2019-02-19 | BWBR0020420 | Besluit prudentiële regels Wft

amvb/besluit-prudentiële-regels-wft/BWBR0020420/README.md

@@ -16,8 +16,14 @@ citeertitel: Besluit prudentiële regels Wft
 
 In dit besluit wordt verstaan onder:
 
+*authenticatie:* een procedure waarmee een betaaldienstverlener de identiteit van een betaaldienstgebruiker dan wel de validiteit van het gebruik van een specifiek betaalinstrument kan verifiëren, met inbegrip van het gebruik van persoonlijke beveiligingsgegevens van de betaaldienstgebruiker;
+
 *back-to-back lening:* kredietinstrument waarbij de kredietnemer geld of financiële instrumenten ter beschikking krijgt, waartegenover de kredietverstrekker een zekerheid ontvangt, direct of indirect, uit eigen liquide middelen van de kredietnemer;
 
+*betaalgegevens:* gegevens die samenhangen met het houden van een betaalrekening en met het uitvoeren van een betalingstransactie vanaf deze rekening;
+
+*betalingstransactie op afstand:* betalingstransactie die via het internet of met een voor communicatie op afstand bruikbaar apparaat wordt geïnitieerd;
+
 *business line:* afgezonderde categorie activiteiten als bedoeld in artikel 317, vierde lid, tabel 2, van de verordening kapitaalvereisten;
 
 *daggeld:* kortlopende vorderingen die dagelijks opvraagbaar zijn en die uiterlijk twee werkdagen na opvraging dan wel opzegging moeten worden terugbetaald;
@@ -34,6 +40,8 @@ e. wier eigenaars hun deelneming onvoorwaardelijk in pand kunnen geven of kunnen
 
 *gemiddeld uitstaand elektronisch geld:* het gemiddelde totale bedrag gedurende de zes voorafgaande kalendermaanden van de met elektronisch geld verband houdende financiële verplichtingen dat op het eind van elke kalenderdag in omloop is, berekend op de eerste kalenderdag van elke kalendermaand en toegepast voor die kalendermaand.
 
+*gevoelige betaalgegevens:* betaalgegevens, waaronder persoonlijke beveiligingsgegevens, met behulp waarvan fraude kan worden gepleegd, met uitzondering van de naam van de rekeninghouder en het rekeningnummer voor zover betaalinitiatie- en rekeninginformatiedienstverleners deze gegevens gebruiken ten behoeve van hun bedrijfsuitoefening;
+
 *groepsbestuurder:* ieder die binnen een groep het beleid bepaalt;
 
 *groep van verbonden wederpartijen:* ten minste twee personen die uit een oogpunt van de te lopen risico’s als een geheel moeten worden beschouwd omdat zij:
@@ -96,8 +104,12 @@ b. de overeenkomst bepaalt dat het de financiële onderneming niet is toegestaan
 
 *opgenomen grondstoffenlening*: overeenkomst waarbij een wederpartij aan een financiële onderneming grondstoffen uitleent tegen zekerheid, onder de ontbindende voorwaarde dat de financiële onderneming op een tijdstip in de toekomst of zodra de wederpartij daarom verzoekt, gelijkwaardige grondstoffen teruglevert;
 
+*persoonlijke beveiligingsgegevens:* gepersonaliseerde kenmerken die door de betaaldienstverlener aan een betaaldienstgebruiker worden verstrekt ten behoeve van authenticatie;
+
 *professionele geldmarktpartij:* persoon die geen bank is en die in het kader van zijn middelenbeheer transacties verricht op de geldmarkt met bij de geldmarkt passende volumes en op die markt met enige regelmaat opereert op een manier die vergelijkbaar is met die van een bank;
 
+*rekeninghoudende betaaldienstverlener:* een betaaldienstverlener die ten behoeve van een betaler een betaalrekening aanbiedt en beheert;
+
 *retrocessie:* overeenkomst waarbij een verzekeraar een gedeelte van het door hem herverzekerde risico, tegen betaling van herverzekeringspremie, overdraagt aan een andere verzekeraar;
 
 *retrocessieovereenkomst*: overeenkomst waarbij een financiële onderneming aan een wederpartij effecten, grondstoffen of gegarandeerde rechten betreffende de eigendom van effecten of grondstoffen verkoopt, onder de ontbindende voorwaarde deze of vervangende effecten of grondstoffen tegen een vastgestelde prijs op een door de financiële onderneming te bepalen tijdstip in de toekomst terug te kopen, indien:
@@ -387,6 +399,8 @@ e. een adequaat systeem van informatievoorziening en communicatie.
 
