Le PQC fédéral US n'est plus seulement de l'inventaire. EO 14412 et OMB M-26-15 fixent l'établissement de clés HVA d'ici 2030 et les signatures d'ici 2031. CNSA 2.0 couvre les systèmes de sécurité nationale. Qui est dans le périmètre et par où commencer.
Les États-Unis sont la juridiction où la cryptographie post-quantique est passée du travail de normalisation à un mandat d'exécution avec des dates nommées pour les High Value Assets fédéraux. Le NIST a finalisé FIPS 203, 204 et 205. Le Quantum Computing Cybersecurity Preparedness Act exigeait déjà des agences qu'elles planifient. Le National Security Memorandum 10 a fixé un objectif d'atténuation pour 2035. En juin 2026, l'Executive Order 14412 et le mémorandum OMB M-26-15 ont transformé cet ensemble en migration par phases avec une échéance de soumission mesurée en jours, pas en années. Les National Security Systems suivent une piste séparée sous CNSA 2.0 de la NSA.
Ce guide couvre ce que ces instruments disent réellement, qui est dans le périmètre (agences, contractants, infrastructures critiques et opérateurs NSS), le calendrier contre lequel planifier, et les premières étapes pratiques : inventaire cryptographique, préparation HSM/KMS, et déploiement PQC hybride. Pour la cartographie des contrôles vers CSF 2.0 et SP 800-53, voir aussi notre page de conformité NIST PQC.
Les publications FIPS du NIST définissent la destination cryptographique pour les systèmes fédéraux civils :
| Standard | Algorithme | Rôle |
|---|---|---|
| FIPS 203 | ML-KEM | Établissement / encapsulation de clés |
| FIPS 204 | ML-DSA | Signatures numériques à usage général |
| FIPS 205 | SLH-DSA | Signatures hash-based sans état |
Le NIST Internal Report 8547 (et successeurs) décrit la transition plus large vers ces standards. OMB M-26-15 exige que les plans d'agence s'alignent sur IR 8547.
Le Quantum Computing Cybersecurity Preparedness Act (Public Law 117-260, décembre 2022) a demandé à l'OMB d'exiger des agences qu'elles priorisent la migration et élaborent des plans, avec reporting annuel au Congrès. OMB M-23-02 (novembre 2022) a fait le premier geste opérationnel : un inventaire priorisé des systèmes cryptographiques sur les systèmes d'information fédéraux, hors National Security Systems, centré sur les High Value Assets et les systèmes à fort impact. Ce travail d'inventaire est le fondement que M-26-15 attend désormais que les agences transforment en plan de migration actionnable.
EO 14412, Securing the Nation Against Advanced Cryptographic Attacks, affirme la politique US de migrer les systèmes d'information fédéraux vers les FIPS NIST approuvés pour le PQC et d'assister les propriétaires et opérateurs d'infrastructures critiques dans leurs transitions. Parmi ses directives :
M-26-15, Execution of the Migration to Post-Quantum Cryptography, est le mémorandum d'exécution pour les agences civiles (non-NSS). Il ne s'applique pas aux national security systems. Exigences centrales :
La Commercial National Security Algorithm Suite 2.0 de la NSA est la piste séparée d'algorithmes et de calendrier pour les National Security Systems. Elle fixe des jalons support-and-prefer puis exclusive-use par catégorie de produit (signature logiciel/firmware, équipements réseau, systèmes d'exploitation, services web/cloud et appareils contraints), avec des dates d'usage exclusif typiquement dans la fenêtre 2030-2033 selon la catégorie, en avance sur l'objectif plus large NSM-10 de 2035. La signature logiciel et firmware est délibérément précoce parce que les racines de confiance sont difficiles à mettre à jour après déploiement. Si vous construisez pour NSS ou des produits dual-use qui entrent dans des environnements NSS, CNSA 2.0 est le niveau, pas M-26-15 seul.
