Die NIS-2 wirft ihren Schatten voraus: die .de-Registry DENIC hat bekanntgegeben, wie sie auf geplanten Änderungen reagieren wird, die voraussichtlich ab dem 2. Quartal 2025 in Deutschland gelten.
Bis zum 17. Oktober 2024 hätte jeder der 27 EU-Mitgliedsstaaten die Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten EU (Network and Information Security 2, kurz: NIS-2) in nationales Recht umsetzen müssen. Vor allem Artikel 28 NIS-2 hat erhebliche Auswirkungen auf die Domain Name Industry, da er Vorgaben zu den »Datenbank der Domänennamen-Registrierungsdaten« macht. Doch nicht nur Deutschland hat diese Hürde gerissen; nur Belgien und Kroatien haben die Frist eingehalten. In anderen EU-Mitgliedsländern ist die Lage unklar, da dort ein schrittweiser Ansatz zur Umsetzung gewählt wurde. In den Niederlanden etwa wird ein Cybersicherheitsgesetz erst im dritten Quartal 2025 erwartet. Die Fortschritte sind nach Einschätzung der .nl-Registry SIDN vor allem deshalb langsam, weil die Richtlinie den Mitgliedsstaaten einen großen Ermessensspielraum bei der Umsetzung in nationales Recht einräumt, was zu zeitraubenden Debatten geführt habe. Trotz aller Verwirrung und Verzögerung bleibt den von der Richtlinie betroffenen Unternehmen und Institutionen nichts anderes übrig, als zu handeln, denn die Einhaltung der neuen Regelungen erfordert in vielen Fällen erhebliche Vorbereitungen.
Den Herausforderungen der NIS-2 hat sich daher auch die DENIC bereits jetzt gestellt und bekanntgegeben, wie sich die Geschäftsprozesse ändern werden. Betroffen sind die bei der Domain-Registrierung zu erfassenden Daten und die Prüfung dieser Daten sowie die WHOIS-Auskunft. Künftig werden die Registrierungsdaten von juristischen Personen über die Domainabfrage vollständig ausgegeben. Hierzu zählen Name und Anschrift des Domain-Inhabers sowie seine eMail-Adresse und Telefonnummer. Ebenfalls angezeigt wird, wann die Domain registriert wurde, sowie Name und Kontaktdaten des zuständigen Registrars. Nicht über das WHOIS ausgegeben werden Inhaberdaten weiterhin dann, wenn es sich bei dem Domain-Inhaber um eine natürliche Person und bei deren Daten somit um personenbezogene Daten im Sinne der Datenschutzgrundverordnung (DSGVO) handelt. In diesen Fällen werden nur das Datum, wann die Domain registriert wurde, sowie Name und Kontaktdaten des zuständigen Registrars angezeigt. Darüber hinaus können Domain-Inhaber nach wie vor ihre bei DENIC hinterlegten Daten über die Domain-Abfrage abrufen. Hierzu legitimieren sie sich durch die Angabe der von ihnen bei der DENIC registrierten Postleitzahl oder eMail-Adresse und erhalten dann dorthin einen zeitlich limitierten Abruf-Link.
Durch die NIS-2 unberührt bleiben die Regelungen der DSGVO. Daher sind über das WHOIS der DENIC-Website nach wie vor keine personenbezogenen Daten zu Domain-Inhabern zugänglich. Im Einzelfall kann die DENIC aber bei Nachweis eines berechtigten Interesses die Daten von Domain-Inhabern zum Beispiel an die Inhaber von Namens- und Kennzeichenrechten, Insolvenzverwalter und Anspruchsteller im Besitz eines vollstreckbaren Titels herausgeben. Für diese Gruppen stellt die DENIC spezialisierte Formulare bereit, mit denen eine Inhaberauskunft beantragt werden kann.