Betreiben Sie ein TLD-Namenregister gemäß EU 2024/2690?

„Wir registrieren Domains für unsere Kunden. Dann sind wir vermutlich ein TLD-Namenregister, oder?“

Nein. Wer einem Kunden beispiel.de verkauft, betreibt deshalb noch lange nicht das Register für die gesamte Top-Level-Domain .de. Das wäre ungefähr so, als würde ein Reisebüro aus dem Verkauf eines Bahntickets schließen, dass ihm nun der Hauptbahnhof gehört.

Die Verwechslung ist trotzdem verständlich. Im Domain-Geschäft begegnen einem Registry, Registrar, Reseller, Registrant, DNS-Anbieter und Registry-Backend. Alle haben irgendwie mit Domains zu tun. Nur eine dieser Rollen ist aber das TLD-Namenregister im Sinne von NIS-2 – und davon gibt es naturgemäß deutlich weniger als Webhoster und Domainverkäufer.

Wer die Rolle tatsächlich innehat, sollte allerdings sehr genau weiterlesen. TLD-Namenregister werden unabhängig von ihrer Unternehmensgröße erfasst, gelten als wesentliche Einrichtungen und bekommen in der EU-Durchführungsverordnung 2024/2690 ausgesprochen konkrete Vorfallschwellen.

Die kurze Antwort

Ein TLD-Namenregister ist die Einrichtung, der eine bestimmte Top-Level-Domain übertragen wurde und die für deren Verwaltung sowie technischen Betrieb zuständig ist. Dazu gehören insbesondere:

• die Registrierung von Domänennamen unterhalb der TLD;
• der Betrieb der TLD-Namenserver;
• die Pflege der Registerdatenbanken und
• die Verteilung der TLD-Zonendateien über die Namenserver.

Das steht in Artikel 6 Nummer 21 der NIS-2-Richtlinie (EU) 2022/2555. Dabei bleibt die Einrichtung auch dann TLD-Namenregister, wenn sie Teile des technischen Betriebs auslagert. Ausgenommen sind Konstellationen, in denen TLD-Namen vom Register ausschließlich für eigene Zwecke verwendet werden.

Für .de gibt es also ein Register – aber sehr viele Registrare und Reseller, über die Nutzer ihre einzelnen .de-Domains beziehen. Diese Rollen sollte man nicht in einen Topf werfen und dann kräftig umrühren.

Was ist eine Top-Level-Domain?

Die Top-Level-Domain ist der äußerste rechte Teil eines Domainnamens: .de, .eu, .com oder auch eine neuere Endung wie .shop. Sie bildet eine Ebene unmittelbar unterhalb der DNS-Wurzel.

Die Root Zone Database der IANA zeigt die delegierten Top-Level-Domains und die jeweils zuständigen Organisationen. Dort finden sich länderspezifische Endungen, sogenannte ccTLDs, ebenso wie generische Endungen. Für .eu nennt IANA beispielsweise EURid als zuständige Organisation.

Das TLD-Namenregister verwaltet nicht jede Website unter dieser Endung. Es führt vielmehr den zentralen Datenbestand darüber, welche Domains unter der TLD registriert sind und welche autoritativen Nameserver für diese Domains zuständig sind. Aus diesen Daten entsteht die Zonendatei der TLD, die über deren autoritative Namenserver veröffentlicht wird.

Der Name „Register“ ist also ziemlich passend: Es geht um den maßgeblichen Bestand und dessen technischen Betrieb – nicht um den einzelnen Verkaufsvorgang im Onlineshop eines Webhosters.

Register, Registrar, Reseller und Registrant

Die Rollen lassen sich praktisch so auseinanderhalten:

Die ICANN beschreibt die Registry als Betreiberin des zentralen Registerdatenbestands einer TLD. Registrare reichen dagegen Anträge ein, mit denen Domains hinzugefügt, geändert oder gelöscht werden. Der Registrant ist schließlich der Inhaber beziehungsweise Nutzungsberechtigte der einzelnen Domain.

In einem Satz: Das Register verwaltet die Endung, der Registrar vermittelt Domains darunter und der Registrant nutzt eine davon.

Ausgelagert heißt nicht weg

Ein besonders wichtiger Halbsatz in Artikel 6 Nummer 21 der NIS-2-Richtlinie (EU) 2022/2555 lautet sinngemäß: Es ist unerheblich, ob die Einrichtung den Betrieb selbst durchführt oder auslagert.

Das verhindert eine recht bequeme Fluchtbewegung: „Unsere Datenbank und Nameserver betreibt ein Dienstleister, also sind wir selbst vermutlich gar kein Register.“

Doch. Wenn Ihnen die TLD übertragen wurde und Sie für ihre Verwaltung und den technischen Betrieb zuständig sind, macht das Outsourcing aus der Rolle keinen Nebel. Der technische Backend-Anbieter kann seinerseits weitere rechtliche Rollen erfüllen. Das Register bleibt aber verantwortlich für die ausgelagerten Tätigkeiten und muss die Abhängigkeit beherrschen.

