Vos dossiers KYC de 2026 seront déchiffrables avant leur date de purge.
Zivyx Quantum installe le chiffrement post-quantique et les dispositifs de protection des données chez les fintechs, néobanques, PSP et assurtechs — et produit les preuves que réclame DORA. Flux interbancaires, API de paiement, données KYC, journaux de transaction : chaque surface est traitée avec son propre niveau d'exigence.
La menace quantique n'est pas une question d'opinion pour une fintech, c'est une soustraction. Le théorème de Mosca compare la durée pendant laquelle vos données doivent rester secrètes au temps qu'il vous reste avant qu'elles ne deviennent lisibles.
| Type de donnée | Obligation légaleDurée de conservation | ExpositionReste sensible jusqu'à | VerdictMarge disponible |
|---|---|---|---|
| Dossiers KYC / LCB-FT | 5 ans après fin de relation | 2036 et au-delà | Négative |
| Justificatifs d'identité | 5 ans minimum | 2036 et au-delà | Négative |
| Pièces comptables | 10 ans | 2036 | Négative |
| Journaux de transaction | 5 à 10 ans | 2036 | Négative |
| Contrats clients | 5 ans après échéance | 2035 et au-delà | Négative |
| Données de session | Quelques mois | 2027 | Confortable |
Le constat est mécanique. Une donnée KYC collectée aujourd'hui reste légalement conservée — et donc exploitable par un attaquant — bien au-delà de la fenêtre estimée du Q-Day. Ajoutez à cela les six à douze mois d'une migration technique, et l'équation était déjà défavorable avant que vous ne lisiez cette page. C'est précisément pourquoi la menace quantique concerne la fintech avant les autres secteurs.
L'attaque ne nécessite aucun ordinateur quantique aujourd'hui. Elle consiste à capter votre trafic chiffré maintenant et à le stocker jusqu'à ce qu'il devienne lisible. Trois caractéristiques font des fintechs une cible de premier choix.
Une identité, un justificatif de domicile, un historique bancaire ne se périment pas. Contrairement à un mot de passe qu'on change, ces éléments restent monnayables une décennie plus tard sur les marchés de la fraude.
Les échanges avec un acquéreur, un réseau de cartes ou une banque partenaire passent par des points de terminaison connus. Un attaquant sait exactement où se placer pour collecter un flux à forte densité de valeur.
Une fintech connectée à plusieurs banques constitue un point d'entrée vers des institutions mieux défendues. Votre chaîne d'intégration devient l'angle d'attaque de vos partenaires.
Le point aveugle habituel : vous ne pouvez pas rechiffrer rétroactivement ce qui a déjà été capté. Migrer en 2029 protégera vos données de 2029, pas celles que vous échangez cette année.
Le règlement européen sur la résilience opérationnelle numérique s'applique aux entités financières depuis janvier 2025. Il ne demande plus si vous êtes sécurisé, mais si vous pouvez le démontrer, le tester et le documenter. Voici la traduction technique de ses cinq piliers.
Vous devez maintenir un cadre documenté couvrant l'identification, la protection et la détection. Concrètement, cela suppose un inventaire de vos usages cryptographiques : quelles suites TLS, quels certificats, quelle date d'expiration, quels algorithmes dans quelles applications. Sans cet inventaire, aucune des exigences suivantes n'est démontrable.
Les incidents majeurs doivent être signalés à l'autorité compétente dans des délais courts, avec rapport initial, intermédiaire puis final. Cela impose une journalisation exploitable : horodatée, centralisée, protégée contre l'altération. Des journaux dispersés et modifiables ne permettent ni de qualifier l'incident ni de tenir les délais.
Programme de tests régulier, et pour les entités désignées comme significatives, des tests de pénétration fondés sur la menace. La cryptographie y est examinée : configurations obsolètes, certificats expirés, algorithmes dépréciés. Un chiffrement non testé est un chiffrement présumé défaillant.
Registre des prestataires, clauses contractuelles obligatoires, évaluation des fournisseurs critiques. Votre chaîne d'approvisionnement cryptographique entre dans le périmètre : si votre PSP ou votre hébergeur utilise des algorithmes obsolètes, la non-conformité vous est imputable.
C'est ici que le risque quantique devient opposable. DORA impose de couvrir les menaces émergentes ; les autorités et l'ANSSI ont publiquement identifié la transition post-quantique comme telle. Un auditeur peut légitimement vous demander votre feuille de route post-quantique — et l'absence de réponse constitue une faiblesse documentée.
À cela s'ajoutent, selon votre activité, la DSP2 et ses certificats eIDAS pour l'accès aux API bancaires, et PCI DSS 4.0 qui exige explicitement un inventaire documenté des suites cryptographiques revu au moins une fois par an — autrement dit, une obligation de crypto-agilité déjà en vigueur.
Une migration fintech ne se traite pas comme une migration générique. Chaque surface a ses contraintes de latence, de compatibilité partenaire et de conformité.
Terminaisons TLS de vos API de paiement, connexions aux acquéreurs et réseaux de cartes. Migration en mode hybride pour préserver la compatibilité avec les partenaires non migrés, avec mesure de la latence ajoutée sur le parcours de transaction.
