Vuoden 2026 aikana neljä suurta VPN-palvelua on julkaissut tuoreet riippumattomien tarkastajien auditointiraportit: NordVPN kuudetta kertaa, Mullvad neljättä kertaa infrastruktuurinsa osalta, ExpressVPN kolmatta kertaa KPMG:n toimesta ja Proton VPN jatkaa Securitumin vuosittaista tarkastussarjaa. Samaan aikaan Ruotsissa valmistellaan lakia, joka voisi laajentaa viestinnän säilytysvelvoitteita, ja Norjassa EFTA-tuomioistuin käsittelee kysymystä tiedustelutietojen massakeruusta. Suomalaiselle ja pohjoismaiselle käyttäjälle tämä tarkoittaa yhtä asiaa: “ei lokeja” -väitteen taakse on nyt enemmän todisteita kuin koskaan, mutta myös enemmän lainsäädännöllistä epävarmuutta. Aihe liittyy laajempaan yksityisyyden suojan kokonaisuuteen, joka kattaa VPN-palvelujen lisäksi myös salatun viestinnän ja selainten suojaukset.
Tässä artikkelissa käydään läpi, mitä kukin auditointi konkreettisesti todisti, miten tarkastajat (Deloitte, Cure53, KPMG, Securitum) eroavat toisistaan, ja miksi Pohjoismaiden lainsäädäntötilanne vuonna 2026 tekee auditointien merkityksestä entistä ajankohtaisemman puheenaiheen Suomessa. Käymme läpi myös sen, mitä auditointi ei todista, ja miksi jurisdiktio on yhtä tärkeä kuin itse tarkastusraportti.
Mitä VPN-auditointi oikeasti todistaa
VPN-palvelun “ei lokeja” -lupaus on markkinointiväite siihen asti, kunnes ulkopuolinen taho pääsee tarkastamaan palvelinten konfiguraatiot, hakemistorakenteet ja käyttöprosessit. Käytännössä auditoinnit jakautuvat kolmeen tyyppiin, jotka usein sekoittuvat toisiinsa mediassa.
Ensimmäinen on niin sanottu no-logs-varmennus, jossa tilintarkastusyhtiö (esimerkiksi Deloitte, KPMG tai Securitum) käy läpi palvelinten asetukset ja prosessit vasten palveluntarjoajan omaa tietosuojaselostetta. Tällaiset tarkastukset tehdään usein ISAE 3000 -standardin mukaisesti, joka on kansainvälinen viitekehys muille kuin taloudellisille varmennustoimeksiannoille. Toinen tyyppi on infrastruktuuriauditointi, jossa tietoturvayhtiö (tyypillisesti Cure53) yrittää murtautua palvelimille ja etsii haavoittuvuuksia, jotka voisivat paljastaa käyttäjätietoja. Kolmas on sovellusauditointi, jossa tarkastetaan itse VPN-sovelluksen lähdekoodi työpöytä- ja mobiilikäyttöön.
Ero on olennainen: no-logs-varmennus kertoo, onko yhtiön prosessi linjassa sen lupausten kanssa tietyllä ajanjaksolla, kun taas infrastruktuuriauditointi etsii teknisiä reikiä, joita hyökkääjä voisi käyttää. Kumpikaan ei ole jatkuva valvonta, vaan hetkellinen otos, joka vanhenee heti kun palvelininfrastruktuuri muuttuu. Tästä syystä toistuvuus, ei yksittäinen raportti, on se mittari, jota kannattaa seurata.
NordVPN: kuudes Deloitte-auditointi ja Panama-jurisdiktio
NordVPN julkaisi 3. helmikuuta 2026 tiedon, että se on läpäissyt kuudennen riippumattoman no-logs-arviointinsa. Kenttätyö tehtiin marras-joulukuussa 2025, ja sen suoritti Deloitte Lithuania, yksi niin sanotuista Big Four -tilintarkastusyhtiöistä. Tarkastus kattoi NordVPN:n vakiopalvelimet, Double VPN -palvelimet, Onion Over VPN -palvelimet, obfuskoidut palvelimet sekä P2P-palvelimet, ja se toteutettiin ISAE 3000 (Revised) -standardin mukaisesti.
