Le 23 juin 2025, les États membres de l’UE ont publié une feuille de route pour la migration coordonnée des systèmes de chiffrement vers des technologies résistantes aux attaques quantiques. Elle fixe un calendrier de transition en trois temps. Chaque État est invité à engager une stratégie nationale et à mettre en œuvre les premiers jalons d’ici fin 2026. Les systèmes jugés critiques doivent avoir migré d’ici fin 2030, et la transition doit ensuite être étendue à tous les systèmes qui peuvent raisonnablement l’être d’ici 2035.

Ce plan fait passer le sujet du prospectif à l’opérationnel. L’ANSSI suit le dossier de près : elle publie sa propre documentation de référence sur le sujet, et des homologues, comme le Centro Criptológico Nacional (CCN) en Espagne, publient également leurs recommandations de transition post-quantique. 

Les organisations n’avancent cependant pas toutes au même rythme. Certaines grandes entreprises engagent déjà des audits et des analyses de leur exposition, tandis que de nombreuses PME continuent de considérer le risque quantique comme lointain, donnant la priorité à d’autres urgences en matière de cybersécurité.

Avant d’envisager une migration, une organisation doit savoir où se trouve sa cryptographie. Or cet exercice s’avère plus complexe qu’il n’y paraît. La cryptographie est présente dans la plupart des produits de cybersécurité, mais aussi dans des solutions qui ne sont pas identifiées comme telles, y compris dans des briques open source anciennes ou peu maintenues. 

Cette dispersion complique l’identification des éléments vulnérables et explique pourquoi de nombreuses organisations reportent leurs décisions de transition, freinées par le coût et la complexité de cet inventaire.

Un deuxième chantier concerne les données déjà chiffrées avec des algorithmes classiques comme RSA (Rivest Shamir Adleman). Ces données doivent être localisées puis de nouveau chiffrées avec des schémas hybrides associant cryptographie classique et post-quantique. 

Cette approche permet de conserver les garanties apportées par des mécanismes éprouvés tout en introduisant progressivement des protections résistantes à la menace quantique. Elle répond aussi à un principe de prudence : les standards post-quantiques, leurs implémentations et leur interopérabilité vont continuer d’évoluer, ce qui impose des infrastructures capables d’adapter leurs paramètres cryptographiques sans interrompre l’activité.

C’est précisément l’enjeu de la crypto-agilité, cette capacité à faire évoluer les algorithmes et les clés en fonction des menaces, plutôt que de les figer pour plusieurs années. 

Le CTO de PRIM’X, Pierre-Jean LECA,  résume ce changement d’approche : « Le passage à des algorithmes approuvés par le NIST (National Institute of Standards and Technology) exige un travail de fond, pas seulement le remplacement d’un composant cryptographique isolé. »

Une organisation qui traite la transition post-quantique comme une opération unique s’expose à devoir la recommencer à chaque évolution des algorithmes validés par le NIST. 

À l’horizon du Q-Day, le jour où un ordinateur quantique deviendra capable de casser les protocoles actuels, seules les infrastructures conçues pour cette flexibilité continueront à protéger leurs données sans interruption de service. 

PRIM’X inscrit sa feuille de route produit dans le calendrier recommandé par les autorités nationales et européennes afin d’anticiper l’émergence de la menace quantique. 

L’objectif est de permettre aux organisations de faire évoluer progressivement leurs mécanismes de protection, sans remettre en cause les infrastructures existantes ni interrompre les usages de la cryptographie.

Dans cette perspective, l’éditeur français participe au projet HYPERFORM, un consortium réunissant huit acteurs français de la cybersécurité et de la recherche. Coordonné par IDEMIA Secure Transactions, sous la supervision de l’ANSSI, ce projet est cofinancé par France 2030 et l’Union européenne. Il vise à contribuer au développement de solutions de confiance capables de résister aux futures capacités de calcul quantique, tout en répondant aux exigences de transition et d’interopérabilité des systèmes actuels.

La contribution de PRIM’X porte notamment sur l’intégration de mécanismes post-quantiques dans son environnement de certificats. 

À court terme, PRIM’X prévoit de livrer au troisième trimestre 2026 le démonstrateur final de ce projet, associant une hybridation du certificat Catalyst à une crypto-agilité permettant de basculer de l’algorithme ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism) vers HQC (Hamming Quasi-Cyclic), deux mécanismes retenus dans les standards post-quantiques. Cette approche permettra de combiner les mécanismes cryptographiques actuels avec des algorithmes post-quantiques, puis de faire évoluer ces choix au fil de la maturité des standards et des recommandations de sécurité.

À moyen et long terme, PRIM’X vise le quatrième trimestre 2027 pour intégrer les exigences post-quantiques dans ses versions 2028 et suivantes, en conformité avec les recommandations de l’ANSSI. L’objectif est de fournir des solutions PQ ready (prêtes pour le post-quantique) industrialisées sur l’ensemble du parc client, console, poste de travail, mobile et serveur, sans imposer de refonte lourde. 

Pierre-Jean LECA défend une approche pensée pour limiter la charge opérationnelle côté client : « Nous voulons que la transition post-quantique se traduise, pour nos clients, par une simple mise à jour et non par un projet d’infrastructure. »

Cette promesse rejoint la responsabilité que l’éditeur attribue à l’ensemble des fabricants de solutions de cybersécurité, celle de simplifier une transition que les PME et les administrations les moins outillées ne pourraient pas absorber seules. 

Pour les RSSI et les directions techniques, le message qui se dégage de cette feuille de route dépasse la seule question technologique. Vérifier la résistance post-quantique de son parc cyber ne relève plus de la veille, mais devient un critère à exiger de chaque fournisseur, au même titre qu’un audit de conformité classique.

La transition post-quantique impose une nouvelle discipline d’achat, d’architecture et de pilotage cyber. Les entreprises doivent désormais demander à leurs fournisseurs où la cryptographie intervient, quels algorithmes protègent les données, comment les archives déjà chiffrées seront reprises et selon quel calendrier les produits deviendront compatibles avec les exigences post-quantiques. À mesure que l’échéance de 2030 se rapproche, cette vérification devient un marqueur de maturité pour les DSI et les RSSI. L’enjeu consiste à préparer la migration avant que la pression réglementaire, technique ou concurrentielle ne dicte le rythme. En construisant une transition par mise à jour et l’industrialisation de la crypto-agilité, PRIM’X entend réduire cette complexité pour ses clients.