A VPN-szolgáltatások évek óta a digitális adatvédelem egyik legfontosabb eszközének számítanak, biztonságukat azonban a hétköznapi felhasználók nehezen tudják megítélni. Az Európai Unió Cyber Resilience Actjéhez kapcsolódó új szabványtervezet ezen változtatna: egységes, ellenőrizhető kiberbiztonsági követelményeket teremtene az Európában forgalmazott VPN-megoldások számára.
A VPN – avagy virtuális magánhálózat – alapvetően arra szolgál, hogy titkosított kapcsolatot hozzon létre a felhasználó eszköze és egy távoli szerver között. Használatával nehezebbé válhat az internetes forgalom lehallgatása, emellett a szolgáltatások a felhasználó nyilvános IP-címét is elfedhetik.
A probléma eddig leginkább ott kezdődött, amikor el kellett dönteni, hogy egy adott VPN valóban annyira biztonságos-e, mint amennyire a szolgáltató állítja.
A felhasználók többnyire a cégek saját kommunikációjára és esetenként független auditokra támaszkodhattak. Két, azonos módon „biztonságosként” reklámozott szolgáltatás technikai háttere között azonban komoly különbségek lehetnek. Ezen a helyzeten változtatna az Európai Távközlési Szabványügyi Intézet, az ETSI által kidolgozott EN 304 620 szabványtervezet.
Nem elég azt mondani, hogy biztonságos
Az új megközelítés egyik legfontosabb eleme, hogy a biztonságot mérhető és vizsgálható technikai követelményekhez kötné.
Az EN 304 620 a VPN-kliensekre, szerverekre és átjárókra vonatkozó kiberbiztonsági követelményeket foglalja rendszerbe. A cél többek között annak szabályozása, hogyan kezeljék ezek a rendszerek a forgalom védelmét, a hitelesítést, a titkosítást, a kulcskezelést és a sérülékenységeket. Az ipari, úgynevezett OT-környezetekben használt VPN-ek nem tartoznak a tervezet jelenlegi hatálya alá.
A gyakorlatban ez azt jelenti, hogy hosszabb távon egy VPN gyártójának vagy fejlesztőjének nem pusztán marketingállításokkal kellene bizonyítania, hogy terméke biztonságos. A szabványnak való megfelelés konkrét, ellenőrizhető kontrollokat követelhet meg.
A TechRadar szerint a szabvány kidolgozásában több nagy technológiai és kiberbiztonsági szereplő is részt vett, köztük VPN-szolgáltatók és olyan vállalatok, mint a Palo Alto Networks. Itt figyelembe lett véve a valódi technológiai környezetben való alkalmazhatósága is.
Miért pont most szigorít az EU?
A háttérben a Cyber Resilience Act, vagyis a kiberrezilienciáról szóló rendelet áll. A CRA az EU piacán forgalomba hozott, digitális elemeket tartalmazó hardverekre és szoftverekre vezet be egységes kiberbiztonsági követelményeket. A szabályozás 2024 decemberében lépett hatályba, fő kötelezettségei pedig 2027. december 11-től lesznek teljes körűen alkalmazandók.
A változás ugyanakkor már elkezdődött. 2026. szeptember 11-től például életbe léptek a CRA incidens- és sérülékenységjelentési előírásai. A gyártóknak az aktívan kihasznált sebezhetőségekről és a termék biztonságát érintő súlyos incidensekről meghatározott határidőkön belül jelentést kell tenniük.
Az EN 304 620 abban segíthet majd a VPN-fejlesztőknek, hogy a CRA által meghatározott általános elveket konkrét technikai követelményekre fordítsák le.
Fontos: a VPN-szabvány még nem végleges
A hírek alapján könnyen úgy tűnhet, mintha az EU már be is vezette volna az új, kötelező VPN-szabályokat. A folyamat azonban ennél összetettebb.
Az ETSI 2026. augusztus 13-án indította el 17, a Cyber Resilience Acthez kapcsolódó európai szabványtervezet jóváhagyási folyamatát. Ezek egyike az EN 304 620. A szabványok jelenleg jóváhagyási folyamatban vannak, és céljuk, hogy később harmonizált európai szabványokká váljanak.
Ez azért lényeges, mert egy harmonizált szabvány követése a jövőben úgynevezett megfelelőségi vélelmet adhat a gyártóknak: vagyis egyszerűbb módon igazolhatják, hogy termékük teljesíti a CRA kapcsolódó követelményeit.
A mostani dokumentum tehát még tervezet, nem pedig egyik napról a másikra minden VPN-re életbe lépő kötelező technikai szabálykönyv.
Mit érezhet ebből egy átlagos felhasználó?
A változás legfontosabb következménye hosszabb távon az lehet, hogy kisebb lesz a szakadék a „biztonságosnak mondott” és a ténylegesen ellenőrzött VPN-ek között.
Egy egységes európai mérce nehezebb helyzetbe hozhatja azokat a szolgáltatókat, amelyek gyenge titkosítással, nem megfelelő hitelesítéssel vagy hiányos sérülékenységkezeléssel működnek.
Különösen érdekes lehet ez az ingyenes és kevésbé ismert VPN-ek piacán. Az alacsony belépési küszöb miatt jelenleg rendkívül sok VPN-alkalmazás érhető el, miközben egy átlagos felhasználó szinte képtelen pusztán az alkalmazásbolt leírásából eldönteni, hogy egy szolgáltatás technikailag mennyire megbízható.
A szabványosítás ezt a döntést nem veszi teljesen ki a felhasználó kezéből, de kialakíthat egy olyan minimális biztonsági szintet, amely alatt egy termék hosszabb távon nem felel meg az európai követelményeknek.
A VPN csak a kezdet
Az EU szabványosítási programja ráadásul messze nem áll meg a virtuális magánhálózatoknál.
Az ETSI jelenleg összesen 17 termékspecifikus szabványtervezetet visz jóváhagyási folyamaton keresztül a Cyber Resilience Act támogatására. A területek között megtalálhatók többek között a böngészők, jelszókezelők, antivírus-szoftverek, operációs rendszerek, hálózatmenedzsment-rendszerek, okosotthon-eszközök, viselhető eszközök és internetkapcsolattal rendelkező játékok is.
A tendencia tehát egyértelmű: az EU egy olyan digitális piac felé halad, ahol a kiberbiztonság egyre kevésbé opcionális termékelőny, és egyre inkább alapvető tervezési és megfelelési követelmény.
A VPN-ek esetében ez különösen fontos változás lehet. Hiszen egy olyan szolgáltatásnál, amelynek legfőbb ígérete éppen az adatok és az online kommunikáció védelme, a jövőben egyre kevésbé lehet elegendő csupán azt állítani, hogy biztonságos. Ezt bizonyítani is kell majd.
Források
TechRadar – EU introduces strict new security rules for VPNs with the help of industry giants, 2026. augusztus 14. (TechRadar)
HVG – Minden felhasználót érint: olyan szabályt hoz az Európai Unió, amitől sokkal biztonságosabb lesz az internetezés, 2026. augusztus 17. (hvg.hu)
ETSI – ETSI launches approval process for 17 European Standards supporting the Cyber Resilience Act, 2026. augusztus 13. (ETSI)
European Commission – Cyber Resilience Act. (Digital Strategy)