Fra den 11. september 2026 skal alle VPN-udbydere, der sælger til EU-borgere, kunne melde alvorlige sikkerhedshuller til myndighederne inden for 24 timer. Kravet kommer fra EU’s Cyber Resilience Act, og den tekniske rygrad bag det hedder ETSI EN 304 620, en ny sikkerhedsstandard specifikt skrevet til VPN-produkter. Standarden er stadig i offentlig høring, men loven bag den er allerede gældende, og det sætter hele branchen under pres netop som flere store udbydere selv har lagt nye revisioner og certificeringer frem. Proton VPN offentliggjorde i juni sin femte uafhængige no-logs-revision i træk, mens Nord Security i slutningen af juli fik en ren SOC 2 Type II-attest til fire forretningsprodukter uden en eneste undtagelse.

For danske og nordiske brugere, som ifølge flere analysehuse bruger VPN mere end gennemsnittet globalt, betyder det en ny fase for en branche, der i årtier har solgt sig selv på løfter, den sjældent kunne dokumentere. Denne artikel gennemgår, hvad EU’s VPN-sikkerhedsstandard faktisk kræver, hvordan de nyeste revisioner ser ud i praksis, og hvorfor Danmark selv for få måneder siden trak et forslag om VPN-begrænsninger tilbage efter massiv kritik.

Hvad er ETSI EN 304 620, og hvad kræver den af VPN-udbydere?

ETSI EN 304 620 er den første sikkerhedsstandard, der er skrevet specifikt til VPN-produkter under EU’s Cyber Resilience Act. Standarden er udarbejdet af arbejdsgruppen CYBER-EUSR under standardiseringsmandatet M/606, og den fastsætter tekniske krav og vurderingskriterier for, hvordan et VPN-produkt skal designes, udvikles og driftes for at kunne kaldes sikkert efter EU-reglerne. Kravene dækker tre hovedområder: sikker udvikling og hærdning af kryptografiske komponenter, håndtering af sårbarheder gennem hele produktets levetid, og sikre standardkonfigurationer med stærk autentificering og begrænset angrebsflade.

Det centrale ved en VPN-sikkerhedsstandard som denne er, at den ikke kun stiller krav til, hvordan et produkt bygges første gang. Cyber Resilience Act taler om “produkter med digitale elementer,” og det betyder, at forpligtelserne gælder gennem hele livscyklussen, fra design over udvikling til opdateringer og daglig konfiguration. Så snart EN 304 620 bliver optaget som en harmoniseret standard i EU-Tidende, kan en VPN-udbyder bruge overholdelse af standarden som formodning om, at produktet lever op til loven. Ifølge en sporing af CRA-standarder var alle 17 ETSI-produktudkast, VPN-standarden inklusive, i offentlig høring per 13. august 2026, med høringsfrister der løber fra midt i september til midt i november afhængigt af produktkategori.

Tidslinjen: fra Cyber Resilience Act til 11. september 2026

Cyber Resilience Act trådte i kraft i december 2024, men loven bygger på en trinvis tidsplan. Det første store vendepunkt er den 11. september 2026, hvor de obligatoriske indberetningspligter starter. Fra den dato skal producenter af digitale produkter, VPN-tjenester inklusive, melde aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser inden for 24 timer til ENISA’s fælles rapporteringsplatform og det relevante nationale CSIRT. Kravet gælder alle produkter i EU, også dem der allerede var på markedet før datoen.

Den fulde tekniske overholdelse, inklusive CE-mærkning og formel konformitetsvurdering, følger først i december 2027. Det giver branchen godt et år, hvor rapporteringspligten allerede løber, mens den tekniske standard, virksomhederne skal måle sig mod, stadig er under udarbejdelse. En jurist-note fra sommeren 2026 kalder det ligeud “24-timers meldepligt,” og understreger, at pligten omfatter alle produkter med digitale elementer, uanset hvornår de kom på markedet (kilde: Irlands nationale cybersikkerhedscenter).

