Nos pare-feux nous trahissent — et personne n'en parle assez

# Nos pare-feux nous trahissent — et personne n'en parle assez

Depuis plusieurs mois, une vague silencieuse secoue les équipes sécurité en Europe. Des failles critiques sont découvertes — et activement exploitées — dans des équipements réseau que nos entreprises ont installés, parfois depuis des années, avec confiance. Des VPN. Des pare-feux. Ces briques fondamentales censées protéger notre périmètre numérique.

Je veux en parler clairement, sans jargon inutile. Parce que ce sujet touche des PME et des ETI qui n'ont pas toujours un RSSI — un Responsable de la Sécurité des Systèmes d'Information — à temps plein. Et parce que derrière la question technique, il y a une question politique que personne ne pose franchement.

Ce qui se passe concrètement

Un VPN, c'est un tunnel chiffré. Il permet à vos équipes de se connecter à votre réseau d'entreprise depuis l'extérieur, comme si elles étaient au bureau. Un pare-feu, c'est le douanier de votre système d'information : il décide ce qui entre et ce qui sort.

Ces deux technologies sont partout. Dans les ETI de province. Dans les cabinets d'expertise comptable. Dans les sous-traitants industriels. Et depuis 2024, plusieurs équipements très répandus ont été touchés par des vulnérabilités graves — des failles que des attaquants, souvent liés à des États, ont exploitées avant même que les correctifs soient disponibles. On appelle ça des failles « zero-day » : le fabricant n'a pas encore de réponse quand l'attaque commence.

Le problème n'est pas nouveau. Mais il s'est accéléré. Et il révèle quelque chose de plus profond.

La vraie question : à qui appartient votre infrastructure ?

Une grande partie des équipements VPN et pare-feux déployés en Europe vient d'acteurs américains ou asiatiques. Je ne citerai pas de noms pour ne pas faire leur publicité, mais vous les reconnaîtrez. Ces acteurs dominent le marché depuis des années, souvent grâce à des prix agressifs et une distribution massive.

Le souci n'est pas seulement la faille technique. Le souci, c'est la chaîne de dépendance que cette faille révèle.

Quand un équipement américain est compromis, qui audite vraiment le code source ? Qui a accès aux journaux d'activité ? Qui décide du calendrier des correctifs ? Et surtout : ces équipements sont-ils soumis au Cloud Act américain ?

Le Cloud Act — loi américaine adoptée en 2018 — permet aux autorités américaines de contraindre des entreprises de droit américain à livrer des données, même hébergées en dehors des États-Unis. Un équipement réseau, ce n'est pas du cloud à proprement parler. Mais les mécanismes de télémétrie, de mise à jour à distance, de support technique... peuvent constituer des vecteurs d'exposition.

Nous ne sommes pas dans la théorie du complot. Nous sommes dans la lecture normale du droit américain appliqué à des entreprises européennes qui n'ont pas mesuré leur exposition.

NIS2, DORA : la conformité qui oblige à regarder en face

En 2026, les directions informatiques européennes n'ont plus le luxe de l'ignorance réglementaire.

NIS2 — la directive européenne sur la sécurité des réseaux et des systèmes d'information — impose aux entreprises dites « essentielles » ou « importantes » de gérer activement leurs risques de sécurité, y compris ceux liés à leur chaîne d'approvisionnement technologique. Un équipement réseau vulnérable, non patché, fourni par un acteur sans ancrage européen clair : c'est un risque documenté que vous devez désormais justifier.

DORA — le règlement européen sur la résilience opérationnelle numérique — s'applique au secteur financier et impose des exigences similaires sur la gestion des tiers technologiques. Si vous êtes une ETI qui travaille avec des banques ou des assureurs, vous êtes dans leur chaîne de risque. Leur conformité dépend aussi de la vôtre.

Le RGPD, lui, est déjà bien connu. Mais rappelons l'essentiel : si une faille sur votre VPN expose des données personnelles de clients ou de salariés, vous avez une obligation de notification à la CNIL — et potentiellement une responsabilité engagée.

Ces textes ne sont pas des contraintes abstraites. Ils sont une invitation à faire ce que beaucoup repoussent : un audit honnête de ce qui tourne dans votre SI.

L'audit de souveraineté : par où commencer ?

Un audit de souveraineté numérique, ce n'est pas forcément un projet à six mois avec un cabinet de conseil. C'est d'abord une série de questions que toute DSI devrait être capable de poser — et d'auxquelles elle devrait avoir des réponses.

D'où viennent vos équipements réseau ? De quelle nationalité juridique est leur fabricant ? Où sont envoyées les données de télémétrie — ces informations que vos équipements transmettent automatiquement à leur fabricant pour le support et les mises à jour ? Avez-vous un registre à jour de vos actifs réseau ? Vos correctifs de sécurité sont-ils appliqués sous combien de jours après publication ?

Ces questions sont simples. Les réponses, souvent, ne le sont pas.

Il existe aujourd'hui des acteurs européens capables de répondre à ces besoins. Stormshield, filiale du groupe Airbus spécialisée en cybersécurité, propose des solutions de pare-feux et de VPN développées en France, qualifiées par l'ANSSI — l'Agence Nationale de la Sécurité des Systèmes d'Information. Ce n'est pas une alternative marginale. C'est un choix industriel sérieux, qui permet de garder la maîtrise du code, du support et de la conformité réglementaire sur le sol européen.

D'autres acteurs européens existent selon les pays et les contextes. L'important n'est pas de dresser une liste exhaustive, mais de changer de réflexe : poser la question de l'origine avant de signer un bon de commande.

Ce que je vous demande de faire dès cette semaine

Pas de grand projet. Pas de budget exceptionnel. Juste une chose : prenez la liste de vos équipements réseau actifs — VPN, pare-feux, concentrateurs — et demandez à votre équipe trois informations : le fabricant, la version du firmware installée, et la date du dernier correctif de sécurité appliqué.

Si vous ne pouvez pas répondre à ces trois questions en moins d'une heure, vous avez un problème de gouvernance. Pas forcément de sécurité — peut-être que tout va bien. Mais un problème de visibilité. Et en sécurité, ce qu'on ne voit pas, c'est ce qui fait mal.

Les failles VPN exploitées mondialement ne sont pas un fait divers technique. Elles sont le symptôme d'une dépendance que nous avons construite, brique par brique, sans poser les bonnes questions. Il est temps de les poser.

La souveraineté numérique ne commence pas dans les discours de Bruxelles. Elle commence dans la salle serveur de votre ETI, avec un inventaire honnête et une volonté de reprendre la main.