Sind Sie DNS-Diensteanbieter gemäß EU 2024/2690?

„DNS-Diensteanbieter? Nein, sind wir nicht. Wir machen Webhosting. Die Domains unserer Kunden zeigen wir halt auch noch auf die richtigen Server.“

Genau an dieser Stelle kann aus einem unscheinbaren „machen wir halt mit“ eine ziemlich ausgewachsene Rechtsfolge werden.

DNS ist für viele Hostingunternehmen keine prominent beworbene Dienstleistung. Es läuft irgendwo zwischen Domainbestellung, Webspace und E-Mail einfach mit. Vielleicht betreibt das Unternehmen zwei Nameserver, verwaltet darauf die Zonen seiner Kunden und hat noch nie jemanden eingestellt, dessen Visitenkarte „Leiter der DNS-Diensteabteilung“ sagt. Das ist der gesetzlichen Definition herzlich egal.

Noch überraschender ist die Größenregel: DNS-Diensteanbieter können unabhängig von ihrer Unternehmensgröße unter NIS-2 fallen. Der Ein-Personen-Webhoster darf sich also nicht allein mit dem Hinweis zurücklehnen, dass sein Jahresabschluss bequem in eine Klarsichthülle passt.

Die kurze Antwort

Nach Artikel 6 Nummer 20 der NIS-2-Richtlinie (EU) 2022/2555 ist DNS-Diensteanbieter, wer mindestens eine von zwei Leistungen anbietet:

1. öffentlich verfügbare rekursive Dienste zur Auflösung von Domänennamen für Internet-Endnutzer oder
2. autoritative Dienste zur Auflösung von Domänennamen zur Nutzung durch Dritte.

Root-Namenserver nimmt die Definition ausdrücklich aus.

Praktisch bedeutet das: Ein öffentlicher Resolver kann darunterfallen. Ein Webhoster, der die autoritativen DNS-Zonen seiner Kunden tatsächlich selbst betreibt, kann ebenfalls darunterfallen. Der rein interne DNS-Server eines Unternehmens ist dagegen kein öffentlich verfügbarer rekursiver Dienst. Und wer ausschließlich die eigenen Domains autoritativ auflöst, bietet diese Leistung nicht zur Nutzung durch Dritte an.

Erst muss also geklärt werden, wer welchen DNS-Dienst für wen tatsächlich erbringt. Die Berufsbezeichnung und die Navigationspunkte auf der Website helfen dabei nur begrenzt.

Was macht DNS eigentlich?

Das Domain Name System ist, etwas grob gesagt, das Adressverzeichnis des Internets. Menschen möchten einfachiso.de eingeben. Computer brauchen eine technische Adresse und weitere Informationen, damit sie wissen, wohin die Anfrage gehört. DNS sorgt dafür, dass aus einem merkbaren Namen ein erreichbares Ziel wird.

Dabei werden zwei Rollen gern durcheinandergeworfen:

• Ein rekursiver DNS-Dienst nimmt die Frage eines Endnutzers entgegen und sucht die Antwort entlang der DNS-Hierarchie zusammen. Solche Resolver betreiben etwa Internetzugangsanbieter oder spezialisierte öffentliche DNS-Anbieter.
• Ein autoritatives DNS liefert die verbindliche Antwort für eine bestimmte Zone. Es weiß beispielsweise, welche Server für die Website und die E-Mails einer Kundendomain zuständig sind.

Das eine fragt sich durch, das andere ist für seine Zone die maßgebliche Auskunft. Beides kann ein DNS-Dienst im Sinne von NIS-2 sein – aber nur unter den zusätzlichen Bedingungen der Definition.

Öffentlich rekursiv oder autoritativ für Dritte

Öffentlich verfügbare rekursive DNS-Dienste

Nicht jeder rekursive Resolver macht seinen Betreiber zum DNS-Diensteanbieter. Die NIS-2-Richtlinie (EU) 2022/2555 verlangt in Artikel 6 Nummer 20 Buchstabe a, dass der Dienst für Internet-Endnutzer öffentlich verfügbar ist.

Der interne Resolver, den nur Beschäftigte im Firmennetz oder über das Unternehmens-VPN benutzen, ist deshalb etwas anderes als ein Resolver, den beliebige Internet-Endnutzer verwenden können. Auch ein Resolver, den ein Internetzugangsanbieter seinen Kunden als Teil des Zugangs bereitstellt, gehört grundsätzlich in diese Prüfung.

Autoritative DNS-Dienste für Dritte

Bei autoritativem DNS lautet die entscheidende Formulierung in Artikel 6 Nummer 20 Buchstabe b derselben Richtlinie: zur Nutzung durch Dritte.

Das ist der für Webhoster spannende Teil. Wer auf eigenen oder von ihm kontrollierten Nameservern die DNS-Zonen von Kunden betreibt, liefert autoritative Antworten für fremde Domains. Dass diese Leistung im Hostingpaket enthalten ist und auf der Rechnung keinen eigenen Preis hat, macht sie nicht unsichtbar.