Sådan rammer bøderne, hvis en VPN-udbyder ikke lever op til kravene

ETSI EN 304 620 er i sig selv en teknisk standard uden egen bødemyndighed. Det er Cyber Resilience Act, der bærer sanktionerne. Loven giver nationale markedstilsyn ret til at udstede administrative bøder, kræve produkter trukket fra markedet, eller pålægge udbydere at rette sikkerhedsfejl inden for en frist. Beløbsrammerne er endnu ikke testet i praksis for VPN-produkter specifikt, men juridisk kommentar fra sommeren 2026 peger på, at manglende indberetning af sårbarheder eller salg af produkter, der ikke lever op til kravene, kan udløse korrigerende tiltag og bøder på linje med, hvordan GDPR håndhæves i dag.

Det praktiske pres ligger et andet sted lige nu. Ingen harmoniseret CRA-standard var offentliggjort i EU-Tidende per 9. august 2026, hvilket betyder, at der endnu ikke findes en formel “formodning om overensstemmelse” for nogen produktkategori. Virksomhederne skal altså overholde en lov, hvis tekniske detaljer stadig er under høring, mens uret allerede tikker mod fristen i september. Det forklarer, hvorfor flere store VPN-udbydere er begyndt at offentliggøre egne revisioner nu, før standarden er endeligt på plads.

Proton VPN består sin femte uafhængige revision på fem år

Proton VPN offentliggjorde i juni 2026 resultatet af sin femte årlige, uafhængige revision af no-logs-politikken. Det schweiziske sikkerhedsfirma Securitum udførte gennemgangen på stedet i Proton’s kontor i Zürich i slutningen af maj, og konklusionen var klar. Revisorerne skrev, at “de tekniske beviser, der blev gennemgået under revisionen, ikke indikerede, at den undersøgte Proton VPN-serverinfrastruktur logger brugeres browsingaktivitet, DNS-forespørgsler, destinationstjenester, indhold af netværkstrafik eller brugeridentificerbare forbindelsesmetadata” (kilde: Proton’s officielle revisionsrapport).

Securitum gennemgik både gratis- og betalt-serverflåden og fandt ingen vedvarende registre, der kunne knytte en bestemt bruger til aktivitet på en given server. Det er femte år i træk, revisionen falder ud på samme måde, hvilket giver Proton et længere spor af eksterne rapporter end de fleste konkurrenter kan vise frem. Parallelt hermed offentliggjorde Proton sin seneste transparensrapport, der viser 47 juridiske anmodninger om brugerdata i 2026 frem til juni. Alle 47 blev afvist, fordi Proton ikke havde data at udlevere (kilde: TechRadar).

Nord Security henter ren SOC 2 Type II-attest til fire produkter

Den 27. juli 2026 meddelte Nord Security, moderselskabet bag NordVPN, at fire produkter i virksomhedens forretningssuite har bestået en SOC 2 Type II-revision uden en eneste undtagelse. Det drejer sig om netværkssikkerhedsplatformen NordLayer, den nyligt lancerede virksomhedsbrowser NordLayer Browser, password-manageren NordPass og trusselsefterretningsplatformen NordStellar. Revisionen dækkede alle fem tillidskriterier i SOC 2-rammen: sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed og privatliv (kilde: GlobeNewswire).

For NordLayer Browser, der først kom på markedet i marts 2026, er det den første SOC 2-certificering nogensinde. For de tre øvrige produkter bygger den videre på en tidligere attest fra august 2025, hvor tre af suitens produkter allerede havde bestået samme test. Nord Security bruger certificeringen til at positionere sig mod regulerede virksomhedskunder, der stiller krav om dokumenteret sikkerhed, før de vil handle med en leverandør. Det er en anden type dokumentation end Protons no-logs-revisioner, som primært henvender sig til privatpersoner, men begge dele peger i samme retning: markedet kræver beviser, ikke kun løfter.

