À partir du 11 septembre 2026, les éditeurs et fabricants de VPN vendus dans l’Union européenne doivent respecter une nouvelle obligation : signaler aux autorités toute vulnérabilité activement exploitée dans un délai de 24 heures. Cette échéance, fixée par le Cyber Resilience Act (CRA), marque un tournant pour un secteur jusqu’ici peu encadré sur le plan réglementaire.
Ce que change le Cyber Resilience Act pour les VPN
Le règlement européen sur la cyber-résilience, entré en vigueur fin 2024, prévoit une montée en charge progressive de ses obligations. La date du 11 septembre 2026 correspond au déclenchement de son volet le plus opérationnel : le signalement des incidents. Les VPN figurent, aux côtés des routeurs, pare-feux, objets connectés et navigateurs, parmi les produits classés « importants » à l’annexe III du texte, ce qui leur impose des exigences de sécurité renforcées.
Concrètement, dès qu’une faille activement exploitée est détectée, l’éditeur doit transmettre une première alerte à l’ENISA (l’agence européenne de cybersécurité) et au CSIRT compétent sous 24 heures, puis une notification complète sous 72 heures, avant un rapport final dans un délai de 14 jours. Le dépôt d’un signalement ne rend pas la faille publique : les informations circulent dans un réseau fermé d’autorités, et la divulgation publique attend généralement la disponibilité d’un correctif.
Un calendrier qui tombe au pire moment pour certains éditeurs
L’entrée en vigueur du texte coïncide, cette semaine encore, avec la publication de correctifs d’urgence par plusieurs éditeurs de solutions d’accès distant : deux failles critiques permettant une exécution de code à distance sans authentification viennent d’être corrigées en urgence sur des passerelles VPN professionnelles, un rappel concret de ce que le CRA cherche à encadrer. Pour les éditeurs de logiciels, la contrainte est double : industrialiser une chaîne de détection interne capable de qualifier une faille en quelques heures, et documenter des procédures de notification qu’ils devront tenir à jour sous peine de sanctions.
Pour les entreprises clientes, l’effet est indirect mais réel : la rapidité de notification devient un critère à intégrer dans le choix d’un fournisseur, au même titre que le chiffrement ou la politique de journalisation. Un DSI qui n’édite pas lui-même de logiciel voit malgré tout affluer un flux montant d’alertes en provenance de ses fournisseurs, VPN compris.
Pourquoi les VPN sont particulièrement concernés
Les VPN professionnels constituent une cible de choix pour les attaquants : ils servent de porte d’entrée vers l’ensemble du réseau interne d’une organisation une fois compromis. Cette caractéristique explique en partie pourquoi le texte européen, qui complète les travaux déjà engagés autour de la norme technique EN 304 620 propre aux VPN, cible spécifiquement cette catégorie de produits.
- Notification d’une faille activement exploitée sous 24 heures à l’ENISA et au CSIRT compétent
- Notification complète sous 72 heures, rapport final sous 14 jours
- Produits concernés : VPN, routeurs, pare-feux, objets connectés, navigateurs
- Sanctions possibles en cas de manquement répété aux obligations de signalement
Cette exigence s’inscrit dans une dynamique plus large de renforcement de la cybersécurité européenne, où la rapidité de détection devient aussi importante que la robustesse technique du produit lui-même.
Ce que cela change pour les utilisateurs
Pour le grand public, l’effet ne sera pas immédiatement visible : aucune alerte individuelle n’est prévue par le texte, qui organise avant tout une circulation d’informations entre éditeurs et autorités. Mais la mesure devrait, à moyen terme, accélérer la correction des failles critiques et pousser les fournisseurs les moins rigoureux à revoir leurs pratiques. Avant de choisir un VPN, il devient pertinent de vérifier si l’éditeur communique publiquement sur ses délais de correction, un indicateur indirect de sa conformité au nouveau cadre.
Retrouvez d’autres analyses dans nos rubriques Numérique – High Tech, Internet – Actus Geek et Intelligence Artificielle.
Questions fréquentes
Le Cyber Resilience Act interdit-il l’usage des VPN ?
Non. Le texte n’interdit rien aux utilisateurs : il impose aux fabricants et éditeurs de produits numériques, dont les VPN, des obligations de sécurité et de signalement des failles activement exploitées.
Que risque un éditeur de VPN qui ne respecte pas le délai de 24 heures ?
Le règlement prévoit un régime de sanctions administratives, dont le montant dépend de la gravité et de la répétition du manquement, sur le modèle des autres textes européens de cybersécurité et de protection des données.
Cette obligation s’applique-t-elle aussi aux VPN gratuits ?
Oui, dès lors que le produit est commercialisé ou mis à disposition dans l’Union européenne, sans distinction entre offre gratuite et payante, si celle-ci comporte des éléments numériques au sens du règlement.
Sources
Next.ink — Crowell & Moring — Security Online
Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale
