Egységes biztonsági követelmények jöhetnek az EU-ban árult VPN-ekre

Egységes, auditálható kiberbiztonsági követelmények vonatkozhatnak a jövőben az Európai Unióban értékesített összes VPN-re. A szabályokat a kiberrezilienciáról szóló uniós jogszabály (Cyber Resilience Act, CRA) keretében dolgozták ki. Erről a Techradar beszámolója alapján a HVG írt.

A cél az, hogy a felhasználók ne csak a szolgáltatók ígéreteire hagyatkozzanak, amikor egy VPN biztonságát mérlegelik.

Mit határoz meg a szabványtervezet?

Az új keretrendszer alapja az EN 304 620 jelű szabványtervezet. Ez pontosan rögzíti, hogyan kell a termékeknek becsomagolniuk és titkosítaniuk az adatforgalmat. Az előírások célja, hogy az adatok sértetlenek maradjanak akkor is, amikor nem megbízható hálózaton haladnak át.

A beszámoló szerint az EU nem egyedül alakította ki a követelményeket. A keretrendszert iparági szereplőkkel közösen dolgozta ki.

Miért van szükség egységes szabályra?

A virtuális magánhálózat elrejti a felhasználó internetes tevékenységét. Arra is használható, hogy valaki olyan szolgáltatást vagy tartalmat érjen el, amely az országában nem hozzáférhető.

Egy VPN hatékonyságát a felhasználók jellemzően két forrásból ítélhetik meg:

• a cég saját állításaiból, amelyekkel a terméket népszerűsíti;
• egy független harmadik fél auditjából, vagyis teszteredményéből.

A HVG szerint mindkettőnél ugyanaz a probléma: a felhasználó nehezen tudja megítélni, mennyi bennük a valóság, és mennyi a kozmetikázott eredmény. Az uniós szabályozás ezt váltaná fel egységes, ellenőrizhető követelményekkel.

Határidő: 2027 vége

A digitális elemeket tartalmazó eszközök és szolgáltatások gyártói három évet kaptak arra, hogy biztonságossá tegyék termékeiket. A határidő 2027 végén jár le. A lap szerint sok cégnek még jelentős tennivalója van.

A beszámoló szerint a szabályozás nyomán minden, az Európai Unióban használt VPN-szoftvernek meg kell majd felelnie a kötelező európai adatvédelmi és hitelesítési szabványoknak.