Revisioner og certificeringer hos store VPN-udbydere i 2025-2026

Tabellen herunder samler de seneste offentliggjorte revisioner og certificeringer fra de to udbydere, der har været mest aktive med at dokumentere sikkerhed i 2026.

ProduktUdbyderType revisionDatoResultat
Proton VPNProton AGNo-logs-revision (5. gang), udført af SecuritumJuni 2026Ingen brugeridentificerbar logning fundet
Proton PassProton AGSikkerhedsrevision, udført af Recruity Labs2026Ingen fjernudnyttelige sårbarheder eller krypteringsomgåelser
NordLayerNord SecuritySOC 2 Type II27. juli 2026Bestået uden undtagelser
NordLayer BrowserNord SecuritySOC 2 Type II (1. gang)27. juli 2026Bestået uden undtagelser
NordPassNord SecuritySOC 2 Type II27. juli 2026Bestået uden undtagelser
NordStellarNord SecuritySOC 2 Type II27. juli 2026Bestået uden undtagelser

Historien om “no-logs,” der viste sig ikke at holde

Presset for en fælles VPN-sikkerhedsstandard kommer ikke ud af det blå. Branchen har en historik, der forklarer, hvorfor lovgivere og brugere efterhånden kræver beviser fremfor markedsføring. I 2016 udleverede IPVanish forbindelseslogs til FBI i en sag om børnemishandling, på trods af at selskabet på det tidspunkt reklamerede med, at det ikke logførte brugeraktivitet. Sagen blev et af de tidligste eksempler på afstanden mellem, hvad en VPN-udbyder lover, og hvad den reelt gør.

I 2017 udleverede PureVPN IP-adresser og tidsstempler til amerikanske myndigheder i en sag om stalking, selvom firmaet dengang markedsførte en “no-logs”-politik. Sagen viste, at selv delvise forbindelsesmetadata er nok til at identificere en bestemt bruger, uanset hvad en udbyder kalder sin logningspolitik. NordVPN oplevede i 2018 et databrud, hvor en angriber fik adgang til en enkelt lejet server i Finland gennem en usikker fjernstyringsgrænseflade hos datacentret. Fordi serveren ikke indeholdt brugerdata, kom ingen kundeoplysninger ud, men episoden fik selskabet til at rulle fuld diskkryptering og senere RAM-baseret serverinfrastruktur ud på tværs af flåden. De tre sager tilsammen er baggrunden for, at revisioner som Protons og certificeringer som Nord Securitys i dag vejer tungere end markedsføringstekst alene, og hvorfor EU nu lovgiver kravene ind i en fælles standard.

Danmarks forsøg på et VPN-forbud, der aldrig blev til noget

Mens EU arbejder på at regulere VPN-sikkerhed, oplevede Danmark sin egen VPN-strid i den modsatte ende af spektret. Kulturministeriet fremlagde i december 2025 et lovforslag mod ulovlig streaming, hvor teksten forbød at “bruge VPN-forbindelser til at tilgå medieindhold, der ellers ikke ville være tilgængeligt i Danmark, eller til at omgå blokering af ulovlige websteder.” Loven skulle efter planen træde i kraft 1. juli 2026 med bøder til overtrædere.

Forslaget udløste øjeblikkelig kritik, fordi mange læste det som et reelt VPN-forbud. Kulturminister Jakob Engel-Schmidt afviste i første omgang beskrivelserne som “fake news,” men endte alligevel med at trække VPN-delen ud af lovforslaget. “Jeg går ikke ind for at ulovliggøre VPN, og det har jeg heller aldrig foreslået,” sagde han i en pressemeddelelse, hvor ministeriet bekræftede, at VPN-teksten blev fjernet, før forslaget blev sendt videre i systemet (kilde: Politiken). Sagen viser en pointe, der er værd at holde fast i: mens EU strammer kravene til, hvor sikkert et VPN-produkt skal bygges, har ingen nordisk regering for alvor forsøgt at forbyde brugen af dem (kilde: Copenhagen Post).

