La UE introduce normas de seguridad estrictas para los servicios VPN.

Los usuarios que buscan proteger su privacidad en línea han tenido que depender en gran medida de las promesas publicitarias de los proveedores de VPN o de auditorías externas ocasionales sobre las políticas de cifrado y de no registro de datos. Por ello, el Instituto Europeo de Normas de Telecomunicaciones (ETSI) está introduciendo una norma única y jurídicamente vinculante: la EN 304 620. Las nuevas normas exigen que todos los servicios VPN comercializados en el mercado europeo cumplan con requisitos estrictos y verificables de forma independiente en materia de cifrado, autenticación y gestión de vulnerabilidades.

El nuevo borrador de la norma está dirigido específicamente a clientes, servidores y pasarelas VPN. Especifica cómo estos productos deben proteger y cifrar el tráfico de internet de los usuarios al transmitirse por redes públicas o no verificadas. Tanto si un proveedor utiliza el cifrado AES-256, estándar del sector, como los modernos protocolos WireGuard o servidores que funcionan completamente en la memoria del sistema, deberá demostrar claramente el funcionamiento de sus mecanismos de seguridad.

Esta norma constituye una parte importante de la Ley de Resiliencia Cibernética, que exigirá a todos los fabricantes de productos digitales cumplir con los requisitos básicos de ciberseguridad para finales de 2027. Las nuevas normas también prevén la notificación obligatoria y rápida de las vulnerabilidades de seguridad que se estén explotando activamente, lo que implica una mayor responsabilidad para los proveedores en caso de una brecha de seguridad. Para el usuario medio, esto supone un nivel de seguridad significativamente superior, ya que las aplicaciones VPN gratuitas no verificadas o incluso peligrosas tendrán que mejorar su protección o serán retiradas del mercado europeo.

Al mismo tiempo, la supervisión regulatoria no se limita a las VPN. ETSI ha iniciado el proceso de aprobación de un total de 17 normas europeas que respaldan la legislación sobre CRA. Estas normas también abarcan otras soluciones digitales cotidianas, como gestores de contraseñas, software antivirus, asistentes domésticos inteligentes, juguetes conectados y dispositivos portátiles. El resultado de estos esfuerzos será un mundo digital mucho más seguro y resiliente para todos los consumidores europeos.