Cyber-beveiligingswet
Vrijwel alle registrars verwerken dagelijks persoonsgegevens. In veel gevallen beheren zij ook ‘netwerk- en informatiesystemen’ zoals nameservers. Daarmee vallen registrars onder de Cyberbeveiligingswet (Cbw). Dit is de Nederlandse implementatie van de Europese NIS2-richtlijn. Deze wet vervangt de bestaande Wet beveiliging netwerk- en informatiesystemen (Wbni) en introduceert (veel) strengere en bredere verplichtingen op het gebied van cyberbeveiliging.
De Cyberbeveiligingswet is op 7 juli 2026 door de Eerste Kamer aangenomen en is op 15 augustus 2026 in werking getreden. Vanaf dat moment gelden er dus nieuwe verplichtingen voor ruim 8.000 organisaties in Nederland, verspreid over 18 sectoren, waaronder digitale infrastructuur, overheid en vervoer.
Status
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden, samen met de Wet weerbaarheid kritieke entiteiten (Wwke), die de Europese CER-richtlijn implementeert en gericht is op de ‘fysieke weerbaarheid’ van kritieke infrastructuur. Dit betekent niet dat registrars per direct aan alle verplichtingen moeten voldoen. SIDN en de VvR hebben een gezamenlijke tijdlijn opgesteld met 1 januari 2027 als deadline voor de aanpassing van registratieprocessen.
Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met de volgende verplichtingen:
- Registratieplicht: organisaties moeten zich vanaf 15 augustus registreren bij het NCSC via het entiteitenregister. Lees meer hierover op: https://www.ncsc.nl/cyberbeveiligingswet-nis2/registreren
- Zorgplicht: het nemen van passende maatregelen om risico’s voor netwerk- en informatiesystemen te beheersen en incidenten te voorkomen of te beperken.
- Meldplicht: significante incidenten moeten binnen 24 uur worden gemeld op de NCSC-portaal (https://mijn.ncsc.nl). Vanaf deze portal kan melding worden gedaan bij het betreffende sectorale CSIRT en de bevoegde toezichthouder.
- Bestuurlijke verantwoordelijkheid: het bestuur is eindverantwoordelijk voor cyberrisicobeheersing en moet aantoonbaar over voldoende kennis beschikken.
- Toezicht en handhaving: toezichthouders controleren actief of organisaties aan de verplichtingen voldoen.
Een registrar valt (vrijwel altijd) onder de wet, maar dat hangt wel af van de dienstverlening en de systemen die een registrar in beheer heeft. Registrars zijn zelf verantwoordelijk om te beoordelen of ze daadwerkelijk onder de wet vallen of dat er een uitzondering voor hen geldt. Het NCSC biedt hiervoor een zelfscan aan via ncsc.nl.
De artikelen 49 en 50 van de Nederlandse Cyberbeveiligingswet regelen specifiek de taken en verplichtingen voor registers voor topleveldomeinnamen (registries zoals SIDN) en aanbieders van domeinnaamregistratiediensten (registrars).
De artikelen omvatten de volgende specifieke regels:
- Artikel 49 (Database met domeinnaamregistratiegegevens): Verplicht registries en registrars om accurate en complete gegevens over domeinnaamregistraties te verzamelen en actueel te houden. Dit waarborgt de beveiliging en stabiliteit van het domeinnaamsysteem (DNS).
- Artikel 50 (Toegang tot registratiegegevens): Regelt de procedures rondom verzoeken tot toegang tot deze gegevens. Registries en registrars moeten op een rechtmatig en gemotiveerd verzoek van legitieme partijen toegang verlenen tot specifieke registratiegegevens.
Aanpak verificatie houdergegevens
SIDN heeft in overleg met de Rijksinspectie Digitale Infrastructuur (RDI) de aanpak voor de verificatie van houdergegevens uitgewerkt. De kern: verificatie vindt plaats door de registrar, primair via e-mail, vergelijkbaar met de werkwijze die ICANN hanteert voor gTLD’s. Telefonische verificatie is optioneel beschikbaar voor registrars die daarvoor kiezen.
Belangrijk verschil met de gTLD-procedure: een domeinnaam mag pas worden opgenomen in de zone nadat de vereiste verificatie heeft plaatsgevonden.
Let op: de wet geldt niet alleen voor .nl-registraties. Als je als registrar in Nederland bent gevestigd, gelden de verplichtingen ook voor domeinnamen onder gTLD’s en niet-Nederlandse ccTLD’s in je portfolio.
De volledige uitwerking en praktische handvatten (FAQ’s, best practices) worden gedeeld via de besloten registrarsite van SIDN.
Rol van de VvR
De VvR heeft samen met SIDN, Dotlocal en Verisign een matrix opgesteld met een gedetailleerd overzicht van de registratie- en verificatieverplichtingen voor registrars en registries. Deze matrix is afgestemd met het Ministerie van Economische Zaken en vormt de basis voor de verdere implementatie.
In het vierde kwartaal organiseert de VvR samen met SIDN uitgebreide voorlichting voor registrars: webinars, FAQ’s en best practices. De eerste activiteiten starten in oktober 2026. Heb je input of vragen? Deel ze via de besloten registrarsite van SIDN of de besloten portal van de VvR.
Tijdlijn
- 2018 – Inwerkingtreding NIS1-richtlijn en de Wbni in Nederland.
- 2022 – Europese NIS2-richtlijn vastgesteld; aanzienlijke uitbreiding van scope en verplichtingen ten opzichte van NIS1.
- 2024–2025 – Wetsvoorstel Cyberbeveiligingswet (Cbw) in parlementaire behandeling.
- 7 juli 2026 – Eerste Kamer stemt in met de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten.
- 15 augustus 2026 – Inwerkingtreding van de Cyberbeveiligingswet; registratieplicht gaat in.
- Oktober 2026 – Start gezamenlijke voorlichting door SIDN en de VvR: webinars, FAQ’s en best practices voor registrars.
- 1 januari 2027 – Deadline voor registrars om processen aan te passen aan de verificatieverplichtingen. Per die datum worden ook de algemene voorwaarden van SIDN bijgewerkt.