Tunnels dédiés, transferts de fichiers, connexions aux systèmes de règlement. Ce sont les liaisons les plus sensibles et les plus contraintes contractuellement : chaque changement se coordonne avec la banque.
Chiffrement des bases KYC et du stockage de documents, cloisonnement par finalité, clés distinctes pour les données d'identité. C'est la surface où la migration post-quantique est la plus urgente.
Élimination des clés en clair dans les dépôts et les variables d'environnement, coffre-fort de secrets, rotation automatisée, séparation stricte entre production et bac à sable. La faille la plus courante chez les fintechs jeunes.
Journalisation scellée et horodatée des transactions et des accès, garantissant qu'un journal n'a pas été modifié après coup. Exigence directe des piliers 2 et 3 de DORA.
Copies immuables hors réseau des registres et bases critiques, chiffrées, avec tests de restauration documentés. Sans test, la sauvegarde ne compte pas aux yeux d'un auditeur.
Une séquence conçue pour des équipes techniques réduites et un environnement où l'interruption de service n'est pas envisageable. Chaque étape produit un livrable opposable à un auditeur.
Découverte automatisée de tous vos usages de cryptographie, complétée par la cartographie de vos flux partenaires : qui échange quoi, avec quel algorithme, sous quelle contrainte contractuelle. Livrable : Cryptographic Bill of Materials et carte des dépendances partenaires.
Application du théorème de Mosca à chaque catégorie de donnée, croisée avec une revue d'écart pilier par pilier. Vous obtenez une matrice qui distingue ce qui relève de l'urgence quantique, de la conformité immédiate, ou des deux. Livrable : matrice de risque et rapport d'écart DORA.
Conception de l'architecture hybride, choix des algorithmes NIST, stratégie de gestion des clés. Étape spécifique à la fintech : nous préparons le dossier technique à transmettre à vos banques et PSP, car leur validation conditionne votre calendrier. Livrable : dossier d'architecture et notes d'intégration partenaires.
Déploiement sur un périmètre restreint avec mesure précise de la latence ajoutée, de la taille des poignées de main et du taux d'échec. Aucun passage à l'échelle sans chiffres validés contre vos engagements de service. Livrable : rapport de performance et de compatibilité.
Déploiement progressif avec repli immédiat à chaque étape. Le mode hybride garantit que vos partenaires non migrés continuent de fonctionner normalement pendant toute la transition. Livrable : systèmes en production quantum-safe et documentation d'exploitation.
Surveillance de la posture cryptographique, alertes sur certificats faibles, rotation des clés, mise à jour au rythme des publications NIST et ANSSI. Production continue du dossier de preuves pour vos auditeurs, votre régulateur et vos partenaires bancaires. Livrable : tableau de bord et dossier de résilience DORA tenu à jour.
Tarifs HT pour une fintech de 20 à 250 collaborateurs. Chaque formule inclut les livrables de la précédente.
| Formule 1 · DiagnosticAudit DORA | Formule 2 · La plus demandéeFintech Quantum Safe | Formule 3 · Entités significativesRésilience Complète | |
|---|---|---|---|
| Tarif indicatif | À partir de 11 000 € | À partir de 45 000 € | À partir de 95 000 € |
| Pour qui | Fintechs en phase d'amorçage ou de structuration, avant un audit partenaire. | Néobanques, PSP, assurtechs en production, soumises à DORA et auditées par leurs banques. | Entités désignées significatives, groupes multi-entités, acteurs soumis aux tests de pénétration réglementaires. |
| Inventaire cryptographique (CBOM) | Inclus | Inclus | Inclus |
| Rapport d'écart DORA (5 piliers) | Inclus | Inclus | Inclus |
| Théorème de Mosca par catégorie | Inclus | Inclus | Inclus |
| Migration PQC des API de paiement | — | Complète | Complète |
| Flux interbancaires hybrides | — | Inclus | Inclus |
| Chiffrement des bases KYC | — | Inclus | Inclus |
| Coffre-fort de secrets & rotation | — | Inclus | Inclus + HSM |
| Journalisation scellée & horodatage | — | Inclus | Inclus |
| Sauvegardes immuables & tests | — | Inclus | Inclus |
| Registre des prestataires TIC | Modèle fourni | Constitué | Constitué + revue |
| Dossier technique partenaires bancaires | — | Inclus | Inclus |
| Préparation aux tests de pénétration | — | Option | Incluse |
| Plan de réponse à incident | — | Inclus | Inclus + exercice |
| Alignement PCI DSS 4.0 | Synthèse | Préparation | Accompagnement |
| Formation des équipes | Restitution 3 h | Atelier 1 journée | Programme sur mesure |
| Supervision continue | — | 12 mois inclus | 24 mois + astreinte |
| Délai de mise en œuvre | 3 à 5 semaines | 12 à 20 semaines | 6 à 12 mois |
Toutes les fintechs ne portent pas le même risque. Voici comment nous ajustons le premier chantier selon votre activité.
