A UE escreve regras de segurança para VPN: o que muda a EN 304 620

24.08.2026 5 min 2

Pela primeira vez, a União Europeia está a redigir uma norma de segurança dedicada às VPN. Chama-se ETSI EN 304 620 e define os requisitos básicos de cibersegurança que um produto VPN deve cumprir para ser considerado seguro na UE. O rascunho nasceu do Cyber Resilience Act (CRA), a nova lei europeia sobre software e dispositivos conectados, e fecha uma falha simples: até agora qualquer um podia publicar uma app proxy rudimentar, escrever «encriptação de nível militar» na página da loja e não provar nada. A norma ainda é um rascunho, com publicação prevista para o segundo semestre de 2026.

O que é realmente a EN 304 620

A norma é redigida pela ETSI, o Instituto Europeu de Normas de Telecomunicações, ao abrigo de um pedido formal de normalização da Comissão Europeia (C(2025) 618 final) que apoia o Regulamento (UE) 2024/2847, ou seja, o Cyber Resilience Act. Cumpri-la será voluntário, mas assim que a norma for citada no Jornal Oficial da UE, o seu cumprimento dará a uma VPN uma «presunção de conformidade» com o CRA. Em resumo: quem segue a norma é considerado conforme à lei. Na sua elaboração participaram empresas de todo o setor, incluindo a Cisco, a Google e a Palo Alto Networks, a par de fornecedores de VPN de consumo como a NordVPN e a Surfshark.

O que exige de uma VPN

O rascunho abrange as apps cliente de VPN em telemóveis e computadores, o software VPN dos routers domésticos e as ferramentas empresariais de gestão de VPN. Transforma as promessas habituais de privacidade em requisitos verificáveis:

Encriptação a sério. O tráfego tem de estar protegido contra ataques de intermediário com criptografia sólida, e não apenas com um rótulo na página.
Autenticação adequada. Os pontos de acesso têm de verificar com quem estão a falar, com controlos mais rigorosos para usos de maior risco.
Proteção contra fugas. A app tem de travar as fugas de DNS e IPv6 que revelam os sites que visita mesmo com o túnel ativo.
Nada fora do túnel. As predefinições de encaminhamento e filtragem têm de impedir que os dados saiam da ligação encriptada.
Minimização de dados e registos protegidos. A recolha limita-se ao estritamente necessário, e os registos têm de resistir à adulteração.
Atualizações seguras e sem falhas conhecidas. As atualizações são entregues de forma segura, o produto sai sem vulnerabilidades exploráveis conhecidas e as falhas são tratadas por um processo formal de divulgação.
Armazenamento e eliminação seguros de chaves. As chaves criptográficas e os dados sensíveis têm de ser guardados em segurança e apagados quando um dispositivo é desativado.

Perfis mais rigorosos para utilizadores em risco

Um detalhe destaca-se em termos de privacidade. A norma não trata todos os utilizadores da mesma maneira: define perfis de segurança, e os mais rigorosos destinam-se a pessoas como jornalistas e ativistas, para quem uma fuga de DNS ou uma predefinição fraca não é um incómodo, mas um perigo real. Para esses perfis, a proteção contra fugas, o isolamento e o registo protegido não são opcionais, mas reforçados. É um caso raro em que uma norma de segurança nomeia diretamente os grupos vulneráveis.

O que muda para o utilizador comum

Na prática, é uma mudança dos slogans de marketing para controlos verificáveis. Um fornecedor que queira o «porto seguro» do CRA terá de sustentar as suas alegações de «nível militar» com criptografia real, oferecer uma proteção contra fugas que funcione e conduzir um verdadeiro processo de gestão de vulnerabilidades em vez de remendar em silêncio. As apps que falham estes mínimos e são vendidas na UE arriscam-se, com o tempo, a ser removidas das principais lojas.

Importante: isto ainda é um rascunho. Só se tornará um verdadeiro atalho para a conformidade com o CRA depois de publicado e citado no Jornal Oficial da UE, e as principais obrigações do CRA aplicam-se a partir de dezembro de 2027. Também não cobre tudo: os routers em que a VPN é uma função secundária e o software livre não comercial ficam fora da presunção de conformidade.

Porque é importante

Uma norma de segurança vale o que vale a sua verificação independente, e uma via voluntária deixa sempre aos fornecedores a hipótese de a ignorar. Mas transformar um marketing vago de privacidade numa lista de verificação concreta e auditável é um ganho real para os utilizadores, porque dá uma medida comum para comparar VPN em vez de anúncios. A direção é clara: na UE, chamar a uma app «VPN segura» começa a significar algo concreto.

Isto proíbe as VPN gratuitas?

Não. Por si só não proíbe nada. As apps livres não comerciais estão até excluídas da presunção de conformidade. Mas o software VPN comercial vendido na UE que ignora a segurança básica pode sofrer pressão e ser removido das lojas, já ao abrigo do próprio Cyber Resilience Act.

A EN 304 620 já é lei?

Ainda não. É um rascunho de norma cuja publicação está prevista para o segundo semestre de 2026. A lei que a sustenta, o Cyber Resilience Act, já está em vigor, com as principais obrigações a aplicarem-se a partir de dezembro de 2027.

Significa que a minha VPN está agora auditada de forma independente?

Não automaticamente. A norma define requisitos e uma via de conformidade, mas segui-la é voluntário e o fornecedor tem ainda de demonstrar o cumprimento. É um padrão para avaliar uma VPN, não uma garantia de que cada app foi auditada.

Aplica-se fora da UE?

Visa os produtos vendidos no mercado da UE. Na prática, os fornecedores aplicam muitas vezes o mesmo nível de segurança em todo o lado, pelo que os utilizadores noutros locais podem beneficiar indiretamente, mas a obrigação legal está ligada à UE.

Fontes:
• Rascunho ETSI EN 304 620 (repositório STAN4CRA) - ETSI Labs
• Cybersecurity Requirements for VPN Services - its.se
• EU introduces strict new security rules for VPNs - TechRadar

VPNCyber Resilience ActCRAEN 304 620ETSINordVPNSurfsharkprivacyEU