L’article 28 de NIS2 impose aux registres des noms de domaine de premier niveau et aux entités fournissant des services d’enregistrement de noms de domaine de collecter et de conserver, avec la diligence requise, des données d’enregistrement des noms de domaine exactes et complètes dans une base de données dédiée. Ils doivent les vérifier selon des procédures publiées, publier les données non personnelles et répondre aux demandes d’accès licites dans les 72 heures. Les revendeurs sont également concernés.
Ce guide présente ce qu’exige l’article 28, à qui il s’applique, les données requises, ce que recouvre l’exigence d’exactitude, la publication et l’accès, le RGPD, la double collecte, les autres obligations NIS2, ce que le texte laisse ouvert, et une liste de vérification.
| Article 28 | Obligation | Preuves types |
|---|---|---|
| Par. 1 | Collecter et conserver des données exactes et complètes dans une base de données dédiée, avec la diligence requise | Modèle de données, base de données, documentation relative à la protection des données |
| Par. 2 | Contenu minimal : nom de domaine, date d’enregistrement, coordonnées du titulaire et du contact administratif | Spécification des champs |
| Par. 3 | Politiques et procédures, y compris de vérification, publiées | Politique de vérification publique, journaux de vérification |
| Par. 4 | Publier les données non personnelles sans retard injustifié après l’enregistrement | Résultat de la consultation publique |
| Par. 5 | Donner accès à des données spécifiques sur demande licite et dûment motivée ; répondre dans les 72 heures ; publier la politique de divulgation | Journal des demandes horodaté, politique de divulgation publique |
| Par. 6 | Pas de double collecte ; les registres et les bureaux d’enregistrement coopèrent | Contrat entre registre et bureau d’enregistrement, cartographie des flux de données |
Qu’impose l’article 28 de NIS2 ?
L’article 28 porte sur la base de données des données d’enregistrement des noms de domaine. Son paragraphe 1 en fixe l’objectif : contribuer à la sécurité, à la stabilité et à la résilience du DNS. Le considérant 110 en donne la raison opérationnelle : un accès rapide aux données d’enregistrement est essentiel pour prévenir et combattre l’utilisation abusive du DNS, ainsi que pour prévenir et détecter les incidents et y réagir.
Comme le reste de NIS2, l’article 28 s’adresse aux États membres, qui doivent imposer ces obligations. Elles vous parviennent donc par le droit national de transposition, qui devait s’appliquer à partir du 18 octobre 2024. Lisez la loi de l’État membre compétent à votre égard : elle peut ajouter des précisions de procédure.
À qui s’applique l’article 28 ?
À deux types d’entités, toutes deux définies à l’article 6.
- Registre des noms de domaine de premier niveau (article 6, point 21) : une entité à laquelle un TLD spécifique a été délégué et qui est responsable de son administration, y compris l’enregistrement des noms de domaine et le fonctionnement technique du TLD, qu’elle s’en charge elle-même ou qu’elle le sous-traite. Un TLD utilisé par un registre uniquement pour son propre usage est exclu.
- Entité fournissant des services d’enregistrement de noms de domaine (article 6, point 22) : un bureau d’enregistrement ou un agent agissant pour le compte de bureaux d’enregistrement, tel qu’un fournisseur de services d’anonymisation ou d’enregistrement fiduciaire, ou un revendeur.
L’article 2, paragraphe 4, applique la directive aux services d’enregistrement de noms de domaine quelle que soit leur taille. Une petite société d’hébergement qui revend des noms de domaine pour le compte d’un bureau d’enregistrement entre dans la définition. Sa taille ne l’en exclut pas.
Trois autres dispositions visent ces entités. L’article 3, paragraphe 3, imposait aux États membres de les inscrire sur une liste au plus tard le 17 avril 2025. L’article 27 leur imposait de transmettre leurs informations pour le registre de l’ENISA au plus tard le 17 janvier 2025. L’article 26 les place sous la compétence de l’État membre de leur établissement principal ; un fournisseur établi hors UE qui fournit des services dans l’UE doit désigner un représentant. Voir NIS2 : compétence et établissement principal.
Quelles données d’enregistrement faut-il collecter ?
L’article 28, paragraphe 2, exige que la base de données contienne les informations nécessaires pour identifier et contacter les titulaires des noms de domaine et les points de contact qui gèrent les noms de domaine. Ces informations comprennent :
- le nom de domaine ;
- la date d’enregistrement ;
- le nom du titulaire, son adresse électronique et son numéro de téléphone de contact ;
- l’adresse électronique et le numéro de téléphone de contact du point de contact qui gère le nom de domaine, s’ils diffèrent de ceux du titulaire.
