EN|FREN|FRLes normes sont récentes, les implémentations inégales, les performances et chemins de migration varient. Les efforts post-quantiques couvrent l'infrastructure, les applications, l'identité, la gouvernance, les fournisseurs. Les chiffres précis sont peu fiables ; utiliser des estimations par scénarios et se concentrer sur les facteurs de coût, pas les totaux. Un budget exact trop tôt donne une fausse confiance.
Facteurs : périmètre cryptographique (nombre de systèmes, diversité des protocoles), complexité architecturale (legacy, agilité crypto), performance (clés/signatures plus grandes), contraintes opérationnelles (disponibilité, compatibilité). Ils définissent l'effort et le profil de risque, pas les coûts seuls.
Coûts non techniques : conception et tests, formation, gestion de projet, impact fournisseurs et achats, risque opérationnel (erreurs de migration, rollback). Les coûts indirects dépassent souvent les coûts techniques, sont sous-estimés au début et déterminent le succès du projet.
Utiliser fourchettes et scénarios, pas des chiffres fixes : impact faible/moyen/élevé, répartition par phases, séparation préparation vs migration. L'estimation par scénarios permet de comparer les options, prioriser et affiner avec la maturité.
L'analyse des coûts a de la valeur quand elle guide quand agir, où investir en premier, et quand le report est justifié. Résultats défendables : surveillance active, pilotes limités, ou pas de migration immédiate — si les risques sont compris et les points de revue définis. La préparation vise à contrôler l'exposition future, pas à minimiser le coût.