“Based on the procedures performed and evidence obtained, Deloitte concluded that NordVPN’s IT systems and supporting operations are designed and implemented in line with our no-logs statement.”
Deloitte, riippumaton tarkastaja – CNET, 2026
NordVPN kertoi jo edellisestä, viidennestä auditoinnistaan helmikuussa 2025, että sen no-logs-lupaus oli jälleen kertaalleen vahvistettu paikkansapitäväksi yhtiön omien tietosuojaväitteiden mukaisesti. Sama viesti toistuu nyt kuudennella kierroksella: peräkkäiset, samansisältöiset tulokset vuodesta toiseen ovat juuri se johdonmukaisuus, johon NordVPN nojaa markkinoinnissaan.
Historiallisesti NordVPN:n auditointisarja alkoi PwC Sveitsin toimesta vuosina 2018 ja 2020. Sen jälkeen Deloitte Lithuania on tehnyt peräkkäiset tarkastukset vuosina 2022, 2023, 2024 ja 2025 (julkaistu helmikuussa 2026), mikä tekee yhteensä kuusi riippumatonta arviointia. NordVPN:n rekisteröity kotipaikka on Panama, mikä tarkoittaa, ettei yhtiö kuulu EU:n tai Yhdysvaltain pakollisiin tietojen säilytysvaatimuksiin samalla tavalla kuin eurooppalaiset teleoperaattorit. Täyttä Deloitte-raporttia ei julkaista avoimesti verkossa; NordVPN kertoo omassa tiedotteessaan, että raportti on luettavissa kirjautumalla omaan Nord-tiliin sen teknisen luonteen vuoksi.
Mullvad: Cure53:n neljäs infrastruktuuriauditointi
Ruotsalainen Mullvad julkaisi 27. kesäkuuta 2024 raportin neljännestä infrastruktuuriauditoinnistaan, toisesta Cure53:n tekemänä. Tarkastus tehtiin 3.–14. kesäkuuta 2024, ja sen laajuuteen kuuluivat yksi käytössä oleva OpenVPN-palvelin, yksi WireGuard-palvelin sekä Ansible-koodi, jolla palvelimia otetaan käyttöön. Mullvad kuvaa auditoinnin laajuutta yksinkertaisesti “kaikkena, mikä voisi vaikuttaa yksityisyyteen”.
Cure53 löysi kaksi ongelmaa: yhden matalan ja yhden keskitason vakavuusasteen puutteen, loput olivat tiedoksi luokiteltuja havaintoja. Tarkastajien loppupäätelmä oli myönteinen.
“No such issues were found, and no vulnerabilities affecting the core product were detected.”
Cure53, riippumaton tietoturva-auditoija – Mullvad, 27.6.2024
Infrastruktuuriauditoinnin lisäksi Mullvad julkaisi 11. joulukuuta 2024 erillisen sovellusauditoinnin tulokset. Siinä Cure53 löysi kolme korkean, kaksi keskitason ja yhden matalan vakavuusasteen havainnon sovelluspuolelta – ei yhtään kriittistä. Mullvadin oikeudellisella sivulla, jota on päivitetty viimeksi 14. toukokuuta 2026, yhtiö toteaa, ettei sitä luokitella Ruotsin sähköisen viestinnän lain (LEK) mukaiseksi viestintäpalvelun tarjoajaksi, eikä sillä siksi ole velvoitetta säilyttää käyttäjien liikennetietoja. Mullvadin kotipaikka on Ruotsi, mikä on poikkeuksellista alalla, jossa suurin osa kilpailijoista on rekisteröity Panamaan, Brittiläisille Neitsytsaarille tai Sveitsiin nimenomaan lainsäädännöllisistä syistä. Mullvadin oma selain kannattaa myös koventaa erikseen, ja WireGuard-protokollasta kiinnostuneet voivat lukea, miten oman WireGuard-palvelimen pystyttää Linuxille.
