Amerikansk etablering innebär inte undantag från EU:s regelverk
En domänregistrar med säte i USA kan omfattas av både amerikansk och europeisk lagstiftning. Att företaget är registrerat i USA innebär inte automatiskt att det står utanför EU:s regelverk.
Dataskyddsförordningen (GDPR) kan vara tillämplig på leverantörer utanför EU när villkoren i artikel 3 är uppfyllda, bland annat vid relevant behandling av personuppgifter i samband med erbjudanden om tjänster till personer inom unionen. GDPR artikel 3
NIS2-direktivet omfattar också uttryckligen leverantörer av domännamnsregistreringstjänster som är etablerade utanför EU men erbjuder tjänster inom unionen. Artikel 26 innehåller bland annat bestämmelser om företrädare inom EU och jurisdiktion. NIS2 artikel 26
Utmaningen ligger i att säkerställa att tillämpliga skyldigheter faktiskt kan upprätthållas över nationsgränserna. Kunder och myndigheter behöver fungerande kontaktvägar, tydliga rutiner och effektiva möjligheter att eskalera ärenden.
En leverantör som enbart hänvisar till att verksamheten bedrivs enligt amerikansk lag, utan att förklara hur tillämpliga europeiska krav efterlevs, lämnar en väsentlig fråga obesvarad. Europeiska kunder bör kräva ett tydligt svar innan de anförtros leverantören ansvaret för verksamhetskritiska domäner.
Hantering av domänmissbruk kräver särskilda rutiner
Föreställ dig en nätfiskeattack riktad mot en europeisk organisation. En cyberkriminell registrerar en domän som liknar organisationens legitima domännamn och använder den för att samla in inloggningsuppgifter. Organisationen anmäler den fullständiga webbadressen, bifogar skärmbilder och beskriver hur angriparen utger sig för att företräda verksamheten.
Två separata frågor uppstår: vilka åtgärder krävs för att stoppa nätfisket, och under vilka förutsättningar får registrantens personuppgifter lämnas ut?
Dessa frågor kräver olika bedömningar. Begränsningar i möjligheten att lämna ut personuppgifter avgör inte i sig registrarns ansvar för att utreda och motverka missbruk.
Sedan den 5 april 2024 ställer ICANN:s uppdaterade avtalskrav krav på ackrediterade registrarer som hanterar berörda generiska toppdomäner att skyndsamt vidta lämpliga åtgärder när det finns tillräckligt konkret underlag som visar på DNS-missbruk. De definierade kategorierna omfattar nätfiske, skadlig programvara, botnät och pharming, samt skräppost som används för att sprida dessa hot. Skyldigheten är inte villkorad av att ett amerikanskt domstolsbeslut först måste inhämtas. ICANN:s krav för hantering av DNS-missbruk
Åtgärderna måste anpassas efter omständigheterna. Att stänga av en legitim domän som har komprometterats kan även slå ut e-post och andra viktiga tjänster. ICANN kräver därför ändamålsenliga åtgärder, men föreskriver ingen generell tidsfrist för nedstängning av domäner. ICANN:s krav för hantering av DNS-missbruk
För den som upphandlar domäntjänster är den avgörande frågan om registrarn kan visa att incidenter utreds skyndsamt, att beslut fattas på välgrundade grunder och att åtgärderna står i proportion till den skada som ska förhindras. En automatisk mottagnings-bekräftelse är i sig ingen garanti för en fungerande incidenthantering.
NIS2 skärper kraven på ansvar för domänregistreringsuppgifter
Artikel 28 i NIS2-direktivet kräver att medlemsstaterna inför bestämmelser om korrekta och fullständiga domänregistreringsuppgifter, rutiner för verifiering samt laglig tillgång till uppgifter för aktörer med legitimt behov av åtkomst.
Artikeln föreskriver att begäranden om tillgång till uppgifter ska besvaras utan onödigt dröjsmål och senast inom 72 timmar. Det är ett krav på svarstid, inte en garanti för att uppgifter lämnas ut eller en generell tidsfrist för nedstängning av domäner. NIS2-direktivet
Vilka skyldigheter som gäller beror på den nationella lagstiftning som genomför direktivet och på vilka tjänster leverantören faktiskt tillhandahåller. Domänregistreringstjänster, DNS-tjänster och drift av toppdomänregister ska inte förutsättas omfattas av identiska skyldigheter enligt NIS2. NIS2-direktivet
Europeiska organisationer bör därför fråga hur deras registrar verifierar registreringsuppgifter, bedömer rättsligt grundade begäranden om tillgång och motiverar eventuella avslag. Dessa processer är särskilt viktiga vid utredningar av identitetskapning, vilseledande domännamn och andra former av domänrelaterat missbruk.