 **4.** De effectiviteit van de organisatie-inrichting en van de procedures en maatregelen wordt ten minste jaarlijks op onafhankelijke wijze getoetst. Daartoe beschikt de financiële onderneming of het bijkantoor over een organisatieonderdeel dat deze interne controlefunctie uitoefent. De financiële onderneming of bijkantoor voorziet erin dat gesignaleerde tekortkomingen worden opgeheven.
 
+**5.** De toepassing van het vierde lid op betaalinstellingen, elektronischgeldinstellingen of hun bijkantoren ziet tevens op het gebruik van hun betaaldienstagenten.
+
 ### Artikel 17a
 
 Het organisatieonderdeel, bedoeld in artikel 17, vierde lid, van een bank als bedoeld in artikel 3:17, eerste lid, of 3:23, tweede lid, van de wet die in Nederland beleggingsdiensten mag verlenen of beleggingsactiviteiten mag verrichten, heeft als taak:
@@ -620,7 +634,11 @@ g. opzetten, implementeren en in stand houden van adequate procedures die in gev
 
 ### Artikel 24
 
-Een bank, beheerder van een icbe, beleggingsonderneming, betaalinstelling, clearinginstelling, elektronischgeldinstelling, kredietunie, premiepensioeninstelling, verzekeraar met beperkte risico-omvang, wisselinstelling of bijkantoor als bedoeld in artikel 23, eerste lid, ziet er op systematische wijze op toe dat de procedures en maatregelen, bedoeld in artikel 23, derde lid, worden nageleefd en zorgt ervoor dat gesignaleerde tekortkomingen of gebreken worden opgeheven.
+**1.** Een bank, beheerder van een icbe, beleggingsonderneming, betaalinstelling, clearinginstelling, elektronischgeldinstelling, kredietunie, premiepensioeninstelling, verzekeraar met beperkte risico-omvang, wisselinstelling of bijkantoor als bedoeld in artikel 23, eerste lid, ziet er op systematische wijze op toe dat de procedures en maatregelen, bedoeld in artikel 23, derde lid, worden nageleefd en zorgt ervoor dat gesignaleerde tekortkomingen of gebreken worden opgeheven.
+
+**2.** Een betaaldienstverlener die betaaldiensten verleent als bedoeld onder 7 van de bijlage bij de richtlijn betaaldiensten, beschikt over een beroepsaansprakelijkheidsverzekering, of over een andere vergelijkbare waarborg, tegen aansprakelijkheid ingevolge de artikelen 528, 545a of 547 van boek 7 van het Burgerlijk Wetboek.
+
+**3.** Een betaaldienstverlener die betaaldiensten verleent als bedoeld onder 8 van de bijlage bij de richtlijn betaaldiensten, beschikt over een verzekering, of over een andere vergelijkbare waarborg, tegen aansprakelijkheid jegens de rekeninghoudende betaaldienstverlener of de betaaldienstgebruiker als gevolg van niet-toegestane of frauduleuze toegang tot of niet-toegestaan of frauduleus gebruik van betaalrekeninginformatie.
 
 ### Artikel 24a
 
@@ -839,6 +857,51 @@ Indien een verzekeraar, onderdeel of holding als bedoeld in artikel 26.6, eerste
 
 Afwikkelondernemingen, banken, betaalinstellingen en elektronischgeldinstellingen nemen bij de inrichting van hun bedrijfsvoering de regels in acht die door de Nederlandsche Bank terzake worden gesteld ter uitvoering van internationaal aanvaarde standaarden om de goede werking van het betalingsverkeer te waarborgen.
 
