Artikel 28 NIS2 verpflichtet TLD-Namenregister und Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, genaue und vollständige Domänennamen-Registrierungsdaten mit der gebotenen Sorgfalt in einer eigenen Datenbank zu sammeln und zu pflegen. Sie müssen die Daten nach veröffentlichten Verfahren überprüfen, die nicht personenbezogenen Daten veröffentlichen und rechtmäßige Zugangsanträge innerhalb von 72 Stunden beantworten. Auch Reseller sind erfasst.
Dieser Leitfaden behandelt, was Artikel 28 verlangt, für wen er gilt, die erforderlichen Daten, was Genauigkeit bedeutet, Veröffentlichung und Zugang, die DSGVO, doppelte Erhebung, die übrigen NIS2-Pflichten, was der Text offenlässt, und eine Prüfliste.
| Artikel 28 | Pflicht | Typische Nachweise |
|---|---|---|
| Abs. 1 | Genaue und vollständige Daten mit der gebotenen Sorgfalt in einer eigenen Datenbank sammeln und pflegen | Datenmodell, Datenbank, Datenschutzdokumentation |
| Abs. 2 | Mindestinhalt: Domänenname, Registrierungsdatum, Kontaktdaten des Domäneninhabers und des administrativen Kontakts | Feldspezifikation |
| Abs. 3 | Vorgaben und Verfahren, einschließlich Überprüfung, veröffentlicht | Öffentliche Überprüfungsvorgaben, Überprüfungsprotokolle |
| Abs. 4 | Nicht personenbezogene Daten unverzüglich nach der Registrierung veröffentlichen | Ergebnis der öffentlichen Abfrage |
| Abs. 5 | Auf rechtmäßige, hinreichend begründete Anträge Zugang zu bestimmten Daten gewähren; binnen 72 Stunden antworten; Offenlegungsvorgaben veröffentlichen | Antragsprotokoll mit Zeitstempeln, öffentliche Offenlegungsvorgaben |
| Abs. 6 | Keine doppelte Erhebung; Register und Registrare arbeiten zusammen | Vertrag zwischen Register und Registrar, Übersicht der Datenflüsse |
Was verlangt Artikel 28 NIS2?
Artikel 28 betrifft die Datenbank der Domänennamen-Registrierungsdaten. Den Zweck nennt Absatz 1: einen Beitrag zur Sicherheit, Stabilität und Resilienz des DNS. Erwägungsgrund 110 nennt den praktischen Grund: Ein rechtzeitiger Zugang zu Registrierungsdaten ist unerlässlich, um DNS-Missbrauch zu verhindern und zu bekämpfen sowie Sicherheitsvorfälle zu verhindern, zu erkennen und darauf zu reagieren.
Wie die übrige NIS2 richtet sich Artikel 28 an die Mitgliedstaaten, die diese Pflichten vorschreiben müssen. Die Pflichten erreichen Sie also über das nationale Umsetzungsgesetz, das ab dem 18. Oktober 2024 gelten sollte. Lesen Sie das Gesetz des Mitgliedstaats, der für Sie zuständig ist: Es kann Verfahrensdetails ergänzen.
Für wen gilt Artikel 28?
Für zwei Arten von Einrichtungen, beide in Artikel 6 definiert.
- TLD-Namenregister (Artikel 6 Nummer 21): eine Einrichtung, der eine bestimmte TLD übertragen wurde und die für deren Verwaltung verantwortlich ist, einschließlich der Registrierung von Domänennamen und des technischen Betriebs der TLD, unabhängig davon, ob sie dies selbst erledigt oder auslagert. Eine TLD, die ein Register nur für eigene Zwecke nutzt, ist ausgenommen.
- Einrichtung, die Domänennamen-Registrierungsdienste erbringt (Artikel 6 Nummer 22): ein Registrar oder eine Stelle, die im Namen von Registraren tätig ist, etwa ein Anbieter von Datenschutz- oder Proxy-Registrierungsdiensten oder ein Wiederverkäufer.
Nach Artikel 2 Absatz 4 gilt die Richtlinie für Domänennamen-Registrierungsdienste unabhängig von ihrer Größe. Ein kleines Hosting-Unternehmen, das im Namen eines Registrars Domains weiterverkauft, fällt unter die Definition. Die geringe Größe nimmt es nicht aus.