Wer dagegen nur die DNS-Zone der eigenen Unternehmensdomain verwaltet, erbringt den Dienst nicht zur Nutzung durch Dritte. Auch ein Domainhändler, der lediglich einen fremden DNS-Dienst weiterverkauft, muss genauer hinsehen: Wer bietet die Leistung rechtlich an, wer betreibt sie tatsächlich und wer trägt die Verantwortung? Ein Reseller-Schild beantwortet das nicht automatisch.

Webhoster, Registrar und DNS-Diensteanbieter sind nicht dasselbe

Eine Domain registrieren, eine Website hosten und DNS bereitstellen sind drei verschiedene Leistungen, auch wenn sie im selben Paket verkauft werden.

Besonders tückisch ist die Formulierung „Das macht unser Rechenzentrum“. Damit kann gemeint sein, dass der Webhoster einen technischen Unterauftragnehmer nutzt. Es kann aber auch heißen, dass der fremde Anbieter den DNS-Dienst selbst gegenüber den Kunden erbringt. Für die Einordnung braucht man deshalb Verträge, Leistungsbeschreibungen, Rechnungen und die technische Wirklichkeit – nicht nur eine spontane Antwort aus dem Vertrieb.

Spielt die Unternehmensgröße eine Rolle?

Ja – aber bei DNS-Diensteanbietern ganz anders als bei den meisten anderen Anbietergruppen.

Artikel 2 Absatz 2 Buchstabe a Ziffer iii der NIS-2-Richtlinie (EU) 2022/2555 erfasst DNS-Diensteanbieter ausdrücklich unabhängig von ihrer Größe. Artikel 3 Absatz 1 Buchstabe b derselben Richtlinie ordnet sie ebenfalls unabhängig von ihrer Größe als wesentliche Einrichtungen ein.

• Kleinstunternehmen: können als DNS-Diensteanbieter erfasst sein.
• Kleine Unternehmen: können als DNS-Diensteanbieter erfasst sein.
• Mittlere Unternehmen: können als DNS-Diensteanbieter erfasst sein.

Und große natürlich auch. Die üblichen Schwellenwerte sind hier also keine Eingangsschranke.

Nehmen wir einen kleinen selbstständigen Webhoster, der für 80 Kundendomains eigene autoritative Nameserver betreibt. Die geringe Zahl der Beschäftigten und der überschaubare Umsatz nehmen ihn nicht automatisch aus der Definition heraus. Ob alle weiteren Voraussetzungen erfüllt sind und welches nationale Recht konkret greift, muss sauber geprüft werden. „Wir sind doch viel zu klein für NIS-2“ ist bei DNS jedenfalls keine belastbare Begründung.

Die Größe bleibt trotzdem relevant. Die Durchführungsverordnung (EU) 2024/2690 verlangt keine Sicherheitsorganisation aus dem Großkonzern-Fotokopierer. Ihre Erwägungsgründe 4 bis 6 betonen Verhältnismäßigkeit, Risiko, Größe und Struktur der Einrichtung. Kleine Anbieter dürfen also angemessen umsetzen und gegebenenfalls kompensierende Maßnahmen wählen. Größe beeinflusst das Wie, nicht das Ob.

Was verlangt die EU-Durchführungsverordnung 2024/2690?

Wer als DNS-Diensteanbieter in den Anwendungsbereich fällt, landet bei der Durchführungsverordnung (EU) 2024/2690. Sie konkretisiert die technischen und methodischen Anforderungen an das Cybersicherheits-Risikomanagement.

Der Anhang behandelt unter anderem Governance, Risikomanagement, Vorfallbehandlung, Business Continuity, Lieferkettensicherheit, sichere Beschaffung und Entwicklung, Wirksamkeitsprüfungen, Awareness, Kryptografie, Personal, Zugriffskontrolle, Asset Management, Logging sowie physische Sicherheit. Wer das für eine reine Firewall-Einkaufsliste hält, wird beim Lesen schnell unglücklich.

Für einen DNS-Anbieter sind beispielsweise besonders naheliegend:

• redundante und belastbar betriebene DNS-Infrastruktur;
• geregelte Änderungen an Zonen und Konfigurationen;
• Schutz administrativer Zugänge;
• Überwachung von Verfügbarkeit, Antwortzeiten und Manipulationen;
• belastbare Logs und Alarmierung;
• Vorfall- und Wiederanlaufverfahren;
• sichere Lieferanten und technische Abhängigkeiten;
• dokumentierte Verantwortlichkeiten und Wirksamkeitsprüfungen.

Zu Logging und Monitoring, Systemen zur Angriffserkennung, Kryptografie und einem belastbaren Informationssicherheitsvorfall-Management haben wir bereits eigene Praxisartikel.

Wann ist ein DNS-Sicherheitsvorfall erheblich?