Gerade deshalb sind sichere Lieferanten und Lieferketten für ein TLD-Namenregister kein hübscher Zusatz. Wer zentrale Datenbanken, EPP-Schnittstellen, Anycast-Infrastruktur, Nameserver oder DDoS-Schutz einkauft, kauft damit einen Teil der eigenen Betriebsfähigkeit ein.

Spielt die Unternehmensgröße eine Rolle?

Ja – aber nicht als Eintrittskarte in den Anwendungsbereich.

Artikel 2 Absatz 2 Buchstabe a Ziffer iii der NIS-2-Richtlinie (EU) 2022/2555 erfasst TLD-Namenregister ausdrücklich unabhängig von ihrer Größe. Nach Artikel 3 Absatz 1 Buchstabe b derselben Richtlinie gelten sie unabhängig von ihrer Größe als wesentliche Einrichtungen.

• Kleinstunternehmen: können als TLD-Namenregister erfasst sein.
• Kleine Unternehmen: können als TLD-Namenregister erfasst sein.
• Mittlere Unternehmen: können als TLD-Namenregister erfasst sein.

Große Einrichtungen selbstverständlich ebenfalls. Wer tatsächlich eine TLD verwaltet, kann sich also nicht mit Beschäftigtenzahl, Umsatz oder Bilanzsumme aus der Einordnung herausrechnen.

Das heißt nicht, dass alle Register exakt dieselbe Sicherheitsorganisation bauen müssen. Die Erwägungsgründe 4 bis 6 der Durchführungsverordnung (EU) 2024/2690 betonen Verhältnismäßigkeit, Risiko, Größe und Struktur. Auch hier gilt: Die Größe beeinflusst das Wie der Umsetzung, nicht das Ob der Betroffenheit.

Die eigene Marken-TLD ist ein anderer Prüfpunkt. Artikel 6 Nummer 21 der NIS-2-Richtlinie (EU) 2022/2555 nimmt Situationen aus, in denen die TLD-Namen vom Register nur für eigene Zwecke verwendet werden. Ob das bei einer konkreten Marken-TLD wirklich vollständig zutrifft, sollte anhand der Delegation, Registry-Struktur und tatsächlichen Nutzung geprüft werden – nicht anhand des Logos auf der Startseite.

Welche zusätzlichen Pflichten gibt es rund um Registrierungsdaten?

TLD-Namenregister haben nicht nur die allgemeinen NIS-2-Risikomanagement- und Meldepflichten. Artikel 28 der NIS-2-Richtlinie (EU) 2022/2555 enthält besondere Vorgaben für Domänennamen-Registrierungsdaten.

TLD-Namenregister und Einrichtungen, die Domänennamen-Registrierungsdienste erbringen, müssen genaue und vollständige Registrierungsdaten mit der gebotenen Sorgfalt sammeln und pflegen. Sie müssen hierfür öffentlich zugängliche Richtlinien und Verfahren haben, auch zur Überprüfung der Daten. Nicht personenbezogene Registrierungsdaten müssen unverzüglich öffentlich zugänglich gemacht werden. Für rechtmäßige und hinreichend begründete Anträge berechtigter Zugangssuchender verlangt Artikel 28 Absatz 5 derselben Richtlinie grundsätzlich eine Antwort ohne unangemessene Verzögerung, spätestens innerhalb von 72 Stunden.

Das ist mehr als eine Datenbank mit ein paar Pflichtfeldern. Es braucht Zuständigkeiten, Prüfregeln, Datenschutz, Zugriffsmöglichkeiten, Nachvollziehbarkeit und belastbare Schnittstellen zu Registraren. Gleichzeitig soll Artikel 28 Absatz 6 derselben Richtlinie eine doppelte Erhebung derselben Daten vermeiden.

Wer dazu sagt „Die Daten kommen doch vom Registrar“, beschreibt eine Lieferkette. Er beseitigt damit keine Pflicht.

Was verlangt die EU-Durchführungsverordnung 2024/2690?

Die Durchführungsverordnung (EU) 2024/2690 konkretisiert für TLD-Namenregister die technischen und methodischen Anforderungen des Cybersicherheits-Risikomanagements. Ihr Anhang behandelt 49 Unterthemen – von Governance und Risikomanagement über Incident Management, BCM, Lieferketten und sichere Entwicklung bis zu Zugriffen, Assets, Logging und physischer Sicherheit.

Für ein Register gehören unter anderem diese Dinge ins praktische Bild:

• Verfügbarkeit und Resilienz der autoritativen TLD-Namenserver;
• Schutz und Integrität von Registry-Datenbank und Zonenerzeugung;
• abgesicherte Verwaltungs- und Registrar-Schnittstellen;
• streng kontrollierte privilegierte Zugänge;
• nachvollziehbare Änderungen und belastbare Protokollierung;
• Überwachung von Antwortzeiten, Ausfällen und Manipulationen;
• Wiederanlauf, Notfallkommunikation und Tests;
• Steuerung ausgelagerter Registry- und Infrastrukturleistungen.

Hilfreich sind dazu unsere Praxisartikel über Asset Management, Logging und Monitoring, Informationssicherheitsvorfall-Management und Risikomanagement.