Drei weitere Vorschriften nennen diese Einrichtungen. Nach Artikel 3 Absatz 3 mussten die Mitgliedstaaten sie bis zum 17. April 2025 in einer Liste erfassen. Nach Artikel 27 mussten sie ihre Angaben für das Register der ENISA bis zum 17. Januar 2025 übermitteln. Nach Artikel 26 unterstehen sie dem Mitgliedstaat ihrer Hauptniederlassung; ein Anbieter außerhalb der EU, der Dienste in der EU erbringt, muss einen Vertreter benennen. Siehe NIS2: Zuständigkeit und Hauptniederlassung.
Welche Registrierungsdaten müssen erhoben werden?
Nach Artikel 28 Absatz 2 muss die Datenbank die Informationen enthalten, die erforderlich sind, um die Domäneninhaber und die Kontaktstellen, die die Domänennamen verwalten, zu identifizieren und zu kontaktieren. Diese Informationen umfassen:
- den Domänennamen;
- das Datum der Registrierung;
- Name, Kontakt-E-Mail-Adresse und Telefonnummer des Domäneninhabers;
- Kontakt-E-Mail-Adresse und Telefonnummer der Kontaktstelle, die den Domänennamen verwaltet, falls diese von denen des Domäneninhabers abweichen.
Das ist ein Minimum. Nach Erwägungsgrund 109 berührt diese Pflicht nicht die Erhebung von Registrierungsdaten für andere Zwecke, etwa aufgrund von Verträgen oder anderem Unionsrecht oder nationalem Recht. Sie können eine Postanschrift erheben, aber die Rechtsgrundlage dafür ist nicht Artikel 28.
Was bedeuten genaue Registrierungsdaten nach NIS2?
Die Richtlinie definiert Genauigkeit nicht und schreibt keine Überprüfungsmethode vor. Artikel 28 Absatz 1 verlangt genaue und vollständige Daten, die mit der gebotenen Sorgfalt gepflegt werden. Artikel 28 Absatz 3 verlangt Vorgaben und Verfahren, einschließlich Überprüfungsverfahren, die Genauigkeit und Vollständigkeit sicherstellen, und verlangt, dass sie öffentlich zugänglich sind.
Erwägungsgrund 111 beschreibt, wie diese Verfahren aussehen sollten:
- Vorgaben und Verfahren, um genaue und vollständige Daten zu erheben und zu pflegen und ungenaue Daten zu verhindern und zu berichtigen;
- verhältnismäßige Überprüfungsverfahren, die bewährte Verfahren der Branche und, soweit möglich, die Fortschritte bei der elektronischen Identifizierung widerspiegeln;
- Beispiele: Ex-ante-Kontrollen bei der Registrierung und Ex-post-Kontrollen danach;
- mindestens die Überprüfung wenigstens eines Kontaktmittels des Domäneninhabers.
Genauigkeit ist keine Ja-oder-Nein-Eigenschaft einer Datenbank. Sie ist eine Quote, und sie sinkt mit der Zeit: Menschen wechseln die Stelle, Postfächer werden geschlossen, Unternehmen werden aufgelöst. Eine Prüfung bei der Registrierung belegt, dass die Daten einmal stimmten. Die Ex-post-Kontrollen, etwa eine erneute Überprüfung bei Änderungen und bei unzustellbaren E-Mails, sorgen dafür, dass sie weiter stimmen. Die Prüfliste unten beschreibt ein verhältnismäßiges Verfahren.
Was muss veröffentlicht werden, und was bleibt vertraulich?
Nach Artikel 28 Absatz 4 müssen Register und Registrare die Registrierungsdaten, die keine personenbezogenen Daten sind, unverzüglich nach der Registrierung öffentlich zugänglich machen.
Erwägungsgrund 112 wird konkreter. Daten, die nicht in den Anwendungsbereich des Datenschutzrechts der Union fallen, etwa Daten über juristische Personen, sollten veröffentlicht werden. Bei einer juristischen Person sind das mindestens der Name des Domäneninhabers und seine Kontakttelefonnummer. Auch die Kontakt-E-Mail-Adresse sollte veröffentlicht werden, sofern sie keine personenbezogenen Daten enthält, wie bei E-Mail-Aliasen oder Funktionskonten.
Halten Sie deshalb in der Praxis bei der Registrierung fest, ob der Domäneninhaber eine juristische oder eine natürliche Person ist, denn davon hängt die Veröffentlichung ab. Häufig nutzt ein Unternehmen als Domäneninhaber die Adresse eines namentlich genannten Mitarbeiters. Diese Adresse identifiziert weiterhin eine Person, daher ist eine Funktionsadresse wie ein Rollenpostfach die sicherere Wahl für die Veröffentlichung.