Volume de dossiers KYC élevé et conservation longue. Premier chantier : chiffrement des bases d'identité et cloisonnement des clés par finalité. Le registre des prestataires TIC est en général le point faible du dossier DORA.
Contrainte de latence forte et dépendance à des partenaires nombreux. Premier chantier : migration hybride des terminaisons TLS avec mesure d'impact transactionnel, puis alignement PCI DSS sur l'inventaire des suites cryptographiques.
Données de santé parfois présentes dans les dossiers de souscription, contrats à échéance longue. Premier chantier : cloisonnement des données sensibles au sens de l'article 9 du RGPD et chiffrement des archives contractuelles.
Pièces justificatives volumineuses et conservation comptable de dix ans. Premier chantier : chiffrement du stockage documentaire et journalisation scellée des décisions d'octroi.
Votre activité relève d'un autre domaine ? Consultez l'ensemble de nos interventions par secteur.
Pas nommément. DORA exige un cadre de gestion du risque TIC couvrant les menaces émergentes, une politique de chiffrement documentée et des mesures à l'état de l'art. La transition post-quantique étant publiquement identifiée comme une menace émergente par les autorités et par l'ANSSI, un auditeur peut légitimement vous demander votre feuille de route. L'absence de réponse ne constitue pas une sanction automatique, mais une faiblesse documentée dans votre dossier.
Un audit d'écart avec inventaire cryptographique démarre autour de 11 000 € HT. Une migration complète pour une fintech en production se situe généralement entre 40 000 € et 90 000 € HT, selon le nombre d'API, de partenaires bancaires à coordonner et d'environnements à couvrir. Les entités désignées significatives, soumises aux tests de pénétration réglementaires, dépassent ce budget.
Les algorithmes post-quantiques manipulent des clés plus volumineuses, ce qui alourdit légèrement la poignée de main initiale. L'impact sur une transaction complète reste généralement marginal, mais nous ne le supposons jamais : l'étape pilote mesure la latence réelle, la taille des échanges et le taux d'échec sur votre infrastructure, avant tout déploiement à l'échelle. Aucun passage en production sans chiffres validés contre vos engagements de service.
Non, c'est précisément l'objet du mode hybride : l'algorithme classique et l'algorithme post-quantique coexistent sur le même canal. Un partenaire non migré continue de négocier en classique sans rien changer chez lui, tandis que vos échanges avec les partenaires migrés bénéficient de la protection renforcée. La transition se fait sans coordination bloquante.
Parce que ce sont celles dont la durée de conservation légale dépasse le plus largement l'horizon de la rupture cryptographique. Un dossier KYC conservé cinq ans après la fin de la relation client reste sensible bien au-delà de 2035. Ce sont donc les données les plus exposées au risque de moisson anticipée, et celles pour lesquelles migrer plus tard n'aura servi à rien.
Les standards normalisés par le NIST : ML-KEM (FIPS 203) pour l'encapsulation de clés, ML-DSA (FIPS 204) et SLH-DSA (FIPS 205) pour les signatures. Nous les déployons en mode hybride, conformément aux recommandations de l'ANSSI, qui préconise de conserver un algorithme classique en parallèle pendant la phase de transition. Le détail technique est expliqué sur notre page consacrée à la cryptographie quantique et post-quantique.
Presque jamais. La distribution quantique de clés exige du matériel dédié et de la fibre, pour une portée limitée à des liaisons point à point. Elle se justifie sur des liens inter-datacenters d'établissements de grande taille, pas sur l'infrastructure d'une fintech. La cryptographie post-quantique logicielle apporte la protection nécessaire à un coût sans commune mesure.
Chaque vague de déploiement dispose d'un mécanisme de repli immédiat, testé avant activation. Par ailleurs, la formule Fintech Quantum Safe inclut un plan de réponse à incident aligné sur les délais de notification DORA, avec la chaîne de décision et les modèles de rapport initial, intermédiaire et final déjà rédigés.
Oui, et DORA l'impose indirectement : le pilier consacré au risque tiers vous rend responsable de votre chaîne d'approvisionnement TIC. Nous constituons votre registre des prestataires, évaluons leur posture cryptographique et vous fournissons les clauses contractuelles à intégrer. Un hébergeur ou un PSP utilisant des algorithmes dépréciés devient votre non-conformité.
Par un audit DORA avec inventaire cryptographique, sur trois à cinq semaines. Vous obtenez la cartographie de vos usages, votre marge réelle par catégorie de donnée, le rapport d'écart sur les cinq piliers et un plan d'action chiffré. Aucun engagement sur la suite : le dossier reste exploitable même si vous confiez les travaux à une autre équipe.
Zivyx Quantum établit l'inventaire de vos usages cryptographiques, applique le théorème de Mosca à chaque catégorie de donnée et vous remet un rapport d'écart sur les cinq piliers de DORA. Devis sous 48 heures.
Zivyx Quantum accompagne les fintechs, néobanques, PSP et assurtechs de France, Belgique, Suisse et Luxembourg sur l'ensemble de la chaîne : audit, migration, conformité et supervision.