4.2 Richtsnoeren betreffende de gegevens die moeten worden verstrekt door aanvragers voor registratie voor het aanbieden van uitsluitend dienst 8 van bijlage I van Richtlijn (EU) 2015/2366 (rekeninginformatie-diensten)

Richtsnoer 1: Algemene beginselen

1.1 Deze reeks richtsnoeren geldt voor aanvragers van registratie als aanbieder van rekeninginformatiediensten (ARID). Dit betreft aanvragers die voornemens zijn uitsluitend rekeninginformatiediensten (RID) aan te bieden. Wanneer de aanvrager voornemens is naast de RID ook aanvullende diensten aan te bieden, dient hij een vergunning aan te vragen en de richtsnoeren van paragraaf 4.1 voor betaalinstellingen (BI's) aan te houden.

1.2 De door aanvragers verstrekte gegevens dienen waar, volledig, nauwkeurig en actueel te zijn. Alle aanvragers voldoen aan alle bepalingen in de reeks richtsnoeren die op hen van toepassing zijn. Het vereiste detailniveau om aan de eisen te voldoen, dient in verhouding te zijn met de omvang en de interne organisatie van de aanvrager, en met de aard, de omvang, de complexiteit en het risiconiveau van de specifieke dienst(en) die de aanvrager voornemens is aan te bieden. In ieder geval staan de bestuurders en de personen die verantwoordelijk zijn voor het management van de betaalinstelling overeenkomstig Richtlijn (EU) 2015/2366, bekend als betrouwbaar en beschikken zij over de nodige kennis en ervaring om betalingsdiensten uit te voeren ongeacht de omvang van de instelling, haar interne organisatie en de aard, omvang en complexiteit van haar activiteiten en de taken en verantwoordelijkheden van de specifieke functie.

1.3 Bij de indiening van de vereiste gegevens vermijdt de aanvrager verwijzingen naar specifieke delen van interne procedures/documenten. In plaats daarvan neemt de aanvrager de desbetreffende delen over en verstrekt hij de tekst hiervan aan de bevoegde autoriteit (BA).

1.4 Indien een BA verduidelijking eist van de ingediende gegevens, verstrekt de aanvrager deze onmiddellijk. 1.5 Alle gegevens waarom uit hoofde van deze richtsnoeren voor registratie als aanbieder van rekeninginformatiediensten (ARID) wordt gevraagd, zijn nodig voor de beoordeling van de aanvraag en worden door de bevoegde autoriteit behandeld overeenkomstig de verplichtingen inzake beroepsgeheim die zijn vastgelegd in PSD2, onverminderd toepasselijk recht van de Unie en nationale vereisten en procedures inzake de uitoefening van het recht op toegang, correctie, schrapping of bezwaar.

Richtsnoer 2: Identificatiegegevens

2.1 Als de aanvrager een natuurlijke persoon is, bevatten de door de aanvrager te verstrekken identificatiegegevens het volgende:

• a) naam, adres, nationaliteit en geboortedatum en -plaats;
• b) een kopie van de identiteitskaart of gelijkwaardige identificatie;
• c) een actueel curriculum vitae;
• d) een controle van het strafregister die minder dan 3 maanden geleden is uitgevoerd;
• e) de na(a)m(en) van de perso(o)n(en) die verantwoordelijk is/zijn voor de afhandeling van het aanvraagdossier en de vergunningsprocedure, met contactgegevens.

2.2 Als de aanvrager een rechtspersoon is, bevatten de identificatiegegevens die de aanvrager dient te verstrekken, de volgende informatie:

• a) de bedrijfsnaam en - indien deze anders luidt - de handelsnaam van de aanvrager;
• b) een aanduiding of de aanvrager al is opgericht of nog in het proces van oprichting is;
• c) indien van toepassing, het nationale identificatienummer van de aanvrager;
• d) de rechtsvorm en de (concept)statuten en/of oprichtingsdocumenten van de aanvrager, waaruit diens rechtsvorm blijkt;
• e) het adres van het hoofdkantoor en de statutaire zetel van de aanvrager;
• f) het elektronische adres en het adres van de website van de aanvrager, indien beschikbaar.
• g) de naam van de perso(o)n(en) die verantwoordelijk zijn voor de afhandeling van het aanvraagdossier en de vergunningsprocedure, met hun contactgegevens;
• h) een aanduiding of de aanvrager ooit gereglementeerd is door een bevoegde autoriteit in de sector financiële dienstverlening, of dat op dit moment is;
• i) de geregistreerde oprichtingsakte of, indien toepasselijk, een verklaring van een handelsregister dat de naam die de onderneming heeft gekozen, beschikbaar is;
• j) bewijs van betaling van eventuele vergoedingen of voorschotten voor het indienen van een registratieaanvraag als aanbieder van rekeninginformatiediensten, wanneer toepasselijk op grond van het nationale recht.

Richtsnoer 3: Programma van werkzaamheden

3.1. Het door de aanvrager te verstrekken programma van werkzaamheden bevat de volgende gegevens:

• a) een beschrijving van de rekeninginformatiedienst die de aanvrager voornemens is te verstrekken, met een uitleg van de wijze waarop de aanvrager heeft vastgesteld dat de activiteit past binnen de definitie van rekeninginformatiediensten van artikel 4, punt 16, van Richtlijn (EU) 2015/2366 (PSD2);
• b) een verklaring van de aanvrager dat hij op geen enkel moment in bezit zal komen van geldmiddelen;
• c) een beschrijving van het aanbieden van rekeninginformatiediensten, waaronder:
• i. conceptcontracten tussen alle betrokken partijen, indien van toepassing;
• ii. voorwaarden voor de levering van rekeninginformatiediensten;
• iii. verwerkingstijden;
• d) het geschatte aantal verschillende locaties vanwaaruit de aanvrager voornemens is de diensten aan te bieden, indien van toepassing;
• e) indien van toepassing, een beschrijving van aanvullende diensten bij de rekeninginformatiedienst;
• f) een verklaring betreffende de vraag of de aanvrager na registratie voornemens is rekeninginformatiediensten aan te bieden in een andere lidstaat van de EU of een ander land;
• g) of de aanvrager voornemens is in de komende drie jaar andere zakelijke activiteiten aan te bieden dan rekeninginformatiediensten, als bedoeld in artikel 18 van Richtlijn 2015/2366, of deze al aanbiedt, met inbegrip van een beschrijving van het soort en de verwachte omvang van die activiteiten;
• h) indien de aanvrager voornemens is uitsluitend dienst 8 (RID) aan te bieden, de in de EBA-richtsnoeren betreffende de criteria voor de vaststelling van het minimumgeldbedrag van de beroepsaansprakelijkheidsverzekering of andere vergelijkbare waarborg uit hoofde van artikel 5, lid 4, van Richtlijn (EU) 2015/2366 (EBA/GL/2017/08) gespecificeerde informatie.

Richtsnoer 4: Bedrijfsplan

4.1. Het door de aanvrager te verstrekken bedrijfsplan bevat:

• a) een marketingplan bestaande uit:
• i. een analyse van de concurrentiepositie van de onderneming;
• ii. een beschrijving van gebruikers van rekeninginformatiediensten in het betrokken marktsegment van rekeninginformatie, marketingmaterialen en distributiekanalen;
• b) wanneer beschikbaar, gecertificeerde jaarrekeningen over de voorgaande drie jaar of, voor aanvragers die nog geen jaarrekeningen hebben opgesteld, een samenvatting van de financiële situatie;
• c) een budgetprognose voor de eerste drie boekjaren waarmee wordt aangetoond dat de aanvrager in staat is gebruik te maken van passende en evenredige systemen, middelen en procedures die hem in staat stellen op een gezonde basis te werken. Deze prognose omvat:
• i. een prognose van de winst-en-verliesrekening en de balans, met inbegrip van beoogde scenario's en stress-scenario's, evenals de daarvoor gehanteerde aannames, zoals aantal cliënten, tariefstelling, en verwachte verhoging van de rentabiliteitsdrempel;
• ii. toelichtingen op de belangrijkste inkomsten- en uitgavenposten, de financiële schulden en de vaste activa;
• iii. een diagram en gedetailleerde specificatie van de geraamde kasstromen voor de drie komende jaren.