Wer ist ein berechtigter Zugangsnachfrager, und wie schnell müssen Sie antworten?
Nach Artikel 28 Absatz 5 ist auf rechtmäßige und hinreichend begründete Anträge berechtigter Zugangsnachfrager Zugang zu bestimmten Domänennamen-Registrierungsdaten zu gewähren, im Einklang mit dem Datenschutzrecht der Union. Die Antwort muss unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Eingang erfolgen. Die Vorgaben und Verfahren für die Offenlegung müssen öffentlich zugänglich sein.
Erwägungsgrund 110 beschreibt berechtigte Zugangsnachfrager als jede natürliche oder juristische Person, die einen Antrag nach Unionsrecht oder nationalem Recht stellt. Dazu können die nach NIS2 zuständigen Behörden gehören, Behörden, die für die Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten zuständig sind, sowie CERTs oder CSIRTs. Dem Antrag sollte eine Begründung beiliegen, anhand derer sich die Notwendigkeit des Zugangs beurteilen lässt. Der Zugang umfasst die für den Antrag erforderlichen bestimmten Daten, nicht den vollständigen Datensatz.
Erwägungsgrund 112 ergänzt drei Punkte: Register und Registrare sollten Service-Level-Vereinbarungen für Zugangsanträge festlegen, sie können eine Schnittstelle, ein Portal oder ein anderes technisches Werkzeug nutzen, und die Mitgliedstaaten sollten sicherstellen, dass alle Arten des Zugangs zu Registrierungsdaten kostenlos sind.
Die Frist beginnt mit dem Eingang jedes Zugangsantrags. Der Text spricht von 72 Stunden, nicht von drei Werktagen: Ein Antrag, der am Freitagabend eingeht, braucht bis Montagabend eine Antwort.
Wie hängt Artikel 28 mit der DSGVO zusammen?
Artikel 28 Absätze 1 und 5 verlangen beide die Einhaltung des Datenschutzrechts der Union. Erwägungsgrund 109 klärt die Rechtsgrundlage: Die nach Artikel 28 erforderliche Verarbeitung sollte eine rechtliche Verpflichtung im Sinne von Artikel 6 Absatz 1 Buchstabe c DSGVO darstellen. Das ist die Rechtsgrundlage für die Erhebung und Speicherung des Datensatzes nach Artikel 28. Daten, die für andere Zwecke erhoben werden, brauchen eine eigene Rechtsgrundlage.
Die Offenlegung gegenüber einem Zugangsnachfrager ist ebenfalls eine Verarbeitung personenbezogener Daten. Der Antrag muss rechtmäßig und hinreichend begründet sein, und nur die erforderlichen bestimmten Daten werden herausgegeben. Das Zusammenspiel beider Regelwerke insgesamt, einschließlich Sicherheitsvorfällen, die zugleich Verletzungen des Schutzes personenbezogener Daten sind, steht in DSGVO und NIS2.
Wie vermeiden Register und Registrare eine doppelte Erhebung?
Nach Artikel 28 Absatz 6 darf die Einhaltung der Pflichten nicht zu einer doppelten Erhebung von Domänennamen-Registrierungsdaten führen, und Register und Registrare müssen zu diesem Zweck zusammenarbeiten. Erwägungsgrund 109 bekräftigt das: Ziel ist ein einziger vollständiger und genauer Datensatz, nicht dieselben Daten, die mehrfach erhoben werden.
In der Praxis sollten der Registry-Vertrag oder die Vorgaben des Registers für jeden Schritt festlegen, wer ihn übernimmt: wer erhebt, wer überprüft, wer veröffentlicht, wer Zugangsanträge beantwortet und wie Korrekturen zurückfließen. Wo Reseller zwischen Registrar und Domäneninhaber stehen, braucht der Vertrag des Registrars mit ihnen dieselbe Aufteilung. Auf eine Überprüfung durch einen Reseller, die sonst niemand einsehen kann, können Sie sich gegenüber einer Behörde kaum stützen.
Sind Register und Registrare wesentliche oder wichtige Einrichtungen?
Nicht in gleicher Weise. Die Richtlinie behandelt beide unterschiedlich.
