EN|FREN|FRLes organisations s'appuient sur le cloud, le SaaS, les services managés, les sous-traitants, le crypto embarqué. Les choix de chiffrement et de crypto sont souvent hors du contrôle direct ; la protection à long terme dépend des décisions des tiers. Une organisation peut être prête en interne tout en étant exposée via son écosystème. Le risque post-quantique est systémique.
Types d'exposition : traitement de données (stockage/transmission/traitement externe de données chiffrées), services cryptographiques (chiffrement, gestion de clés), crypto embarqué dans les produits (matériel/logiciel non directement configurable), interconnexion (canaux sécurisés entre organisations). Chacun crée des contraintes de visibilité et de contrôle différentes.
Les audits directs des fournisseurs sont souvent impossibles ou disproportionnés. L'évaluation s'appuie sur les feuilles de route fournisseurs, déclarations publiques, engagements contractuels, questionnaires. Dimensions : prise de conscience du risque PQC, existence d'une feuille de route, agilité crypto, transparence des dépendances. Objectif : classification du risque informée, pas une certification.
Ajouter des questions PQC aux évaluations fournisseurs, taguer les fournisseurs avec exposition de données à long terme, aligner avec les achats et revues contractuelles. L'intégration utilise la gouvernance existante, assure la traçabilité d'audit et une réponse proportionnée.
La plupart des fournisseurs sont en phase d'évaluation et de planification. Des exigences irréalistes (ex. déploiement PQC immédiat) créent des frictions ou des engagements trompeurs. Attentes raisonnables : reconnaissance du risque PQC, engagement sur l'agilité crypto, mises à jour périodiques. La gouvernance se concentre sur la direction et l'intention, pas les délais.