L'UE scrive regole di sicurezza per le VPN: cosa cambia EN 304 620

24.08.2026 5 min 2

Per la prima volta l'Unione Europea sta scrivendo una norma di sicurezza dedicata alle VPN. Si chiama ETSI EN 304 620 e fissa i requisiti di cybersicurezza di base che un prodotto VPN deve soddisfare per essere considerato sicuro nell'UE. La bozza nasce dal Cyber Resilience Act (CRA), la nuova legge europea su software e dispositivi connessi, e colma una lacuna semplice: finora chiunque poteva pubblicare una banale app proxy, scrivere «crittografia di livello militare» sulla scheda dello store e non dimostrare nulla. La norma è ancora una bozza e la pubblicazione è attesa nel secondo semestre del 2026.

Che cos'è davvero EN 304 620

La norma è redatta da ETSI, l'Istituto europeo per le norme di telecomunicazione, nell'ambito di una richiesta formale di normazione della Commissione Europea (C(2025) 618 final) a sostegno del Regolamento (UE) 2024/2847, cioè il Cyber Resilience Act. Rispettarla sarà volontario, ma non appena la norma sarà citata nella Gazzetta ufficiale dell'UE, la conformità darà a una VPN una «presunzione di conformità» al CRA. In parole povere: chi segue la norma è considerato conforme alla legge. Alla stesura hanno partecipato aziende di tutto il settore, tra cui Cisco, Google e Palo Alto Networks, insieme a provider VPN di consumo come NordVPN e Surfshark.

Che cosa richiede a una VPN

La bozza copre le app client VPN su telefoni e computer, il software VPN dei router domestici e gli strumenti aziendali di gestione VPN. Trasforma le solite promesse di privacy in requisiti verificabili:

  • Crittografia vera. Il traffico deve essere protetto dagli attacchi man-in-the-middle con crittografia solida, non con una semplice etichetta sulla scheda.
  • Autenticazione adeguata. Gli endpoint devono verificare con chi stanno parlando, con controlli via via più rigorosi per gli usi a maggior rischio.
  • Protezione dalle fughe. L'app deve bloccare le fughe DNS e IPv6 che rivelano quali siti visiti anche a tunnel attivo.
  • Niente fuori dal tunnel. Le impostazioni predefinite di routing e filtraggio devono impedire che i dati escano dalla connessione cifrata.
  • Minimizzazione dei dati e log protetti. La raccolta si limita allo stretto necessario e i log devono resistere alle manomissioni.
  • Aggiornamenti sicuri e nessuna falla nota. Gli aggiornamenti vengono distribuiti in modo sicuro, il prodotto esce senza vulnerabilità sfruttabili note e i difetti si gestiscono con una procedura formale di divulgazione.
  • Archiviazione e cancellazione sicure delle chiavi. Le chiavi crittografiche e i dati sensibili devono essere conservati in sicurezza e cancellati quando un dispositivo viene dismesso.

Profili più severi per gli utenti a rischio

Un dettaglio spicca per la privacy. La norma non tratta tutti gli utenti allo stesso modo: definisce profili di sicurezza, e i più severi sono pensati per persone come giornalisti e attivisti, per cui una fuga DNS o un'impostazione debole non è un fastidio ma un pericolo reale. Per questi profili, la protezione dalle fughe, l'isolamento e la registrazione protetta non sono opzionali ma rafforzate. È un caso raro in cui una norma di sicurezza nomina direttamente i gruppi vulnerabili.

Cosa cambia per l'utente comune

In pratica è uno spostamento dagli slogan pubblicitari verso controlli verificabili. Un provider che vuole il «porto sicuro» del CRA dovrà sostenere le sue affermazioni «di livello militare» con crittografia reale, offrire una protezione dalle fughe funzionante e gestire davvero le vulnerabilità invece di correggerle in sordina. Le app che non superano questi minimi e vengono vendute nell'UE rischiano col tempo la rimozione dai principali store.

Importante: è ancora una bozza. Diventerà una vera scorciatoia verso la conformità al CRA solo dopo la pubblicazione e la citazione nella Gazzetta ufficiale dell'UE, e gli obblighi principali del CRA si applicano da dicembre 2027. Non copre nemmeno tutto: i router in cui la VPN è una funzione secondaria e il software libero non commerciale restano fuori dalla presunzione di conformità.

Perché è importante

Una norma di sicurezza vale quanto la sua verifica indipendente, e una via volontaria lascia sempre ai provider la possibilità di ignorarla. Ma trasformare un marketing vago della privacy in una checklist concreta e verificabile è un guadagno reale per gli utenti, perché offre un metro comune per confrontare le VPN invece dei messaggi pubblicitari. La direzione è chiara: nell'UE, definire un'app «VPN sicura» inizia a significare qualcosa di preciso.

Questo vieta le VPN gratuite?
No. Di per sé non vieta nulla. Le app libere non commerciali sono anzi escluse dalla presunzione di conformità. Ma il software VPN commerciale venduto nell'UE che ignora la sicurezza di base può subire pressioni ed essere rimosso dagli store, già in base allo stesso Cyber Resilience Act.
EN 304 620 è già legge?
Non ancora. È una bozza di norma la cui pubblicazione è attesa nel secondo semestre del 2026. La legge che la sostiene, il Cyber Resilience Act, è già in vigore, con gli obblighi principali che si applicano da dicembre 2027.
Significa che la mia VPN è ora sottoposta ad audit indipendente?
Non automaticamente. La norma fissa requisiti e una via di conformità, ma seguirla è volontario e il provider deve comunque dimostrare la conformità. È un parametro con cui valutare una VPN, non una garanzia che ogni app sia stata sottoposta ad audit.
Si applica fuori dall'UE?
Riguarda i prodotti venduti sul mercato dell'UE. In pratica i provider applicano spesso lo stesso livello di sicurezza ovunque, quindi gli utenti altrove possono beneficiarne indirettamente, ma l'obbligo giuridico è legato all'UE.
Fonti:
• Bozza ETSI EN 304 620 (repository STAN4CRA) - ETSI Labs
• Cybersecurity Requirements for VPN Services - its.se
• EU introduces strict new security rules for VPNs - TechRadar

VPNCyber Resilience ActCRAEN 304 620ETSINordVPNSurfsharkprivacyEU

Leggi anche