Cyberbeveiligingswet stelt nieuwe eisen aan domeinnaamregistraties

1. Validatie van houdergegevens

De Cbw stelt dat domeinnaamgegevens van alle in Nederland gebruikte domeinnamen moeten worden geverifieerd (art. 49). Voor nieuwe registraties in Nederland, ongeacht de internetextensie (.nl, .com, etc.), geldt dat verificatie onderdeel wordt van het registratieproces wordt. Concreet betekent dit dat je een nieuwe website bij zo’n domeinnaam naam pas live mag zetten, nadat je per mail of telefonisch bevestigd hebt dat de gegevens kloppen. De wet stelt verder dat de gegevens ieder jaar actueel gehouden moeten worden en onder voorwaarden binnen 72 uur beschikbaar gesteld moeten worden aan bevoegde partijen.

2. Ketenbeveiliging: ken je leveranciers

De Cbw legt nadruk op beveiliging van de toeleveringsketen. Organisaties die onder de wet vallen moeten beoordelen of hun leveranciers voldoen aan passende beveiligingseisen en deze periodiek controleren. Voor domeinnamen zijn dat zowel de registrar waar de domeinnaam geregistreerd is, als de registry (SIDN voor .nl). Omdat individuele audits niet haalbaar zijn voor partijen met grote aantallen registraties, kiezen de meeste partijen er voor om de benodigde gegevens te publiceren op een online dashboard. Wij doen dit bijvoorbeeld op https://trust.sidn.nl.

Een aandachtspunt voor organisaties is dat zij hun registrar vaak niet kennen. Bijvoorbeeld omdat de domeinnaamregistratie via een hostingprovider, reclamebureau of door een vertrokken medewerker is gedaan. Het is daarom belangrijk te controleren dat je deze gegevens hebt. Voor .nl kun je de gegevens van de registrar vinden via https://sidn.nl/whois.

Het ketenbeveiligingsprincipe heeft nog een ander gevolg: ook al val je zelf niet onder de wet, je kunt als je B2B levert nog steeds op de eisen aangesproken worden door afnemers die er wel onder vallen.

3. Aanleveren domeinnamen bij nationaal register

Een minder bekende maar belangrijke verplichting volgt uit de regelgeving rond de nationale registratie van entiteiten die onder de Cbw vallen. Organisaties moeten ervoor zorgen dat hun contact- en identificatiegegevens correct en actueel beschikbaar zijn in een nationaal register. Artikel 27 van het Cyberbeveiligingsbesluit werkt deze verplichting uit en specificeert in lid 3 dat ook de domeinnamen van de organisatie geregistreerd moeten worden. Dit betekent dat je dus een totaaloverzicht over je portfolio moet hebben. SIDN Merkbewaking kan je hierbij helpen.

Wat betekent dit voor jouw organisatie?

Voor CISO's en securityteams is dit een goed moment om het domeinnaambeheer tegen het licht te houden:

• Controleer of alle geregistreerde domeinnamen op naam staan van de juiste rechtspersoon.

• Zorg dat contacten, e-mailadressen en telefoonnummers actueel zijn.

• Vraag leveranciers hoe zij voldoen aan de nieuwe verificatieverplichtingen.

• Neem domeinnaambeheer en DNS expliciet mee in leveranciersrisicomanagement en compliance.

Een veilige digitale infrastructuur begint immers bij betrouwbare registratiegegevens. De Cyberbeveiligingswet maakt die verantwoordelijkheid nu expliciet voor de gehele domeinnaamketen.

Handhaving

De Cbw introduceert het pressiemiddel van aansprakelijkheid voor de hoogste managers binnen organisaties en bedrijven. Zij zijn verantwoordelijk voor de goede inschatting van de cyberrisico's en het nemen van maatregelen om die risico's te beperken. Topmanagers kunnen de verantwoordelijkheid niet meer afschuiven op de security- of IT-afdeling. Zij moeten ook cybersecuritytrainingen volgen, zodat digitaal analfabetisme geen excuus meer kan zijn.

Meer weten?

Meer weten over de Cbw? Kijk op de site van het NCSC.

Wil je hulp bij het in kaart brengen, bewaken en beheren van je domeinnaamportfolio? Bekijk dan de mogelijkheden van SIDN Merkbewaking.