4.2 Retningslinjer om de oplysninger, der kræves af ansøgere om registrering med henblik på levering af kun tjeneste 8 i bilag I til direktiv (EU) 2015/2366 (kontooplysningstjenester)

Retningslinje 1: Almindelige principper

1.1 Dette sæt retningslinjer finder anvendelse på ansøgere om registrering som kontooplysningstjenesteudbydere (AISP). Det vedrører især ansøgere, som påtænker kun at yde kontooplysningstjenester (AIS). Såfremt ansøgeren har til hensigt at levere yderligere tjenesteydelser udover AIS, bør denne anmode om tilladelse og henvise til retningslinjerne i afsnit 4.1 for betalingsinstitutter (PI).

1.2 De oplysninger, som ansøgere skal tilvejebringe, bør være sandfærdige, præcise og opdaterede. Alle ansøgere bør overholde alle de bestemmelser, der findes i det sæt retningslinjer, der gælder for dem. Den detaljeringsgrad, der kræves for at overholde bestemmelserne, bør stå i forhold til ansøgerens størrelse og interne organisation, og til arten, omfanget, kompleksiteten af eller risikoen ved særlige tjenesteydelser, som ansøgeren

ledelsesansvarlige for forvaltningen af betalingsinstituttets betalingstjenesteaktiviteter i henhold til direktiv (EU) 2015/2366 et godt omdømme og tilstrækkelig viden og erfaring til at gennemføre betalingstjenester, uanset instituttets størrelse, interne organisation og arten, omfanget og kompleksitetsgraden af dets aktiviteter og den specifikke tjenestes opgaver og ansvarsområder.

1.3 Ved fremsendelse af de krævede oplysninger bør ansøgeren undgå at foretage henvisninger til specifikke afsnit i interne procedurer/dokumenter. I stedet bør ansøgeren uddrage de relevante afsnit og levere disse til den kompetente myndighed.

1.4 Skulle de kompetente myndigheder ønske præciseringer af de fremsendte oplysninger, bør ansøgeren hurtigst muligt stille sådanne præciseringer til rådighed.

1.5 Alle de oplysninger, der kræves under disse retningslinjer vedrørende registrering som kontooplysningstjenesteudbydere (AISP), er nødvendige for vurderingen af ansøgningen og vil blive behandlet af den kompetente myndighed i overensstemmelse med de regler om tavshedspligt, der er fastsat i PSD2, med forbehold for gældende EU-ret og nationale krav og procedurer for udøvelsen af retten til at få adgang til, berigtige eller slette eller modsætte sig oplysningerne.

Retningslinje 2: Identifikationsoplysninger

2.1 Såfremt ansøgeren er en fysisk person, bør de identifikationsoplysninger, der skal leveres af ansøgeren, indeholde følgende:

• a) navn, adresse, nationalitet og fødselsdato- og sted
• b) en kopi af identitetskortet eller tilsvarende identifikationsbevis
• c) et opdateret CV
• d) en kontrol af straffeattest, der ikke er mere end 3 måneder gammel
• e) navnet/navnene på den/de person(er), der er ansvarlige for håndteringen af ansøgningsfilen og tilladelsesproceduren, og deres kontaktoplysninger.

2.2 Såfremt ansøgeren er en juridisk person, bør de identifikationsoplysninger, der skal leveres af ansøgeren, indeholde følgende:

• a) ansøgerens selskabsnavn, og såfremt forskelligt herfra, forretningsbetegnelse
• b) en angivelse af, om ansøgeren allerede er registreret eller er ved at blive registreret
• c) hvis relevant ansøgerens nationale identifikationsnummer
• d) ansøgerens juridiske status og (udkast til) vedtægter og/eller stiftelsesdokumenter, der dokumenterer ansøgerens juridiske status
• e) adressen på ansøgerens hovedsæde og vedtægtsmæssige hjemsted
• f) ansøgerens e-mailadresse og websted, hvis disse findes
• g) navnet på den/de person(er), der er ansvarlige for håndteringen af ansøgningsfilen og tilladelsesproceduren, og deres kontaktoplysninger
• h) en angivelse af, hvorvidt ansøgeren nogensinde har været, eller i øjeblikket er, reguleret af en kompetent myndighed i den finansielle sektor
• i) den registrerede stiftelsesoverenskomst, eller hvis relevant negativattest fra et handelsregister, der dokumenterer, at det af selskabet anvendte navn findes
• j) dokumentation for betalingen af eventuelle gebyrer eller indskud af midler for at indgive en ansøgning om registrering som kontooplysningstjenesteudbyder, hvis dette finder anvendelse i henhold til national lovgivning.

Retningslinje 3: Oversigt over aktiviteter

3.1. Den oversigt over aktiviteter, der skal tilvejebringes af ansøgeren, bør indeholde følgende:

• a) en beskrivelse af den kontooplysningstjeneste, som påtænkes tilvejebragt, herunder en redegørelse for, hvordan aktiviteten passer ind i definitionen af kontooplysningstjenester som defineret i artikel 4, stk. 16, i direktiv (EU) 2015/2366 (PSD2);
• b) en erklæring fra ansøgeren om, at denne ikke på noget tidspunkt vil komme til at besidde midler
• c) en beskrivelse af leveringen af kontooplysningstjenesten, herunder:
• i. om nødvendigt udkast til kontrakter mellem alle involverede parter
• ii. vilkår og betingelser for leveringen af kontooplysningstjenesterne
• iii. behandlingstider
• d) om fornødent det anslåede antal forskellige forretningslokaler, hvorfra ansøgeren har til hensigt at udbyde tjenesterne
• e) hvis relevant en beskrivelse af eventuelle accessoriske tjenester til betalingsoplysningstjenesten
• f) en erklæring om, hvorvidt ansøgeren påtænker at levere kontooplysningstjenester i en anden medlemsstat eller andet land, når den pågældende er registreret
• g) en angivelse af, hvorvidt ansøgeren inden for de næste tre år agter at udbyde eller allerede udbyder andre forretningsaktiviteter end kontooplysningstjenester, som omtalt i artikel 18 i direktiv 2015/2366, herunder en beskrivelse af arten og det forventede omfang af aktiviteterne
• h) de i EBA's retningslinjer anførte oplysninger om kriterierne for fastlæggelse af størrelsen af erhvervsansvarsforsikringen eller anden lignende garanti i henhold til artikel 5, stk. 4, i direktiv (EU) 2015/2366 (EBA/GL/2017/08), hvor ansøgeren har til hensigt kun at udbyde en tjeneste 8 (AIS).

Retningslinje 4: Forretningsplan

4.1. Den forretningsplan, der skal leveres af ansøgeren, bør indeholde:

• a) en markedsføringsplan bestående af:
• i. en analyse af selskabets konkurrenceposition
• ii. en beskrivelse af kontooplysningstjenestebrugerne i det pågældende segment af kontooplysningsmarkedet, markedsføringsmateriale og distributionskanaler
• b) reviderede årsregnskaber for de foregående tre år, eller en oversigt over den finansielle situation for de ansøgere, der endnu ikke har udarbejdet årsregnskaber
• c) en budgetprognose for de tre første regnskabsår, der viser, at ansøgeren er i stand til at anvende de systemer, ressourcer og procedurer, som er hensigtsmæssige for en forsvarlig drift. Den bør indeholde:
• i. en indkomstopgørelse og en forventet balance, herunder mål- og stressscenarier samt deres basisantagelser, såsom antal kunder, priser og forventet stigning i rentabilitetstærskel
• ii. redegørelser i hovedtræk for indtægter og udgifter, den finansielle gæld og kapitalaktiverne
• iii. et diagram og en detaljeret opdeling af skønnede pengestrømme for de næste tre år.