ExpressVPN: KPMG varmistaa TrustedServer-arkkitehtuurin kolmatta kertaa
ExpressVPN julkaisi 25. kesäkuuta 2025 tiedon KPMG:n kolmannesta no-logs-arvioinnista. Tarkastus koski yhtiön TrustedServer-arkkitehtuuria (palvelimet, jotka käynnistyvät joka kerta puhtaalta levykuvalta RAM-muistista) ja kattoi tilanteen 28. helmikuuta 2025 asti. Arviointi tehtiin ISAE 3000 Type I -kehyksessä.
ExpressVPN kertoo omalla blogillaan, että “KPMG provided reasonable assurance that our systems functioned as designed, with no identified issues regarding our technical safeguards against activity logging.” Yhtiön Trust Center -sivu listaa tämän kesäkuun 2025 KPMG-tarkastuksen osaksi laajempaa auditointihistoriaa, johon kuuluu myös useita erillisiä sovellus- ja selainlaajennuskohtaisia Cure53-tarkastuksia. TechRadar tiivisti heinäkuussa 2025 julkaistussa artikkelissaan, että kyseessä oli ExpressVPN:n 23. auditointi kaiken kaikkiaan, kun mukaan lasketaan kaikki yhtiön eri tuotteille ja järjestelmille teetetyt tarkastukset vuodesta 2019 lähtien.
Proton VPN: Securitum toistaa saman tuloksen vuodesta toiseen
Sveitsiläinen Proton VPN on teettänyt no-logs-tarkastuksensa säännöllisesti sveitsiläisellä Securitumilla. Huhtikuussa 2023 julkaistussa raportissa Securitum totesi suoraan, ettei käyttäjiin liittyvän datan kirjaamisesta löytynyt jälkiä.
“No traces of logging user-related data by the VPN service were found.”
Securitum, riippumaton tietoturva-auditoija – Securitum, 26.4.2023
Vastaava tulos toistui myös aiemmassa, maaliskuussa 2022 julkaistussa raportissa.
“As a result of the audit, it was confirmed that ProtonVPN offers high privacy with its No-Logs approach, and the audit did not detect any issues that could make a negative effect on the user’s privacy.”
Securitum, riippumaton tietoturva-auditoija – Securitum, 30.3.2022
Seuraava kierros tehtiin heinäkuussa 2024 (3.–12.7.2024, Geneven toimistosta käsin), ja se oli Proton VPN:n kolmas peräkkäinen no-logs-auditointi. Toistuvuus tekee Proton VPN:n mallista mielenkiintoisen vertailukohdan: yhtiö julkaisee jokaisen raportin PDF-muodossa kokonaan avoimesti, ilman tilikirjautumista, mikä eroaa NordVPN:n mallista. Katso myös ProtonVPN:n asennusopas, jos haluat ottaa palvelun käyttöön WireGuard-protokollalla.
Auditointien aikajana: kuka tarkasti, milloin ja mitä löydettiin
| VPN-palvelu | Tarkastaja | Ajankohta | Tyyppi | Keskeinen tulos |
|---|---|---|---|---|
| NordVPN | Deloitte Lithuania | Kenttätyö 11/2025–12/2025, julkaistu 3.2.2026 | No-logs (ISAE 3000) | Ei poikkeamia no-logs-lupauksesta |
| Mullvad | Cure53 | 3.–14.6.2024, julkaistu 27.6.2024 | Infrastruktuuri | 1 matala, 1 keskitaso, ei kriittisiä |
| Mullvad (sovellus) | Cure53 | Julkaistu 11.12.2024 | Sovelluskoodi | 3 korkeaa, 2 keskitasoa, 1 matala, ei kriittisiä |
| ExpressVPN | KPMG | Tilanne 28.2.2025, julkaistu 25.6.2025 | No-logs / TrustedServer (ISAE 3000 Type I) | Ei havaittuja poikkeamia lokituksen estoissa |
| Proton VPN | Securitum | 3.–12.7.2024 | No-logs | Ei käyttäjädatan lokitusjälkiä |
Taulukosta erottuu selvä kuvio: jokainen näistä neljästä palvelusta on nyt auditoitu vähintään kolmesti, ja NordVPN johtaa määrällä kuudella tarkastuksella. Se, mikä erottaa palveluja toisistaan, ei siis ole enää “onko auditoitu”, vaan miten usein, miten läpinäkyvästi raportti julkaistaan ja mitä tarkalleen tarkastuksen laajuuteen kuuluu.
