Domain-Registries, Registrare und DNS-Dienste

• Directive (EU) 2022/2555 — NIS2, Article 28 on domain registration data
• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2022/2065 — DSA
• Regulation (EU) 2019/517 for the .eu top level domain

Wer muss benennen

Registries, Registrare und DNS-Anbieter außerhalb der Union, die EU-Nutzer bedienen. DNS-Dienstanbieter und TLD-Name-Registries sind unabhängig von der Größe durch NIS2 abgedeckt, was ungewöhnlich ist und häufig übersehen wird.

Schwellen und Ausnahmen

Größenschwellen gelten nicht für DNS-Dienstanbieter und TLD-Registries, die als wesentliche oder wichtige Einrichtungen unabhängig von der Größe abgedeckt sind.

Was auf das Etikett gehört

Nicht physisch. NIS2 verlangt, dass genaue und vollständige Domainregistrierungsdaten gepflegt und legitimen Zugriffsantragstellern zugänglich gemacht werden, mit einer veröffentlichten Richtlinie.

Marktplatz-Felder

Registrare müssen die Überprüfung der Registrierungsdaten umsetzen, und Strafverfolgungsbehörden sowie Rechteinhaber verlangen zunehmend Zugang, was die NIS2-Bestimmungen jetzt ausdrücklich regeln.

Unterlagen, die Sie vorhalten müssen

NIS2-Registrierungs- und Risikomanagementdokumentation, Vorfallverfahren, die Richtlinie zur Domainregistrierungsdaten mit Überprüfungsverfahren, Reaktionsverfahren für legitime Zugriffsanfragen, Artikel 30 Aufzeichnungen und die Artikel 27 Bezeichnung.

Normen und Prüfungen

Nicht anwendbar, obwohl Behörden Sicherheitsprüfungen bei wesentlichen Einrichtungen auferlegen können.

Sprachanforderungen

Richtlinien und Zugriffsverfahren in einer für Antragsteller zugänglichen Sprache sowie Vorfallberichte, wie es das CSIRT verlangt.

Ab wann es gilt

NIS2-Verpflichtungen ab den nationalen Umsetzungsdaten. Berichterstattung innerhalb von 24 Stunden, 72 Stunden und einem Monat.

Aufbewahrungsfristen

Registrierungsdaten für die Dauer der Registrierung und danach gemäß der Richtlinie, wobei die Genauigkeitsanforderungen gegen die Minimierung abgewogen werden.

Was bei Verstößen passiert

Bis zu 10 Millionen € oder 2 % des Umsatzes für wesentliche Einrichtungen, mit Verantwortung des Managements. GDPR-Strafen gelten für die Verarbeitung von Registrantendaten.

Wer kontrolliert

NIS2-zuständige Behörden und CSIRTs, Datenschutzbehörden und EURid für die .eu-Domain.

Wo die Grenze verläuft

Artikel 28 von NIS2 hat einen Großteil des post-GDPR WHOIS-Streits gelöst, indem er genaue Daten und rechtmäßigen Zugang verlangt, aber das Gleichgewicht zwischen Veröffentlichung und Privatsphäre bleibt umstritten und die Umsetzung variiert von Mitgliedstaat zu Mitgliedstaat.

Häufige Fragen

Sind wir in NIS2 als kleiner Registrar?

DNS-Dienstanbieter und TLD-Registries sind unabhängig von der Größe abgedeckt. Registrare sind ebenfalls in mehreren Umsetzungen abgedeckt, daher muss die nationale Umsetzung überprüft werden.

Müssen Registrantendaten öffentlich sein?

Nicht vollständig. NIS2 verlangt Genauigkeit und rechtmäßigen Zugang für legitime Antragsteller, nicht vollständige Veröffentlichung, und das Gleichgewicht wird national festgelegt.