Retningslinje 5: Organisationsstruktur

5.1. Såfremt ansøgeren er en fysisk person, bør beskrivelsen af organisationsstrukturen i ansøgerens virksomhed indeholde følgende:

• a) en samlet prognose for antal medarbejdere for de næste tre år
• b) en beskrivelse af relevante operationelle udliciteringsordninger bestående af:
• i. den udliciterende udbyders identitet og geografiske placering
• ii. identiteten af de personer i AISP, der er ansvarlige for hver af de udliciterede aktiviteter
• iii. en klar beskrivelse af de udliciterede aktiviteter og deres kendetegn i hovedtræk
• c) en kopi af udkast til udliciteringsaftaler
• d) hvis relevant en beskrivelse af brugen af filialer og agenter, herunder:
• i. en kortlægning af den kontrol på og uden for stedet, som ansøgeren agter at foretage af filialer og agenter
• ii. de IT-systemer, processer og infrastruktur, der benyttes af ansøgerens agenter til at udføre aktiviteter på ansøgerens vegne

agenternes uddannelse, og hvis relevant udkastet til ansættelsesvilkår

• e) en fortegnelse over alle fysiske og juridiske personer, der har tætte forbindelser til den ansøgende AISP, med angivelse af deres identitet og karakteren af disse forbindelser.

5.2. Såfremt ansøgeren er en juridisk person, bør beskrivelsen af den strukturelle opbygning af ansøgerens virksomhed indeholde følgende:

• a) et detaljeret organigram, der viser hver enkelt division, afdeling eller lignende organisatoriske adskillelse, inkl. navnet på den eller de ansvarlige personer, navnlig dem der er ansvarlige for interne kontrolfunktioner; organigrammet bør ledsages af en beskrivelse af funktioner og ansvarsområder for den enkelte division, afdeling eller lignende organisatoriske adskillelse
• b) et samlet skøn over antal medarbejdere for de næste tre år
• c) en beskrivelse af de relevante udliciteringsordninger bestående af:
• i. den udliciterende leverandørs identitet og geografiske placering
• ii. identiteten af de personer i AISP, der er ansvarlige for hver af de udliciterede aktiviteter
• iii. en detaljeret beskrivelse af de udliciterede aktiviteter og deres hovedkendetegn
• d) en kopi af udkast til udliciteringsaftaler
• e) hvis relevant en beskrivelse af brugen af filialer og agenter, herunder:
• i. en kortlægning af kontroller off-site og on-site, som ansøgeren her til hensigt at udføre
• ii. de IT-systemer, processer og infrastrukturer, der benyttes af ansøgerens agenter til at udføre aktiviteter på ansøgerens vegne
• iii. for så vidt angår agenter, udvælgelsespolitikken, overvågningsprocedurerne og agenternes uddannelse, og hvis relevant udkastet til ansættelsesvilkår
• f) en fortegnelse over alle fysiske og juridiske personer, der har tætte forbindelser til ansøgeren, med angivelse af deres identitet og karakteren af disse forbindelser.

