Leverer jeres virksomhed domænenavnsregistreringstjenester, eller administrerer I et topdomæne, gælder der særlige regler om registreringsdata i NIS 2-lovens § 11 og i bekendtgørelse nr. 653 af 4. juni 2025. De handler om at kontrollere registrantens oplysninger, holde en nøjagtig database og svare på anmodninger om adgang inden for 72 timer.
Læserkredsen er lille, men reglerne er skarpe. Bekendtgørelsen har egne bestemmelser om påbud og bødestraf. En audit af området ser derfor på procedurer, systemer og frister, og den bygger på stikprøver i registreringerne.
Hvem reglerne gælder
Bekendtgørelsen gælder topdomænenavneadministratorer og enheder, der leverer domænenavnsregistreringstjenester, og som er omfattet af NIS 2-loven (§ 1). Den er udstedt af Digitaliseringsministeriet med hjemmel i lovens § 11, stk. 8, og § 32, stk. 3, og trådte i kraft 1. januar 2026 (§ 9). Digitaliseringsstyrelsen er kompetent myndighed.
Domænenavnsregistratorer står ikke i forordning 2024/2690’s artikel 1. Deres særregler er § 11 og bekendtgørelsen. Leverer samme virksomhed også fx DNS- eller cloudtjenester, gælder forordningen for de tjenester. Afgrænsningen er forklaret i hvem forordningen rammer.
Lovens § 11
Lovens § 11 kræver en database med nøjagtige og fuldstændige registreringsdata. Den skal mindst indeholde domænenavnet, registreringsdatoen, registrantens navn, e-mailadresse og telefonnummer og kontaktpunktets e-mailadresse og telefonnummer.
Enheden skal have offentliggjorte politikker og procedurer, herunder verifikationsprocedurer. Data, der ikke er personoplysninger, skal offentliggøres. Anmodninger om adgang skal besvares senest inden for 72 timer.
Validering og verifikation
Bekendtgørelsens § 2 definerer bl.a. syntaktisk validering, operationel verifikation, identitetsverifikation og DNS-misbrug. DNS-misbrug omfatter botnet, phishing, pharming, malware og spam brugt som leveringsmekanisme for disse.
Efter § 3 skal registrantens e-mailadresse eller telefonnummer være syntaktisk valideret og operationelt verificeret ved registreringen. E-mail kontrolleres efter RFC 5322 og telefonnummer efter ITU-T E.164. Kontrollen gentages ved overførsel til en ny registrant og ved en skriftligt begrundet mistanke om DNS-misbrug eller forkerte kontaktoplysninger. Har registranten flere domæner hos samme enhed, er det nok at gøre det for ét.
Efter § 4 verificeres registrantens navn med elektronisk identifikation, i det omfang det er muligt. Ellers bruges en risikobaseret tilgang ved registrering og ved hver fornyelse. Viser den risikobaserede vurdering medium eller høj risiko for ondsindet brug, kræves identitetsverifikation.
Fristerne
Bekendtgørelsens § 5 og § 6 har fristerne.
- Kan validering og verifikation ikke ske, må domænet først gøres aktivt, når den er gennemført.
- Er det teknisk umuligt før aktivering, skal det ske senest 72 timer efter. Ellers suspenderes eller slettes domænet uden ugrundet ophold.
- Ved overførsel, mistanke eller fornyelse suspenderes eller slettes domænet inden for 30 dage, hvis validering ikke kan ske.
- Legitime adgangssøgende får adgang på en lovlig og behørigt begrundet anmodning uden unødigt ophold og under alle omstændigheder inden for 72 timer.
- Øvrige adgangssøgende får inden for 72 timer besked om, hvorvidt adgang gives. Et afslag begrundes.
Efter § 7 kan der meddeles påbud. Efter § 8 straffes overtrædelse af §§ 3 til 6 og manglende efterkommelse af påbud med bøde, og juridiske personer kan straffes.
Sådan auditeres området
Det følgende er almindelig auditpraksis og ikke bekendtgørelsens ord.
Auditor læser de offentliggjorte politikker og procedurer og sammenholder dem med § 3 til § 6. Står fristerne i procedurerne, og står der, hvem der gør hvad?
Dernæst trækkes stikprøver i registreringerne. For et antal nye domæner ser auditor efter tidsstempel for registrering, tidsstempel for verifikation og tidspunktet for aktivering. Er domænet aktiveret før verifikationen, ser auditor efter, om den kom inden for 72 timer, og hvad der skete, hvis den ikke gjorde.
Samme metode bruges på anmodningerne om adgang. Auditor vælger nogle anmodninger og måler tiden fra modtagelse til svar. Afslag skal være begrundet.
Den risikobaserede vurdering efter § 4 kræver særlig opmærksomhed. Auditor beder om metoden og om eksempler på registreringer, der blev vurderet til medium eller høj risiko, og ser efter, at identitetsverifikationen blev gennemført.
De tekniske kontrolpunkter i selve registreringssystemet, fx logning og adgangsstyring, hører til en teknisk gennemgang af systemerne.
Hvad det kræver, og hvad det koster at lade være
Det kræver procedurer, der følger bekendtgørelsen punkt for punkt, og systemer, der gemmer tidsstempler for registrering, verifikation, aktivering og svar. Uden tidsstemplerne kan fristerne hverken overvåges internt eller vises over for tilsynet.
Reglerne har egne sanktioner. Påbud og bøde kan ramme overtrædelser af selve validerings- og fristreglerne, uafhængigt af resten af NIS 2-kravene.
Det skal I lade være med
- At aktivere domæner uden at måle tiden til verifikation · fristen på 72 timer kan ikke kontrolleres bagefter.
- At lade den risikobaserede vurdering være udokumenteret · § 4 kræver identitetsverifikation ved medium og høj risiko.
- At gå ud fra, at forordning 2024/2690 dækker registreringsdata · reglerne står i § 11 og bekendtgørelsen.
Det skal auditten kunne vise
- ☐ Offentliggjorte politikker og verifikationsprocedurer, der følger § 3 til § 6.
- ☐ En database med de felter, § 11 kræver.
- ☐ Tidsstempler for registrering, verifikation og aktivering i stikprøverne.
- ☐ Suspension eller sletning, hvor verifikationen ikke kom inden for fristen.
- ☐ Svartider på anmodninger om adgang og begrundede afslag.
- ☐ En beskrevet risikobaseret metode efter § 4 med eksempler.
Kilder
- Bekendtgørelse nr. 653 af 4. juni 2025 om validering, verifikation og udlevering af domænenavnsregistreringsdata, https://www.retsinformation.dk/eli/lta/2025/653, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), § 11, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Bekendtgørelse nr. 620 af 2. juni 2025, § 6, https://www.retsinformation.dk/eli/lta/2025/620, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Træk ti nye registreringer fra sidste måned, og mål tiden fra registrering til verifikation for hver af dem.
Læs også: Stikprøver i audit · Logs og ændringsspor som bevis
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
