NIS2: wat betekent de wetgeving voor resellers van domeinnamen?

NIS2, de nieuwe Europese cyberbeveiligingswet, brengt nieuwe verplichtingen mee waar registry's, registrars, resellers van domeinnamen en DNS-dienstverleners aan moeten voldoen. Naast een sterk netwerk- en informatiesysteem, moeten aanbieders van domeinnamen ook meer aandacht schenken aan de registratiegegevens.

Wat is NIS2?

NIS2 is een Europese richtlijn die hogere eisen stelt op vlak van cyberbeveiliging die officieel is ingegaan op 18 oktober 2024. Via die richtlijn zet de EU haar lidstaten en dienstverleners aan hun netwerk- en informatiesystemen beter te beschermen tegen toenemende cyberdreigingen.

Het Domain Name System (DNS) speelt een sleutelrol in het digitale ecosysteem. Alle partijen die domeinnamen registreren of DNS-diensten aanbieden worden beschouwd als een cruciale schakel en moeten aan nieuwe verplichtingen voldoen.

Verplicht registreren

Organisaties die onder het NIS2-beleid vallen, moeten zich verplicht registreren bij het Centrum voor Cybersecurity België (CCB) vóór 18 december 2024 (artikel 14). Zowel registry's, registrars als resellers die in België actief zijn, moeten zich aanmelden.

Wat moeten resellers en DNS-aanbieders doen?

Aanbieders van autoritaire of recursieve nameservers worden gezien als een essentiële organisatie onder NIS2. Naast de registratie bij het CCB, moeten DNS-aanbieders ook dit op orde hebben:

• Maatregelen nemen voor risicobeheer (artikel 30) waarmee je je organisatie voorbereidt op cyberincidenten en de continuïteit van je diensten garandeert.

• Melden van significante cyberincidenten (artikel 34-35) volgens de vooropgestelde procedures. Binnen 24 uur van een incident moet een eerste melding gemaakt worden. Binnen 72 uur moet een uitgebreider verslag worden ingediend.

Als je domeinnaamregistraties aanbiedt zonder DNS-diensten, moet je voldoen aan specifieke verwachtingen op vlak van de verzameling, verificatie, publicatie en inzage van registratiegegevens van domeinnamen (artikel 94). De procedures daarvoor kunnen verschillen tussen Europese landenextensies, omdat elke lidstaat met een eigen wetgeving komt.

Ook internationale extensies (zoals .com of .net) worden mogelijks aan nieuwe regels onderworpen, wanneer domeinnamen geregistreerd worden voor een partij die actief binnen de EU.

Deze gegevens moeten resellers opvragen

Resellers van domeinnamen moeten juiste en volledige gegevens van de domeinnaamhouder opgeven. Het gaat over deze:

• Domeinnaam

• Registratiedatum

• Naam van de domeinnaamhouder

• Telefoonnummer van de domeinnaamhouder

• Adres van de domeinnaamhouder

• E-mailadres en telefoonnummer van het administratief contact, als die verschillen van die van de domeinnaamhouder

Al die gegevens zijn vandaag al nodig voor de registratie van een domeinnaam. Hoewel onwaarschijnlijk, vragen sommige Europese registry's binnenkort misschien extra gegevens.

Registratiegegevens verifiëren

Om te garanderen dat alle registratiegegevens correct zijn, moeten registry's, registrars en resellers ook een procedure hebben om die gegevens te verifiëren.

E-mailadres verifiëren

Verschillende Europese registry's, zoals DNS Belgium (.be), hebben vandaag al een verificatiesysteem voor e-mailadressen. Die blijven waarschijnlijk op dezelfde manier bestaan.

Voor andere Europese extensies zal de procedure afhangen van registry tot registry. Wel is het belangrijk te weten dat de verificatie van het e-mailadres van de domeinnaamhouder binnen een bepaalde termijn belangrijk is om de domeinnaam actief te houden.

Naam, nummer en adres verifiëren

Voor de verificatie van andere gegevens wordt waarschijnlijk een eerder risicogerichte aanpak gehanteerd. De verificatie zal dus van geval tot geval afhangen.

Afwijkingen in een postcode, telefoonnummer of duidelijke nepnamen kunnen een trigger zijn om gegevens extra te verifiëren. Resellers kijken daarom best proactief na of de registratiegegevens kloppen.

NIS2 en .be-domeinnamen

DNS Belgium heeft vandaag al een verificatieprocedure voor nieuwe .be-domeinnamen. Domeinnaamhouders kunnen hun gegevens bevestigen via Itsme of hun eID. De registry wil het werk van registrars en resellers zoveel mogelijk beperken. De komende maanden geeft DNS Belgium daarover meer informatie.

Wat komt er nog?

De komende weken volgt meer duidelijkheid over Europese domeinnaamextensies en de concrete impact op resellers.

In principe bestaat een bufferperiode voor betrokken dienstverleners. Toch bereiden resellers zich best zo snel mogelijk voor op de verzameling en verificatie van registratiegegevens, aangezien NIS2 al van kracht is.

NIS2 samengevat

Gaandeweg zullen alle procedures voor registratiegegevens van domeinnamen duidelijker worden. Dit kan je als reseller nu al doen om in orde te zijn met NIS2.

• Registreer je zo snel mogelijk bij het CCB. De deadline voor de verplichte registratie ligt op 18 december 2024.

• Verzamel registratiegegevens vooraleer je de domeinnaam effectief registreert. Zo ben je zeker dat alles goed loopt bij de eigenlijke registratie.

• Kijk de registratiegegevens proactief na. Merk je een afwijking op in de naam of het e-mailadres? Ga dan bij de domeinnaamhouder na of de gegevens correct zijn.

• Bereid een standaardproces voor om gegevens van de domeinnaamhouder, zoals de naam en telefoonnummer, te verifiëren.

Heb je vragen over de NIS2-wetgeving? We ondersteunen je graag. Bel ons op 09/395 23 95 of stuur een bericht naar [email protected].