+### Paragraaf 4.6. Bijzondere bepalingen voor betaaldienstverleners
+
+### Artikel 26c
+
+**1.** Een betaalinstelling beschikt over een beveiligingsbeleid om betaaldienstgebruikers te beschermen tegen beveiligingsrisico’s, zoals fraude en illegaal gebruik van gevoelige betaalgegevens en persoonsgegevens.
+
+**2.**
+
+Het beveiligingsbeleid omvat ten minste:
+
+a. maatregelen op het gebied van beveiliging en risicobescherming, met inbegrip van een risicoanalyse met betrekking tot de aangeboden betaaldiensten;
+b. procedures voor het registreren en afhandelen van veiligheidsincidenten en veiligheidsgerelateerde klachten van cliënten en de nabehandeling ervan, met inbegrip van een mechanisme voor het melden van incidenten met inachtneming van de in artikel 26g, eerste lid, vastgelegde meldingsplicht voor betaalinstellingen;
+c. procedures voor het opslaan, monitoren, traceren en beperken van de toegang tot gevoelige betaalgegevens; en
+d. uitgangspunten en standaarden die worden toegepast bij het verzamelen van statistische gegevens over prestaties, transacties en fraude.
+
+**3.** Indien de betaalinstelling uitsluitend betaaldiensten verleent als bedoeld onder 8 van de bijlage bij de richtlijn betaaldiensten, is het tweede lid, onderdeel d, niet van toepassing.
+
+**4.** Het eerste en tweede lid zijn van overeenkomstige toepassing op elektronischgeldinstellingen.
+
+### Artikel 26d
+
+Een betaaldienstverlener beschikt over procedures ter waarborging van de bedrijfscontinuïteit, waarin de kritieke bedrijfsactiviteiten en noodplannen zijn opgenomen, met inbegrip van een procedure om de toereikendheid en effectiviteit van deze plannen periodiek te toetsen en te herzien.
+
+### Artikel 26e
+
+Een betaaldienstverlener, met uitzondering van de betaaldienstverlener die uitsluitend betaaldiensten verleent als bedoeld onder 8 van de bijlage bij de richtlijn betaaldiensten, verkrijgt alleen met de uitdrukkelijke toestemming van de betaaldienstgebruiker toegang tot diens persoonsgegevens, om deze gegevens te verwerken en te bewaren voor zover noodzakelijk voor het verlenen van betaaldiensten.
+
+### Artikel 26f
+
+**1.** Een betaaldienstverlener voorziet in passende risicobeperkende maatregelen en controlemechanismen ter voorkoming van operationele en beveiligingsrisico’s die zijn verbonden aan de door hem aangeboden betaaldiensten.
+
+**2.** Een betaaldienstverlener beschikt over procedures ter beheersing incidenten, inclusief een procedure om grote operationele incidenten en veiligheidsincidenten te detecteren en te classificeren.
+
+**3.** Een betaaldienstverlener verstrekt de Nederlandsche Bank ten minste jaarlijks een beoordeling van de operationele en beveiligingsrisico’s en van de toereikendheid van de in reactie op deze risico’s ingevoerde risicobeperkende maatregelen en controlemechanismen.
+
+### Artikel 26g
+
+**1.** Een betaaldienstverlener stelt de Nederlandsche Bank onverwijld in kennis van een groot operationeel of beveiligingsincident. Indien het incident gevolgen heeft of kan hebben voor de financiële belangen van hun betaaldienstgebruikers, stelt de betaaldienstverlener ook deze onverwijld van het incident in kennis en vermeldt hij welke maatregelen hij treft om de mogelijke schadelijke gevolgen van het incident te beperken.
+
+**2.** Een betaaldienstverlener verstrekt ten minste jaarlijks statistische gegevens over de door hem geconstateerde fraude met betrekking tot verschillende betaalmiddelen aan de Nederlandsche Bank.
+
+### Artikel 26h
+
+De artikelen 26e tot en met 26g zijn van toepassing op betalingstransacties in alle valuta, waarbij één of de enige bij de betalingstransactie betrokken betaaldienstverlener zijn zetel in een lidstaat heeft, met betrekking tot de delen van de betalingstransactie die binnen een lidstaat worden uitgevoerd.
+
 ## Hoofdstuk 5. Uitbesteden van werkzaamheden
 