Richtsnoer 5: Organisatiestructuur

5.1. Als de aanvrager een natuurlijke persoon is, bevat de beschrijving van de organisatiestructuur van de onderneming van de aanvrager de volgende gegevens:

• a) een prognose van het totale aantal medewerkers gedurende de komende drie jaar;
• b) een beschrijving van de relevante operationele uitbestedingsregelingen bestaande uit:
• i. de identiteit en geografische locatie van de uitbestedende aanbieder;
• ii. de identiteit van de personen binnen de ARID die verantwoordelijk zijn voor elk van de uitbestede werkzaamheden;
• iii. een gedetailleerde beschrijving van de uitbestede werkzaamheden en de belangrijkste kenmerken daarvan;
• c) een kopie van concept-uitbestedingsovereenkomsten;
• d) waar van toepassing, een beschrijving van het gebruik van bijkantoren en agenten, met inbegrip van:
• i. een categorisering van de controles van bijkantoren en agenten die de aanvrager voornemens is ter plaatse en op afstand te verrichten;
• ii. de IT-systemen, processen en infrastructuur die de agenten van de aanvrager gebruiken om werkzaamheden uit te voeren namens de aanvrager;
• iii. in het geval van agenten, het selectiebeleid, de monitoringprocedures en de training van agenten, evenals, waar beschikbaar, de conceptvoorwaarden voor hun aanstelling;
• e) een lijst van alle natuurlijke of rechtspersonen die nauwe banden hebben met de aanvragende ARID, met vermelding van hun identiteit en de aard van die banden.

5.2. Als de aanvrager een rechtspersoon is, bevat de beschrijving van de organisatiestructuur van de onderneming van de aanvrager de volgende gegevens:

• a) een gedetailleerd organisatieschema met daarin elk bedrijfsonderdeel, elke afdeling of

verantwoordelijke persoon/personen, met name de personen die verantwoordelijk zijn voor interne controlefuncties; het schema gaat vergezeld van een beschrijving van de taken en verantwoordelijkheden van elk bedrijfsonderdeel, elke afdeling of soortgelijke structurele onderverdeling;

• b) een prognose van het totale aantal medewerkers gedurende de komende drie jaar;
• c) een beschrijving van de relevante uitbestedingsregelingen bestaande uit;
• i. de identiteit en geografische locatie van de uitbestedende aanbieder;
• ii. de identiteit van de personen binnen de ARID die verantwoordelijk zijn voor elk van de uitbestede werkzaamheden;
• iii. een gedetailleerde beschrijving van de uitbestede werkzaamheden en de belangrijkste kenmerken daarvan;
• d) een kopie van concept-uitbestedingsovereenkomsten;
• e) waar van toepassing, een beschrijving van het gebruik van bijkantoren en agenten, met inbegrip van:
• i. een categorisering van de controles van bijkantoren en agenten die de aanvrager voornemens is ter plaatse en op afstand te verrichten;
• ii. de IT-systemen, processen en infrastructuren die de agenten van de aanvrager gebruiken om werkzaamheden uit te voeren namens de aanvrager;
• iii. in het geval van agenten, het selectiebeleid, de monitoringprocedures en de training van agenten, evenals, waar beschikbaar, de conceptvoorwaarden voor hun aanstelling;
• f) een lijst van alle natuurlijke of rechtspersonen die nauwe banden hebben met de aanvrager, met vermelding van hun identiteit en de aard van die banden.

