Les VPN proposés en Europe vont devoir répondre à des exigences de sécurité beaucoup plus précises, avec un nouveau cadre destiné à rendre les promesses des fournisseurs plus vérifiables. Le standard EN 304 620, élaboré au niveau européen, doit notamment encadrer la sécurité, la transparence et le signalement des vulnérabilités. Pour les utilisateurs, cela pourrait faire disparaître une partie des services les moins sérieux.
Les VPN devront apporter des preuves concrètes sur leur sécurité
Jusqu’ici, choisir un VPN reposait en grande partie sur les déclarations des fournisseurs, complétées parfois par des audits indépendants.
Cela pourrait changer nettement.
Le nouveau standard EN 304 620 fixe des exigences techniques qui pourront être contrôlées. L’objectif est de pousser les services VPN à démontrer plus clairement la manière dont ils protègent les données et les connexions de leurs utilisateurs.
Il ne suffira donc plus d’afficher quelques arguments rassurants sur une page commerciale.
Chiffrement, WireGuard et serveurs RAM-only seront davantage encadrés
Les fournisseurs devront être capables de justifier les technologies de sécurité qu’ils mettent en avant.
Cela concerne notamment des éléments comme le chiffrement AES-256, le protocole WireGuard ou encore les serveurs RAM-only, conçus pour limiter la conservation durable de certaines données.
Le principe est simple : une fonction présentée comme sécurisée devra pouvoir être vérifiée.
Un changement important dans un marché où les termes techniques sont parfois utilisés comme de simples arguments publicitaires.
Les failles de sécurité devront être signalées plus rapidement
Autre évolution majeure : les entreprises concernées devront renforcer la gestion et le signalement des incidents.
Lorsqu’une vulnérabilité ou une faille de sécurité est découverte, les fournisseurs devront suivre des procédures plus strictes afin d’en informer les acteurs concernés et de corriger le problème.
Pour les utilisateurs, l’intérêt est évident.
Une faille connue mais mal gérée peut remettre en cause l’utilité même d’un VPN, puisqu’un service censé protéger la vie privée devient alors un nouveau point faible.
Google, Cisco ou encore NordVPN ont participé aux travaux
Le standard n’a pas été élaboré uniquement par les institutions européennes.
Plusieurs grands groupes technologiques auraient participé à sa préparation, parmi lesquels Google, Cisco, Airbus et Palo Alto Networks.
Des spécialistes du secteur des VPN, dont NordVPN et Surfshark, ont également contribué aux travaux.
Cette participation permet d’intégrer directement les contraintes techniques rencontrées par les fournisseurs de services de cybersécurité.
Les VPN gratuits et peu transparents pourraient être les plus touchés
Les conséquences pourraient surtout se faire sentir chez les services les moins rigoureux.
Certaines applications VPN gratuites reposent sur des modèles économiques peu transparents ou offrent des garanties de sécurité difficiles à vérifier. Avec des exigences plus strictes, ces fournisseurs pourraient devoir modifier profondément leur fonctionnement.
Ou quitter le marché européen.
Cela ne signifie pas que tous les VPN gratuits disparaîtront. Les services capables de respecter les nouvelles règles pourront continuer à être proposés.
Mais la barre devrait être plus haute.
Le nouveau cadre doit monter en puissance d’ici 2027
Ces nouvelles exigences devraient progressivement s’inscrire dans le cadre européen lié à la cybersécurité et à la résilience des produits numériques.
Le calendrier évoqué prévoit une mise en application complète d’ici la fin de 2027.
Les fournisseurs disposent donc encore d’un délai pour adapter leurs infrastructures, leurs procédures et leur documentation.
Pour les utilisateurs européens, le changement pourrait être plutôt positif : moins de promesses impossibles à vérifier, davantage de contrôles et une meilleure visibilité sur le niveau réel de sécurité proposé par chaque VPN.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