Retningslinje 6: Forvaltningsordninger og interne kontrolmekanismer

6.1. Ansøgeren bør medsende en beskrivelse af forvaltningsordningen og de interne kontrolmekanismer, bestående af:

• a) en kortlægning af de risici, som ansøgeren har identificeret, herunder den type risici og de procedurer, som ansøgeren påtænker at indføre for at evaluere og forhindre sådanne risici
• b) de forskellige påtænkte procedurer for gennemførelse af periodisk og fast kontrol, herunder hyppigheden, og de tildelte menneskelige ressourcer
• c) de regnskabsprocedurer, i henhold til hvilke ansøgeren vil registrere og rapportere sine finansielle oplysninger
• d) identiteten af den eller de personer, der er ansvarlig(e) for de interne kontrolfunktioner, herunder for periodisk og fast kontrol og overensstemmelseskontrol, samt et opdateret CV
• e) identiteten af alle revisorer, der ikke er lovpligtig revisor i medfør af direktiv 2006/43/EF
• f) ledelsesorganets, og hvis relevant, ethvert andet tilsynsorgans eller -udvalgs sammensætning
• g) en beskrivelse af den måde, hvorpå udliciterede funktioner overvåges og kontrolleres for at undgå forringelse af kvaliteten af ansøgerens interne kontrolforanstaltninger
• h) en beskrivelse af den måde hvorpå agenter og filialer overvåges og kontrolleres inden for rammerne af ansøgerens interne kontrolforanstaltninger
• i) hvis ansøgeren er et datterselskab af en reguleret enhed i en anden EU-medlemsstat, en beskrivelse af forvaltningen af koncernen.

Retningslinje 7: Procedure for overvågning, håndtering og opfølgning af sikkerhedshændelser og sikkerhedsrelaterede kundereklamationer

7.1. Ansøgeren bør give en beskrivelse af den procedure, der er indført for at overvåge, håndtere og følge op på sikkerhedshændelser og sikkerhedsrelaterede kundereklamationer, som ansøgeren skal tilvejebringe, og som bør indeholde:

• a) organisatoriske foranstaltninger og værktøjer til bekæmpelse af svig
• b) oplysninger om de enkeltpersoner og organer, der er ansvarlige for at bistå kunderne i tilfælde af svig, tekniske problemer og/eller inddrivelse af fordringer
• c) rapporteringskanaler i tilfælde af svig
• d) kontaktpunkt for kunder, herunder et navn og e-mailadresse
• e) procedurerne for indberetning af hændelser, herunder kommunikation af disse indberetninger til interne eller eksterne organer, herunder indberetning af større hændelser til nationale kompetente myndigheder i medfør af artikel 96 i PSD2, og i overensstemmelse med EBA's retningslinjer om indberetning af hændelser i medfør af den omtalte artikel.
• f) de anvendte overvågningsværktøjer og opfølgningsforanstaltninger og -procedurer, der er indført for at afhjælpe sikkerhedsrisici.

Retningslinje 8: Proces for at gemme, overvåge, spore og begrænse adgang til følsomme betalingsdata

8.1. Ansøgeren bør tilvejebringe en beskrivelse af den procedure, der er indført til at gemme, overvåge, spore og begrænse adgang til følsomme betalingsdata, der består af:

• a) en beskrivelse af den datastrøm, der er klassificeret som følsomme betalingsdata inden for rammerne af kontooplysningstjenesteudbydernes forretningsmodel
• b) de procedurer, der er indført for at tillade adgang til de følsomme betalingsdata
• c) en beskrivelse af overvågningsværktøjet
• d) politikken for adgangsrettigheder, med oplysninger om adgang til alle relevante infrastrukturkomponenter og -systemer, herunder databaser og backupinfrastrukturer
• e) en beskrivelse af, hvordan de indsamlede data gemmes
• f) den forventede interne og/eller eksterne brug af de indsamlede data, herunder fra modparter
• g) IT-systemet og tekniske sikkerhedsforanstaltninger, der er blevet gennemført, herunder kryptering og/eller tokenisering
• h) identifikation af enkeltperson(er), organer og/eller udvalg med adgang til følsomme betalingsdata
• i) en redegørelse for, hvordan overtrædelser opdages og håndteres
• j) et årligt internt kontrolprogram i relation til IT-systemernes sikkerhed.

