publication/quantum-threat-timeline-report-2025b

[38] Global Risk Institute, "Briefing Note: Update on Recent Announcements Related to Breaking RSA-2048": https://globalriskinstitute.org/publication/briefing-note-recent-updates-on-quantum-timeline

[39] DigiCert, "Quantum-Ready FN-DSA (FIPS 206) Nears Draft Approval from NIST": https://www.digicert.com/blog/quantum-ready-fndsa-nears-draft-approval-from-nist

[40] ENISA, "Post-Quantum Cryptography: Current state and quantum mitigation" (février 2021, mis à jour mai 2021): https://www.enisa.europa.eu/publications/post-quantum-cryptography-current-state-and-quantum-mitigation

[41] Commission européenne, COM(2024)81, EUR-Lex, 21 février 2024 (référence à l'avis ANSSI): https://eur-lex.europa.eu/legal-content/EN/TXT/PDF?uri=CELEX%3A52024DC0081

[42] Abidin & Preneel (KU Leuven), "Post-Quantum Cryptography: Migration Timelines & Strategies", CIF Industry Day, novembre 2025: https://cybersecurity-industry-day.be/wp-content/uploads/sites/13/2025/11/Abidin_pqc.pdf

[43] NIST CSRC, présentation FIPS 206 / FN-DSA (Falcon): https://csrc.nist.gov/csrc/media/presentations/2025/fips-206-fn-dsa-(falcon)/images-media/fips_206-perlner_2.1.pdf

[44] EUR-Lex, Directive (UE) 2022/2555 (NIS2): https://eur-lex.europa.eu/legal-content/EN/TXT/HTML?uri=CELEX%3A52024PC0023

[45] EUR-Lex, "ProtectEU: a European Internal Security Strategy" (CELEX 52025DC0148): https://eur-lex.europa.eu/legal-content/EN/TXT/HTML?uri=CELEX%3A52025DC0148

[46] PQShield, "PQC Transition Roadmaps and Guidance": https://pqshield.com/pqc-transition-roadmaps-and-guidance

[47] Kryptus, "Post-Quantum Cryptography in Europe: The 2030 Roadmap and How to Prepare": https://kryptus.com/post%E2%80%91quantum-cryptography-in-europe

[48] Banque de France / Monetary Authority of Singapore, Rapport conjoint sur la cryptographie post-quantique, novembre 2024: https://www.banque-france.fr/system/files/2024-11/BDFxMAS%20report%20final.pdf

[49] Service de Recherche du Parlement européen, "Cryptographic Security: A Question for Europe's Digital Sovereignty", EPRS_BRI(2024)766237, 2024: https://www.europarl.europa.eu/RegData/etudes/BRIE/2024/766237/EPRS_BRI(2024)766237_EN.pdf

[50] Palo Alto Networks, "A Complete Guide to Post-Quantum Cryptography Standards": https://www.paloaltonetworks.com/cyberpedia/pqc-standards

[51] GSMA, "Post Quantum Government Initiatives by Country and Region", mis à jour le 23 février 2026: https://www.gsma.com/newsroom/post-quantum-government-initiatives-by-country-and-region

[52] Bill Newhouse & Andrew Regenscheid (NIST), "NIST PQC Update", PKI Consortium, Austin 2025: https://pkic.org/events/2025/pqc-conference-austin-us/WED_PLENARY_1000_Bill-N_Andrew-R_NIST-PQ-Crypto-Update.pdf

[53] Encryption Consulting, "Exploring CNSA 2.0: The Core Algorithms for Next-Gen Security": https://www.encryptionconsulting.com/exploring-cnsa-2-0-the-core-algorithms-for-next-gen-security

[54] Industrial Cyber, "White House begins transition to post-quantum cryptography for federal agencies": https://industrialcyber.co/news/white-house-begins-transition-to-post-quantum-cryptography-for-federal-agencies-conducts-inventory-of-cryptographic-systems

[55] PQShield, "Quantum-Resistant Encryption Mandate" (Executive Order post-2024): https://pqshield.com/quantum-resistant-encryption-mandate

[56] EUR-Lex, Règlement (UE) 2024/2847 — Cyber Resilience Act (texte adopté): https://eur-lex.europa.eu/eli/reg/2024/2847/oj/eng

[57] EUR-Lex, Règlement (UE) 2024/2847 — Cyber Resilience Act (texte consolidé au 20.11.2024): https://eur-lex.europa.eu/eli/reg/2024/2847/2024-11-20/eng

[58] EUR-Lex, CELEX 52026PC0011 (références CRA, NIS2, cryptographie post-quantique): https://eur-lex.europa.eu/legal-content/EN/TXT/HTML?uri=CELEX%3A52026PC0011

[59] PostQuantum.com, "EU Publishes a Recommendation on Post-Quantum Cryptography" (Recommandation (UE) 2024/1101): https://postquantum.com/quantum-policy/eu-recommendation-post-quantum

[60] The Quantum Insider, "European Commission Publishes Recommendation on Post-Quantum Cryptography", 13 avril 2024: https://thequantuminsider.com/2024/04/13/european-commission-publishes-recommendation-on-post-quantum-cryptography

[61] Hopae, "What is the eIDAS 2.0 Regulation and How to Prepare Your Business" (Règlement (UE) 2024/1183): https://www.hopae.com/blog/what-is-the-eidas-2-0-regulation-and-how-to-prepare-your-business

[62] Commission européenne, "New round of EU Digital Identity Wallet implementing regulations adopted", 30 juillet 2025: https://ec.europa.eu/digital-building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/909706465/New+round+of+EU+Digital+Identity+Wallet+implementing+regulations+adopted

[63] Marin Ivezic (LinkedIn), "Quantum computers may break ECC before RSA": https://www.linkedin.com/posts/marinivezic_how-ecc-became-the-easiest-quantum-target-activity-7435030763018027009-d2ID

[64] ISC2 Community, "When will a quantum computer break RSA?", 26 août 2024: https://community.isc2.org/t5/Tech-Talk/When-will-a-quantum-computer-break-RSA/td-p/73406

[65] The Quantum Insider, "Quantum Security Deadlines are Here", 8 mai 2026: https://thequantuminsider.com/2026/05/08/post-quantum-migration-timelines-government-industry-impact

[66] SafeLogic, "CNSA 2.0 Compliance Requirements, Algorithms & Timelines": https://www.safelogic.com/compliance/cnsa-2