SIDN en .nl-registrars werken samen aan naleving van de Cyberbeveiligingswet
SIDN en Vereniging van Registrars werken samen aan uitvoerbare vertaling van NIS2-richtlijn
Met de inwerkingtreding van de Cyberbeveiligingswet (Cbw) op 15 augustus is de Europese NIS2-richtlijn uit 2022 dit jaar vertaald in Nederlandse wetgeving. Voor de domeinnaamsector was de weg daarnaartoe niet altijd eenvoudig. De Europese wetgever liet lidstaten veel ruimte bij de vertaling van de regels voor domeinnaamregistraties naar nationale wetgeving. Daardoor bleef het in veel landen lange tijd onduidelijk hoe de verplichtingen voor de sector er in de praktijk uit zouden gaan zien.
Goede samenwerking SIDN en VvR
Het voortraject voor de Nederlandse situatie duurde ruim 3 jaar. Vanaf de eerste consultaties hebben SIDN en de Vereniging van Registrars (VvR) nauw samengewerkt om in overleg met de overheid te komen tot een werkbare invulling van de eisen aan domeinnaamregistraties. Daarbij is intensief overleg gevoerd met het ministerie van Economische Zaken en de Rijksinspectie Digitale Infrastructuur (RDI), de toezichthouder op de nieuwe wet. Het gezamenlijke doel was tot een vertaling van de Europese richtlijn te komen, die aansluit bij bestaande internationale werkwijzen (ICANN) en tegelijkertijd uitvoerbaar was voor alle partijen in de keten.
Werkbare invulling van artikel 49 en 50
SIDN en de VvR kunnen zich in grote mate vinden in het resultaat. De met het ministerie afgestemde invulling van artikel 49 en 50 van de Cyberbeveiligingswet sluit goed aan op bestaande processen die veel registrars al kennen van ICANN. Deze invulling is vastgelegd in de Implementatiematrix Cyberbeveiligingswet, die met de RDI, VvR en andere registry’s in Nederland afgestemd is. Hierdoor kunnen bestaande verificatieprocessen grotendeels worden hergebruikt en ontstaat geen apart Nederlands regime voor domeinnaamvalidatie.
Maarten Simon, Manager Strategie & Identiteit bij SIDN: “De wet stelt nieuwe eisen aan registrars en registry’s, maar de invulling sluit gelukkig aan op bestaande internationale standaarden. Daardoor kunnen we onze aandacht richten op een werkbare implementatie in plaats van op de ontwikkeling van volledig nieuwe processen.”
Verifiëren van gegevens onder de Cbw
Registrars moeten voor álle domeinnaamregistraties in Nederland, dus niet alleen voor .nl-domeinnamen, registratiegegevens verzamelen en ervoor zorgen dat domeinnaamhouders bereikbaar zijn door een e-mailadres of telefoonnummer te verifiëren. Daarnaast moeten registrars een procedure inrichten waarmee registratiegegevens op verzoek beschikbaar kunnen worden gesteld aan legitieme verzoekers, zoals opsporingsinstanties.
Weinig tijd tussen wet en praktijk
Hoewel er jarenlang is gewerkt aan de totstandkoming van de Europese en nationale wetgeving, bleef er na publicatie van de definitieve wettekst begin juli van dit jaar relatief weinig tijd over voor de praktische implementatie tot aan de inwerkingtreding op 15 augustus. Om registrars zo snel mogelijk duidelijkheid te bieden, kondigden SIDN en de VvR direct na de inwerkingtreding van de wet 2 webinars aan: een Nederlandstalige en een Engelstalige sessie. Meer dan 100 deelnemers schreven zich in voor de webinars.
Van wetgeving naar uitvoering
Tijdens de webinars werd uitgebreid stilgestaan bij de juridische en operationele impact van de wet. Namens de VvR nam bestuurslid Bart Mortelmans de deelnemers mee in de praktische gevolgen van artikel 49 en 50 van de wet voor registrars en hun processen. Daarbij ging hij in op verificatie van houdergegevens, de omgang met bestaande domeinnamen, verhuisprocessen, bewijsvoering en de beschikbaarheid van registratiegegevens voor legitieme verzoekers.
Bart Mortelmans, bestuurslid VvR: “Eigenlijk komt het neer op de ICANN-procedure, met dat verschil dat je de domeinnaam pas mag activeren na voltooiing van de verificatie. En je moet de procedure toepassen op alle domeinnamen, ook de landcode extensies.”
Meer ondersteuning in de komende maanden
SIDN en de VvR blijven de komende maanden investeren in voorlichting en ondersteuning voor registrars. Zo werken beide organisaties aan aanvullende documentatie, FAQ's, praktische handvatten en voorbeelden om registrars te helpen bij de implementatie van de nieuwe verplichtingen.
Op weg naar compliance
De volgende mijlpaal voor .nl is 1 januari 2027. Op die datum passen we onze algemene voorwaarden aan op de Cyberbeveiligingswet. Vanaf dat moment verwachten wij dat registrars voor .nl voldoen aan de verplichtingen uit artikel 49 en 50 van de wet. Met de gezamenlijke aanpak van SIDN, de VvR en de registrargemeenschap die is vastgelegd in de implementatiematrix is een belangrijke basis gelegd om die overgang zo soepel mogelijk te laten verlopen.