Markedet for VPN vokser hastigt, mens reglerne strammes

Reguleringen kommer på et tidspunkt, hvor VPN-markedet er langt større, end det var, da de første no-logs-skandaler ramte branchen for ti år siden. Ifølge analysehuset GWI bruger omkring 30 procent af verdens internetbrugere en VPN, hvilket svarer til cirka 1,6 milliarder mennesker globalt (kilde: Swif). Præcise tal for Danmark og Norden specifikt er sparsomme, men brancheanalyser peger generelt på, at andelen i de nordiske lande ligger over det globale gennemsnit givet den høje bredbåndsdækning og den udbredte privatlivsbevidsthed i regionen. Det er dog en rimelig antagelse snarere end et offentliggjort, verificeret tal.

Selve markedsstørrelsen varierer betydeligt mellem analysehuse, afhængig af hvilke produktkategorier de tæller med. Tabellen herunder viser fem uafhængige vurderinger fra 2026, alle indhentet fra hver deres seneste offentliggjorte rapport.

VPN-markedets størrelse ifølge fem analysehuse (2026)

AnalysehusMarkedsstørrelse 2026Forventet årlig vækst (CAGR)Tidshorisont
Mordor Intelligence70,46 mia. dollar15,05%Frem til 2031
The Business Research Company86,02 mia. dollar20,7%Årlig vækstrate
Straits Research78,61 mia. dollar19,1%Frem til 2034
TechnavioVækst på 75,07 mia. dollar18,4%2025-2030
Straits Research (kun Europa)17,42 mia. dollar (2025-tal)14,6%Hele det europæiske marked

Uanset hvilket tal man lægger til grund, peger alle fem analyser i samme retning: markedet vokser med tocifrede procenttal år for år, og Europa udgør en betydelig og voksende del af det (kilde: Mordor Intelligence). Det er den kommercielle baggrund for, at EU nu vælger at lovgive direkte på produktniveau i stedet for kun at regulere, hvordan persondata behandles efter GDPR.

Hvad betyder reglerne for danske og nordiske virksomheder?

For virksomheder, der sælger eller stiller VPN til rådighed for medarbejdere i Danmark og de øvrige nordiske lande, betyder ETSI EN 304 620 i praksis to ting. For det første skal indkøbsafdelinger begynde at stille konkrete spørgsmål til leverandørers revisionshistorik og sårbarhedshåndtering, i stedet for at læse markedsføringsmateriale. For det andet skal virksomheder, der selv udvikler eller ombygger VPN-løsninger til intern brug, allerede nu forholde sig til rapporteringspligten fra 11. september, uanset om deres produkt er “færdigt” efter den nye standard eller ej.

Det rammer især it-afdelinger i regulerede brancher som finans og sundhed, hvor krav om dokumenteret leverandørsikkerhed allerede eksisterer via andre regler. En VPN-tjeneste, der kan pege på en aktuel, navngiven revision, som Protons Securitum-rapport eller Nord Securitys SOC 2-attest, står stærkere i et udbud end en tjeneste, der kun henviser til egne interne test. Det samme gælder offentlige institutioner, hvor krav om revisionsspor og hændelseshåndtering typisk vejer tungt i udbudsmateriale.

Konkurrencesituationen: hvem har mest at vinde på strammere krav?

Strammere krav plejer at gavne de aktører, der allerede investerer i dokumentation, og straffe dem, der har bygget deres forretning på pris alene. Proton og Nord Security er begge eksempler på udbydere, der har brugt de seneste år på at opbygge et spor af offentligt tilgængelige revisioner, længe før loven krævede det. Det giver dem et forspring, når kunder og myndigheder begynder at spørge konkret ind til dokumentation i stedet for at læse hjemmesidens “no-logs”-badge.

