- L’Institut européen des normes de télécommunications prépare des exigences de sécurité pour les VPN dans le cadre du Cyber Resilience Act
- NordVPN et Surfshark font partie des acteurs du secteur qui participent à l’élaboration de ces bases de sécurité
- Les nouvelles règles doivent imposer aux VPN vendus en Europe des normes vérifiables en matière de chiffrement, d’authentification et de gestion des vulnérabilités
L’Union européenne transforme profondément la manière dont les outils de protection de la vie privée sont réglementés, avec la préparation d’un standard officiel de sécurité pour les services VPN commercialisés sur son territoire.
Élaboré dans le cadre du vaste Cyber Resilience Act (CRA), ce nouveau dispositif doit fixer des exigences de cybersécurité strictes et vérifiables pour les réseaux privés virtuels vendus en Europe.
Jusqu’à présent, les utilisateurs souhaitant protéger leur activité en ligne devaient largement se fier aux déclarations commerciales des fournisseurs ou à des audits indépendants pour vérifier la solidité du chiffrement ou les politiques de VPN sans journaux.
L’Institut européen des normes de télécommunications (ETSI) travaille désormais à l’établissement d’une base commune baptisée EN 304 620. Il s’agit encore d’un projet de norme en cours d’élaboration.
Ce standard n’a pas été conçu en vase clos.
De grands acteurs du secteur, comme Palo Alto Networks, Cisco, Airbus et Google, ainsi que NordVPN et Surfshark, ont participé à l’élaboration de ces paramètres de sécurité afin qu’ils soient à la fois applicables et techniquement solides.
Pour les utilisateurs, cette législation devrait représenter une évolution importante. Elle vise à imposer des références européennes communes concernant la confidentialité des données, l’authentification et la gestion sécurisée des clés.
Miguel Fornes compare cette évolution à l’arrivée des ceintures de sécurité et des airbags dans les voitures. Avant l’apparition des tests de collision et des obligations de sécurité, les conducteurs devaient simplement espérer que leur véhicule était sûr. L’arrivée de normes officielles a ensuite imposé des exigences communes à tous les constructeurs.
Un nouveau standard pour la sécurité des VPN
Le projet de norme EN 304 620 cible spécifiquement les clients, les serveurs et les passerelles VPN.
Il définit la manière dont ces produits doivent encapsuler et chiffrer le trafic afin de protéger l’intégrité des données lorsqu’elles transitent sur des réseaux non fiables.
Qu’un fournisseur utilise le chiffrement AES-256, le protocole WireGuard ou des serveurs VPN fonctionnant uniquement en RAM, il devra pouvoir démontrer l’existence de contrôles de sécurité déterministes et vérifiables.
Cette norme s’inscrit dans le cadre plus large du Cyber Resilience Act, qui imposera pleinement aux fabricants de produits numériques de respecter des exigences essentielles de cybersécurité à partir de la fin 2027.
Les nouvelles règles imposent également un signalement rapide des vulnérabilités activement exploitées, afin de responsabiliser davantage les fournisseurs en cas de compromission de leur infrastructure.
Pour ceux qui se demandent si les VPN sont réellement sûrs, cette standardisation européenne doit permettre d’établir un niveau de protection minimal beaucoup plus élevé.
Les applications VPN gratuites les moins sérieuses devront ainsi renforcer leur sécurité ou risquer de ne plus pouvoir rester sur le marché européen une fois les exigences applicables.
Pas seulement les VPN : des règles de sécurité plus larges pour les logiciels
Les VPN ne sont pas les seuls logiciels concernés par cette évolution réglementaire.
Parallèlement aux travaux sur les VPN, l’ETSI a récemment lancé le processus d’approbation de 17 normes européennes destinées à accompagner le Cyber Resilience Act.
Cette liste élargie couvre de nombreux outils numériques du quotidien, notamment les gestionnaires de mots de passe, les antivirus, les assistants domotiques, les jouets connectés et les appareils portables.
À mesure que ces propositions passeront par les consultations publiques et les phases finales d’approbation, l’objectif reste le même : offrir par défaut aux consommateurs européens un environnement numérique plus sûr et plus résilient.
