Uniforme implementatie van artikel 28 NIS2 nog ver weg

Ruimte voor interpretatie

Artikel 28 beschrijft niet heel precies wie bij de registratie van een domeinnaam wat precies en op welke manier moet controleren. De Europese landen die de richtlijn moeten implementeren kunnen hier dus hun eigen interpretatie aan geven. Het gevolg zou kunnen zijn dat verschillende lidstaten verschillende regels gaan stellen. En dat is niet heel handig in een sector die naar zijn aard over landsgrenzen heen opereert.

Processen van land tot land verschillend

Op dit moment kent de domeinnaamsector binnen Europa een grote mate van diversiteit als het gaat om het nastreven van correctheid van registratiegegevens. Dit geldt zowel voor wat gecontroleerd moet worden maar ook of dit door de registry, de registrar of bijvoorbeeld ook een reseller gebeurt.

Bij .nl ligt de verantwoordelijkheid voor de correctheid van de registratiegegevens bijvoorbeeld primair bij de houder en controleert SIDN als registry alleen achteraf, als daar aanleiding voor is, of de gegevens kloppen. Denk daarbij aan domeinnamen waarvan wij vermoeden dat deze gebruikt worden voor strafbare praktijken zoals het verspreiden van malware. De registry van .dk (Denemarken) vereist bij registratie door een Deense partij op dit moment echter al een check met het Deense nationale eID en stelt allerlei andere eisen aan niet-Deense registraties. Voor de registratie van gTLD’s als .com en .org geldt dat de registrar na de registratie een mail moet sturen waarin de geregistreerde gegevens zijn vermeld en de houder moet bevestigen dat deze kloppen.

Europese coördinatie als oplossing?

Omdat bij het registreren van een domeinnaam meerdere partijen vanuit verschillende landen betrokken kunnen zijn, is het wenselijk dat in ieder land dezelfde regels op dit vlak gelden of op zijn minst niet te ver uiteen lopen. In dat kader is het positief dat de Europese landen actief proberen om de implementatie van artikel 28 te coördineren. Tegelijkertijd zal het vanwege de bestaande diversiteit lastig zijn om tot gelijke regels te komen. Belangrijk daarbij is dat die diversiteit ook voortvloeit uit het feit dat het gebruik van eID’s in de verschillende lidstaten op heel verschillende niveaus ligt. Zo kunnen we in Nederland de huidige nationale eID, DigiD, alleen in transacties met de overheid gebruiken en dus niet voor registraties van domeinnamen bij een private partij als een registrar of een registry. En kennen andere landen bijvoorbeeld weer geen mogelijkheden om organisaties als bedrijven, verenigingen of overheidspartijen digitaal te identificeren. Daarnaast is ook de Europese samenwerking onder het huidige EIDAS-stelsel nog niet op het niveau dat het makkelijk is om houders van alle andere lidstaten binnen Europa te identificeren. En eID’s om de identiteit van niet Europese houders te controleren zijn al helemaal niet of nauwelijks beschikbaar.

Welke locatie is leidend?

Dat het problematisch is als ieder land de NIS2-regels anders implementeert, blijkt wel uit het volgende voorbeeld. Neem een in België gevestigde registrar die aan een Fransman die in Spanje woont een .nl-domeinnaam verkoopt. Moet deze registrar dan de regels van zijn vestigingsplek toepassen of die van het land waar zijn klant woont? Of van het land van de nationaliteit van de domeinnaamhouder, of omdat het om een .nl-domeinnaam gaat toch de regels die de Nederlandse overheid stelt? Als die regels allemaal gelijk zijn, dan maakt dit natuurlijk niet zo veel uit. Zijn de verplichtingen per land zeer verschillend dan natuurlijk wel. En dat kan ertoe leiden dat dit de concurrentie binnen Europa negatief gaat beïnvloeden.

