L'UE instaure des règles de sécurité strictes pour les services VPN.

Les utilisateurs soucieux de protéger leur vie privée en ligne devaient jusqu'à présent se fier aux promesses publicitaires des fournisseurs de VPN ou à des audits externes ponctuels de leurs politiques de chiffrement et de non-conservation des journaux. C'est pourquoi l'Institut européen des normes de télécommunications (ETSI) introduit une norme unique et juridiquement contraignante : la norme EN 304 620. Cette nouvelle réglementation impose à tous les services VPN commercialisés sur le marché européen de respecter des exigences strictes et vérifiables de manière indépendante en matière de chiffrement, d'authentification et de gestion des vulnérabilités.

Le nouveau projet de norme vise directement les clients, serveurs et passerelles VPN. Il spécifie comment ces produits doivent protéger et chiffrer le trafic Internet des utilisateurs lorsqu'il transite sur des réseaux non vérifiés ou publics. Qu'un fournisseur utilise le chiffrement AES-256 standard, les protocoles modernes WireGuard ou des serveurs fonctionnant entièrement en mémoire système, il devra démontrer clairement le fonctionnement de ses mécanismes de sécurité.

Cette norme constitue un élément important de la loi sur la cyber-résilience, qui imposera à tous les fabricants de produits numériques de respecter les exigences minimales en matière de cybersécurité d'ici fin 2027. Les nouvelles règles prévoient également un signalement obligatoire et rapide des failles de sécurité exploitées, ce qui implique une responsabilité accrue pour les fournisseurs en cas d'incident. Pour l'utilisateur lambda, cela se traduit par un niveau de sécurité nettement supérieur, car les applications VPN gratuites non vérifiées, voire dangereuses, devront renforcer leur protection ou être retirées du marché européen.

Parallèlement, le contrôle réglementaire ne se limite pas aux VPN. L'ETSI a lancé la procédure d'homologation de 17 normes européennes soutenant la législation relative aux accords de partage de données (CRA). Celles-ci couvrent également d'autres solutions numériques courantes telles que les gestionnaires de mots de passe, les logiciels antivirus, les assistants vocaux pour la maison connectée, les jouets connectés et les objets connectés portables. Ces efforts permettront de créer un monde numérique nettement plus sûr et résilient pour tous les consommateurs européens.