Jurisdiktio ja läpinäkyvyys: näin palvelut eroavat toisistaan
| VPN-palvelu | Rekisteröinti / jurisdiktio | Auditointeja yhteensä | Raportin julkinen saatavuus |
|---|---|---|---|
| NordVPN | Panama | 6 (2 PwC, 4 Deloitte) | Tiivistelmä julkinen, täysi raportti vain Nord-tilin takana |
| Mullvad | Ruotsi | 4 infrastruktuuriauditointia + erilliset sovellusauditoinnit | Täysi Cure53-raportti julkinen PDF-muodossa |
| ExpressVPN | Brittiläiset Neitsytsaaret | 23 (kaikki tuotteet ja järjestelmät yhteensä) | KPMG-raportti saatavilla ExpressVPN:n Trust Centerin kautta |
| Proton VPN | Sveitsi | 3 peräkkäistä Securitum-tarkastusta (2022–2024) | Täysi Securitum-raportti julkinen PDF-muodossa |
Kaikkien neljän palvelun hintoja, palvelinmääriä ja ominaisuuksia vertailtiin tarkemmin aiemmassa NordVPN vs ProtonVPN vs Mullvad -vertailussa. Läpinäkyvyysero on merkittävä yksityiskohta, jota moni vertailu ohittaa. Mullvad ja Proton VPN julkaisevat tarkastajan koko raportin kenen tahansa luettavaksi ilman kirjautumista, kun taas NordVPN ja osittain ExpressVPN pitävät täydet raportit tilin tai erillisen hyväksynnän takana. Kummallakin mallilla on perustelunsa: avoin PDF antaa ulkopuolisille tutkijoille mahdollisuuden tarkastaa metodologian yksityiskohtia, kun taas rajoitettu jakelu voi liittyä tarkastajan omiin ehtoihin raportin uudelleenkäytöstä.
Ruotsin salausehdotus ja Mullvadin asema
Pohjoismainen konteksti tekee auditoinneista muutakin kuin markkinointimateriaalia. Ruotsissa on valmisteilla lakiehdotus, joka pakottaisi viestintäpalvelut tallentamaan ja luovuttamaan käyttäjien yksityistä viestintää lainvalvonnan pyynnöstä. Jos esitys etenee, uudet säännöt voisivat tulla voimaan aikaisintaan maaliskuussa 2026. Esitystä on kutsuttu asiantuntijapiireissä salausta heikentäväksi takaportiksi, ja Ruotsin valtiopäiviä on kehotettu hylkäämään se.
Mullvad, joka on rekisteröity ja toimii Ruotsista käsin, on jo aiemmin joutunut selvittämään asemaansa suhteessa maan sähköisen viestinnän lakiin (LEK). Yhtiön oman, toukokuussa 2026 päivitetyn oikeudellisen selvityksen mukaan Mullvad ei nykyisen tulkinnan mukaan lukeudu LEK:n tarkoittamiin viestintäpalvelun tarjoajiin, eikä sillä siksi ole lakisääteistä velvoitetta säilyttää käyttäjäliikenteen tietoja. Tämä asema voisi kuitenkin muuttua, jos uusi lakiesitys hyväksytään laajemmassa muodossa – ja juuri tästä syystä ruotsalaiset ja suomalaiset yksityisyystietoiset käyttäjät seuraavat prosessia tarkasti.