 ### Artikel 27
@@ -849,9 +912,11 @@ Afwikkelondernemingen, banken, betaalinstellingen en elektronischgeldinstellinge
 
 ### Artikel 27a
 
-**1.** Indien een betaalinstelling of een elektronischgeldinstelling voornemens is werkzaamheden in verband met het verlenen van betaaldiensten uit te besteden, stelt zij de Nederlandsche Bank daarvan in kennis.
+**1.** Indien een betaalinstelling voornemens is werkzaamheden in verband met het verlenen van betaaldiensten uit te besteden, stelt zij de Nederlandsche Bank daarvan in kennis.
 
-**2.** Indien een elektronischgeldinstelling voornemens is werkzaamheden in verband met de uitgifte van elektronisch geld uit te besteden, stelt zij de Nederlandsche Bank daarvan in kennis.
+**2.** Een betaalinstelling deelt de Nederlandse Bank onverwijld elke wijziging mee met betrekking tot het gebruik van entiteiten waaraan werkzaamheden worden uitbesteed en, in overeenstemming met artikel 2:3c, tweede lid, van de wet, van het gebruik van betaaldienstagenten.
+
+**3.** Het eerste en tweede lid zijn van overeenkomstige toepassing op elektronischgeldinstellingen.
 
 ### Artikel 27b
 
@@ -1141,7 +1206,7 @@ c. een opgave van de naam en het adres van de schaderegelaar, bedoeld in artikel
 
 **1.**
 
-Een betaalinstelling als bedoeld in artikel 3:29a, eerste lid, van de wet stelt geldmiddelen die zijn ontvangen van betaaldienstgebruikers of andere betaaldienstverleners voor de uitvoering van betalingstransacties op een van de volgende wijzen veilig:
+Een betaalinstelling als bedoeld in artikel 3:29a, eerste lid, van de wet en die betaaldiensten verleent als bedoeld onder 1 tot en met 6 van de bijlage bij de richtlijn betaaldiensten, stelt geldmiddelen die zijn ontvangen van betaaldienstgebruikers of andere betaaldienstverleners voor de uitvoering van betalingstransacties op een van de volgende wijzen veilig:
 
 a. de geldmiddelen worden niet vermengd met de geldmiddelen van andere schuldeisers van de betaalinstelling; of
 b. de geldmiddelen worden gedekt door een verzekeringspolis of een vergelijkbare garantie van een verzekeraar of een bank die niet tot dezelfde groep behoort als de betaalinstelling, tegen het risico dat de betaalinstelling niet in staat is haar verplichtingen met betrekking tot de geldmiddelen na te komen, voor een bedrag dat gelijk is aan het bedrag dat afgescheiden zou zijn bij het ontbreken van de verzekeringspolis of vergelijkbare garantie.
@@ -1158,7 +1223,9 @@ In buitengewone omstandigheden en wanneer dit voldoende gemotiveerd is, mogen de
 
 **4.** Indien het deel van de geldmiddelen dat bestemd is voor toekomstige betalingstransacties niet bekend of variabel is, is het de betaalinstellingen toegestaan om het eerste lid uitsluitend toe te passen op een representatief gedeelte dat geacht wordt voor betalingsdiensten te worden gebruikt. Dit representatieve gedeelte moet redelijkerwijs kunnen worden geraamd op basis van historische gegevens.
 
-**5.** Het eerste tot en met vierde lid zijn van overeenkomstige toepassing op elektronischgeldinstellingen als bedoeld in artikel 3:29a, eerste lid, van de wet.
+**5.** Een betaalinstelling die betaaldiensten verleent als bedoeld onder 7 van de bijlage bij de richtlijn betaaldiensten houdt op geen enkel moment de met het aanbieden van de betaalinitiatiedienst verband houdende geldmiddelen van de betaler aan.
+
+**6.** Het eerste tot en met vierde lid zijn van overeenkomstige toepassing op elektronischgeldinstellingen als bedoeld in artikel 3:29a, eerste lid, van de wet.
 