Retningslinje 9: Ordninger for forretningskontinuitet

9.1. Ansøgeren bør give en beskrivelse af ordningerne for forretningskontinuitet, der består af følgende oplysninger:

• a) en konsekvensanalyse, herunder forretningsprocesser og beredskabsmål, såsom mål for genstarttid, mål for gendannelsespunkt og beskyttede aktiver
• b) identifikation af backupsted, adgang til IT-infrastruktur, og den centrale software og data, der skal gendannes efter en katastrofe eller afbrydelse
• c) en redegørelse for, hvordan ansøgeren påtænker at forholde sig til væsentlige kontinuitetshændelser og driftsafbrydelser, såsom svigt af nøglesystemer; tab af nøgledata; manglende adgang til forretningslokalerne; og tab af nøglepersoner
• d) den hyppighed, hvormed ansøgeren påtænker at teste forretningskontinuiteten og katastrofeberedskabsplanerne, herunder hvordan resultaterne af testen vil blive registreret

Retningslinje 10: Dokument om sikkerhedspolitikken

10.1. Ansøgeren bør tilvejebringe et dokument om sikkerhedspolitikken, der indeholder følgende oplysninger:

• a) en detaljeret risikovurdering af betalingstjenesten/-tjenesterne, som ansøgeren påtænker at udbyde, og som bør omfatte risici for svig og sikkerhedskontrol- og afbødningsforanstaltninger, der træffes for på passende måde at beskytte brugerne af betalingstjenester mod de identificerede risici
• b) en beskrivelse af IT-systemerne, der bør omfatte:
• i. systemernes arkitektur og deres netværkselementer
• ii. de forretnings-IT-systemer, der understøtter de udbudte forretningsaktiviteter, såsom ansøgerens websted, systemet til håndtering af risici og svig, samt kunderegnskab
• iii. de support-IT-systemer, der anvendes til kontooplysningstjenesteudbydernes organisation og administration, bl.a. regnskab, juridiske indberetningssystemer, personaleforvaltning, kunderelationer, e-mailservere og interne filservere
• iv. oplysninger om, hvorvidt disse systemer allerede anvendes af kontooplysningstjenesteudbyderen eller dennes koncern eller ej, samt hvis relevant den skønnede gennemførelsesdato
• c) typen af autoriserede forbindelser udefra, f.eks. med partnere, tjenesteudbydere, koncernenheder og ansatte, der udfører fjernarbejde, med en forklaring af disse forbindelser
• d) for hver af disse forbindelser, der er opført under punkt c), de indførte logistiske beskyttelsesforanstaltninger og -mekanismer, med angivelse af den kontrol, som ansøgeren vil have over en sådan adgang samt karakteren og hyppigheden af hver kontrolforanstaltning, f.eks. teknisk i forhold til organisatorisk; forebyggende over for opsøgende; og realtidsovervågning over for løbende revisioner, som f.eks. brugen af en aktiv fortegnelse adskilt fra koncernen, åbning/lukning af kommunikationslinjer, konfiguration af sikkerhedsudstyr, generering af nøgler eller kundeautentifikationscertifikater, systemovervågning, autentifikation, fortrolighed af oplysninger, indtrængningsalarmer, antivirussystemer og logs
• e) de logiske sikkerhedsforanstaltninger og -mekanismer, der styrer den interne adgang til IT-systemer, som bør indeholde:
• i. den tekniske og organisatoriske karakter og hyppighed af hver foranstaltning, f.eks. om den er forebyggende eller opsøgende, og om den gennemføres i realtid eller ej
• ii. hvordan spørgsmålet om opdeling af kundemiljøer løses i sager, hvor ansøgerens IT-ressourcer deles
• f) de fysiske sikkerhedsforanstaltninger og -mekanismer i ansøgerens forretningslokaler og datacenter, f.eks. adgangskontrol og miljømæssig sikkerhed
• g) sikkerheden af betalingsprocesserne, der bør indeholde:
• i. den kundeautentifikationsprocedure, der anvendes til både orienterende og transaktionsbaseret adgang

betalingstjenestebruger og autentifikationsfaktorers integritet, f.eks. hardwaretokens og mobilapps, garanteres på tidspunktet for både den oprindelige tilmelding og fornyelse

• iii. en beskrivelse af de systemer og procedurer, som ansøgeren har indført til transaktionsanalyse og identifikation af mistænkelige eller usædvanlige transaktioner
• h) en detaljeret risikovurdering i tilknytning til ansøgerens betalingstjenester, herunder svig, med et link til de kontrolforanstaltninger og begrænsende foranstaltninger, som beskrives i ansøgningsdokumentet, og som viser, at risiciene er imødegået
• i) en liste over de skriftlige procedurer i tilknytning til ansøgerens IT-systemer eller, for procedurer, der endnu ikke er formaliseret, en forventet dato for deres afslutning.

