Cybersécurité et souveraineté numérique. Doter la Suisse d'une feuille de route nationale de transition vers la cryptographie post-quantique

Engler Stefan · P-M · Conseil des Etats · Grisons · Le Groupe du Centre. Le Centre. PEV.

Präsident (Engler Stefan, Präsident): Der Bundesrat beantragt die Annahme der Buchstaben a bis h sowie die Ablehnung des Buchstabens i der Motion.

Juillard Charles · Mit-M · Conseil des Etats · Jura · Le Groupe du Centre. Le Centre. PEV.

Ma motion porte sur un sujet encore trop peu visible, à mon avis, dans le débat public, mais qui concerne directement la sécurité de notre pays, de notre économie et de nos infrastructures. Nous parlons aujourd'hui de cryptographie post-quantique. Cela peut sembler très technique, mais en réalité, derrière ce terme se cache une question très simple : comment garantir que les données et les communications que nous protégeons aujourd'hui resteront protégées demain.

Notre société repose sur la cryptographie. Les paiements électroniques, les communications de l'administration, les dossiers médicaux, les identités numériques, les signatures électroniques, les systèmes industriels ou encore les infrastructures critiques dépendent tous, à des degrés divers, de mécanismes cryptographiques. Or, certains des algorithmes de cryptographie à clé publique que nous utilisons actuellement pourraient être rendus vulnérables par des ordinateurs quantiques suffisamment puissants.

Le problème est que nous ne pouvons pas attendre le jour où un ordinateur quantique capable de casser ses protections sera disponible pour commencer à agir. Pourquoi cela ? Parce que la migration cryptographique est un processus long, complexe et coûteux. Il faut identifier les systèmes concernés, comprendre leurs dépendances, vérifier les logiciels et les équipements, travailler avec les fournisseurs, tester les nouveaux mécanismes, garantir l'interopérabilité et, dans certains cas, remplacer des systèmes qui ont une durée de vie de dix, vingt ou trente ans. Autrement dit, le moment d'agir est avant que la menace ne devienne opérationnelle.

Il existe également un risque, déjà présent aujourd'hui, de "moissonner maintenant pour déchiffrer plus tard". Des données peuvent être capturées aujourd'hui alors qu'elles sont encore correctement protégées. Si leurs valeurs ou leur caractère confidentiel perdurent pendant dix, vingt ou trente ans, elles pourraient être déchiffrées à l'avenir lorsque les capacités technologiques le permettront. Cela concerne notamment les informations de l'État, les données médicales, les données de recherche, les secrets industriels ou certaines informations liées à la sécurité nationale. Nous devons donc raisonner non seulement en fonction de la menace actuelle, mais aussi de la durée pendant laquelle une information doit rester confidentielle.

C'est précisément ce que vise ma motion : ne pas céder à la panique et ne pas imposer une technologie particulière, mais planifier la transition de manière progressive, coordonnée et fondée sur les risques. C'est un élément essentiel. Sans inventaire, nous ne pouvons pas piloter correctement une migration. C'est pourquoi la notion de crypto-agilité est particulièrement importante. Nos systèmes doivent être conçus de manière à pouvoir faire évoluer leurs mécanismes cryptographiques sans devoir tout reconstruire à chaque changement de standard.

C'est une question de cybersécurité, mais également une question de bonne gestion des deniers publics. Si une migration anticipée peut être planifiée, une migration imposée dans l'urgence risque quant à elle d'être beaucoup plus coûteuse, plus complexe et beaucoup plus risquée. La Suisse ne part heureusement pas de zéro. La Confédération a déjà identifié cette problématique et dispose de compétences importantes dans le domaine de la cybersécurité et de l'informatique. Ce qui manque encore, c'est précisément une vision nationale, commune, avec des responsabilités, des priorités et des échéances clairement définies.

Nos partenaires internationaux avancent : l'Union européenne travaille sur la transition vers la cryptographie post-quantique, et les États-Unis, le Royaume-Uni, la France et l'Allemagne ont également engagé des démarches. La motion prévoit à juste titre des échéances différenciées, une priorité aux cas à haut risque d'ici 2030, puis une transition progressive des autres systèmes critiques ou sensibles d'ici 2035 en fonction de la maturité des standards et de l'interopérabilité. Cette approche permet d'éviter deux erreurs. La première serait de ne rien faire en attendant que la menace soit certaine. La seconde serait d'imposer aujourd'hui des investissements massifs dans des technologies qui pourraient encore évoluer. La bonne réponse se situe entre les deux : préparer maintenant, migrer progressivement et adapter les exigences sur le plan des risques.

Permettez-moi de revenir encore quelques instants sur l'avis du Conseil fédéral. Il reconnait l'importance du sujet et je l'en remercie, mais il rejette le point relatif au soutien aux cantons, aux PME, aux entreprises et aux hautes écoles au motif que certaines mesures dépasseraient les compétences actuelles de la Confédération. Je me rallie à sa proposition et ne conteste pas le rejet de la lettre i. Je souhaite néanmoins, pour la clarté des délibérations et la mise en oeuvre à venir, préciser l'esprit de cette lettre i. Mon intention n'a jamais été de créer une compétence fédérale nouvelle ni de transférer à la Confédération une responsabilité qui incombe aux cantons, aux entreprises et aux hautes écoles en matière de cybersécurité, car la responsabilité individuelle de chaque acteur demeure entière. Sur ce point, je partage entièrement l'analyse du Conseil fédéral.

Ce que visait la lettre i, c'est la coordination et non le soutien financier. Une transition vers la cryptographie post-quantique, conduite en ordre dispersé, sans référentiel commun ni interopérabilité, coûterait beaucoup plus cher à tous et affaiblirait la sécurité de l'ensemble. Je prends donc acte du fait que le Conseil fédéral, dans le cadre de ses compétences, assurera cette coordination, avec la mise à disposition de lignes directrices, de modèles d'inventaire, de tests d'interopérabilité et de retours d'expériences utiles aux cantons et à l'économie. Je forme le voeu que le rapport biennal, prévu à la lettre c, rende compte de la manière dont cette coordination est assurée afin que le Parlement puisse en suivre les effets.

En résumé et pour conclure, la cryptographie post-quantique n'est peut-être pas encore une urgence visible pour la population. Mais précisément parce que la transition prendra du temps, il est nécessaire d'agir aujourd'hui avant que cela ne devienne une urgence.

Je vous invite donc à soutenir ma motion sans la lettre i, comme demandé par le Conseil fédéral, et je vous en remercie.

Engler Stefan · P-M · Conseil des Etats · Grisons · Le Groupe du Centre. Le Centre. PEV.

Präsident (Engler Stefan, Präsident): Herr Juillard schliesst sich dem Antrag des Bundesrates an.

Pfister Martin · BR-M · Conseil fédéral · Zoug

Wenn wir gleicher Meinung sind, muss ich mich nicht weiter dazu äussern.

Engler Stefan · P-M · Conseil des Etats · Grisons · Le Groupe du Centre. Le Centre. PEV.

Bst. a-h - Let. a-h

Angenommen - Adopté

Bst. i - Let. i

Zurückgezogen - Retiré