Mindre udbydere uden ressourcer til årlige tredjepartsrevisioner risikerer at blive presset ud af virksomhedsmarkedet først, fordi indkøbsafdelinger typisk kræver dokumentation, før kontrakten skrives under. På forbrugersiden vil effekten formentlig komme langsommere, fordi mange privatkunder stadig vælger ud fra pris og serverantal snarere end revisionshistorik. Men i takt med at 11. september-fristen nærmer sig, og flere medier dækker sager om manglende overholdelse, er det sandsynligt, at revisionsdokumentation bliver et stærkere konkurrenceparameter, også blandt private brugere.

Branchereaktioner og juridiske vurderinger

Juridiske rådgivere, der følger Cyber Resilience Act tæt, beskriver perioden frem mod september 2026 som usædvanligt presset for standardiseringsarbejdet. En sporingstjeneste for CRA-harmoniserede standarder bemærker, at ingen standard endnu er offentliggjort i EU-Tidende, hvilket betyder, at virksomhederne mangler den formelle “formodning om overensstemmelse,” selvom lovens forpligtelser allerede er gældende. Det efterlader et gab, hvor VPN-udbydere reelt skal gætte sig frem til, hvad der tæller som tilstrækkelig dokumentation, indtil standarden er endeligt vedtaget.

Flere kommentatorer peger på, at det er usædvanligt hurtigt tempo for et standardiseringsarbejde af denne type, netop fordi Cyber Resilience Act’s tidsplan lægger pres på ETSI’s arbejdsgrupper. ETSI’s egne udkast bemærker selv, at dokumentet er et interimsudkast, der “forventeligt vil blive underlagt væsentlige ændringer” før den endelige udgivelse i andet halvår af 2026. For VPN-udbydere betyder det, at de investeringer i revisioner og certificeringer, de foretager nu, ikke nødvendigvis matcher den endelige standard til punkt og prikke, men de bygger under alle omstændigheder den dokumentationskultur, som loven kræver.

Sådan forbereder VPN-udbydere sig på compliance-fristen

De udbydere, der allerede er længst fremme, deler et fælles mønster. De har for det første en fast, årlig kadence for eksterne revisioner, ikke kun en enkeltstående test, da et enkelt øjebliksbillede sjældent overbeviser hverken kunder eller myndigheder. For det andet offentliggør de den fulde rapport, ikke kun et sammendrag eller et badge på hjemmesiden, hvilket giver uafhængige journalister og sikkerhedsforskere mulighed for at efterprøve konklusionerne. For det tredje har de en dokumenteret proces for sårbarhedshåndtering, som kan vise, hvordan en fejl opdages, rettes og meldes, inden loven kræver det.

For virksomheder, der endnu ikke har en tilsvarende proces, er den mest presserende opgave lige nu at få styr på interne rutiner for indberetning af sårbarheder, siden 24-timers-fristen gælder fra 11. september uanset produktets modenhed. Det anbefales generelt at etablere kontakt til det relevante nationale CSIRT tidligt, fremfor at vente til en hændelse tvinger virksomheden til at improvisere en rapporteringsproces under tidspres.

Fem forudsigelser for VPN-regulering frem mod 2028

Baseret på tidsplanen for Cyber Resilience Act og den nuværende udvikling i branchen er der fem sandsynlige retninger, VPN-markedet bevæger sig i frem mod 2028.