Wann ist ein TLD-Sicherheitsvorfall erheblich?

Artikel 6 der Durchführungsverordnung (EU) 2024/2690 nennt drei TLD-spezifische Kriterien. Ein Vorfall gilt als erheblich, wenn mindestens eines davon erfüllt ist:

1. Ein autoritativer Dienst zur Auflösung von Domänennamen ist vollständig nicht verfügbar.
2. Die durchschnittliche Antwortzeit des autoritativen Dienstes auf DNS-Anfragen liegt mehr als eine Stunde lang über 10 Sekunden.
3. Integrität, Vertraulichkeit oder Authentizität der Daten, die mit dem technischen Betrieb der TLD zusammenhängen, sind beeinträchtigt.

Beim ersten Punkt fällt auf, was dort nicht steht: keine Mindestdauer. Für DNS-Diensteanbieter nennt Artikel 5 der Verordnung bei vollständiger Nichtverfügbarkeit mehr als 30 Minuten. Beim TLD-Namenregister genügt nach dem Wortlaut des speziellen Kriteriums die vollständige Nichtverfügbarkeit. Unser Artikel zu DNS-Diensteanbietern erklärt den Unterschied ausführlicher.

Auch beim dritten Punkt gibt es nicht die enge Fehlkonfigurationsausnahme, die Artikel 5 für DNS-Diensteanbieter vorsieht. Das ist plausibel: Ein Fehler auf TLD-Ebene kann sehr viele darunterliegende Domains gleichzeitig treffen.

Zusätzlich bleiben die horizontalen Kriterien aus Artikel 3 und die Zusammenrechnung wiederholter Vorfälle nach Artikel 4 der Durchführungsverordnung (EU) 2024/2690 relevant. Ein Register braucht deshalb Monitoring, Alarmierung und Eskalation, die diese Kriterien tatsächlich erkennen können – nicht erst einen Krisenstab, der nach drei Stunden fragt, ob jemand zufällig die Uhrzeit notiert hat.

Hilft ISO 27001 bei der Umsetzung?

Ein wirksames ISO 27001-Managementsystem passt sehr gut als organisatorisches Fundament. Risikomanagement, Lieferantensteuerung, Business Continuity, sichere Änderungen, Zugriffskontrolle, Logging, Assets und Verbesserung überschneiden sich deutlich mit der Durchführungsverordnung. Deren Erwägungsgrund 3 nennt ISO/IEC 27001 und ISO/IEC 27002 ausdrücklich als fachliche Grundlage.

Das Zertifikat ersetzt aber weder die Einordnung als TLD-Namenregister noch Artikel 28 der NIS-2-Richtlinie, die TLD-spezifischen Vorfallschwellen oder die gesetzlichen Melde- und Aufsichtspflichten. Außerdem muss der relevante Registry-Betrieb tatsächlich im Scope des ISMS liegen.

Der sinnvolle Weg ist deshalb ein Mapping: Anforderungen der Verordnung und der Richtlinie auf vorhandene Prozesse und Nachweise legen, Lücken erkennen und konkreten Handlungsbedarf ableiten. Ein Zertifikat ist dabei Werkzeug und Nachweis – kein europäischer Freifahrtschein mit Goldrand.

So prüfen Sie Ihre Rolle praktisch

1. Prüfen Sie in der IANA Root Zone Database, welcher Einrichtung die betreffende TLD zugeordnet ist.
2. Klären Sie, welche juristische Person die TLD verwaltet und gegenüber welchen Stellen verantwortlich ist.
3. Trennen Sie Register, Registrar, Reseller, Registrant und DNS-Betrieb.
4. Dokumentieren Sie, welche Registry-Funktionen intern und welche ausgelagert erbracht werden.
5. Prüfen Sie bei einer Marken-TLD, ob sämtliche Namen tatsächlich ausschließlich eigenen Zwecken dienen.
6. Verwerfen Sie die Betroffenheit nicht wegen geringer Unternehmensgröße.
7. Nehmen Sie neben der Durchführungsverordnung auch Registrierungsdaten nach Artikel 28 in den Prüfbereich auf.
8. Prüfen Sie nationale Registrierung, Zuständigkeit, Aufsicht und Meldewege.
9. Führen Sie anschließend ein detailliertes Mapping und eine Gap-Analyse durch.

Interesse geweckt?

Dieser Artikel gehört zu unserer Serie über die EU-Durchführungsverordnung 2024/2690. Dort finden Sie alle elf erfassten Anbietergruppen und die gemeinsame Prüfstruktur. Nach DNS und TLD wechseln wir im nächsten Beitrag von der Domainwelt in die Cloud – wo die Definition wieder ganz andere Stolperdrähte auslegt.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist keine Rechtsberatung und keine verbindliche Einstufung Ihres Unternehmens. Wir leiten die Einordnung aus den genannten Rechtsakten und verfügbaren Behördenhinweisen ab. Gesetze, Auslegung und Verwaltungspraxis können sich ändern – und die zuständigen Stellen rufen uns erfahrungsgemäß nicht an, wenn sie das tun. Lassen Sie Grenzfälle deshalb rechtlich prüfen.