- TLD-Namenregister sind unabhängig von ihrer Größe wesentliche Einrichtungen (Artikel 3 Absatz 1 Buchstabe b). Es gelten die Pflichten der Leitungsorgane nach Artikel 20, die Risikomanagementmaßnahmen im Bereich der Cybersicherheit nach Artikel 21 und die Meldepflichten für Sicherheitsvorfälle nach Artikel 23. Die Durchführungsverordnung (EU) 2024/2690 legt die technischen Anforderungen für sie fest. Die Maßnahmen selbst stehen in NIS2 Artikel 21: die 10 Maßnahmen.
- Registrare und Reseller sind in Anhang I oder II nicht aufgeführt und sind daher auf dieser Grundlage keine wesentlichen oder wichtigen Einrichtungen. Artikel 2 Absatz 4 bezieht sie für die Pflichten in die Richtlinie ein, die sie ausdrücklich nennen, vor allem Artikel 3 Absatz 3 sowie die Artikel 26, 27 und 28. Die Artikel 21 und 23 gelten für wesentliche und wichtige Einrichtungen.
Zwei Vorbehalte. Viele Registrare betreiben auch autoritatives DNS für die Domains ihrer Kunden, und wer autoritative Dienste zur Auflösung von Domänennamen zur Nutzung durch Dritte erbringt, ist nach Artikel 6 Nummer 20 ein DNS-Diensteanbieter und unabhängig von der Größe eine wesentliche Einrichtung. Außerdem kann das nationale Recht weiter gehen. Die Lage für DNS und die digitale Infrastruktur insgesamt steht in NIS2 für digitale Infrastruktur, die allgemeine Prüfung des Anwendungsbereichs im Leitfaden zum Anwendungsbereich von NIS2.
Zu den Sanktionen: Die Bußgeldobergrenzen in Artikel 34 betreffen die Artikel 21 und 23. Für andere Verstöße, auch gegen Artikel 28, überlässt Artikel 36 die Sanktionen den Mitgliedstaaten, die sie wirksam, verhältnismäßig und abschreckend ausgestalten müssen.
Was Artikel 28 offenlässt und wie Sie die Lücke schließen
Artikel 28 legt Ergebnisse fest. Er sagt nicht, welche Genauigkeitsquote ausreicht, wie viel Überprüfung verhältnismäßig ist, wann ein Antrag hinreichend begründet ist oder wie Register, Registrar und Reseller jeweils ihren Anteil nachweisen. Die Behörde wird fragen, woher Sie wissen, dass Ihre Daten genau sind, und woher Sie wissen, dass Sie rechtzeitig geantwortet haben. Beides sind Fragen nach Aufzeichnungen, nicht nach Vorgaben.
In der Praxis heißt das: ein Überprüfungsnachweis für jede Domain mit Methode, Zeitstempel, Ergebnis und dem Grund jeder späteren erneuten Prüfung. Eine Genauigkeitsquote, die durch Stichproben gemessen und nicht bloß angenommen wird. Ein Protokoll der Zugangsanträge mit Eingangszeit, Antwortzeit und Entscheidung sowie eine Warnung lange vor Stunde 72. Für ein Register ist die Registrierungsdatenbank außerdem einer der Werte, die es nach Artikel 21 schützt.
Diese Nachweise sollten aus den Registrierungs- und Ticketsystemen selbst stammen, und ein Mensch prüft die Ausnahmen. So arbeitet die CloudSoul-Plattform. Wenn Sie zuerst wissen möchten, wo Sie stehen, zeigt ein Sicherheitsaudit anhand von Artikel 28 und Ihrem nationalen Recht die Lücken auf; das Gesamtprogramm finden Sie auf der NIS2-Compliance-Seite.