Norja: EFTA-tuomioistuin arvioi tiedustelutietojen massakeruuta
Norjassa Borgartingin hovioikeus jätti 23. maaliskuuta 2026 EFTA-tuomioistuimelle ennakkoratkaisupyynnön asiassa The Tinius Trust Foundation ja Tom Erik Thorsen vastaan Norjan valtio (puolustusministeriön edustamana). Pyyntö julkaistiin virallisesti heinäkuussa 2026, ja se koskee sitä, sovelletaanko sähköisen viestinnän tietosuojan takeita ulkomaantiedustelua varten kerättävän datan massakeruuseen ja käyttöön. Kyse ei ole suoraan VPN-lainsäädännöstä, mutta ratkaisu voi vaikuttaa siihen, missä laajuudessa Pohjoismaiden viranomaiset voivat kerätä ja hyödyntää verkkoliikenteen metadataa ylipäänsä – mikä on suoraan relevanttia sille, kuinka paljon suojaa VPN tarjoaa käyttäjälleen käytännössä.
EU:n Chat Control -sääntely: mitä se oikeasti velvoittaa VPN-palveluilta
EU-parlamentti äänesti 25. maaliskuuta 2026 sitä vastaan, että väliaikaista sähköisen viestinnän luottamuksellisuuden poikkeuslupaa (joka mahdollistaa vapaaehtoisen viestien skannauksen lapsiin kohdistuvan hyväksikäytön torjumiseksi) olisi jatkettu ilman muutoksia. Prosessi jatkui epätavallisin menettelytavoin, ja 5. elokuuta 2026 tehdyllä äänestyksellä EU-lainsäätäjät sopivat, että palveluntarjoajat voivat jatkaa skannaustoimintaansa suojatoimien alaisena 3. huhtikuuta 2028 asti, kunnes päivitetystä Chat Control 2.0 -kehyksestä päästään sopuun.
Olennaista Suomen ja Pohjoismaiden VPN-käyttäjille on se, että nykyinen, voimassa oleva sääntely koskee nimenomaan “numerista riippumattomia henkilöiden välisiä viestintäpalveluja” – eli sovelluksia kuten viestisovellukset ja sähköposti – ei VPN-infrastruktuurin tarjoajia. Tämä tarkoittaa, ettei nykyinen laki suoraan pakota VPN-palveluita tallentamaan lokitietoja. Brysselissä käydään kuitenkin rinnakkaista keskustelua laajemmasta “lainmukaisen pääsyn” tavoiteohjelmasta, joka saattaa tulevaisuudessa koskettaa myös salaustyökaluja laajemmin – mutta tämä on tällä hetkellä poliittista keskustelua ja suunnitteluvaihetta, ei voimassa olevaa lainsäädäntöä. Aiheesta tarkemmin: EU:n Chat Control jatkuu 2028 asti.
Markkinavaikutus: auditoinnista on tullut kilpailuetu, ei lisäpalvelu
Viiden vuoden takainen tilanne, jossa yksi auditointi riitti erottautumiseen, on ohi. NordVPN:n, ExpressVPN:n, Mullvadin ja Proton VPN:n toistuvat, vuosittaiset tai lähes vuosittaiset tarkastussyklit ovat nostaneet rimaa koko toimialalla. Kun ExpressVPN mainostaa 23:tta auditointiaan yhteensä ja NordVPN kuudetta peräkkäistä no-logs-varmennustaan, viesti kuluttajalle on selvä: yksittäinen, vuosia vanha auditointi ei enää riitä uskottavuuden osoittamiseksi.
