Dit document valt onder de volgende licentie:
Creative Commons 0 Public Domain Dedication
Dit document betreft een vastgestelde versie door de Interdepartementale Commissie Bedrijfsvoering Rijk (ICBR) na advisering door het CIO-beraad en de Voorlichtingsraad (VoRa).
Het Internetdomeinbeleid Rijksoverheid is een beleidskader voor hoe organisaties van de Rijksoverheid omgaan met internetdomeinen. Het beleid beschrijft de bindende afspraken waaraan bestaande en nieuwe domeinen moeten voldoen. Het gaat daarbij om afspraken over de naamgeving, de techniek, de administratie, en de organisatie van internetdomeinen van de Rijksoverheid.
Dagelijks bereiken miljoenen burgers en bedrijven via internetdomeinnamen de digitale dienstverlening en informatievoorziening van de Rijksoverheid. Internetdomeinnamen zijn unieke namen en hebben daardoor een sterk identificerend karakter. Ze vormen de spil voor digitale toegang tot de Rijksoverheid.
Als deze internetdomeinnamen slecht herkenbaar zijn of de bijbehorende internetdomeinen met online diensten niet goed worden beheerd, dan brengt dat risico's met zich mee voor burgers en bedrijven en ook voor de overheid zelf. Het gaat met name om risico's op het vlak van communicatie, informatiebeveiliging, toegankelijkheid en archivering. Er kan bijvoorbeeld verwarring ontstaan over het afzenderschap, digitale diensten kunnen minder goed worden gevonden, en informatie kan uitlekken of kan worden gemanipuleerd. Burgers kunnen hiervan het slachtoffer worden.
Daarom is het cruciaal dat de Rijksoverheid haar internetdomeinen op orde heeft.
Het Internetdomeinbeleid Rijksoverheid is een verplicht beleidskader voor hoe organisaties van de Rijksoverheid omgaan met internetdomeinen (hierna: "domeinen"). Het beleid beschrijft de bindende afspraken waaraan bestaande en nieuwe domeinnamen en ook de bijbehorende domeinen moeten voldoen. Het gaat daarbij om afspraken over de naamgeving, de techniek, de administratie, en de organisatie van domeinnamen van de Rijksoverheid. Het document vervangt het eerdere document "Domeinnaambeleid Rijksoverheid" (VoRa-besluit 9 juni 2011, ICBR-besluit 15 maart 2011).
Het doel van het Internetdomeinbeleid Rijksoverheid is om het vertrouwen van burgers en bedrijven in de digitale Rijksoverheid te vergroten door de herkenbaarheid en kwaliteit van domeinen te bevorderen.
Herkenbaarheid: Het moet duidelijk zijn wanneer de Rijksoverheid de afzender is. Daarom moeten burgers en bedrijven domeinen van de Rijksoverheid kunnen herkennen. Betere herkenbaarheid zorgt er ook voor dat websites van de Rijksoverheid beter vindbaar zijn.
Kwaliteit: Door overzicht van alle domeinnamen te hebben en door het aantal domeinnamen te beperken, is de Rijksoverheid beter in staat om ervoor te zorgen dat haar internetdomeinen voldoen aan (verplichte) kwaliteitseisen voor onder meer communicatie, informatiebeveiliging, toegankelijkheid en archivering. Daarnaast zorgt het Internetdomeinbeleid Rijksoverheid voor eenduidigheid en transparantie, voor bescherming van de juridische positie en voor kostenbeheersing.
Om bovenstaand doel te bereiken is het Internetdomeinbeleid Rijksoverheid ingericht op basis van de onderstaande uitgangspunten:
het maken en nakomen van afspraken over de naamgeving van domeinnamen;
het beperken van het aantal domeinnamen door conform het 'bestaand, tenzij'-principe zoveel mogelijk gebruik te maken van bestaande domeinnamen van de Rijksoverheid;
het realiseren van overzicht door alle domeinnamen van de Rijksoverheid correct te administreren;
het bevorderen van de betrouwbaarheid van domeinen van de Rijksoverheid door goede technische configuratie conform wetgeving, beleidskaders en verplichte standaarden voor onder meer communicatie, informatiebeveiliging, toegankelijkheid en archivering (zie ook hoofdstuk "4. Beleidscontext").