Artikel 5 der Durchführungsverordnung (EU) 2024/2690 nennt für DNS-Diensteanbieter drei sehr konkrete Schwellen. Ein Sicherheitsvorfall gilt als erheblich, wenn mindestens eines dieser Kriterien erfüllt ist:

1. Ein rekursiver oder autoritativer Dienst zur Auflösung von Domänennamen ist mehr als 30 Minuten vollständig nicht verfügbar.
2. Die durchschnittliche Antwortzeit eines solchen Dienstes auf DNS-Anfragen liegt mehr als eine Stunde lang über 10 Sekunden.
3. Integrität, Vertraulichkeit oder Authentizität der Daten des autoritativen DNS-Dienstes sind beeinträchtigt. Für bloße Fehlkonfigurationen gibt es eine enge Ausnahme: Betroffen sind weniger als 1.000 verwaltete Domänennamen und zugleich höchstens 1 Prozent aller vom Anbieter verwalteten Domänennamen.

Gerade das dritte Kriterium sollte niemand als großzügigen Freibetrag für falsche DNS-Einträge lesen. Die Ausnahme bezieht sich auf Fehlkonfigurationen. Eine böswillige Manipulation ist etwas anderes. Außerdem enthält die Verordnung horizontale Kriterien und in Artikel 4 eine Regel für wiederholte Vorfälle: Mehrere einzeln kleinere Vorfälle können zusammengenommen erheblich werden.

Diese Zahlen haben eine praktische Konsequenz: Wer sie melden muss, muss sie vorher messen können. Ohne Monitoring der Verfügbarkeit und Antwortzeiten, ohne nachvollziehbare Änderungen und ohne Überblick über die Zahl verwalteter Domains bleibt die Einstufung Kaffeesatzlesen mit Nameserver.

Hilft ISO 27001 bei der Umsetzung?

Ein ordentlich betriebenes ISO 27001-Managementsystem ist eine sehr gute Grundlage. Risikomanagement, Zuständigkeiten, Business Continuity, Lieferanten, Zugriffsschutz, Logging, Kryptografie, Assets und Verbesserung passen sehr gut zur Struktur der Durchführungsverordnung. Die Erwägungsgründe der Verordnung nennen ISO/IEC 27001 und ISO/IEC 27002 ausdrücklich als fachliche Grundlage.

Ein Zertifikat ersetzt aber weder die rechtliche Einordnung noch die konkreten DNS-Schwellenwerte, Meldewege und Detailanforderungen. Es beweist auch nicht automatisch, dass gerade der DNS-Dienst vollständig im Anwendungsbereich des zertifizierten ISMS liegt.

Sinnvoll ist deshalb ein echtes Mapping: Welche Vorgaben sind bereits durch das ISMS abgedeckt? Welche Nachweise existieren? Wo fordert die Verordnung konkretere Intervalle, Inhalte oder Schwellen? Und liegt der DNS-Dienst samt Personal, Infrastruktur und Lieferanten tatsächlich im Scope?

So prüfen Sie Ihre DNS-Eigenschaft praktisch

1. Schreiben Sie auf, welche juristische Person welchen DNS-Dienst gegenüber wem anbietet.
2. Trennen Sie rekursive von autoritativen Diensten.
3. Prüfen Sie bei rekursivem DNS, ob es für Internet-Endnutzer öffentlich verfügbar ist.
4. Prüfen Sie bei autoritativem DNS, ob es für Domains oder Zonen Dritter angeboten wird.
5. Klären Sie bei Reselling und Outsourcing, wer Leistung, Betrieb und Verantwortung tatsächlich trägt.
6. Dokumentieren Sie, warum interne Dienste und DNS nur für eigene Domains gegebenenfalls nicht unter die Definition fallen.
7. Verwerfen Sie die Einordnung nicht wegen geringer Unternehmensgröße.
8. Prüfen Sie nationale Registrierung, Zuständigkeit und Meldewege rechtlich.
9. Machen Sie anschließend eine Gap-Analyse gegen die Durchführungsverordnung und bauen Sie die Lücken in Ihr Risikomanagement ein.

Interesse geweckt?

Dieser Artikel gehört zu unserer Serie über die EU-Durchführungsverordnung 2024/2690. Im Hub finden Sie die elf erfassten Anbietergruppen und die gemeinsame Prüfstruktur. Die nächsten Artikel nehmen weitere Begriffe auseinander, bei denen ein unscheinbares technisches Nebenprodukt plötzlich rechtlich ziemlich viel Hauptrolle spielen kann.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist keine Rechtsberatung und keine verbindliche Einstufung Ihres Unternehmens. Wir leiten die Einordnung aus den genannten Rechtsakten und verfügbaren Behördenhinweisen ab. Gesetze, Auslegung und Verwaltungspraxis können sich ändern – und die zuständigen Stellen rufen uns erfahrungsgemäß nicht an, wenn sie das tun. Lassen Sie Grenzfälle deshalb rechtlich prüfen.