Tämä vaikuttaa myös siihen, miten pienemmät ja keskisuuret VPN-palvelut asemoivat itseään. Palvelu, jolla ei ole yhtään julkista auditointia, joutuu perustelemaan poissaolon erikseen – usein vetoamalla siihen, että auditointi maksaa kymmeniä tuhansia euroja ja vaatii merkittävää sisäistä valmistelutyötä. Kuluttajan näkökulmasta auditointien toistuvuus ja julkinen saatavuus muodostavat nyt käytännössä oman kategoriansa VPN-vertailuissa, erillään hinnasta, nopeudesta tai palvelinmäärästä.
Mitä tämä tarkoittaa suomalaiselle käyttäjälle käytännössä
Suomalaiselle etätyöläiselle, yrittäjälle tai yksityishenkilölle auditointiuutiset eivät ole pelkkää taustamelua. Kun valitaan VPN-palvelua esimerkiksi julkisen wifin käyttöön, pankkiasioiden hoitoon matkalla tai yrityksen etäyhteyksien suojaamiseen, kolme asiaa nousee tämän katsauksen perusteella tärkeimmiksi. Ensinnäkin kannattaa suosia palvelua, jonka auditointihistoria on tuore – yli kahden vuoden takainen raportti ei kerro mitään nykyisestä infrastruktuurista. Toiseksi julkisesti saatavilla oleva raportti (kuten Mullvadin tai Proton VPN:n malli) mahdollistaa sen, että myös suomalaiset tietoturva-asiantuntijat ja toimittajat voivat tarkistaa väitteet itse, sen sijaan että pitäisi luottaa pelkkään yrityksen omaan tiivistelmään.
Kolmanneksi jurisdiktiokysymys on Pohjoismaissa erityisen ajankohtainen juuri nyt, kun Ruotsin lakiehdotus ja Norjan EFTA-tuomioistuinprosessi ovat molemmat kesken. Yritysostajan kannattaa seurata näiden prosessien etenemistä siinä missä yksittäisen auditointiraportin sisältöäkin, sillä lainsäädäntö voi muuttaa käytännön suojatason nopeamminkin kuin yhtiön tekninen infrastruktuuri.
Historia lyhyesti: PwC:stä Cure53:een ja Deloitteen
VPN-alan auditointikulttuuri ei syntynyt tyhjästä. NordVPN oli yksi ensimmäisistä suurista kuluttaja-VPN-palveluista, joka altisti no-logs-väitteensä ulkopuoliselle tarkastukselle: PwC Sveitsi teki ensimmäiset arvioinnit vuosina 2018 ja 2020. Samaan aikaan tietoturvatalo Cure53 rakensi mainettaan tarkastamalla sekä VPN-infrastruktuuria että sovelluskoodia useille toimijoille, mukaan lukien Mullvad, TunnelBear, Bitwarden ja Proton Pass. Vuonna 2021 Cure53 vahvisti, ettei Mullvadin infrastruktuuriauditoinnissa löytynyt henkilötietoja tai yksityisyyttä vaarantavia vuotoja – tulos, joka toisti itseään myös vuoden 2024 tarkastuksessa.
2020-luvun puolivälin jälkeen Deloitte otti NordVPN:n vuosittaisen tarkastussyklin haltuunsa, kun taas KPMG vakiinnutti asemansa ExpressVPN:n pääasiallisena tarkastajana. Securitum puolestaan on erikoistunut sveitsiläis- ja eurooppalaislähtöisten palvelujen, kuten Proton VPN:n, no-logs-tarkastuksiin. Tämä työnjako – muutama suuri tilintarkastusyhtiö ja muutama erikoistunut tietoturvatalo, jotka toistavat tarkastuksiaan samoille asiakkaille vuodesta toiseen – on tehnyt auditointihistoriasta seurattavan aikajanan sen sijaan, että kyse olisi yksittäisistä irrallisista tapahtumista.
