Registros de dominios, registradores y servicios DNS

• Directive (EU) 2022/2555 — NIS2, Article 28 on domain registration data
• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2022/2065 — DSA
• Regulation (EU) 2019/517 for the .eu top level domain

Quién debe designarlo

Registros, registradores y proveedores de DNS fuera de la Unión que sirven a usuarios de la UE. Los proveedores de servicios DNS y los registros de nombres de TLD están cubiertos por NIS2 independientemente de su tamaño, lo cual es inusual y frecuentemente pasado por alto.

Umbrales y exenciones

Los umbrales de tamaño no se aplican a los proveedores de servicios DNS y a los registros de TLD, que están cubiertos como entidades esenciales o importantes independientemente de su tamaño.

Qué debe figurar en la etiqueta

No físico. NIS2 requiere que se mantenga y se haga accesible a los solicitantes legítimos datos de registro de dominio precisos y completos, con una política publicada.

Campos en los marketplaces

Los registradores deben implementar la verificación de los datos de registro, y las fuerzas del orden y los titulares de derechos exigen cada vez más acceso, lo que las disposiciones de NIS2 ahora regulan explícitamente.

Documentación que debes conservar

Documentación de registro y gestión de riesgos de NIS2, procedimientos de incidentes, la política de datos de registro de dominio con procedimientos de verificación, procedimientos de respuesta para solicitudes de acceso legítimas, registros del Artículo 30 y la designación del Artículo 27.

Normas y ensayos

No aplicable, aunque las autoridades pueden imponer auditorías de seguridad a las entidades esenciales.

Requisitos lingüísticos

Políticas y procedimientos de acceso en un idioma accesible para los solicitantes, y informes de incidentes según lo requiere el CSIRT.

Desde cuándo se aplica

Obligaciones de NIS2 desde las fechas de transposición nacional. Informes dentro de 24 horas, 72 horas y un mes.

Cuánto se conservan los documentos

Datos de registro durante la vida del registro y posteriormente según la política, equilibrando los deberes de precisión con la minimización.

Qué ocurre si no cumples

Hasta 10 millones de € o el 2% de la facturación para entidades esenciales, con responsabilidad de gestión. Las multas del GDPR se aplican al procesamiento de datos del registrante.

Quién lo controla

Autoridades competentes de NIS2 y CSIRTs, autoridades de protección de datos y EURid para el dominio .eu.

Dónde está el límite

El Artículo 28 de NIS2 resolvió gran parte del estancamiento del WHOIS posterior al GDPR al requerir datos precisos y acceso legal, pero el equilibrio entre la publicación y la privacidad sigue siendo objeto de controversia y la implementación varía según el estado miembro.

Las preguntas que nos hacen

¿Estamos en NIS2 como un pequeño registrador?

Los proveedores de servicios DNS y los registros de TLD están cubiertos independientemente de su tamaño. Los registradores también están cubiertos en varias implementaciones, por lo que se debe verificar la transposición nacional.

¿Deben ser públicos los datos del registrante?

No completamente. NIS2 requiere precisión y acceso legal para solicitantes legítimos, no publicación total, y el equilibrio se establece a nivel nacional.