Internetsector vernieuwt takedown-code: melding en verwijdering binnen één werkdag

De Nederlandse internetsector heeft de Gedragscode Notice-and-Take-Down vernieuwd: hosters, providers en registrars bevestigen, beoordelen en verwijderen een melding over onrechtmatige inhoud voortaan binnen één werkdag, meldde beheerder NBIP op 27 augustus.

Dat raakt twee groepen tegelijk. Wie zelf hosting, cloud, domeinregistratie of een platform met gebruikersinhoud aanbiedt, krijgt een norm waarop klanten, inkopers en toezichthouders kunnen afrekenen: een openbaar meldpunt, een vastgelegde procedure en een klok die gaat lopen zodra een melding binnenkomt. Wie geen provider is maar wel te maken krijgt met een phishingsite onder zijn merknaam of een nepwebshop vol eigen productfoto's, krijgt iets anders in handen: een route met een termijn erin, in plaats van een abuse-adres waar zelden iemand antwoordt.

De eerste volledige herziening sinds 2008

De NTD-code bestond al, maar hij was oud. Versie 1.0 kwam in oktober 2008 tot stand bij ECP, versie 1.1 voegde in december 2018 alleen een addendum toe over meldingen van kindermisbruikmateriaal. De nieuwe versie 2.0 is de eerste integrale herziening in bijna achttien jaar en vervangt die eerdere sectorale afspraken volledig.

Een kanttekening bij de datering: het document zelf draagt versienummer 2.0 met de vermelding juli 2026. De sector maakte het pas op 27 augustus openbaar, samen met versie 2.1 van de bredere Gedragscode Abusebestrijding. Nieuw is dus het moment waarop de sector de codes naar buiten bracht, niet de redactiedatum van de tekst.

De codes zijn opgesteld door DINL, de Dutch Cloud Community, NBIP en de Vereniging van Registrars, en ondertekend of onderschreven door onder meer de Dutch Data Center Association, het Anti-Abuse-Netwerk, SIDN, Stichting BREIN, het Openbaar Ministerie en twee ministeries. "Het gaat niet om vrijblijvende intenties, maar om praktische afspraken waarmee providers direct aan de slag kunnen", zegt NBIP-directeur Octavia de Weerdt.

Wat er nu concreet moet

Notice-and-take-down is de procedure waarmee een aanbieder een vrijwillige melding over onrechtmatige of strafbare inhoud aanneemt, beoordeelt en afhandelt. De vernieuwde code zet daar termijnen en stappen bij die je kunt naslaan. Dit zijn de zes punten waarop de code de praktijk het scherpst vastlegt:

• Openbare procedure. De aanbieder hanteert een openbaar toegankelijke meldprocedure, dus niet alleen een adres in de whois.
• Ontvangstbevestiging binnen één werkdag. De melder hoort binnen die termijn of de melding in behandeling wordt genomen. Bij spoed en bij trusted flaggers sneller.
• Beoordeling binnen één werkdag. Duurt het langer, dan krijgt de melder een motivering en geldt vijf werkdagen als uiterste grens.
• Verwijdering binnen één werkdag. Bij onmiskenbaar onrechtmatige of strafbare inhoud moet die onverwijld, en in ieder geval binnen één werkdag na ontvangst van de melding offline of ontoegankelijk zijn.
• Stapsgewijze escalatie. Een melder benadert eerst de inhoudsaanbieder, dan de hostingpartij, dan andere tussenpersonen zoals registrars of toegangsproviders, en pas in laatste instantie de registry. Dat voorkomt dat een hele domeinnaam sneuvelt om één pagina.
• Terugkoppeling met motivering. Zowel de melder als de inhoudsaanbieder hoort wat er is gebeurd en waarom. De identiteit van de melder blijft geheim als die daarom vraagt.

Een melding moet de elementen bevatten die artikel 16, lid 2 van de Digital Services Act voorschrijft: naam en contactgegevens, de exacte locatie in de vorm van een URL of IP-adres, een onderbouwing waarom de inhoud onrechtmatig is, en een verklaring dat de melding naar beste weten klopt. Een mail met "deze site deugt niet" voldoet daar niet aan. Voor beeldmateriaal van seksueel kindermisbruik geldt een apart addendum met een strengere klok: bij een melding van Offlimits moet de inhoud binnen 24 uur weg, zonder dat de tussenpersoon zelf beoordeelt of die strafbaar is.

De abuse-code is vooral herschikt

De bredere Gedragscode Abusebestrijding sprong van versie 2.0 naar 2.1 en veranderde inhoudelijk het minst. De tekst is opnieuw ingedeeld in beleid en verplichtingen, en de meldingensectie verwijst nu door naar de NTD-code. De eisen die er sinds oktober 2024 al stonden blijven overeind, en de scherpste daarvan zit bij de klantacceptatie: een aanbieder moet afnemers verifiëren vóórdat de dienst wordt geleverd, ook wanneer de klant met cryptovaluta wil betalen, met middelen als een overboeking van één cent, KvK-gegevens, de UBO, een LEI of een gecontroleerd legitimatiebewijs. Bij langdurige, substantiële of herhaalde schending van de acceptable use policy volgt schorsing, quarantaine of beëindiging van het contract.

Aanbieders moeten zich ook actief informeren over misbruik in hun eigen netwerk, via abuse feeds of aansluiting bij een initiatief als Clean Networks, en passen autonome systemen in elk geval de MANRS-maatregelen toe.

Waar de code ophoudt

De gedragscode gaat uitsluitend over vrijwillige meldingen. Vorderingen van bevoegde autoriteiten vallen er expliciet buiten: een bevel van de ATKM, een opsporingsdienst of de officier van justitie loopt langs een eigen wettelijk spoor met eigen termijnen. Datzelfde geldt voor een bevel uit een andere EU-lidstaat, dat sinds 18 augustus rechtstreeks bij een Nederlandse hoster kan binnenkomen met een leveringstermijn van tien dagen en acht uur bij spoed. Wie zijn meldloket op orde brengt, heeft daarmee dus nog niet al zijn verplichtingen afgedekt.

Een keurmerk met zes houders

Clean Networks, het initiatief dat NBIP sinds 2022 beheert, hangt er een oplopend model aan. Ondertekenen van de gedragscode maakt je deelnemer, aantoonbare implementatie levert het Clean Networks Keurmerk op, en een derde niveau met externe scanning is in ontwikkeling. Op dit moment staan er 57 ondertekenaars en zes keurmerkhouders op de lijst: Interconnect, BIT, Cyberfusion, X2com, Metaregistrar en Procolix. Keurmerkhouders krijgen ook toegang tot het threat intelligence-platform dat automatisch waarschuwt bij kwetsbaarheden in hun netwerk.

Dat aantal zegt iets over waar dit staat. Tegenover de honderden hosting- en cloudpartijen in Nederland is 63 deelnemers een minderheid, en de code blijft vrijwillig. De DSA-verplichtingen eronder zijn dat niet. Wat er verschuift, is de meetbaarheid: een afspraak uit 2008 die niemand kon controleren wordt een gedateerd document met versiebeheer, jaarlijkse herziening en een keurmerk dat een inkoper simpelweg kan opvragen. Voor providers wordt de belofte dat abuse serieus wordt aangepakt daarmee een claim die aantoonbaar moet zijn. Voor iedereen die ooit een melding indient, wordt het voor het eerst duidelijk wanneer je mag terugbellen.