Cure53 on samaan aikaan laajentanut rooliaan yksittäisten VPN-palvelujen ulkopuolelle: yhtiö on tarkastanut myös ExpressVPN:n oman Lightway-protokollan lähdekoodin sekä useiden salasananhallintaohjelmien, kuten Bitwardenin ja Proton Passin, taustainfrastruktuuria. Tämä tekee Cure53:sta eräänlaisen alan yhteisen mittatikun: kun sama tarkastaja arvioi useita kilpailevia tuotteita samalla metodologialla, tulosten vertailu keskenään on luotettavampaa kuin jos jokainen palvelu käyttäisi eri tarkastajaa eri kriteerein.
Ennusteet: mihin suuntaan VPN-auditoinnit ovat menossa
- Vuosisykli yleistyy standardiksi. NordVPN:n ja ExpressVPN:n mallin mukainen, lähes vuosittainen auditointirytmi todennäköisesti leviää myös keskisuuriin palveluihin, koska kertaluonteinen auditointi vanhenee nopeasti kuluttajan silmissä.
- Julkiset PDF-raportit lisääntyvät. Proton VPN:n ja Mullvadin malli, jossa koko raportti julkaistaan ilman kirjautumista, luo painetta myös NordVPN:n kaltaisille toimijoille avata raporttinsa laajemmin, jos läpinäkyvyydestä tulee yhä tärkeämpi kilpailutekijä.
- Ruotsin lakiesitys joutuu todennäköisesti oikeudelliseen vastustukseen. Jos maaliskuulle 2026 tähtäävä salausehdotus etenee laajassa muodossaan, on todennäköistä, että Mullvadin kaltaiset toimijat ja kansalaisjärjestöt hakevat siihen oikeudellista muutosta samaan tapaan kuin EFTA-tuomioistuimeen viety Norjan tapaus.
- Jurisdiktiovalinnasta tulee entistä näkyvämpi myyntiargumentti. Panama, Sveitsi ja Ruotsi (ei-viestintäpalvelun tarjoajan tulkinnalla) pysyvät suosittuina rekisteröintimaina, ja tätä yhdistelmää – jurisdiktio plus toistuva auditointi – aletaan markkinoida entistä avoimemmin yhtenä pakettina.
- EU:n laajempi “lainmukaisen pääsyn” keskustelu pitää VPN-alan varpaillaan vuoteen 2028 asti. Vaikka nykyinen Chat Control -sääntely ei koske VPN-infrastruktuuria, Brysselin poliittinen paine salaustyökaluja kohtaan säilyy todennäköisesti koko nykyisen, huhtikuuhun 2028 asti voimassa olevan siirtymäkauden ajan.
Näin arvioit auditointiraporttia itse
Kun seuraavan kerran törmäät VPN-palvelun mainostamaan “riippumatonta auditointia”, kannattaa tarkistaa neljä asiaa. Ensinnäkin, kuka tarkasti: onko kyse tunnetusta tilintarkastusyhtiöstä (Deloitte, KPMG, PwC) vai erikoistuneesta tietoturvatalosta (Cure53, Securitum)? Kumpikin on pätevä, mutta ne vastaavat eri kysymyksiin. Toiseksi, milloin tarkastus tehtiin – yli kaksi vuotta vanha raportti kertoo lähinnä siitä, millainen infrastruktuuri oli silloin, ei nyt. Kolmanneksi, mikä oli tarkastuksen laajuus: kattoiko se kaikki palvelintyypit vai vain osan niistä? Neljänneksi, onko koko raportti luettavissa vai ainoastaan yhtiön oma tiivistelmä siitä.
Tämä nelikohtainen tarkistuslista pätee yhtä lailla suomalaiseen kuluttajaan kuin yritysostajaankin, joka arvioi VPN-palvelua osana laajempaa tietoturva-arkkitehtuuria.
Usein kysytyt kysymykset
Mikä VPN on auditoitu useimmin?
NordVPN on läpäissyt kuusi erillistä no-logs-varmennusta (kaksi PwC:n ja neljä Deloitten tekemää), mikä tekee siitä useimmin auditoidun no-logs-väitteen suurten kuluttaja-VPN-palvelujen joukossa. ExpressVPN mainostaa 23:a auditointia yhteensä, mutta luku sisältää kaikki yhtiön eri tuotteille ja järjestelmille teetetyt erilliset tarkastukset, ei pelkästään no-logs-arviointeja.
