NIS2 a domeny – co oznacza dyrektywa dla abonentów i resellerów?
Od października 2024 r. w całej Unii Europejskiej zaczyna obowiązywać nowa dyrektywa o cyberbezpieczeństwie – NIS2. W założeniu ma ona zwiększyć odporność infrastruktury cyfrowej na zagrożenia – zarówno w sektorze publicznym, jak i prywatnym. W praktyce oznacza to nie tylko nowe obowiązki dla dużych firm i operatorów usług krytycznych, ale również istotne zmiany dla wszystkich uczestników rynku domen internetowych – od rejestratorów, przez resellerów, aż po zwykłych abonentów domen.
Dlaczego? Bo zgodnie z nowymi przepisami, domeny internetowe i powiązane z nimi usługi (DNS, WHOIS, rejestracja, hosting) stają się częścią kluczowej infrastruktury cyfrowej. A to niesie za sobą konsekwencje – obowiązek raportowania incydentów, wdrażania polityk bezpieczeństwa, a w niektórych przypadkach również konieczność rejestracji jako „podmiot ważny”. Pozwól, że wyjaśnimy Ci, jak to dokładnie działa.
- O czym mówi dyrektywa NIS2?
- Jak NIS2 wpływa na rejestrację domeny?
- Dyrektywa NIS2 a resellerzy domen
- Wnioski i co dalej?
O czym mówi dyrektywa NIS2?
NIS2 (ang. Network and Information Systems Directive 2) to unijna dyrektywa, która nie tyle prosi, co nakazuje, byśmy potraktowali cyberbezpieczeństwo serio – i to nie tylko w korporacjach, ale też u dostawców usług cyfrowych i administracji publicznej. To kontynuacja i rozszerzenie wcześniejszej NIS1, ale z dużo większym rozmachem i konkretnymi sankcjami.
W skrócie:
- Chodzi o standaryzację środków bezpieczeństwa IT w całej UE.
- Obowiązki dotyczą m.in. raportowania incydentów, wdrażania procedur zarządzania ryzykiem i zabezpieczeń IT.
- Nowością jest podział podmiotów na kluczowe i ważne, a także wymóg rejestracji tych firm oraz odpowiedzialność zarządu za zgodność z przepisami.
Jak NIS2 wpływa na rejestrację domeny?
Z pozoru mogłoby się wydawać, że „domena to tylko adres”, a rejestracja to sprawa techniczna i administracyjna. Jednak jeśli przyjrzysz się, co zawiera załącznik II do dyrektywy, zobaczysz, że usługi cyfrowe (w tym rejestratorzy domen, dostawcy usług DNS, platformy chmurowe) są traktowane jako podmioty ważne. A to oznacza jedno: NIS2 ich dotyczy.
Rejestracja domen – szczególnie w skali masowej lub w sektorach kluczowych – staje się elementem infrastruktury cyfrowej. A infrastruktura cyfrowa to:
- DNS, usługi WHOIS,
- dostępność usług domenowych 24/7,
- bezpieczeństwo danych abonentów.
Zgodnie z NIS2:
- Incydenty bezpieczeństwa w infrastrukturze domen (np. awarie DNS, przejęcia domen, ataki DDoS) muszą być raportowane w ciągu 24h
- Operatorzy domen powinni posiadać wdrożone procedury zarządzania ryzykiem, backupy, systemy monitoringu oraz audytować bezpieczeństwo co 2 lata.
Jeśli więc działasz jako rejestrator, pośrednik lub reseller – musisz to wiedzieć.
Dyrektywa NIS2 a resellerzy domen
Resellerzy domen nie są wprost nazwani w treści dyrektywy, ale… tu pojawia się istotne słowo-klucz: łańcuch dostaw.
Zgodnie z NIS2:
- Nawet małe firmy, które świadczą usługi cyfrowe lub wchodzą w łańcuchy dostaw firm kluczowych/ważnych, mogą zostać objęte obowiązkami NIS2.
- Oznacza to, że jeśli jesteś resellerem, który oferuje domeny dla firm z sektora energetyki, zdrowia, transportu czy administracji – Twoje działania wpływają na ich bezpieczeństwo, więc Ty też możesz podlegać przepisom.
Co to oznacza w praktyce?
- Musisz znać źródło pochodzenia usług, które oferujesz (np. rejestrator, DNS, hosting).
- Warto posiadać dokumentację bezpieczeństwa – nawet uproszczoną.
- Dobrą praktyką będzie podpisywanie umów z klauzulami o zgodności z NIS2 oraz audytowanie dostawców upstream (czyli np. głównych rejestratorów).
- Przygotuj się na pytania klientów z sektora kluczowego o zgodność Twojej usługi z NIS2.
Wnioski i co dalej?
Jeśli prowadzisz firmę rejestrującą lub sprzedającą domeny:
- Zidentyfikuj, czy jesteś podmiotem ważnym lub wchodzisz w łańcuch dostaw dla takich podmiotów.
- Sprawdź, czy Twoje systemy są zabezpieczone (hasła, kopie zapasowe, monitoring, logowanie incydentów).
- Rozważ audyt IT oraz przygotowanie do ewentualnej rejestracji jako podmiot zgodny z NIS2.
Jeśli jesteś abonentem domeny (np. firma w sektorze publicznym, medycznym, logistycznym):
- Upewnij się, że Twój dostawca domeny nie jest "dziurą" w Twoim systemie zabezpieczeń.
- Sprawdź, czy oferuje SLA, monitoring, bezpieczeństwo konta i mechanizmy reagowania na incydenty.