Il s’agit d’un minimum. Selon le considérant 109, cette obligation est sans préjudice de la collecte de données d’enregistrement à d’autres fins, par exemple en vertu de contrats ou d’autres dispositions du droit de l’Union ou du droit national. Vous pouvez collecter une adresse postale, mais sa base juridique n’est pas l’article 28.
Que signifient des données d’enregistrement exactes au sens de NIS2 ?
La directive ne définit pas l’exactitude et ne prescrit aucune méthode de vérification. L’article 28, paragraphe 1, exige des données exactes et complètes, conservées avec la diligence requise. L’article 28, paragraphe 3, exige des politiques et des procédures, y compris des procédures de vérification, pour garantir l’exactitude et l’exhaustivité des données, et impose de les rendre publiques.
Le considérant 111 précise à quoi ces procédures devraient ressembler :
- des politiques et des procédures pour collecter et conserver des données exactes et complètes, et pour prévenir et corriger les données inexactes ;
- des procédures de vérification proportionnées, reflétant les meilleures pratiques du secteur et, dans la mesure du possible, les progrès réalisés dans le domaine de l’identification électronique ;
- des exemples : des contrôles ex ante lors de l’enregistrement et des contrôles ex post après celui-ci ;
- à tout le moins, la vérification d’au moins un moyen de contact du titulaire.
L’exactitude n’est pas une propriété binaire d’une base de données. C’est un taux, et il se dégrade : les gens changent d’emploi, des boîtes aux lettres ferment, des sociétés sont dissoutes. Un contrôle lors de l’enregistrement prouve que les données étaient justes à un moment donné. Les contrôles ex post, comme une nouvelle vérification en cas de modification ou de courriel non distribué, les maintiennent justes. La liste de vérification ci-dessous décrit une procédure proportionnée.
Que faut-il publier, et qu’est-ce qui reste confidentiel ?
L’article 28, paragraphe 4, impose aux registres et aux bureaux d’enregistrement de publier, sans retard injustifié après l’enregistrement, les données d’enregistrement qui ne sont pas des données à caractère personnel.
Le considérant 112 est plus précis. Les données qui ne relèvent pas du droit de l’Union en matière de protection des données, comme les données concernant des personnes morales, devraient être publiées. Pour une personne morale, cela signifie au moins le nom du titulaire et son numéro de téléphone de contact. L’adresse électronique de contact devrait également être publiée, à condition qu’elle ne contienne aucune donnée à caractère personnel, comme dans le cas des alias de messagerie ou des comptes fonctionnels.
En pratique, notez lors de l’enregistrement si le titulaire est une personne morale ou une personne physique, car la publication en dépend. Un cas fréquent : une société titulaire utilise l’adresse d’un salarié nommément désigné. Cette adresse identifie toujours une personne ; une adresse fonctionnelle, comme une boîte générique liée à une fonction, est donc le choix le plus sûr à publier.
Qui est un demandeur d’accès légitime, et dans quel délai faut-il répondre ?
L’article 28, paragraphe 5, impose de donner accès à des données d’enregistrement de noms de domaine spécifiques sur demande licite et dûment motivée de demandeurs d’accès légitimes, conformément au droit de l’Union en matière de protection des données. La réponse doit intervenir sans retard injustifié et, en tout état de cause, dans les 72 heures suivant la réception. Les politiques et procédures de divulgation doivent être publiques.
Le considérant 110 décrit les demandeurs d’accès légitimes comme toute personne physique ou morale qui présente une demande en vertu du droit de l’Union ou du droit national. Il peut s’agir des autorités compétentes au titre de NIS2, des autorités chargées de la prévention et de la détection des infractions pénales ainsi que des enquêtes et des poursuites en la matière, et des CERT ou des CSIRT. La demande devrait être accompagnée d’un exposé des motifs permettant d’apprécier la nécessité de l’accès. L’accès porte sur les données spécifiques nécessaires à la demande, et non sur la fiche complète.
Le considérant 112 ajoute trois points : les registres et les bureaux d’enregistrement devraient établir des accords de niveau de service pour les demandes d’accès, ils peuvent utiliser une interface, un portail ou un autre outil technique, et les États membres devraient veiller à ce que tous les types d’accès aux données d’enregistrement soient gratuits.
Le délai court à compter de la réception de toute demande d’accès. Le texte parle de 72 heures, pas de trois jours ouvrables : une demande reçue le vendredi soir appelle une réponse au plus tard le lundi soir.
Quel est le lien entre l’article 28 et le RGPD ?
Les paragraphes 1 et 5 de l’article 28 exigent tous deux le respect du droit de l’Union en matière de protection des données. Le considérant 109 tranche la question de la base juridique : le traitement exigé par l’article 28 devrait constituer une obligation légale au sens de l’article 6, paragraphe 1, point c), du RGPD. C’est la base juridique de la collecte et de la conservation du jeu de données de l’article 28. Les données collectées à d’autres fins nécessitent leur propre base juridique.