Richtsnoer 6: Regelingen op het gebied van governance en mechanismen voor interne controle

6.1. De aanvrager verstrekt een beschrijving van de regelingen op het gebied van governance en mechanismen voor interne controle. Deze omvat:

• a) een overzicht van de door de aanvrager vastgestelde risico's, met de soorten risico's en de procedures die de aanvrager zal invoeren om deze te beoordelen en te voorkomen;
• b) de verschillende procedures voor de uitvoering van periodieke en permanente controles, met inbegrip van de frequentie en het hieraan toegewezen personeel;
• c) de boekhoudprocedures volgens welke de aanvrager zijn financiële informatie zal vastleggen en rapporteren;
• d) de identiteit van de persoon of personen die verantwoordelijk zijn voor de internecontrolefuncties, met inbegrip van die voor de periodieke, permanente en nalevingscontroles, evenals een actueel curriculum vitae;
• e) de identiteit van een eventuele auditor die geen wettelijke auditor uit hoofde van Richtlijn 2006/43/EG is;
• f) de samenstelling van het leidinggevend orgaan en, indien van toepassing, enig ander toezichthoudend orgaan of comité;
• g) een beschrijving van de manier waarop uitbestede functies worden gemonitord en gecontroleerd, zodat vermindering van de kwaliteit van de interne controles van de aanvrager wordt voorkomen;
• h) een beschrijving van de manier waarop eventuele agenten en bijkantoren worden

aanvrager;

• i) wanneer de aanvrager een dochteronderneming is van een gereglementeerde entiteit in een andere EU-lidstaat, een beschrijving van de governance van de groep.

Richtsnoer 7: Procedure voor het monitoren en afhandelen van veiligheidsincidenten en veiligheidsgerelateerde klachten van cliënten en de follow-up daarvan

7.1. De aanvrager verstrekt een beschrijving van de procedure voor het monitoren en afhandelen van veiligheidsincidenten en veiligheidsgerelateerde klachten van cliënten en de follow-up daarvan. Deze omvat:

• a) organisatorische maatregelen en instrumenten ter voorkoming van fraude;
• b) gegevens van de personen en organen die verantwoordelijk zijn voor het bijstaan van cliënten in gevallen van fraude, technische problemen en/of klachtenbeheer;
• c) rapportagelijnen bij fraudegevallen;
• d) het aanspreekpunt voor cliënten, waaronder een naam en een e-mailadres;
• e) de procedures voor het melden van incidenten, met inbegrip van het doorgeven van deze meldingen aan interne of externe organen, waaronder kennisgeving van grote incidenten aan nationale bevoegde autoriteiten overeenkomstig artikel 96 van PSD2 en in lijn met de EBA-richtsnoeren voor de melding van incidenten uit hoofde van het genoemde artikel.
• f) de gebruikte monitoringinstrumenten en de aanwezige follow-upmaatregelen en -procedures om veiligheidsrisico's te verminderen.

Richtsnoer 8: Het aanwezige proces voor het opslaan, monitoren, traceren en beperken van de toegang tot gevoelige betalingsgegevens

8.1. De aanvrager verstrekt een beschrijving van het aanwezige proces voor het opslaan, monitoren, traceren en beperken van de toegang tot gevoelige betalingsgegevens. Deze bestaat uit:

• a) een beschrijving van de gegevensstromen die in de context van het bedrijfsmodel van de ARID als gevoelige betalingsgegevens worden geclassificeerd;
• b) de aanwezige procedures voor het verlenen van machtiging voor toegang tot gevoelige betalingsgegevens;
• c) een beschrijving van het monitoringinstrument;
• d) het toegangsrechtenbeleid, met gedetailleerde informatie over de toegang tot alle relevante infrastructuurcomponenten en -systemen, met inbegrip van databases en back-upinfrastructuren;
• e) een beschrijving van hoe de verzamelde gegevens worden opgeslagen;
• f) het verwachte interne en/of externe gebruik van de verzamelde gegevens, met inbegrip van tegenpartijen;
• g) het IT-systeem en de technische veiligheidsmaatregelen die zijn geïmplementeerd, met inbegrip van encryptie en/of het gebruik van tokens;

gevoelige betalingsgegevens;

• i) een uitleg over de manier waarop overtredingen worden opgespoord en aangepakt;
• j) een programma voor jaarlijkse interne controle van de veiligheid van de IT-systemen.