Het Internetdomeinbeleid Rijksoverheid heeft betrekking op alle domeinen die door de Rijksoverheid zijn geregistreerd en/of worden gebruikt, ongeacht het gebruiksdoel (bijvoorbeeld website, e-mail of parkeerpagina). Dit omvat zowel hoofddomeinen (zoals rijksoverheid.nl), subdomeinen (zoals wetten.overheid.nl) en domeinen met uniforme extensie (zoals business.gov.nl). Het beleid is van toepassing op alle organisaties die de Rijkshuisstijl dragen.
Wil je als rijksambtenaar een domeinnaam voor jouw organisatie gebruiken? Neem contact op met de domeinnaam-liaison binnen jouw organisatie of binnen het ministerie waaronder jouw organisatie valt. De domeinnaam-liaison is meestal te benaderen via de afdeling Communicatie. Mocht je niet in contact kunnen komen met jouw domeinnaam-liaison, neem dan contact op met Dienst Publiek en Communicatie (domeinnaam@minaz.nl) van het ministerie van Algemene Zaken. De domeinnaam-liaison heeft als enige het mandaat om nieuwe domeinen aan te vragen en/of wijzigingen te laten doorvoeren op bestaande domeinen.
Voor domeinnamen maken rijksorganisaties gebruik van het 'bestaand, tenzij'-principe, zoals ook is vastgelegd in het Rijksbreed afwegingskader online middelen (2020). Dat wil zeggen dat rijksorganisaties bij een nieuw communicatiedoel:
Wanneer er geen geschikte bestaande domeinnaam in bezit is, kan een nieuwe domeinnaam overwogen worden. Rijksorganisaties hanteren bij het aanvragen van een nieuwe domeinnaam de onderstaande uitgangspunten. DPC kan via de domeinnaam-liaison desgewenst adviseren over de naamgeving.
Kies de domeinnaam weloverwogen en passend bij het gekozen communicatiedoel.
Indien het gaat om een organisatie-domeinnaam, kies dan een naam die overeenkomt met de formele naam van de rijksorganisatie (of de gangbare afkorting daarvan), zoals ook in het Register Overheidsorganisaties vermeld is.
Wees terughoudend met het gebruik van:
Wees alert op:
Maak in (sub)domeinnamen geen gebruik van:
Bij het aanvragen van een nieuwe domeinnaam kiezen rijksorganisaties voor de topleveldomeinnaam '.nl'. Indien de .nl-domeinnaam niet beschikbaar is, dan komt de naam ook niet in aanmerking voor registratie binnen andere topleveldomeinnamen.
Aanvullend kunnen rijksorganisaties in bepaalde gevallen ook een domeinnaam onder de topleveldomeinnaam '.eu' en/of '.com' aanvragen. Daarbij gelden de onderstaande uitgangspunten.
Voor andere topleveldomeinnamen geldt het volgende:
De systemen achter een domeinnaam van de Rijksoverheid moeten voldoen aan de verplichte kaders, zoals op het gebied van informatiebeveiliging, digitale toegankelijkheid en open standaarden. Denk bijvoorbeeld aan de Wet digitale overheid (Wdo), de Baseline Informatiebeveiliging Overheid (BIO) en de verplichte open standaarden van Forum Standaardisatie (zie ook hoofdstuk "4. Beleidscontext"). De verantwoordelijkheid voor het voldoen aan de verplichte kaders ligt bij de rijksorganisatie die de opdrachtgever voor de domeinnaamregistratie of de subdomeinnaam is.
De Rijksoverheid gebruikt alleen domein als redirect (doorverwijzing) naar een ander domein als dit om communicatieve of technische redenen noodzakelijk is. Internettoepassingen dienen een eenduidige ingang te hebben, zodat verwarring over het juiste domein wordt beperkt. Redirects naar andere domeinen zijn doorgaans alleen zinvol als een domein eerder actief is gebruikt en het publiek doorverwezen moet worden naar actuele informatie, of, als dit vanuit communicatief oogpunt een logischere keuze is, naar een specifieke webpagina.