La communication de données à un demandeur d’accès reste un traitement de données à caractère personnel. La demande doit être licite et dûment motivée, et seules les données spécifiques nécessaires sont communiquées. L’articulation plus large entre les deux régimes, y compris les incidents qui constituent aussi des violations de données à caractère personnel, est traitée dans NIS2 et RGPD.
Comment les registres et les bureaux d’enregistrement évitent-ils la double collecte ?
Selon l’article 28, paragraphe 6, le respect de ces obligations ne doit pas entraîner une double collecte des données d’enregistrement des noms de domaine, et les registres et les bureaux d’enregistrement doivent coopérer à cette fin. Le considérant 109 le répète : l’objectif est un seul jeu de données complet et exact, et non les mêmes données collectées plusieurs fois.
En pratique, le contrat ou la politique du registre devrait indiquer, pour chaque étape, qui s’en charge : qui collecte, qui vérifie, qui publie, qui répond aux demandes d’accès, et comment les corrections remontent. Lorsque des revendeurs se situent entre le bureau d’enregistrement et le titulaire, le contrat du bureau d’enregistrement avec eux doit prévoir la même répartition. Une vérification effectuée par un revendeur, que personne d’autre ne peut voir, est difficile à faire valoir devant une autorité.
Les registres et les bureaux d’enregistrement sont-ils des entités essentielles ou importantes ?
Pas de la même manière. La directive les traite différemment.
- Les registres des noms de domaine de premier niveau sont des entités essentielles quelle que soit leur taille (article 3, paragraphe 1, point b)). Les obligations des organes de direction prévues à l’article 20, les mesures de gestion des risques en matière de cybersécurité de l’article 21 et la notification des incidents prévue à l’article 23 s’appliquent. Le règlement d’exécution (UE) 2024/2690 fixe les exigences techniques qui les concernent. Les mesures elles-mêmes sont présentées dans NIS2 article 21 : les 10 mesures.
- Les bureaux d’enregistrement et les revendeurs ne figurent pas aux annexes I ou II : ils ne sont donc pas des entités essentielles ou importantes à ce titre. L’article 2, paragraphe 4, les fait entrer dans le champ de la directive pour les obligations qui les visent nommément, principalement l’article 3, paragraphe 3, et les articles 26, 27 et 28. Les articles 21 et 23 s’appliquent aux entités essentielles et importantes.
Deux mises en garde. De nombreux bureaux d’enregistrement exploitent aussi le DNS faisant autorité pour les domaines de leurs clients, et un fournisseur de services de résolution de noms de domaine faisant autorité pour une utilisation par des tiers est un fournisseur de services DNS au sens de l’article 6, point 20, et une entité essentielle quelle que soit sa taille. Le droit national peut en outre aller plus loin. La situation du DNS et des infrastructures numériques en général est présentée dans NIS2 pour les infrastructures numériques, et le test général de champ d’application dans le guide du champ d’application de NIS2.
S’agissant des sanctions, les plafonds d’amende de l’article 34 concernent les articles 21 et 23. Pour les autres manquements, y compris à l’article 28, l’article 36 laisse les sanctions aux États membres, qui doivent les rendre effectives, proportionnées et dissuasives.
Ce que l’article 28 laisse ouvert, et comment combler ces lacunes
L’article 28 fixe des résultats. Il ne dit pas quel taux d’exactitude suffit, quel niveau de vérification est proportionné, ce qui rend une demande dûment motivée, ni comment un registre, un bureau d’enregistrement et un revendeur prouvent chacun leur part. L’autorité vous demandera comment vous savez que vos données sont exactes et comment vous savez que vous avez répondu dans les délais. Ces deux questions portent sur des traces, pas sur des politiques.
Concrètement, cela suppose une trace de vérification pour chaque domaine : méthode, horodatage, résultat, et motif de toute nouvelle vérification ultérieure. Cela suppose un taux d’exactitude mesuré par échantillonnage, et non présumé. Cela suppose un journal des demandes d’accès indiquant l’heure de réception, l’heure de réponse et la décision, avec une alerte bien avant la 72e heure. Pour un registre, la base de données d’enregistrement fait aussi partie des actifs qu’il protège au titre de l’article 21.
Ces preuves devraient provenir des systèmes d’enregistrement et de gestion des tickets eux-mêmes, une personne examinant les exceptions. C’est ainsi que fonctionne la plateforme CloudSoul. Si vous voulez d’abord savoir où vous en êtes, un audit de sécurité au regard de l’article 28 et de votre droit national fera apparaître les écarts, et le programme complet est présenté sur la page conformité NIS2.
