NIS2 en domeinnamen: nog veel onzeker
De impact van de ‘Network and Information Security Directive 2’ op de domeinnaamindustrie
Op 27 december van het vorige jaar is de definitieve tekst van de NIS2-richtlijn gepubliceerd. Formeel is het de Directive on measures for a high common level of cybersecurity across the Union. Het gaat hier om een Europese richtlijn. Richtlijnen hebben geen rechtstreekse werking maar moeten door de verschillende lidstaten in eigen wetgeving worden omgezet. Voor NIS2 geldt dat dit voor 14 oktober 2024 gebeurd moet zijn.
Opvolger van NIS1
NIS2 is de opvolger van NIS1. Deze eerste richtlijn is in eind 2018 in Nederland geïmplementeerd via de Wet beveiliging netwerk- en informatiesystemen (WBNI). Die wet heeft er onder andere toe geleid dat SIDN, als beheerder van het .nl-domein, is aangemerkt als een aanbieder van essentiële diensten. SIDN is daarmee voor zijn cybersecuritybeleid en maatregelen onder toezicht komen te staan van de Rijksdienst digitale infrastructuur (RDI) en moet incidenten met een bepaalde impact melden aan zowel de RDI als het NCSC.
NIS2: aanmerkelijk grotere impact op de domeinnaamwereld
De impact van NIS2 op de domeinnaamwereld is naar verwachting groter dan de invoering van NIS1. Dit is ook de bedoeling van de Europese wetgevers. Het cybersecuritybeschermingsniveau in Europa moet omhoog.
Aan de securitykant
Deels komt dat doordat alle DNS-dienstverleners onafhankelijk van hun omvang naast SIDN als ‘essentieel’ aangewezen zullen worden en daarmee net als SIDN aan het zwaarste niveau van securityvereisten moeten voldoen. Ook komen ze onder het toezicht van de RDI te vallen en moeten ze aan dezelfde meldingsplichten gaan voldoen. Bovendien gaan ook voor hun de nieuwe eisen van de NIS2 gelden, zoals een verhoogde focus op cybersecurity-eisen die aan leveranciers gesteld moeten worden. Ook nieuw, en van toepassing, is dat zij net als SIDN het risico lopen op AVG-achtige boetes en persoonlijke aansprakelijkheid van bestuurders als niet (voldoende) aan de securityvereisten wordt voldaan.
Wat de precieze impact voor de leveranciers van DNS-diensten gaat zijn is nog onduidelijk. Voor de betreffende partijen is het van belang om te volgen hoe dit in de Nederlandse wet en uitvoeringspraktijk van het RDI allemaal gaat worden ingevuld.
Maar ook aan de registratiegegevenskant
Een andere reden waarom NIS2 impact gaat hebben op de domeinnaamwereld zijn de regels die artikel 28 van de richtlijn stelt aan registry’s en registrars met betrekking tot de accuraatheid van de registratiegegevens, de vereisten voor het publiceren van gegevens in de Whois en de verplichting om niet in de Whois gepubliceerde persoonsgegevens op verzoek binnen 72 uur te verstrekken aan zogenaamde ‘legitimate access seekers’.
Extra werk, maar hoeveel?
Dat dit tot extra werk voor de domeinnaamindustrie gaat leiden is duidelijk. Hoeveel impact het gaat hebben is echter nog helemaal niet duidelijk. Dat komt onder andere doordat, hoewel hier tijdens de totstandkoming van de NIS2 richtlijn al heel veel discussie over is gevoerd, de teksten van artikel 28 nog zo ruim geformuleerd en ongedefinieerd zijn dat veel verschillende interpretaties mogelijk zijn. En dat leidt tot het risico dat verschillende Europese landen verschillende eisen gaan stellen.
Een grote variatie aan vereisten
Het meest in het oog springt daarbij de vraag hoever registry’s en registrars moeten gaan in hun controles op de accuraatheid van de registratiegegevens. Is een emailverificatie op registrarniveau in ieder geval voorlopig voldoende of moeten in het meest extreme geval vanaf 14 oktober 2024 alle nieuwe en bestaande registraties via e-ID’s (of papieren varianten) geverifieerd zijn? En moeten daarnaast ook het emailadres en het telefoonnummer van de houder gevalideerd zijn? En wat gebeurt er als het ene land het eerste voldoende vindt terwijl een buurland een veel uitgebreidere variant voorschrijft? Lees ook mijn eerder blog over dit onderwerp.
En dat kan dramatische gevolgen hebben voor de industrie
Dat dit voor een industrie die gewend is om haar diensten internationaal aan te bieden heel gecompliceerd kan worden is duidelijk. Hoewel bijvoorbeeld de meeste .nl-domeinnamen door Nederlandse houders geregistreerd worden is een deel ook elders in Europa en in de wereld gevestigd. Bovendien worden .nl-domeinnamen door registrars en resellers van over heel de wereld aangeboden. Bij registrars speelt dit misschien nog wel meer dan bij een registry. Zo zal het voorkomen dat een Nederlandse registrar een .fr-domeinnaam aan en Belgische klant verkoopt. Dat roept dan meteen de vraag op of deze registrar de in Nederland, België of Frankrijk voorgeschreven controles moet uitvoeren, als deze onderling heel verschillend zijn. En wat is dan het effect op zijn concurrentiepositie als een Belgische registrar dezelfde .fr-domeinnaam met veel lichtere en dus goedkopere controles aan diezelfde Belgische klant kan verkopen?
EU-coördinatie en een groeipad
Gelukkig hebben de lidstaten en de EU dit ook in beeld en is er een werkstroom ingericht waarin alle EU-landen betrokken zijn met het doel om de implementatie op dit vlak enigszins te harmoniseren. Het mag duidelijk zijn dat dit van belang is, maar ook dat daarbij een realistische en voor de domeinnaamindustrie werkbare aanpak gekozen wordt. Wat mij betreft zou dat het snel te implementeren systeem van emailverificatie zoals dit nu al door gTLD’s wordt gehanteerd zijn. Vervolgens zou er een groeipad ontwikkeld kunnen worden waarmee, als dat op basis van de abusecijfers nodig blijkt, we in stappen toegroeien naar uitgebreidere controles bijvoorbeeld op basis van e-ID’s zodra die in heel Europa breder in gebruik worden genomen.
Nauwgezet volgen
Vanuit SIDN volgen we deze ontwikkelingen nauwgezet en blijven we in gesprek met de overheid en vele andere betrokkenen bij de implementatie van NIS2. Uiteindelijk is het daarbij van belang dat de implementatie de cybersecurity ook daadwerkelijk verhoogt maar dit wel samen te laten gaan met voor de domeinnaamindustrie werkbare keuzes.