Voiko VPN-auditointiraporttiin luottaa täysin?
Auditointi on hetkellinen otos tietystä ajanjaksosta, ei jatkuva valvonta. Se todistaa, että tarkastushetkellä palvelininfrastruktuuri ja prosessit vastasivat yhtiön ilmoittamaa käytäntöä, mutta ei takaa, ettei mikään ole muuttunut sen jälkeen. Tästä syystä toistuvat, säännölliset auditoinnit ovat luotettavampi signaali kuin yksittäinen vanha raportti.
Miksi Mullvad ja Proton VPN julkaisevat koko raportin, mutta NordVPN ei?
Mullvad ja Proton VPN julkaisevat Cure53:n ja Securitumin täydet PDF-raportit avoimesti kenen tahansa luettavaksi. NordVPN puolestaan kertoo, ettei se julkaise raportin teknistä sisältöä julkisesti, vaan Deloitten laatima täysi raportti on luettavissa kirjautumalla omaan Nord-tiliin. Kyse on yhtiöiden omista käytännöistä, ei auditoinnin pätevyydestä sinänsä.
Vaikuttaako EU:n Chat Control -sääntely VPN-palvelujen lokitusvelvoitteisiin?
Nykyisellään ei. Voimassa oleva sääntely, jonka väliaikainen poikkeuslupa jatkuu 3. huhtikuuta 2028 asti, koskee numerisesta riippumattomia henkilöiden välisiä viestintäpalveluja, kuten viesti- ja sähköpostisovelluksia – ei VPN-infrastruktuurin tarjoajia. Brysselissä käydään erillistä, laajempaa keskustelua “lainmukaisesta pääsystä” salattuun dataan, mutta se ei ole tätä kirjoitettaessa voimassa olevaa lainsäädäntöä.
Miksi Ruotsin lakiesitys huolestuttaa VPN-käyttäjiä Pohjoismaissa?
Ehdotus pakottaisi yhtiöitä tallentamaan ja luovuttamaan yksityistä viestintää lainvalvonnan pyynnöstä, ja se voisi tulla voimaan aikaisintaan maaliskuussa 2026, mikäli se hyväksytään. Koska Mullvad on ruotsalainen yhtiö, sen nykyinen tulkinta siitä, ettei se ole lain tarkoittama viestintäpalvelun tarjoaja, voisi joutua uudelleenarvioitavaksi, jos esitys etenee laajassa muodossaan.
Mikä ero on no-logs-auditoinnilla ja infrastruktuuriauditoinnilla?
No-logs-auditointi (esimerkiksi Deloitten tai KPMG:n tekemä) tarkastaa, ovatko yhtiön prosessit ja järjestelmäkonfiguraatiot linjassa sen ilmoittaman tietosuojakäytännön kanssa. Infrastruktuuriauditointi (tyypillisesti Cure53:n tekemä) puolestaan etsii teknisiä haavoittuvuuksia palvelininfrastruktuurista ja sovelluskoodista, joita hyökkääjä voisi hyödyntää. Molempia tarvitaan kokonaiskuvan saamiseksi.
Onko jurisdiktiolla väliä, jos VPN on auditoitu?
Kyllä. Auditointi todistaa teknisen ja prosessuaalisen tilanteen tarkastushetkellä, mutta jurisdiktio määrittää, mitä lakeja yhtiöön voidaan soveltaa jatkossa – esimerkiksi voidaanko sitä pakottaa tietojen luovutukseen tuomioistuimen määräyksellä. Panama, Sveitsi ja Ruotsin nykyinen tulkinta LEK-laista ovat kaikki esimerkkejä siitä, miten jurisdiktio ja auditointihistoria yhdessä muodostavat käyttäjän todellisen suojan tason.