LISTE DE VÉRIFICATION, ARTICLE 28 (par enregistrement ou modification)
Lors de l'enregistrement (ex ante)
[ ] Nom de domaine et date d'enregistrement consignés automatiquement
[ ] Nom, e-mail et téléphone du titulaire présents et au bon format
[ ] E-mail et téléphone du contact administratif consignés s'ils diffèrent
[ ] Type de titulaire consigné : personne morale ou personne physique
[ ] Au moins un moyen de contact vérifié (lien par e-mail, code SMS)
[ ] Méthode, horodatage et résultat de la vérification journalisés
Après l'enregistrement (ex post)
[ ] Nouvelle vérification si les données du titulaire ou du contact changent
[ ] Nouvelle vérification en cas de rebond, d'appel échoué ou de signalement
d'inexactitude
[ ] Échantillonnage périodique ; taux d'exactitude consigné
[ ] Demande de correction envoyée, délai fixé, résultat consigné
Publication et accès
[ ] Données non personnelles publiées sans retard injustifié
[ ] Personnes morales : nom et téléphone publiés ; e-mail seulement s'il est
fonctionnel (sans données à caractère personnel)
[ ] Demande d'accès journalisée à réception, avec horodatage
[ ] Base juridique et exposé des motifs vérifiés
[ ] Seules les données spécifiques nécessaires communiquées
[ ] Réponse envoyée dans les 72 heures ; décision et motifs journalisésListe de contrôle NIS2 article 28
- Déterminez quel État membre est compétent et lisez sa loi de transposition.
- Cartographiez le flux de données du titulaire jusqu’au registre, en passant par le revendeur et le bureau d’enregistrement.
- Vérifiez que la base de données contient chaque champ de l’article 28, paragraphe 2.
- Publiez la politique de vérification et la politique de divulgation.
- Vérifiez au moins un moyen de contact pour chaque enregistrement et consignez-le.
- Mesurez l’exactitude par échantillonnage et corrigez ce qui ne passe pas.
- Traitez les demandes d’accès dans une file journalisée, avec une alerte liée au délai de 72 heures.
- Convenez par écrit de qui collecte, vérifie, publie et communique les données.
Sources
- Directive (UE) 2022/2555 (NIS2), articles 2, 3, 6, 20, 21, 23, 26, 27, 28, 34 et 36 et considérants 109 à 112, EUR-Lex.
- Règlement (UE) 2016/679 (RGPD), article 6, paragraphe 1, point c), EUR-Lex.
- Règlement d’exécution (UE) 2024/2690 de la Commission, EUR-Lex.
Questions fréquentes
Qu'impose l'article 28 de NIS2 ?
L'article 28 impose aux États membres d'exiger que les registres des noms de domaine de premier niveau et les entités fournissant des services d'enregistrement de noms de domaine collectent et conservent des données d'enregistrement des noms de domaine exactes et complètes dans une base de données dédiée, les vérifient, publient les données qui ne sont pas des données à caractère personnel et répondent aux demandes d'accès licites dans les 72 heures.
Quelles données d'enregistrement faut-il collecter au titre de NIS2 ?
Au minimum le nom de domaine, la date d'enregistrement, le nom du titulaire, son adresse électronique et son numéro de téléphone de contact, ainsi que l'adresse électronique et le numéro de téléphone de contact du point de contact qui gère le nom de domaine, s'ils diffèrent de ceux du titulaire.
L'article 28 de NIS2 s'applique-t-il aux revendeurs de noms de domaine ?
Oui. NIS2 définit une entité fournissant des services d'enregistrement de noms de domaine comme un bureau d'enregistrement ou un agent agissant pour le compte de bureaux d'enregistrement, tel qu'un fournisseur de services d'anonymisation ou d'enregistrement fiduciaire, ou un revendeur. L'article 2, paragraphe 4, applique la directive à ces entités quelle que soit leur taille.
Dans quel délai un bureau d'enregistrement doit-il répondre à une demande d'accès WHOIS au titre de NIS2 ?
Sans retard injustifié et, en tout état de cause, dans les 72 heures suivant la réception. L'accès est dû pour les demandes licites et dûment motivées émanant de demandeurs d'accès légitimes, conformément au droit de l'Union en matière de protection des données.
Le traitement des données WHOIS au titre de NIS2 est-il compatible avec le RGPD ?
Selon le considérant 109, le traitement exigé par l'article 28 devrait constituer une obligation légale au sens de l'article 6, paragraphe 1, point c), du RGPD. Les données qui ne relèvent pas du droit de la protection des données, comme les données concernant des personnes morales, sont publiées, tandis que les données à caractère personnel ne sont communiquées que sur demande licite et dûment motivée.