Wanneer een hoofddomein verwijst naar bijvoorbeeld een website (inclusief parkeerpagina's, webapplicaties en redirects), dient naast het hoofddomein ook het gangbare 'www'-subdomein bereikbaar te zijn. Een voorbeeld is 'rijksoverheid.nl' en 'www.rijksoverheid.nl'. Bij voorkeur verwijst het hoofddomein door naar het 'www'-subdomein, waardoor de website op één domein aangeboden wordt. Het voorgaande geldt niet voor subdomeinen (bijv. www.wetten.overheid.nl wordt niet ingericht).
Rijksorganisaties zijn terughoudend met het defensief registreren van domeinnamen (bijv. het vastleggen van domeinen met spelfouten ter voorkoming van typosquatting). Defensief geregistreerde domeinnamen bevatten geen configuratie voor actief gebruik, dienen niet bereikbaar te zijn en niet door te verwijzen naar andere domeinen. Dit voorkomt dat gebruikers gewend raken aan foutieve domeinnamen. De Chief Information Security Officer (CISO) van de rijksorganisatie kan de aanvrager van een domeinnaam hierover adviseren.
Domeinnamen worden geregistreerd door DPC, die optreedt als houder en registrar of reseller. Het is niet toegestaan gebruik te maken van een andere registrar of reseller. Domeinnamen van de Rijksoverheid die bij een andere registrar of reseller zijn ondergebracht, dienen naar DPC verhuisd te worden.
DPC is de National Registration Authority (NRA) namens de Nederlandse Staat en is bevoegd voor het activeren van gereserveerde .eu-domeinnamen, conform Verordening (EU) 2019/51 en Uitvoeringsverordening (EU) 2022/1862 van de Europese Commissie.
DPC onderhoudt een register van domeinen van de Rijksoverheid. In dit interne domeinnaamregister van de Rijksoverheid registreert DPC voor iedere domeinnaam een verantwoordelijke rijksorganisatie en bijbehorende domeinnaam-liaison. Een selectie van voor het publiek relevante domeinen uit dit register wordt door DPC aangeleverd aan het Register Internetdomeinen Overheid (RIO).
Rijksorganisaties houden, volgend uit de verplichtingen rondom inventarisbeheer uit de BIO, een eigen administratie bij van hun domeinen. Vrijwel alle rijksorganisaties vallen onder de aanstaande Cyberbeveiligingswet als essentiële entiteiten. Onderdeel van de registratieplicht voor essentiële entiteiten is het aanleveren van domeinnamen aan NCSC.
Rijksorganisaties (her)evalueren periodiek, maar minimaal één keer per jaar, hun domeinen op basis van:
In het geval van overname van een domeinnaam door de Rijksoverheid van een derde partij, worden alleen direct gerelateerde onkosten vergoed. Dat zijn de registratiekosten van het lopende jaar en maximaal 1 uur administratiekosten. Uitzondering op deze regel is wanneer de kosten voor de overheid van het niet kunnen gebruiken van de gewenste domeinnaam aantoonbaar hoger zijn dan het beoogde overnamebedrag. Hiervan kan slechts sprake zijn wanneer het om een gevestigde naam/organisatie gaat. Een gedegen business-case vormt de verantwoording en dient aan DPC voorgelegd te worden.
Wanneer de verantwoordelijke rijksorganisatie een domeinnaam niet meer gebruikt, wordt dit gemeld aan DPC. DPC legt de domeinnaam voor aan de overige rijksorganisaties om te zien of er een logische plaats is om de domeinnaam te gebruiken. Mocht er geen behoefte zijn, dan kan de registratie worden beëindigd en de domeinnaam worden vrijgegeven of ongebruikt worden voortgezet. De rijksorganisatie draagt zelf zorg voor het stopzetten van elders afgenomen diensten die aan het domein gekoppeld zijn. De rijksorganisatie maakt, desgewenst met advisering vanuit DPC, hierin een afweging op basis van veiligheidsrisico en gebruiksduur en -vorm van de domeinnaam. DPC hanteert voor vrijgave een intern proces waarin een afweging wordt gemaakt op basis van het eerdere gebruiksdoel van het domein. Een domein dat gebruikt is voor e-mail wordt bijvoorbeeld onbeperkt aangehouden en dus niet vrijgegeven. Na een besluit tot vrijgave wordt een domeinnaam altijd nog enige tijd aangehouden, om de kansen op misbruik of misleiding te verminderen.