| Piste | Qui elle lie | Instruments principaux |
|---|---|---|
| Agences fédérales civiles | Départements et agences exécutifs opérant des systèmes d'information non-NSS | EO 14412, OMB M-26-15, inventaires M-23-02, NIST FIPS / IR 8547 |
| National Security Systems | Propriétaires/opérateurs NSS et vendeurs qui les fournissent | CNSA 2.0, politique CNSSP, NSM-10 |
| Contractants fédéraux / parties FAR couvertes | Contractants une fois la règle FAR PQC finalisée ; la planification doit assumer la direction EO de conformité FIPS au 31 décembre 2030 | Directive FAR de EO 14412 ; règle FAR à venir |
| CSP FedRAMP et SaaS/PaaS/IaaS multi-agences | Cloud et services partagés utilisés à travers les agences | Coordination M-26-15 via CISA / Department of War / GSA |
| Infrastructures critiques | Propriétaires et opérateurs assistés par les Sector Risk Management Agencies et la CISA | Mandat d'assistance EO 14412 ; ce n'est pas le même qu'un dépôt de plan OMB direct, mais la planification de migration est désormais un sujet d'engagement fédéral explicite |
| Secteur commercial (de facto) | Tout vendeur vendant vers ce qui précède | Une cryptographie produit qui ne peut pas atteindre les calendriers FIPS PQC ou CNSA 2.0 devient un bloqueur d'achat |
Les entreprises privées sans contrat fédéral et sans désignation d'infrastructure critique ne sont pas directement déposées sous M-26-15. Elles héritent néanmoins de pression via la chaîne d'approvisionnement, FedRAMP, les orientations sectorielles et les questionnaires clients qui demandent de plus en plus des feuilles de route PQC.
| Échéance | Jalon | S'applique à |
|---|---|---|
| ~22 octobre 2026 | PQC Migration Plan d'agence dû à l'OMB et à l'ONCD (120 jours après M-26-15) | Agences civiles |
| 2026-2027 | Phase 1 : stratégie, planification, découverte, gouvernance, rafraîchissement inventaire HVA/high-impact | Agences civiles |
| 2027-2028 | Phase 2 : pilotes et migration précoce | Agences civiles |
| D'ici le 31 décembre 2027 | Pilote de migration PQC NIST achevé | Systèmes NIST (EO 14412) |
| 2028-2030 | Phase 3 : établissement de clés PQC sur HVA, high-impact et haute sensibilité ; crypto-agilité sur ces systèmes | Agences civiles |
| 31 décembre 2030 | Établissement de clés HVA / high-impact en PQC ; cible EO pour conformité FIPS des contractants couverts | Agences ; contractants (selon règle FAR une fois finalisée) |
| 2031 | Phase 4 : signatures numériques PQC sur les mêmes systèmes prioritaires | Agences civiles |
| 31 décembre 2031 | Migration signatures HVA / high-impact achevée | Agences civiles |
| 2030-2033 (par catégorie) | Jalons exclusive-use CNSA 2.0 | NSS |
| 2035 | Phase 5 : systèmes restants ; objectif d'atténuation NSM-10 | Objectif fédéral large |
L'établissement de clés est volontairement devant les signatures pour la piste HVA civile, en phase avec le problème store-now-decrypt-later. CNSA 2.0 charge en priorité la signature firmware pour une autre raison : la difficulté de mise à jour après déploiement.
M-23-02 exigeait déjà un inventaire priorisé. M-26-15 suppose que ce travail existe et pousse les agences à l'automatiser et le maintenir. Que vous soyez une agence, un CSP ou un contractant supportant des HVA, l'inventaire doit encore répondre :
Un CBOM est la forme pratique lisible par machine. Notre guide CBOM et la cartographie de conformité NIST PQC alignent ce travail d'inventaire sur des contrôles de style CSF 2.0 / SP 800-53 plutôt qu'un tableur ponctuel.
La migration fédérale échoue quand l'algorithme est approuvé mais le magasin de clés ne peut pas le détenir ou l'utiliser.
