Registres de domaine, registraires et services DNS

• Directive (EU) 2022/2555 — NIS2, Article 28 on domain registration data
• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2022/2065 — DSA
• Regulation (EU) 2019/517 for the .eu top level domain

Qui doit le désigner

Registres, registraires et fournisseurs DNS en dehors de l'Union servant des utilisateurs de l'UE. Les fournisseurs de services DNS et les registres de noms de domaine de premier niveau sont couverts par NIS2 indépendamment de leur taille, ce qui est inhabituel et souvent négligé.

Seuils et exemptions

Les seuils de taille ne s'appliquent pas aux fournisseurs de services DNS et aux registres de TLD, qui sont couverts en tant qu'entités essentielles ou importantes indépendamment de leur taille.

Ce qui doit figurer sur l’étiquette

Non physique. NIS2 exige que des données d'enregistrement de domaine précises et complètes soient maintenues et accessibles aux demandeurs d'accès légitimes, avec une politique publiée.

Champs des marketplaces

Les registraires doivent mettre en œuvre la vérification des données d'enregistrement, et les forces de l'ordre et les titulaires de droits exigent de plus en plus l'accès, ce que les dispositions de NIS2 réglementent désormais explicitement.

Documents à conserver

Documentation d'enregistrement NIS2 et de gestion des risques, procédures d'incidents, politique de données d'enregistrement de domaine avec procédures de vérification, procédures de réponse aux demandes d'accès légitimes, enregistrements de l'article 30 et désignation de l'article 27.

Normes et essais

Non applicable, bien que les autorités puissent imposer des audits de sécurité aux entités essentielles.

Exigences linguistiques

Politiques et procédures d'accès dans une langue accessible aux demandeurs, et rapports d'incidents comme l'exige le CSIRT.

À partir de quand

Obligations NIS2 à partir des dates de transposition nationales. Rapport dans les 24 heures, 72 heures et un mois.

Durée de conservation

Données d'enregistrement pendant la durée de l'enregistrement et ensuite selon la politique, équilibrant les devoirs d'exactitude contre la minimisation.

En cas de manquement

Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires pour les entités essentielles, avec responsabilité de la direction. Les amendes du RGPD s'appliquent au traitement des données des registrants.

Qui contrôle

Autorités compétentes NIS2 et CSIRTs, autorités de protection des données, et EURid pour le domaine .eu.

Où se situe la limite

L'article 28 de NIS2 a résolu une grande partie de l'impasse WHOIS post-RGPD en exigeant des données précises et un accès légal, mais l'équilibre entre publication et vie privée reste contesté et la mise en œuvre diffère selon les États membres.

Les questions qu’on nous pose

Sommes-nous dans NIS2 en tant que petit registraire ?

Les fournisseurs de services DNS et les registres de TLD sont couverts indépendamment de leur taille. Les registraires sont également couverts dans plusieurs mises en œuvre, donc la transposition nationale doit être vérifiée.

Les données des registrants doivent-elles être publiques ?

Pas entièrement. NIS2 exige précision et accès légal pour les demandeurs légitimes, pas de publication complète, et l'équilibre est fixé au niveau national.