De Rijksoverheid draagt geen domeinnamen over (ook niet tegen een financiële vergoeding). Alle te beëindigen domeinnamen worden conform de procedures van de desbetreffende registry vrijgegeven. Uitzondering op deze regel is wanneer aan een domeinnaam gekoppelde dienstverlening wordt voortgezet door een organisatie buiten de Rijksoverheid. Onder voorwaarden kan de betreffende domeinnaam dan gebruikt blijven worden en/of overgedragen worden.
De Rijksoverheid huurt en verhuurt geen domeinnamen.
Rijksorganisaties maken voor hun externe communicatie geen gebruik van domeinnamen in het bezit van derden (zoals van leveranciers en link shorteners).
Het Internetdomeinbeleid Rijksoverheid wordt vastgesteld door de Interdepartementale Commissie Bedrijfsvoering Rijk (ICBR) na advisering door het CIO-Beraad en de Voorlichtingsraad (VoRa).
Het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, directoraat-generaal Digitalisering en Overheidsorganisatie (DGDOO) is steller van het Internetdomeinbeleid Rijksoverheid.
Dienst Publiek en Communicatie (DPC) draagt zorg voor de uitvoering van dit beleid als registrar, reseller en houder, en ondersteunt rijksorganisaties in de naleving van het Internetdomeinbeleid Rijksoverheid.
Iedere rijksorganisatie is verantwoordelijk voor de naleving van het Internetdomeinbeleid Rijksoverheid.
Elke rijksorganisatie heeft ten minste één gemandateerd aanspreekpunt, een domeinnaam-liaison, voor domeinnaam- en DNS-beheer. Dat kan een eigen medewerker zijn of een medewerker bij het verantwoordelijke ministerie. Alle contacten met DPC rond domeinnaamregistraties en/of DNS verlopen via de dienstpostbus van de domeinnaam-liaison.
De taken van een domeinnaam-liaison zijn als volgt.
Een liaison kan (delen van) zijn/haar taken delegeren aan andere personen of loketten binnen zijn/haar rijksorganisatie.
Afwijken van de afspraken in dit beleid kan slechts in geval van zwaarwegende redenen, met voldoende onderbouwing en indien akkoord bevonden door de domeinnaam-liaison en DPC.
Afgestemde afwijkingen zijn in de regel van tijdelijke aard, hebben een beoogde einddatum en worden zo spoedig mogelijk hersteld wanneer de onderliggende redenen zijn komen te vervallen.
Afgestemde afwijkingen gelden voor een of meerdere specifieke domeinen, en beperken zich tot afwijking van specifieke onderdelen in dit beleid waarbij de andere onderdelen blijven gelden.
Afgestemde afwijkingen zijn alleen mogelijk op basis van de volgende redenen:
De domeinnaam-liaison houdt overzicht over de afgestemde afwijkingen en is procesverantwoordelijk om de afwijkingen te (laten) herstellen.
Het kan voorkomen dat een rijksorganisatie een bestaand domein gebruikt dat niet bij DPC is geregistreerd en/of anderszins niet voldoet aan dit beleid. In het geval van afwijkingen bij een bestaand domein, wordt de volgende procedure gevolgd:
In het geval dat DPC via een domeinnaam-liaison een aanvraag krijgt voor een nieuwe domeinnaam welke niet voldoet aan de afspraken in dit beleid, wordt de volgende procedure gevolgd:
Deze versie van het Internetdomeinbeleid Rijksoverheid is een uitwerking van het onderzoeksrapport "Actualisatie domeinnaambeleid" (24 september 2024) dat in opdracht van de directie Digitale Samenleving van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) is opgesteld. Hierbij is de vorige versie van het beleid uit 2011 (VoRa-besluit 9 juni 2011, ICBR-besluit 15 maart 2011) gebruikt als uitgangspunt.
In dit document is ook het ambtelijk commentaar verwerkt van het Nationaal Cyber Security Centrum (NCSC-NL), Dienst Publiek en Communicatie (DPC), de Rijksvoorlichtingsdienst (RVD), de CTO-raad, de CISO-raad, Bureau Forum Standaardisatie en CIO-Rijk.