PRÜFLISTE NACH ARTIKEL 28 (je Registrierung oder Änderung)
Bei der Registrierung (ex ante)
[ ] Domänenname und Registrierungsdatum automatisch erfasst
[ ] Name, E-Mail und Telefon des Domäneninhabers vorhanden, Format korrekt
[ ] E-Mail und Telefon des administrativen Kontakts erfasst, falls abweichend
[ ] Art des Domäneninhabers erfasst: juristische oder natürliche Person
[ ] Mindestens ein Kontaktmittel überprüft (E-Mail-Link, SMS-Code)
[ ] Methode, Zeitstempel und Ergebnis der Überprüfung protokolliert
Nach der Registrierung (ex post)
[ ] Erneut prüfen, wenn sich Daten von Inhaber oder Kontakt ändern
[ ] Erneut prüfen bei Unzustellbarkeit, gescheitertem Anruf oder Hinweis
auf ungenaue Daten
[ ] Regelmäßig Stichproben ziehen; Genauigkeitsquote festhalten
[ ] Berichtigung angefordert, Frist gesetzt, Ergebnis festgehalten
Veröffentlichung und Zugang
[ ] Nicht personenbezogene Daten unverzüglich veröffentlicht
[ ] Juristische Personen: Name und Telefon veröffentlicht; E-Mail nur bei
Funktionsadresse (keine personenbezogenen Daten)
[ ] Zugangsantrag bei Eingang mit Zeitstempel protokolliert
[ ] Rechtsgrundlage und Begründung geprüft
[ ] Nur die erforderlichen bestimmten Daten offengelegt
[ ] Antwort binnen 72 Stunden; Entscheidung und Gründe protokolliertCheckliste zu Artikel 28 NIS2
- Klären Sie, welcher Mitgliedstaat zuständig ist, und lesen Sie sein Umsetzungsgesetz.
- Erfassen Sie den Datenfluss vom Domäneninhaber über Reseller und Registrar bis zum Register.
- Prüfen Sie, ob die Datenbank jedes Feld nach Artikel 28 Absatz 2 enthält.
- Veröffentlichen Sie die Überprüfungsvorgaben und die Offenlegungsvorgaben.
- Überprüfen Sie bei jeder Registrierung mindestens ein Kontaktmittel und protokollieren Sie es.
- Messen Sie die Genauigkeit mit Stichproben und berichtigen Sie, was die Prüfung nicht besteht.
- Führen Sie Zugangsanträge über eine protokollierte Warteschlange mit einer Warnung zur 72-Stunden-Frist.
- Legen Sie schriftlich fest, wer erhebt, überprüft, veröffentlicht und offenlegt.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 6, 20, 21, 23, 26, 27, 28, 34 und 36 sowie Erwägungsgründe 109 bis 112, EUR-Lex.
- Verordnung (EU) 2016/679 (DSGVO), Artikel 6 Absatz 1 Buchstabe c, EUR-Lex.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, EUR-Lex.
Häufige Fragen
Was verlangt Artikel 28 NIS2?
Nach Artikel 28 müssen die Mitgliedstaaten TLD-Namenregister und Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, verpflichten, genaue und vollständige Domänennamen-Registrierungsdaten in einer eigenen Datenbank zu sammeln und zu pflegen, sie zu überprüfen, die nicht personenbezogenen Daten zu veröffentlichen und rechtmäßige Zugangsanträge innerhalb von 72 Stunden zu beantworten.
Welche Registrierungsdaten müssen nach NIS2 erhoben werden?
Mindestens der Domänenname, das Datum der Registrierung, Name, Kontakt-E-Mail-Adresse und Telefonnummer des Domäneninhabers sowie Kontakt-E-Mail-Adresse und Telefonnummer der Kontaktstelle, die den Domänennamen verwaltet, falls diese von denen des Domäneninhabers abweichen.
Gilt Artikel 28 NIS2 auch für Domain-Reseller?
Ja. NIS2 definiert eine Einrichtung, die Domänennamen-Registrierungsdienste erbringt, als Registrar oder als Stelle, die im Namen von Registraren tätig ist, etwa einen Anbieter von Datenschutz- oder Proxy-Registrierungsdiensten oder einen Wiederverkäufer. Nach Artikel 2 Absatz 4 gilt die Richtlinie für diese Einrichtungen unabhängig von ihrer Größe.
Wie schnell muss ein Registrar nach NIS2 auf einen WHOIS-Zugangsantrag antworten?
Unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Eingang. Zugang ist bei rechtmäßigen und hinreichend begründeten Anträgen berechtigter Zugangsnachfrager im Einklang mit dem Datenschutzrecht der Union zu gewähren.
Ist die Verarbeitung von WHOIS-Daten nach NIS2 mit der DSGVO vereinbar?
Nach Erwägungsgrund 109 sollte die nach Artikel 28 erforderliche Verarbeitung eine rechtliche Verpflichtung im Sinne von Artikel 6 Absatz 1 Buchstabe c DSGVO darstellen. Daten, die nicht unter das Datenschutzrecht fallen, etwa Daten über juristische Personen, werden veröffentlicht; personenbezogene Daten werden nur auf rechtmäßige und hinreichend begründete Anträge offengelegt.
