NIS2 kan de globale concurrentiepositie van Europese registrars ernstig aantasten
De EU lijkt te vergeten dat de domeinnaammarkt een globale markt is
In een eerdere blog concludeerde ik al dat de Europese NIS2-richtlijn impact gaat hebben op de domeinnaamwereld. Het gaat dan vooral over artikel 23, wat gaat over de gegevens van domeinnaamhouders en legt een aantal verplichtingen op aan registry’s en registrars die betrokken zijn bij deze gegevens. Door het ontbreken van definities en duidelijke afbakeningen is het zeer onduidelijk wat deze verplichtingen nu precies inhouden. Ook is niet helemaal duidelijk welk (veiligheids)probleem de Commissie hiermee denkt op te lossen.
Identificatie
Voorstel Europese Commissie over correcte registratiedata roept veel vragen opOp dit moment lopen er nog allerlei discussies binnen Europa en is nog niet te zeggen wat er op dit vlak precies in de NIS2 geregeld gaat worden. Wel duidelijk is dat artikel 23 er in enige vorm in terug zal komen. Ook is wel duidelijk dat er meer van de Europese registry’s en registrars verwacht wordt op het vlak van de accuraatheid van de geregistreerde houdergegevens. In extremis zou dit ertoe kunnen leiden dat registry’s en registrars verplicht worden om voorafgaand aan een domeinnaamregistratie de identiteit van de potentiële houder en de correctheid van diens registratiegegevens (zoals adres, telefoonnummer en e-mailadres) vast te stellen.
Hogere tarieven
Duidelijk is dat de verplichtingen extra inspanningen van de Europese registry’s en registrars gaan vragen. Extra inspanningen brengen extra kosten met zich mee, die uiteraard uiteindelijk worden doorbelast aan de domeinnaamhouders. En dat zou wel eens een zeer onwenselijke impact kunnen hebben op de concurrentiepositie op de globale domeinnaammarkt want partijen die als registry of registrar domeinnamen aanbieden moeten dan hogere tarieven gaan rekenen dan niet-Europese concurrenten.
Behoefte aan eID’s
Dat gaat vooral pijn doen als die kosten per domeinnaam aanzienlijk hoger worden. En dat is zeker het geval als Europese registry’s of registrars iedere domeinnaamhouder vooraf moeten identificeren en diens gegevens moet verifiëren. Zonder een grootschalige uitrol van eID’s en digitale wallets zoals IRMA is dit namelijk niet makkelijk en volledig geautomatiseerd uit te voeren en daardoor dus kostbaar. Bovendien wordt het registratieproces voor een houder een stuk complexer.
Alle domeinnaamhouders
Hoe dit alles uitpakt voor Europese registry’s is lastig te voorspellen. Vaak heeft de potentiële domeinnaamhouder een sterke voorkeur voor een bepaalde ccTLD (bijvoorbeeld .nl (Nederland) of .de (Duitsland), en zal de extra kosten en gedoe naar verwachting in veel gevallen wel accepteren. Maar voor Europese registrars ligt dat uitdrukkelijk anders. De NIS2-verplichtingen gelden voor hen namelijk ook voor het registreren van bijvoorbeeld .com en ander internationale gTLD’s en niet alleen voor Europese houders, maar voor alle domeinnaamhouders die zij wereldwijd bedienen.
Grote verschillen
De kosten voor een .com-registratie en de moeite om die te registreren kunnen daardoor bij een Europese registrar aanzienlijk af gaan wijken van hetgeen registrars elders in de wereld vragen. Met als onvermijdelijk gevolg dat .com en andere gTLD’s voor Europese registrars onverkoopbaar worden. Een niet-Europese, en zeer waarschijnlijk goedkopere, registrar is namelijk met een paar klikken gevonden.
Vertegenwoordiger binnen de EU
De Europese Commissie heeft in haar voorstellen wel geprobeerd om deze pijn wat te verzachten. Op grond van artikel 24 lid 3 van het voorstel moeten alle niet-Europese registry’s en registrars die diensten aanbieden binnen de EU (‘offers services within the Union’) een vertegenwoordiger aanwijzen die in de EU gevestigd is. Deze vertegenwoordiger moet zich ook aan de NIS2 houden. De integrale tekst van de definitie van vertegenwoordiger en van artikel 24 en het gerelateerde artikel 25 heb ik hieronder opgenomen.
