RGPD, NIS2, ISO 27001, SOC 2 — ces référentiels ne prescrivent pas de protocole VPN spécifique. Ils définissent des exigences sur la gestion des accès, la traçabilité, la responsabilité des sous-traitants et la notification des incidents. Cette page traduit ces exigences en obligations concrètes pour les déploiements VPN.
Un fournisseur VPN managé qui traite des données de collaborateurs (logs d'accès nominatifs, données de connexion) est un sous-traitant au sens de l'article 28 du RGPD. Cette qualification entraîne des obligations précises pour le responsable de traitement (votre organisation) :
L'absence de DPA engage la responsabilité du responsable de traitement, pas celle du fournisseur. La CNIL a sanctionné des organisations pour cette raison. Un fournisseur qui ne propose pas de DPA ou qui refuse de le signer n'est pas un partenaire conforme RGPD.
Le Clarifying Lawful Overseas Use of Data Act (CLOUD Act, 2018) permet aux autorités américaines d'exiger d'une entreprise soumise à la juridiction américaine l'accès à des données qu'elle contrôle, indépendamment de leur localisation physique. Un fournisseur VPN immatriculé aux États-Unis — ou dont la société mère est américaine — est soumis à cette loi, même si ses serveurs sont en Europe.
L'arrêt Schrems II de la Cour de justice de l'UE (juillet 2020) a invalidé le Privacy Shield et imposé une évaluation cas par cas des transferts de données hors UE. Pour tout transfert vers les États-Unis, un Transfer Impact Assessment (TIA) est requis. Le TIA évalue si le droit du pays de destination offre une protection équivalente au RGPD. Pour les États-Unis, l'EU-US Data Privacy Framework (juillet 2023) offre un cadre d'adéquation — mais son avenir juridique est incertain, plusieurs recours étant en cours devant la CJUE.
Conséquence pratique : pour les organisations traitant des données sensibles (secret professionnel, données de santé, données stratégiques), choisir un fournisseur VPN établi dans un pays de l'UE ou de l'EEE élimine le risque de transfert hors UE et simplifie le dispositif de conformité.
NIS2 s'applique aux entités essentielles et importantes dans les secteurs suivants : énergie, transports, santé, eau, infrastructure numérique (IXP, DNS, TLD, cloud, datacenters, CDN, DMARC), services de confiance, services postaux, gestion des déchets, fabrication de produits critiques (pharma, dispositifs médicaux, chimie), industrie manufacturière, numérique (places de marché, moteurs de recherche, réseaux sociaux). Seuils : entités importantes à partir de 50 salariés ou 10 M€ de CA.
Un incident significatif affectant les accès distants (compromission de credentials VPN avec accès constaté, exploitation d'une CVE sur le concentrateur, violation de données via le tunnel) déclenche des obligations de notification :
| Délai | Rapport | Contenu |
|---|---|---|
| 24 heures | Alerte initiale | Incident détecté, nature présumée, impact estimé |
| 72 heures | Notification intermédiaire | Évaluation initiale, mesures prises, indicateurs de compromission |
| 1 mois | Rapport final | Analyse complète, cause racine, mesures correctives |
La révision 2022 de la norme introduit des contrôles directement applicables aux déploiements VPN :
Pour un audit de certification portant sur les accès distants, préparer :
SOC 2 Type II est pertinent pour les prestataires de services qui hébergent des données clients. Les critères CC6 (contrôle d'accès logique) couvrent directement les accès VPN : CC6.1 (identification et authentification), CC6.2 (suppression des accès à la résiliation), CC6.3 (restriction des accès par rôle). Un audit SOC 2 Type II sur une période de 6 à 12 mois vérifie que les contrôles sont effectivement opérés dans la durée, pas seulement en place au moment de l'audit.