Richtsnoer 9: Bedrijfscontinuïteitsregelingen

9.1. De aanvrager verstrekt een beschrijving van de bedrijfscontinuïteitsregelingen, die uit de volgende gegevens bestaat:

• a) een bedrijfsimpactanalyse, met de bedrijfsprocessen en de doelstellingen voor het herstel, zoals 'recovery time objectives' en 'recovery point objectives' en beschermde activa;

continuïteitsincidenten en -verstoringen, zoals het falen van essentiële systemen, het verlies van essentiële gegevens, ontoegankelijkheid van panden en het wegvallen van essentiële personen;

• d) de frequentie waarmee de aanvrager voornemens is de plannen voor bedrijfscontinuïteit en herstel na rampen te testen, en hoe de uitkomsten van de tests worden vastgelegd. Richtsnoer 10: Beveiligingsbeleidsdocument

10.1. De aanvrager verstrekt een beveiligingsbeleidsdocument met daarin de volgende gegevens:

• a) een gedetailleerde risicobeoordeling van de betalingsdienst(en) die de aanvrager voornemens is aan te bieden. Hierin zijn ook opgenomen risico's van fraude en de veiligheidscontrole en risicobeperkende maatregelen die zijn genomen om gebruikers van betalingsdiensten naar behoren te beschermen tegen de vastgestelde risico's;
• b) een beschrijving van de IT-systemen met:
• i. de architectuur van de systemen en hun netwerkelementen;
• ii. de zakelijke IT-systemen die de bedrijfsactiviteiten ondersteunen, zoals de website, de risico- en fraudebeheersengine, en klantenadministratie;
• iii. de ondersteunende IT-systemen die worden gebruikt voor de organisatie en administratie van de ARID, zoals boekhouding, systemen voor wettelijke verslaglegging, personeelsbeheer, klantrelatiebeheer, e-mailservers en interne bestandsservers;
• iv. informatie over de vraag of deze systemen al worden gebruikt door de ARID of zijn groep, en, indien van toepassing, de geraamde invoeringsdatum;
• c) het soort geautoriseerde verbindingen van buiten, zoals met partners, dienstenaanbieders, entiteiten van de groep en werknemers die op afstand werken, evenals de redenen voor die verbindingen;
• d) voor elk van de onder c) genoemde verbindingen de aanwezige logische veiligheidsmaatregelen en -mechanismen, waarbij wordt aangegeven welke controle de betaalinstelling over die toegang zal hebben, evenals de aard en de frequentie van die controle, zoals technisch versus organisatorisch, preventief versus op opsporing gericht, realtime monitoring versus regelmatige toetsingen, zoals het gebruik van Active Directory gescheiden van de groep, het openen/sluiten van communicatielijnen, configuratie van beveiligingsvereisten, het genereren van sleutels of cliëntauthenticatiecertificaten, systeemmonitoring, authenticatie, vertrouwelijkheid van communicatie, detectie van inbraken, antivirussystemen en logboeken;
• e) de logische beveiligingsmaatregelen en -mechanismen voor de interne toegang tot IT-systemen. Dit omvat:
• i. de technische en organisatorische aard en frequentie van elke maatregel, bijvoorbeeld of de maatregel preventief is of gericht op opsporing en of deze al of niet in realtime wordt uitgevoerd;
• ii. de omgang met de scheiding van klantomgevingen in gevallen waarin de IT-resources van de aanvrager worden gedeeld;
• f) de fysieke veiligheidsmaatregelen en -mechanismen van het pand en het datacentrum van de aanvrager, zoals toegangscontroles en milieubeveiliging;
• g) de beveiliging van de betalingsprocessen, waaronder:
• i. de cliëntauthenticatieprocedure die is gebruikt voor toegang voor zowel raadpleging als transacties;
• ii. een uitleg over hoe de veilige levering aan de legitieme gebruiker van de betalingsdienst en de integriteit van authenticatie-elementen, zoals fysieke tokens en mobiele apps, zijn gewaarborgd, zowel ten tijde van de eerste registratie als bij verlenging;
• iii. een beschrijving van de systemen en procedures waarover de aanvrager beschikt

transacties;

• h) een gedetailleerde risicobeoordeling met betrekking tot zijn betalingsdiensten, met inbegrip van fraude, met een koppeling naar de controle- en risicobeperkingsmaatregelen die in het aanvraagdossier worden uitgelegd, waaruit blijkt dat de risico's worden aangepakt;
• i) een lijst van de belangrijkste schriftelijke procedures voor de IT-systemen van de aanvrager of, voor procedures die nog niet zijn geformaliseerd, een schatting van de datum waarop ze gereed zullen zijn.