Marktverstoring reëel scenario

Want stel dat de registrar uit het voorbeeld de regels van België moet volgen en stel dat die regels veel zwaardere verplichtingen kennen dan bijvoorbeeld de regels in Nederland. Dan betekent het dat de toevallig in België gevestigde registrar veel hogere kosten moet maken om de .nl-domeinnaam te registreren dan dat een in Nederland gevestigde registrar voor dezelfde registratie zou maken. Het gevolg zal zijn dat de Nederlandse registrar de domeinnaam goedkoper kan aanbieden en het gevolg daarvan laat zich raden: alle houders, waaronder zeker die partijen die kwaad in de zin hebben, zullen hun domeinnamen gaan registreren in de landen waar de registratie het goedkoopst en laagdrempeligst is. En dat zal er uiteindelijk toe leiden dat ook veel registrars zich in het land vestigen waar ze de domeinnaam zo goedkoop mogelijk aan hun klanten kunnen aanbieden. Dat geldt temeer nu het aanbieden van domeinnaamregistraties vaak grensoverschrijdend is, dat het registreren in de regel zeer laagdrempelig is en het een sector is waarin traditioneel met vaak minimale marges wordt gewerkt.

Groeipad naar ideale oplossing

De ideale oplossing die breed door Europa op korte termijn toepasbaar is lijkt dan ook niet te bestaan. Next best is in mijn ogen om met een minimumregeling te beginnen en met elkaar af te spreken dat we dit als start van een groeipad zien. Dit groeipad moet in stappen leiden naar een steeds bredere verificatie van de gegevens via eID’s en daarbij aansluiten bij de komende ontwikkelingen op dat gebied.

Gezien de diversiteit is het vervolgens voorstelbaar dat lidstaten per land een eigen minimum willen aanhouden afhankelijk van de verschillende mogelijkheden in iedere lidstaat en idealiter in afstemming met de lokale domeinsector. Dat zal dan in ieder geval voor enkele jaren tot verschillende regels per lidstaat gaan leiden.

Maak bij ongelijke regels locatie registry leidend

Om die situatie voor de industrie werkbaar te houden en te voorkomen dat de industrie verschuift naar het land met de laagste vereisten, zouden de lidstaten moeten accepteren dat de regels die iedere lidstaat hanteert uitdrukkelijk alleen van toepassing zijn voor registraties die plaatsvinden bij registry’s die op haar grondgebied gevestigd zijn. In het bovenstaande voorbeeld zou de Belgische registrar die voor een in Spanje wonende Fransman een .nl-domeinnaam registreert uitsluitend aan de eisen van de Nederlandse overheid moeten voldoen. Hierdoor kan de Belgische registrar op hetzelfde niveau blijven concurreren met andere registrars die .nl-domeinnamen verkopen. Dit model sluit ook het beste aan bij de huidige praktijk in Europa waarin registrars gewend zijn dat voor iedere landencode die ze aanbieden andere regels gelden. Ook biedt het de registry’s en de registrarsde mogelijkheid om met de lokale overheid af te stemmen welke partij de gegevens controleert.

Vertegenwoordiging niet-EU registry’s

Essentieel is dan wel dat ook niet in Europa gevestigde registry’s, en dan vooral de grote, gTLD-registry’s van .com, .org en .net, zoals de NIS2 ook voorschrijft, een vertegenwoordiger in Europa aanwijzen. Zo vallen ook zij onder de regels van het land waar die vertegenwoordiger gevestigd is en zijn registraties onder die domeinnaamextensies, in ieder geval voor wat betreft Europese houders, aan de NIS2-regels van dat Europese land onderworpen. Wordt deze stap overgeslagen dan bestaat er een aanmerkelijke kans dat Europeanen hun domeinregistraties steeds meer buiten de EU en de NIS2-regels uitvoeren, omdat dat voor de houder veel goedkoper is en veel minder gedoe oplevert.

Samenvattend

1. Er lijkt op dit moment een te grote diversiteit aan mogelijkheden in de verschillende lidstaten om verificatie van houdergegevens om nu eenzelfde hoog niveau van verificatie over de verschillende lidstaten te implementeren;

2. Begin daarom op een minimumniveau en probeer samen met de sector te werken aan een groeipad;

3. Verschillende vereisten per lidstaat maakt het voor een naar zijn aard grensoverschrijdende sector heel lastig en beïnvloedt de concurrentiepositie van partijen binnen Europa en daarbuiten;

4. Om dit effect te minimaliseren:

   • Spreek af dat de regels van ieder land uitsluitend gelden voor de registraties bij de registry’s die in dat land gevestigd zijn; en

   • Zorg dat ook de niet in Europa gevestigde registry’s van extensies die in Europa wel veel gebruikt worden een vertegenwoordiger in een lidstaat aanwijzen zodat ook alle registraties onder die extensies aan de eisen van die lidstaat moeten voldoen.