SIDN en VvR vinden werkbare invulling voor nieuwe Cyberbeveiligingswet

De Cyberbeveiligingswet trad op 15 augustus formeel in werking, nadat de definitieve wettekst begin juli werd gepubliceerd. Omdat de Europese wetgever lidstaten veel vrijheid liet bij het vertalen van de regels voor de domeinnaamsector, dreigde er lange tijd onduidelijkheid te ontstaan over de exacte verplichtingen voor hostingbedrijven en domeinnaamaanbieders (registrars).

Aansluiting bij internationale standaarden

Om werkbare afspraken te maken, voerden SIDN en de VvR intensief overleg met het ministerie van Economische Zaken en de Rijksinspectie Digitale Infrastructuur (RDI). Het resultaat is vastgelegd in een landelijke 'Implementatiematrix Cyberbeveiligingswet'. Hierin is geregeld dat de eisen uit artikel 49 en 50 van de wet grotendeels aansluiten op de bestaande verificatieprocessen van internetorganisatie ICANN.

"De wet stelt nieuwe eisen aan registrars en registry’s, maar de invulling sluit gelukkig aan op bestaande internationale standaarden", zegt Maarten Simon, Manager Strategie & Identiteit bij SIDN. "Daardoor kunnen we onze aandacht richten op een werkbare implementatie in plaats van op de ontwikkeling van volledig nieuwe processen."

Verplichtingen voor álle domeinnamen

Onder de nieuwe wetgeving moeten registrars verplicht de registratiegegevens van al hun domeinnaamhouders verzamelen en de bereikbaarheid van e-mailadressen of telefoonnummers verifiëren. Deze verplichting geldt voor alle extensies die in Nederland worden aangeboden, dus niet alleen voor .nl-domeinen.

Bart Mortelmans, bestuurslid van de VvR, legt uit wat het voornaamste verschil is met de huidige praktijk: "Eigenlijk komt het neer op de ICANN-procedure, met dat verschil dat je de domeinnaam pas mag activeren na voltooiing van de verificatie. En je moet de procedure toepassen op alle domeinnamen, ook de landcode-extensies." Daarnaast moeten aanbieders een procedure inrichten om gegevens op verzoek te kunnen delen met legitieme verzoekers, zoals opsporingsdiensten.

Deadline op 1 januari 2027

Vanwege de korte periode tussen de publicatie van de wet en de inwerkingtreding, organiseren SIDN en de VvR informatiesessies en handvatten om registrars te ondersteunen bij de overgang.

De belangrijkste deadline voor de sector staat gepland op 1 januari 2027. Op die datum past SIDN de algemene voorwaarden voor .nl-domeinnamen aan. Vanaf dat moment moeten alle registrars voor .nl-domeinen aantoonbaar voldoen aan de verplichtingen uit de Cyberbeveiligingswet.