Le décret de Trump fixe les délais pour le passage du gouvernement fédéral au cryptage à résistance quantique

Les agences sont confrontées aux échéances de 2030 et 2031 pour les systèmes fédéraux sensibles

Le président Donald Trump a ordonné aux agences fédérales de déplacer les actifs de grande valeur et les systèmes à fort impact vers la cryptographie post-quantique, fixant les délais au 31 décembre 2030 pour l'établissement des clés et au 31 décembre 2031 pour les signatures numériques. Le décret du 22 juin s’applique aux systèmes fédéraux sensibles, aux règles de passation des marchés publics et à la planification dans les secteurs des infrastructures critiques.

L’ordonnance se concentre sur les risques posés par l’informatique quantique. Il prévient que les adversaires pourraient collecter des données américaines cryptées aujourd’hui et les décrypter plus tard, une fois que la technologie quantique progressera. La cryptographie post-quantique fait référence à des algorithmes ou à des méthodes cryptographiques conçus pour résister aux attaques des ordinateurs quantiques et classiques.

Le décret stipule :

« Les États-Unis doivent prendre des mesures pour renforcer les protections cryptographiques des données sensibles, des infrastructures critiques et de l'économie numérique du pays. »

Les chefs d’agence doivent nommer un responsable de la migration post-cryptographie quantique dans les 30 jours. Ces responsables relèveront des directeurs de l’information de l’agence, géreront les inventaires cryptographiques, élaboreront des plans de migration et coordonneront la mise en œuvre dans tous les départements.

Dans les 90 jours, le Bureau de la gestion et du budget doit publier des orientations en coordination avec l'Agence de cybersécurité et de sécurité des infrastructures (CISA) et le directeur national de la cybersécurité. Les agences devront examiner leurs actifs de grande valeur et leurs systèmes à fort impact, à l'exclusion des systèmes de sécurité nationale, et soumettre des plans détaillés pour la transition vers de nouvelles normes.

Le NIST, le CISA et les entrepreneurs reçoivent des rôles de mise en œuvre définis

Plusieurs agences fédérales ont des responsabilités spécifiques en vertu de l'ordonnance. Le National Institute of Standards and Technology (NIST) doit lancer un projet pilote de migration dans les 180 jours sur les systèmes sélectionnés qu'il contrôle, et son achèvement est requis d'ici le 31 décembre 2027. Ce projet pilote contribuera à orienter une adoption plus large avant les échéances de 2030 et 2031.

L’ordonnance met également en évidence les risques liés aux données à long terme. Il précise :

« La cyberactivité continue contre notre nation présente également le risque que des adversaires collectent des informations sur les États-Unis maintenant et les décryptent plus tard, une fois que les ordinateurs quantiques à grande échelle seront opérationnels. »

Les changements en matière de passation des marchés passeront par l’élaboration de règles. Le Conseil fédéral de réglementation des acquisitions a 180 jours pour publier une proposition de règle qui obligerait les entrepreneurs couverts à respecter les normes du NIST, y compris les algorithmes post-quantiques, d'ici le 31 décembre 2030. Les infrastructures critiques sont également incluses, les agences de gestion des risques sectoriels étant chargées de travailler avec la CISA pour aider les opérateurs à préparer des plans de migration, tandis que la CISA et le NIST ont 270 jours pour publier des orientations sur les éléments minimaux d'une nomenclature cryptographique.

L’ordre s’étend au-delà des systèmes nationaux en ordonnant au secrétaire d’État de se coordonner avec les agences fédérales et les responsables du renseignement pour promouvoir l’adoption des normes post-quantiques du NIST à l’étranger. Les systèmes de sécurité nationale suivront une voie distincte, le directeur de la NSA étant tenu de rendre compte des progrès réalisés au président dans les 180 jours, puis chaque année.