Praktisch en juridisch ondoenlijk
Het is echter zeer de vraag hoe realistisch het is dat niet-Europese registrars (en registry’s) dit ook werkelijk gaan doen en in hoeverre dit ook maar enigszins gehandhaafd kan worden. Bovendien is niet duidelijk wanneer een registrar diensten aanbiedt in ‘the Union’. Ik kan mij niet voorstellen dat daarvan sprake is als ik als Nederlander op de Engelstalige website van Namecheap een .com-domeinnaam kan registreren. En dan heb ik het alleen over registrars, maar ik wens de Europese Commissie veel succes met het wereldwijd opsporen en afdwingen van de NIS2-verplichtingen bij alle resellers van domeinnamen waar Europeanen een domeinnaam kunnen registreren. Dit lijkt me praktisch en overigens ook juridisch ondoenlijk en ik zie dan ook niet hoe deze verplichtingen Europese registrars gaan helpen om hun concurrentiepositie op de globale domeinnaammarkt voor gTLD’s en niet-Europese ccTLD’s te handhaven.
Conclusie
De Europese Commissie lijkt bij het introduceren van de verplichtingen uit artikel 23 van de voorgestelde wet onvoldoende rekening te hebben gehouden met het feit dat de domeinnaammarkt een globale markt is. Zeker waar het gaat om gTLD’s als .com. Daardoor lijkt de EU de concurrentiepositie van Europese registrars op die globale markt feitelijk onmogelijk te maken. Tegelijkertijd is er een grote kans dat Europese houders (inclusief de kwaadwillenden) zich massaal aan de NIS2-regels onttrekken door hun domeinnamen eenvoudiger en goedkoper buiten de EU te registreren. Het zou goed zijn als de Europese regelgevers artikel 23 nog eens heroverwegen.
Definitions
(9) ‘representative’ means any natural or legal person established in the Union explicitly designated to act on behalf of i) a DNS service provider, a top-level domain (TLD) name registry, a cloud computing service provider, a data centre service provider, a content delivery network provider as referred to in point 8 of Annex I or ii) entities referred to in point 6 of Annex II that are not established in the Union, which may be addressed by a national competent authority or a CSIRT instead of the entity with regard to the obligations of that entity under this Directive;
Section II Jurisdiction and Registration
Article 24 Jurisdiction and territoriality
DNS service providers, TLD name registries, cloud computing service providers, data centre service providers and content delivery network providers referred to in point 8 of Annex I, as well as digital providers referred to in point 6 of Annex II shall be deemed to be under the jurisdiction of the Member State in which they have their main establishment in the Union.
For the purposes of this Directive, entities referred to in paragraph 1 shall be deemed to have their main establishment in the Union in the Member State where the decisions related to the cybersecurity risk management measures are taken. If such decisions are not taken in any establishment in the Union, the main establishment shall be deemed to be in the Member State where the entities have the establishment with the highest number of employees in the Union.
If an entity referred to in paragraph 1 is not established in the Union, but offers services within the Union, it shall designate a representative in the Union. The representative shall be established in one of those Member States where the services are offered. Such entity shall be deemed to be under the jurisdiction of the Member State where the representative is established. In the absence of a designated representative within the Union under this Article, any Member State in which the entity provides services may take legal actions against the entity for non-compliance with the obligations under this Directive.
The designation of a representative by an entity referred to in paragraph 1 shall be without prejudice to legal actions, which could be initiated against the entity itself.
Article 25 Registry for essential and important entities
ENISA shall create and maintain a registry for essential and important entities referred to in Article 24(1). The entities shall submit the following information to ENISA by [12 months after entering into force of the Directive at the latest]: (a) the name of the entity; (b) the address of its main establishment and its other legal establishments in the Union or, if not established in the Union, of its representative designated pursuant to Article 24(3); (c) up-to-date contact details, including email addresses and telephone numbers of the entities.
The entities referred to in paragraph 1 shall notify ENISA about any changes to the details they submitted under paragraph 1 without delay, and in any event, within three months from the date on which the change took effect.
Upon receipt of the information under paragraph 1, ENISA shall forward it to the single points of contact depending on the indicated location of each entity’s main establishment or, if it is not established in the Union, of its designated representative. Where an entity referred to in paragraph 1 has besides its main establishment in the Union further establishments in other Member States, ENISA shall also inform the single points of contact of those Member States.
Where an entity fails to register its activity or to provide the relevant information within the deadline set out in paragraph 1, any Member State where the entity provides services shall be competent to ensure that entity’s compliance with the obligations laid down in this Directive.
