La UE redacta reglas de seguridad para VPN: qué cambia EN 304 620
Por primera vez, la Unión Europea está redactando una norma de seguridad dedicada a las VPN. Se llama ETSI EN 304 620 y fija los requisitos básicos de ciberseguridad que un producto VPN debe cumplir para considerarse seguro en la UE. El borrador surgió del Cyber Resilience Act (CRA), la nueva ley europea sobre software y dispositivos conectados, y cubre una brecha sencilla: hasta ahora cualquiera podía publicar una app proxy básica, poner «cifrado de nivel militar» en la ficha de la tienda y no demostrar nada. La norma sigue en fase de borrador, y se espera su publicación en el segundo semestre de 2026.
Qué es realmente EN 304 620
La norma la redacta ETSI, el Instituto Europeo de Normas de Telecomunicaciones, bajo una solicitud formal de normalización de la Comisión Europea (C(2025) 618 final) que respalda el Reglamento (UE) 2024/2847, es decir, el Cyber Resilience Act. Cumplirla será voluntario, pero en cuanto la norma se cite en el Diario Oficial de la UE, su cumplimiento dará a una VPN una «presunción de conformidad» con el CRA. En pocas palabras: si sigues la norma, se te considera conforme a la ley. En su elaboración han participado empresas de todo el sector, incluidas Cisco, Google y Palo Alto Networks, junto a proveedores de VPN de consumo como NordVPN y Surfshark.
Qué le exige a una VPN
El borrador abarca las apps cliente de VPN en teléfonos y ordenadores, el software VPN de los routers domésticos y las herramientas de gestión de VPN para empresas. Convierte las promesas habituales de privacidad en requisitos verificables:
- Cifrado de verdad. El tráfico debe protegerse frente a ataques de intermediario con criptografía sólida, no solo con una etiqueta en la ficha.
- Autenticación adecuada. Los extremos deben verificar con quién hablan, con controles más estrictos para usos de mayor riesgo.
- Protección contra fugas. La app debe frenar las fugas de DNS e IPv6 que revelan qué sitios visitas incluso con el túnel activo.
- Nada fuera del túnel. Los ajustes de enrutamiento y filtrado por defecto deben impedir que los datos salgan de la conexión cifrada.
- Minimización de datos y registros protegidos. La recopilación se limita a lo estrictamente necesario, y los registros deben resistir la manipulación.
- Actualizaciones seguras y sin fallos conocidos. Las actualizaciones se entregan de forma segura, el producto sale sin vulnerabilidades explotables conocidas y los fallos se gestionan mediante un proceso formal de divulgación.
- Almacenamiento y borrado seguros de claves. Las claves criptográficas y los datos sensibles deben guardarse de forma segura y borrarse al retirar un dispositivo.
Perfiles más estrictos para usuarios en riesgo
Un detalle destaca en cuanto a privacidad. La norma no trata a todos los usuarios igual: define perfiles de seguridad, y los más estrictos apuntan a personas como periodistas y activistas, para quienes una fuga de DNS o un ajuste débil no es una molestia, sino un peligro real. Para esos perfiles, la protección contra fugas, el aislamiento y el registro protegido no son opcionales, sino reforzados. Es un caso raro en que una norma de seguridad nombra directamente a los grupos vulnerables.
Qué cambia para el usuario común
En la práctica, es un giro de los eslóganes publicitarios hacia controles verificables. Un proveedor que quiera el «puerto seguro» del CRA tendrá que respaldar sus afirmaciones de «nivel militar» con criptografía real, ofrecer una protección contra fugas que funcione y llevar un verdadero proceso de gestión de vulnerabilidades en lugar de parchear en silencio. Las apps que no superen estos mínimos y se vendan en la UE se arriesgan con el tiempo a que las retiren de las grandes tiendas.
Por qué importa
Una norma de seguridad vale lo que vale su verificación independiente, y una vía voluntaria siempre deja a los proveedores la opción de saltársela. Pero convertir un marketing difuso de la privacidad en una lista de comprobación concreta y verificable es una ganancia real para los usuarios, porque ofrece una vara común para comparar VPN en lugar de anuncios. La dirección es clara: en la UE, llamar a una app «VPN segura» empieza a significar algo concreto.