  • Flere årlige revisioner bliver standard. Udbydere, der i dag kun har testet en enkelt gang, vil sandsynligvis følge Protons model med faste, årlige tredjepartsrevisioner for at kunne dokumentere løbende overholdelse, ikke kun et øjebliksbillede.
  • Konsolidering blandt mindre udbydere. Selskaber uden ressourcer til at finansiere gentagne revisioner og compliance-arbejde risikerer at blive opkøbt eller lukke ned, i takt med at kravene til dokumentation stiger.
  • EN 304 620 bliver reference også uden for EU. Ligesom GDPR blev en de facto-global standard, er det sandsynligt, at VPN-udbydere uden for EU vælger at følge samme standard for at undgå at drive to parallelle produktlinjer.
  • Virksomhedskunder presser tempoet op. Efterspørgslen efter dokumenteret sikkerhed fra it-indkøbere vil formentlig tvinge flere udbydere til at offentliggøre revisioner hurtigere, end den lovpligtige tidsplan egentlig kræver.
  • Nordiske lande fastholder retten til at bruge VPN. Efter Danmarks tilbagetrukne forslag er det usandsynligt, at andre nordiske regeringer forsøger at begrænse lovlig VPN-brug i den nære fremtid, selv i sammenhænge som ulovlig streaming.

Ofte stillede spørgsmål om EU’s VPN-sikkerhedsstandard

Hvad er ETSI EN 304 620?

Det er en teknisk sikkerhedsstandard skrevet specifikt til VPN-produkter under EU’s Cyber Resilience Act. Den fastsætter krav til sikker udvikling, sårbarhedshåndtering og standardkonfiguration, og den er stadig i offentlig høring med forventet udgivelse i andet halvår af 2026.

Hvornår træder EU’s nye VPN-krav i kraft?

De obligatoriske indberetningspligter under Cyber Resilience Act starter 11. september 2026. Fuld teknisk overholdelse med CE-mærkning følger senere, i december 2027.

Skal jeg som privat VPN-bruger gøre noget?

Nej. Kravene retter sig mod VPN-udbydernes produkter og processer, ikke mod slutbrugere. Som bruger kan man dog med fordel se efter, om en udbyder offentliggør fulde, navngivne revisionsrapporter frem for blot at hævde en “no-logs”-politik.

Hvad var Danmarks VPN-forbud, og gælder det stadig?

Det var et forslag fra Kulturministeriet i december 2025 om at forbyde brug af VPN til at omgå geoblokering og ulovlig streaming. Efter kritik trak kulturminister Jakob Engel-Schmidt VPN-delen ud af lovforslaget, og der gælder i dag ingen dansk lov, der forbyder almindelig VPN-brug.

Hvad viste Proton VPN’s seneste revision?

Sikkerhedsfirmaet Securitum fandt i juni 2026, for femte år i træk, ingen tegn på, at Proton VPN logfører brugeres browsingaktivitet, DNS-forespørgsler eller forbindelsesmetadata, der kunne knytte en bruger til en bestemt aktivitet.

Hvad er forskellen på en no-logs-revision og en SOC 2-certificering?

En no-logs-revision, som Protons, undersøger specifikt, om en udbyder rent faktisk undlader at gemme brugerdata. En SOC 2 Type II-certificering, som Nord Securitys, er en bredere revision af kontroller for sikkerhed, tilgængelighed, fortrolighed og privatliv over en given periode, og bruges typisk til at dokumentere sikkerhed over for virksomhedskunder.

Hvor stort er VPN-markedet globalt i 2026?

Analysehuse angiver forskellige tal afhængigt af metode, men de fleste vurderinger for 2026 ligger mellem 66 og 86 milliarder dollar globalt, med en forventet årlig vækstrate på mellem 15 og 21 procent afhængig af kilde.

Hvad sker der, hvis en VPN-udbyder ikke overholder EN 304 620?

Standarden selv har ingen bødemyndighed, men Cyber Resilience Act giver nationale markedstilsyn ret til at kræve rettelser, trække produkter fra markedet eller udstede administrative bøder, hvis en udbyder ikke lever op til lovens krav eller undlader at indberette alvorlige sikkerhedshændelser.

Læs mere om databeskyttelse og digitalt privatliv i vores privatlivs-kategori.