Richtsnoer 11: Identiteit en geschiktheidsbeoordeling van bestuurders en personen die verantwoordelijk zijn voor het beheer van de aanbieder van rekeninginformatiediensten

11.1. Met betrekking tot de identiteit en de geschiktheidsbeoordeling van bestuurders en

rekeninginformatiediensten, verstrekt de aanvrager de volgende informatie:

• a) persoonsgegevens, waaronder:
• i. de volledige naam, het geslacht, de geboorteplaats en -datum, adres en nationaliteit, en het persoonlijke identificatienummer of een kopie van ID-kaart of gelijkwaardig document;
• ii. gegevens over de functie waarvoor de beoordeling wordt gevraagd, en of de functie in het leidinggevend orgaan uitvoerend of niet-uitvoerend is; dit bevat onder meer de volgende gegevens;

• b) waar toepasselijk, informatie over de geschiktheidsbeoordeling die door de aanvrager is uitgevoerd; deze omvat bijzonderheden over de uitkomst van een eventuele beoordeling van de geschiktheid van de persoon die door de instelling is uitgevoerd, zoals relevante notulen van bestuursvergaderingen, verslagen van geschiktheidsbeoordelingen of andere documenten;
• c) bewijs van kennis, vaardigheden en ervaring, waaronder een curriculum vitae met bijzonderheden over onderwijs en beroepservaring, waaronder academische kwalificaties, andere relevante opleidingen, de naam en de aard van alle organisaties waarvoor de persoon werkt of heeft gewerkt, en de aard en duur van de vervulde functies, waarbij in het bijzonder aandacht wordt besteed aan eventuele activiteiten binnen de reikwijdte van de beoogde functie;
• d) bewijs van de goede reputatie, eerlijkheid en integriteit:
• i. strafregisters en relevante informatie over strafrechtelijke onderzoeken en procedures, relevante civielrechtelijke en administratieve zaken en disciplinaire acties, waaronder onbekwaamverklaring als bestuurder van een onderneming, faillissements-, insolventie- en soortgelijke procedures, in het bijzonder in de vorm van een officieel certificaat of een objectief betrouwbare informatiebron betreffende het niet bestaan van een strafrechtelijke veroordeling, onderzoek of procedure, zoals onderzoeken door derden en door een in de Europese Unie gevestigde advocaat of notaris opgestelde getuigenverklaringen;
• ii. een verklaring dat de betreffende persoon of een organisatie waarover hij de leiding heeft, al dan niet voorwerp is van een lopende strafrechtelijke procedure of als schuldenaar betrokken is geweest bij een insolventie- of vergelijkbare procedure;
• iii. Informatie over het volgende:

Richtsnoer 12: Beroepsaansprakelijkheidsverzekering of een vergelijkbare waarborg

12.1. Als bewijs van een beroepsaansprakelijkheidsverzekering of vergelijkbare waarborg die voldoet aan de EBA-richtsnoeren betreffende beroepsaansprakelijkheidsverzekering (EBA/GL/2017/08) en artikel 5, leden 2 en 3, van PSD2, verstrekt de aanvrager de volgende gegevens:

• a) een verzekeringscontract of ander gelijkwaardig document dat het bestaan van een beroepsaansprakelijkheidsverzekering of een vergelijkbare garantie bevestigt, met een dekkingsbedrag dat in overeenstemming is met het genoemde EBA-richtsnoer, waaruit de dekking van de relevante aansprakelijkheden blijkt;
• b) documentatie van de wijze waarop de aanvrager het minimumbedrag heeft berekend op een manier die in overeenstemming is met de genoemde EBA-richtsnoeren, met inbegrip van een specificatie van alle toepasselijke onderdelen van de formule.

1. Overzicht

1.1 Referenties

1.2 Geïdentificeerde eisen

1.3 Gerelateerde standaarden

2. Geïdentificeerde eisen

3. Gerelateerde standaarden

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/