Les systèmes qui ne peuvent pas supporter la cryptographie PQC ou hybride doivent être signalés pour remplacement ou décommissionnement dans le plan de migration, pas laissés comme « exceptions » sans responsables.
La direction technique de M-26-15 soutient une migration par phases avec agilité cryptographique ; les piles TLS et IPsec commerciales livrent déjà l'établissement de clés hybride combinant ECDH classique avec ML-KEM. Pour les liaisons externes et inter-systèmes prioritaires :
L'accent de M-26-15 sur un inventaire automatisé et maintenu est le même problème qu'un CBOM et un Quantum Risk Score sont construits pour résoudre : découverte continue de l'usage de clé publique classique, priorisée par criticité système, plutôt qu'une liste statique annuelle. Voir le guide CBOM et la page de conformité NIST PQC pour une cartographie orientée contrôles.
L'établissement de clés hybride sur les plateformes de bordure d'entreprise courantes est couvert dans les guides F5 et FortiGate, y compris les outils MCP qui appliquent des profils hybrides ML-KEM à partir d'une liste d'actifs priorisée. La gestion des clés contrôlée par le client traite l'écart de responsabilité partagée que M-26-15 signale pour les services cloud : agences et contractants peuvent migrer les algorithmes sans abandonner par défaut la garde des clés au fournisseur.
Q : M-26-15 s'applique-t-il aux National Security Systems ?
Non. Le mémorandum indique qu'il ne s'applique pas aux NSS. Ces systèmes suivent CNSA 2.0 et la politique CNSS associée.
Q : Les entreprises privées sont-elles directement réglementées par EO 14412 ?
Pas de la même façon que les agences fédérales. L'ordre pilote la migration des agences, l'assistance aux infrastructures critiques via les Sector Risk Management Agencies et la CISA, et un chemin de rulemaking FAR pour les contractants couverts. L'exposition commerciale est surtout contractuelle et sectorielle, mais elle est déjà réelle pour quiconque dans la chaîne d'approvisionnement fédérale.
Q : La cryptographie hybride est-elle requise ?
Le NIST et l'OMB insistent sur la migration vers le PQC FIPS avec agilité cryptographique. L'établissement de clés hybride classique-plus-PQC est le modèle intérimaire largement déployé dans les protocoles commerciaux et est cohérent avec un plan par phases ; traitez-le comme un pont que vous pouvez quitter, pas comme un substitut permanent pour atteindre l'objectif d'établissement de clés 2030 sur les systèmes prioritaires.
Q : Comment cela se compare-t-il aux calendriers UK, allemand ou suisse ?
La piste HVA civile US est plus directive sur la soumission de plan à court terme (jours après M-26-15) et sur l'établissement de clés 2030 pour les systèmes prioritaires. Le UK centre les jalons de programme NCSC jusqu'en 2035. L'Allemagne nomme le retrait de l'accord de clés purement classique d'ici 2031 dans BSI TR-02102. La Suisse pousse les firmes supervisées FINMA vers une feuille de route mi-2027 sans coucher technique national unique. Les multinationales devraient cartographier les produits une fois contre la ligne applicable la plus stricte.
La politique PQC fédérale US est au-delà du stade « veuillez inventorier ». Le NIST a défini les algorithmes, la loi a exigé la planification, EO 14412 et OMB M-26-15 fixent l'établissement de clés HVA d'ici 2030 et les signatures d'ici 2031, avec des plans d'agence dus fin 2026, tandis que CNSA 2.0 suit un calendrier de catégories plus serré pour les NSS. Construisez l'inventaire que vous pouvez automatiser, prouvez la préparation HSM/KMS pour les types de clés PQC FIPS, et placez l'établissement de clés hybride sur les chemins prioritaires assez tôt pour que 2030 soit une année d'expansion, pas une année de découverte.
Écrit par
Nagib Aouini
Ressources associées
Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.
