DNS en domeinnamen onder de Cbw: wanneer bent u DNS-dienstverlener of registrar?

Wie is DNS-dienstverlener?

De Cbw definieert een DNS-dienstverlener als een entiteit die (artikel 1 Cbw):

• openbare recursieve domeinnaamomzettingsdiensten verleent voor interneteindgebruikers, of
• gezaghebbende domeinnaamomzettingsdiensten verleent voor gebruik door derden,

met uitzondering van root-naamservers. In gewone woorden: u draait resolvers die het publiek of uw internetklanten gebruiken, of u host DNS-zones voor anderen.

Een DNS-dienstverlener is altijd een essentiële entiteit, ongeacht de omvang (artikel 8, eerste lid, onder c, Cbw). Daarmee is DNS een van de weinige diensten waar zelfs een heel klein bedrijf direct essentieel is.

Wat betekent dat voor een ISP?

Een internetaanbieder heeft vaak resolvers voor zijn klanten. Of dat een aparte DNS-dienst is in de zin van de wet, of onderdeel van de internettoegangsdienst, is een vraag van uitleg. De wettekst maakt geen uitzondering voor resolvers die bij een internetdienst horen. Host u daarnaast DNS-zones voor klantdomeinen, dan verleent u gezaghebbende DNS-diensten voor derden. Leg uw beoordeling vast en vraag bij twijfel juridisch advies, want de indeling als essentieel heeft gevolgen voor het toezicht en de maximale boetes.

Voor DNS-dienstverleners geldt de wet als zij hun hoofdvestiging of vertegenwoordiger in Nederland hebben (artikel 4, derde lid, Cbw).

Welke regels gelden voor DNS?

Voor DNS-dienstverleners gelden de zorgplichtartikelen 6 tot en met 18 van het Cyberbeveiligingsbesluit niet (artikel 4 Cbb). Daarvoor geldt Uitvoeringsverordening (EU) 2024/2690, met technische eisen in de bijlage en eigen criteria voor significante incidenten bij DNS-dienstverleners. De andere plichten uit de wet, zoals registratie, meldplicht en bestuursplichten, gelden gewoon. Voor uw telecomdiensten blijven het Cbb en de Regeling cyberbeveiliging EZK gelden; zie NIS2 voor MSP's voor hoe die verordening in elkaar zit.

Domeinnamen doorverkopen

De Cbw kent ook "entiteiten die domeinnaamregistratiediensten verlenen". Dat is een registrar of een agent die namens registrars optreedt, zoals een aanbieder van privacy- of proxyregistratie of een wederverkoper (artikel 1 Cbw). Verkoopt u domeinnamen door aan klanten, dan kan dat dus op u van toepassing zijn.

Voor deze entiteiten gelden eigen plichten:

• Gegevens aanleveren voor het nationale register (artikel 44 Cbw), ook als u verder geen essentiële of belangrijke entiteit bent.
• Een database met registratiegegevens bijhouden, met domeinnaam, registratiedatum, naam, e-mail en telefoon van de registrant en, als dat anders is, van het beherende contactpunt (artikel 49 Cbw). U heeft beleid en procedures, waaronder verificatie, om die gegevens juist en volledig te houden, en u maakt dat beleid openbaar.
• Gegevens die geen persoonsgegevens zijn, maakt u na registratie onverwijld openbaar.
• Verzoeken om toegang van legitieme partijen beantwoordt u onverwijld, en anders binnen 72 uur (artikel 50 Cbw).

Deze regels gelden volgens artikel 4, vierde lid, Cbw als u uw hoofdvestiging of vertegenwoordiger in Nederland heeft. Werkt u als reseller onder een grote registrar, stem dan met die registrar af wie welke gegevens bijhoudt. De wet vraagt samenwerking om dubbele verzameling te voorkomen (artikel 49, vijfde lid, Cbw).

Praktische beveiliging van DNS

Los van de juridische indeling is DNS een kritieke dienst. Als uw DNS uitvalt, lijkt voor klanten het hele internet stuk. Aandachtspunten:

• resolvers alleen open voor uw eigen klanten, niet voor de hele wereld;
• gezaghebbende naamservers verspreid over meer locaties en netwerken;
• DNSSEC voor de zones die u beheert;
• MFA op het registrarportaal en een slot op domeinoverdrachten;
• monitoring op wijzigingen in zones en NS-records;
• back-ups van zonebestanden en configuratie; zie back-ups en continuïteit.

Wilt u zien hoe uw bedrijf er als geheel voor staat? Doe de gratis zelfscan.

Veelgestelde vragen

Ben ik als kleine ISP met eigen resolvers een essentiële entiteit?

Mogelijk. DNS-dienstverleners zijn altijd essentieel, en de wet maakt geen uitzondering voor resolvers bij een internetdienst. Dit is een uitlegvraag; leg uw beoordeling vast en vraag bij twijfel juridisch advies.

Ik verkoop alleen domeinnamen door. Moet ik iets?

Waarschijnlijk wel. Wederverkopers vallen onder "entiteiten die domeinnaamregistratiediensten verlenen" en hebben plichten over registratie (artikel 44) en de registratiegegevens (artikelen 49 en 50 Cbw).

Gelden de Cbb-zorgplichtartikelen voor mijn DNS-dienst?

Nee. Voor DNS-dienstverleners geldt Uitvoeringsverordening (EU) 2024/2690 (artikel 4 Cbb).