Het Internetdomeinbeleid Rijksoverheid sluit aan bij aan bij geldende kaders op het vlak van onder andere communicatie, informatiebeveiliging, toegankelijkheid en archivering. Door domeinen op orde te brengen kunnen rijksorganisaties beter voldoen aan de kwaliteitseisen uit deze kaders. Het Internetdomeinbeleid Rijksoverheid draagt daarmee bij aan de 'compliancy' van de rijksorganisaties.
Qua wetgeving gaat het onder meer om de Wet digitale overheid (Wdo), de Cyberbeveiligingswet (Cbw; implementatie van de Europese NIS2-richtlijn), de Telecommunicatiewet, en de Archiefwet.
Hieronder volgt een aantal relevante citaten uit meer specifieke beleidskaders.
"Uitgangspunten Overheidscommunicatie" (Rijksvoorlichtingsdienst/CAR, maart 2017):
2. HERKENBAARHEID
De Rijksoverheid is altijd, ongeacht het kanaal of medium, herkenbaar als deelnemer aan de communicatie, respectievelijk als (mede) afzender en/of anderszins als belanghebbend of betrokken bij de informatie.
Om verkapte beïnvloeding te voorkomen dient de communicatie te allen tijde herkenbaar te zijn als afkomstig van de overheid. Transparantie, vertrouwen wekken vindt plaats als de afzender bekend is. De burger heeft derhalve recht op deze informatie.
"Baseline Informatiebeveiliging Overheid 2" (BIO2 v1.2):
5.09.01
Er is een inventaris van bedrijfsmiddelen die van belang zijn voor informatieverwerking, met inbegrip van OT. De inventaris omvat alle eigenschappen die nodig zijn voor het beheer en onderhoud. In de inventaris zijn ook opgenomen: bedrijfsmiddelen op afstand, cloud-omgevingen en bedrijfsmiddelen die regelmatig zijn verbonden met de netwerkinfrastructuur maar niet onder controle van de organisatie staan. De volledigheid en actualiteit van de inventaris wordt periodiek gecontroleerd met tussenpozen die passend zijn voor de frequentie waarmee wijzigingen optreden.
5.14.05
Publiek toegankelijke websites worden bekend gemaakt via Register Internetdomeinen Overheid. Deze informatie wordt ten minste iedere zes maanden geactualiseerd.
"Besluit digitale toegankelijkheid overheid" (wettelijke verplichting Digitoegankelijk):
Artikel 3. Toepassing
1 Overheidsinstanties maken hun websites en mobiele applicaties toegankelijk door toepassing van standaard EN 301 549.
"Richtlijn archiveren overheidswebsites":
2.5 Archiefwet
De verplichting om websites te archiveren vloeit voort uit de Archiefwet 1995. Artikel 3 uit de Archiefwet 1995 verplicht overheidsorganisaties “de onder hen berustende archiefbescheiden in goede, geordende en toegankelijke staat te brengen en te bewaren, alsmede zorg te dragen voor de vernietiging van de daarvoor in aanmerking komende archiefbescheiden.” De wet noemt daarbij niet expliciet websites. Maar onder archiefbescheiden wordt verstaan alle informatie die een overheidsorganisatie ontvangt of maakt bij het uitvoeren van haar taken. Ongeacht de vorm van de informatie. Daar vallen websites dus ook onder.
"Besluit beveiligde verbinding met overheidswebsites en -webapplicaties" (wettelijke verplichting HTTPS en HSTS):
Artikel 2. Aanwijzing
Bestuursorganen als bedoeld in artikel 1:1, eerste lid, onderdeel a, van de Algemene wet bestuursrecht, beveiligen hun publiek toegankelijke websites en webapplicaties door toepassing van HTTPS en HSTS
"Streefbeeldafspraken open standaarden voor informatieveiligheid" (Forum Standaardisatie):
Streefbeeldafspraken informatieveiligheid
De overheid wil goede beveiliging voor haar websites en e-mail. Er zijn daarom overheidsbrede interbestuurlijke afspraken om het gebruik van een aantal moderne Internetstandaarden te versnellen, de zogenoemde streefbeeldafspraken.