Retningslinje 11: Identitets- og egnethedsvurdering af direktører og personer, der er ansvarlige for forvaltningen af kontooplysningstjenesteudbyderen

11.1. Af hensyn til identitets- og egnethedsvurderingen af direktører og personer, der er ansvarlige for forvaltningen af kontooplysningstjenesteudbyderen, bør ansøgeren fremsende følgende oplysninger:

• a) personoplysninger, der bør indeholde:
• i. fulde navn, køn, fødselsdato og -sted, adresse og nationalitet, og personligt identifikationsnummer eller kopi af ID-kort eller tilsvarende
• ii. oplysninger om den stilling, for hvilken vurderingen søges, og hvorvidt direktionen er udøvende eller ikke udøvende. Disse bør også omfatte følgende:

• b) hvis relevant oplysninger om den egnethedsvurdering, som ansøgeren har gennemført, og som bør indeholde oplysninger om resultatet af instituttets vurdering af den enkeltes egnethed udført af instituttet, f.eks. relevante bestyrelsesreferater eller egnetshedsvurderingsrapporter eller andre dokumenter
• c) dokumentation for viden, færdigheder og erfaring, som bør omfatte et CV med

kvalifikationer, anden relevant uddannelse, navn på og type af organisation, som den enkelte arbejder eller har arbejdet for, og arten og varigheden af de udførte funktioner, navnlig med fokus på alle aktiviteter inden for den søgte stillings område

• d) dokumentation for omdømme, hæderlighed og integritet, som bør indeholde:
• i. straffeattester og relevante oplysninger om strafferetlige efterforskninger og strafferetssager, relevante civilretlige og administrative sager, samt disciplinærsager, herunder diskvalifikation som selskabsdirektør, konkurs, insolvens og lignende procedurer, navnlig i form af et officielt certifikat eller oplysninger fra enhver objektivt pålidelig informationskilde om fraværet af straffedom eller strafferetlige efterforskninger, f.eks. tredjepartsefterforskninger, vidneudsagn fra en advokat eller notar i EU
• ii. en erklæring om, hvorvidt der verserer straffesager eller ej, eller hvorvidt den pågældende person eller enhver organisation, der ledes af vedkommende, har været involveret som skyldner i insolvensprocedurer eller sammenlignelige procedurer.
• iii. Oplysninger vedrørende følgende:

Retningslinje 12: Erhvervsansvarsforsikring eller lignende garanti

12.1. Som dokumentation for en erhvervsansvarsforsikring eller lignende garanti, der er i overensstemmelse med EBA's retningslinjer om erhvervsansvarsforsikring (EBA/GL/2017/08) og artikel 5, stk. 2, og artikel 5, stk. 3, i PSD2, bør ansøgeren tilvejebringe følgende oplysninger:

• a) en forsikringskontrakt eller andet tilsvarende dokument, der bekræfter eksistensen af en erhvervsansvarsforsikring eller en lignende garanti, med en dækning, der er i overensstemmelse med EBA's retningslinje, og som viser dækningen af de relevante forpligtelser
• b) dokumentation for, hvordan ansøgeren har beregnet minimumbeløbet på en måde, der er i overensstemmelse med de omtalte EBA-retningslinjer, herunder alle gældende komponenter af de heri specificerede formler.

1. Oversigt

1.1 Referencer

1.2 Identificerede krav

1.3 Relaterede standarder

2. Identificerede krav

3. Relaterede standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/