Förordningen om digitala tjänster tillför ytterligare krav
EU:s förordning om digitala tjänster (Digital Services Act, DSA) gäller för relevanta förmedlingstjänster som erbjuds inom unionen, oavsett var leverantören är etablerad. Artikel 13 kräver att leverantörer som omfattas av förordningen och saknar etablering inom EU utser en rättslig företrädare i unionen. Förordningen om digitala tjänster
Skyldigheterna varierar beroende på vilken tjänst som tillhandahålls. Domänregistrarer nämns bland de aktörer som kan omfattas av kategorin enbart vidarebefordran (mere conduit), medan artikel 16:s krav på anmälnings- och åtgärdsmekanismer gäller värdtjänster.
En leverantör som erbjuder både domänregistrering och webbhotell måste därför bedöma vilka skyldigheter som gäller för respektive verksamhet. Förordningen om digitala tjänster
Kunder bör kunna förvänta sig att leverantören tydligt redovisar sitt ansvar och förklarar vilka kontaktvägar och processer som gäller för olika typer av missbruksanmälningar och rättsliga begäranden.
Begäranden om utlämnande från utländska myndigheter kräver noggrann prövning
Europeiska organisationer behöver också ta hänsyn till hur begäranden från myndigheter i tredjeländer kan påverka deras egna kundkonton och domänregistreringsuppgifter.
Europeiska dataskyddsstyrelsens (EDPB) slutliga vägledning om artikel 48 i GDPR klargör att en begäran från en utländsk myndighet inte i sig utgör en rättslig grund för personuppgiftsbehandling eller en grund för internationell överföring av personuppgifter.
Ett eventuellt utlämnande måste uppfylla GDPR:s krav på såväl behandling som överföring av personuppgifter. EDPB:s vägledning om GDPR artikel 48
Kunder bör undersöka vem som ansvarar för att bedöma motstridiga rättsliga skyldigheter, vilka skyddsåtgärder som tillämpas och under vilka omständigheter kunden kan informeras om en begäran.
Enbart datacentrets geografiska placering ger inte svar på dessa frågor.
Välj europeisk ansvarsskyldighet – och kontrollera att den fungerar i praktiken
För organisationer inom EU kan en registrar etablerad i unionen, med tydliga ägarförhållanden, tillgängliga rättsliga möjligheter och effektiva rutiner för incidenteskalering, erbjuda betydande praktiska fördelar. Dessa fördelar måste dock kunna styrkas.
Att ett företag är registrerat i Europa innebär inte automatiskt att det har välfungerande rutiner för missbrukshantering eller saknar beroenden till aktörer utanför EU.
Ägarstruktur, underleverantörer och den registeroperatör som ansvarar för respektive toppdomän måste också ingå i bedömningen. Ett byte till en europeisk registrar innebär inte nödvändigtvis att toppdomänregistrets jurisdiktion förändras.
Inför val eller förnyelse av en domänregistrar bör organisationen ställa följande krav:
- Tydliga företags- och ägaruppgifter: Identifiering av avtalspart, ägarstruktur och tillämpliga jurisdiktioner.
- Tillgängliga kontaktvägar inom EU: Uppgifter om relevanta företrädare inom unionen och fungerande kontaktvägar för myndigheter.
- Dokumenterad incidenthantering: Fastställda rutiner för utredning av domänmissbruk och skyndsam eskalering av allvarliga incidenter.
- Separata processer: Tydlig åtskillnad mellan åtgärder mot domänmissbruk och utlämnande av personuppgifter.
- Kontroll av registreringsuppgifter: Rutiner för verifiering av domänregistreringsuppgifter och hantering av lagliga begäranden om åtkomst.
- Robust kontosäkerhet: Starka skydd för kundkonton, dokumenterade återställningsrutiner och en genomförbar plan för överföring av domäner.
Vår rekommendation är att verifierbar europeisk ansvarsskyldighet ska vara ett centralt kriterium vid val av domänregistrar.
Om en leverantör inte kan redogöra för sina rättsliga skyldigheter eller visa att rutinerna för missbrukshantering fungerar i praktiken, måste denna osäkerhet vägas in i organisationens riskbedömning.
En domänregistrar anförtros ansvaret för en viktig del av organisationens digitala identitet. Förmågan att skydda denna identitet, agera vid missbruk och bistå vid rättsligt grundade utredningar förtjänar samma noggranna granskning som varje annan affärsrelation med en verksamhetskritisk leverantör.