 ### Artikel 40b
 
@@ -1179,7 +1246,7 @@ b. de gelden worden gedekt door een verzekeringspolis of een vergelijkbare garan
 
 ### Artikel 40c
 
-Betaalinstellingen of elektronischgeldinstellingen verlenen slechts krediet in verband met de in de punten 4, 5 en 7 van de bijlage bij de richtlijn betaaldiensten bedoelde betaaldiensten indien:
+Betaalinstellingen of elektronischgeldinstellingen verlenen slechts krediet in verband met de in de punten 4 en 5 van de bijlage bij de richtlijn betaaldiensten bedoelde betaaldiensten indien:
 
 a. het krediet een aanvullend krediet is en uitsluitend wordt verstrekt in verband met de uitvoering van een betalingstransactie;
 b. het krediet dat is verstrekt in verband met een betaaldienst die is verleend door middel van dienstverrichting naar een andere lidstaat of vanuit een bijkantoor in een andere lidstaat wordt terugbetaald binnen een korte termijn, die in geen geval meer dan twaalf maanden bedraagt;
@@ -1552,7 +1619,7 @@ Vervallen
 
 ### Artikel 60a
 
-**1.** De minimumomvang van het toetsingsvermogen van een betaalinstelling wordt berekend met toepassing van met de Nederlandsche Bank overeengekomen methode A, B of C, genoemd in bijlage B bij dit besluit.
+**1.** De minimumomvang van het toetsingsvermogen van een betaalinstelling, met uitzondering van een betaalinstelling die alleen betaalinitiatiediensten of rekeninginformatiediensten aanbiedt, wordt berekend met toepassing van met de Nederlandsche Bank overeengekomen methode A, B of C, bedoeld in bijlage B bij dit besluit.
 
 **2.** In afwijking van het eerste lid kan de Nederlandsche Bank indien een evaluatie van de risicobeheersingsprocessen, het verzamelen en vastleggen van risicoverliesgegevens en het interne controlesysteem en het bedrijfscontinuïteitsbeheer van de betaalinstelling daartoe aanleiding geeft, de betaalinstelling verplichten een toetsingsvermogen aan te houden dat ten hoogste 20% hoger is dan het bedrag dat het resultaat is van de toepassing van een uit bijlage B gekozen methode, of de betaalinstelling toestaan een toetsingsvermogen aan te houden dat ten hoogste 20% lager is dan het bedrag dat het resultaat is van de uit bijlage B gekozen methode.
 
@@ -2519,7 +2586,9 @@ De gegevens, bedoeld in artikel 3:111b, eerste lid, van de wet zijn:
 
 a. een opgave van de naam, het adres, het telefoon- en faxnummer en emailadres van de betaaldienstagent;
 b. een beschrijving van de interne controlemechanismen die door de betaaldienstagent zullen worden gebruikt om de in de Wet ter voorkoming van witwassen en financieren van terrorisme neergelegde verplichtingen na te komen; en
-c. de identiteit van de bestuurders en de personen die verantwoordelijk zijn voor het beleid van de betaaldienstagent die bij het aanbieden van betaaldiensten wordt gebruikt, alsmede gegevens waaruit blijkt dat zij betrouwbaar en deskundig zijn.
+c. de identiteit van de bestuurders en de personen die verantwoordelijk zijn voor het beleid van de betaaldienstagent die bij het aanbieden van betaaldiensten wordt gebruikt, alsmede gegevens waaruit blijkt dat zij betrouwbaar en deskundig zijn;
+d. de betaaldiensten die de betaaldienstagent namens de betaalinstelling verleent; en
+e. voor zover van toepassing, de unieke identificatiecode of het unieke identificatienummer van de betaaldienstagent.
 
 ## Hoofdstuk 16. Slotbepalingen