4.2 Riktlinjer för uppgifter som ska lämnas vid ansökan om registrering för att tillhandahålla endast den tjänst som avses i punkt 8 i bilaga I till direktiv (EU) 2015/2366 (kontoinformationstjänster)

Riktlinje 1: Allmänna principer

kontoinformationstjänster. Med detta avses sökande som avser att endast tillhandahålla kontoinformationstjänster. En sökande som har för avsikt att tillhandahålla fler tjänster bör ansöka om auktorisation och följa riktlinjerna för betalningsinstitut i avsnitt 4.1.

1.2 De uppgifter som de sökande lämnar bör vara sanningsenliga, fullständiga, korrekta och aktuella. Alla sökande bör efterleva alla bestämmelser i riktlinjerna som är tillämpliga på dem. Detaljeringsgraden ska stå i proportion till den sökandes storlek och interna organisation samt till arten, omfattningen och komplexitetsgraden hos den eller de tjänster som den sökande har för avsikt att tillhandahålla och de risker dessa medför. I enlighet med direktiv (EU) 2015/2366 ska personer i styrelsen och personer som leder betalningsinstitutet i alla händelser ha gott anseende och den kunskap och erfarenhet som krävs för att tillhandahålla betaltjänster, oberoende av institutets storlek, interna organisation och arten, omfattningen och komplexitetsgraden hos dess verksamhet samt de uppgifter och ansvarsområden som sammanhänger med deras specifika befattningar.

1.3 Den sökande bör undvika att hänvisa till specifika avsnitt i interna förfaranden/dokument när uppgifterna lämnas. Utdrag med relevanta avsnitt bör i stället överlämnas till den behöriga myndigheten.

1.4 Om den behöriga myndigheten begär klargöranden av de uppgifter som har lämnats bör den sökande tillhandahålla dessa utan dröjsmål.

1.5 Alla uppgifter som krävs enligt dessa riktlinjer för registrering som leverantör av kontoinformationstjänster behövs för bedömningen av ansökan och ska hanteras av den behöriga myndigheten med tillämpning av den tystnadsplikt som föreskrivs i andra betaltjänstdirektivet, utan att det inverkar på tillämpningen av unionsrätten och nationella krav och förfaranden som rör utövandet av rätten att ta del av, rätta, radera och invända mot uppgifter. Riktlinje 2: Identifieringsuppgifter

2.1 Om den sökande är en fysisk person bör uppgifterna för identifiering av den sökande innehålla följande information:

• a) Namn, adress, nationalitet och födelsedatum och födelseort.
• b) En kopia av identitetskort eller motsvarande.
• c) En aktuell meritförteckning.
• d) Ett högst tre månader gammalt utdrag ur polisens belastningsregister.
• e) Namn på den eller de personer som ansvarar för ansökningshandlingarna och auktorisationsförfarandet, med kontaktuppgifter.

2.2 Om den sökande är en juridisk person bör uppgifterna för identifiering av den sökande innehålla följande information:

• a) Den sökandes bolagsnamn och eventuella firma.
• b) Uppgift om huruvida den sökande redan är registrerad eller om registreringsprocessen pågår.
• c) Den sökandes nationella organisationsnummer i tillämpliga fall.
• d) Den sökandes rättsliga ställning och (utkast till) stadgar och/eller etableringsdokument som utvisar den sökandes rättsliga ställning.
• e) Adressen till den sökandes huvudkontor och säte.
• f) Den sökandes e-postadress och webbplats om sådana finns.
• g) Namn på den eller de personer som ansvarar för ansökningshandlingarna och auktorisationsförfarandet, med kontaktuppgifter.
• h) Uppgift om huruvida den sökande någonsin har stått under tillsyn eller för närvarande står under tillsyn av en behörig myndighet i finanssektorn.
• i) Företagets registreringsbevis eller i tillämpliga fall intyg från bolagsregister som visar att det namn som företaget vill registrera är tillgängligt.
• j) Bevis för att eventuella avgifter har betalats eller medel deponerats för ansökan om registrering som leverantör av kontoinformationstjänster, när detta är tillämpligt enligt nationell lagstiftning. Riktlinje 3: Verksamhetsplan

3.1. Den verksamhetsplan som den sökande lämnar in bör innehålla följande information:

• a) En beskrivning av de kontoinformationstjänster som ska tillhandahållas med en förklaring till hur den sökande har fastställt att verksamheten överensstämmer med definitionen av kontoinformationstjänster i artikel 4.16 i direktiv (EU) 2015/2366 (andra betaltjänstdirektivet).
• b) En förklaring om att den sökande inte vid någon tidpunkt kommer att komma i besittning av medel.
• c) En beskrivning av tillhandahållandet av kontoinformationstjänsten med
• i. utkast till avtal mellan alla berörda parter (i tillämpliga fall),
• ii. villkoren för tillhandahållandet av kontoinformationstjänsterna och
• iii. uppgift om handläggningstider.
• d) Det uppskattade antalet affärslokaler varifrån den sökande avser att tillhandahålla tjänsterna (i tillämpliga fall).
• e) En beskrivning av eventuella sidotjänster till kontoinformationstjänsterna.
• f) Uppgift om huruvida den sökande planerar att tillhandahålla kontoinformationstjänster i andra medlemsstater eller tredjeländer efter registreringen.
• g) Uppgift om huruvida den sökande under de närmaste tre åren avser att bedriva eller redan bedriver sådan annan verksamhet än kontoinformationstjänster som avses i artikel 18 i direktiv (EU) 2015/2366, med en beskrivning av typen av verksamhet och den förväntade omfattningen.
• h) De uppgifter som anges i EBA:s riktlinjer för kriterierna för att fastställa ett minimibelopp för den ansvarsförsäkring eller jämförbara garanti som avses i artikel 5.4 i direktiv (EU) 2015/2366 (EBA/GL/2017/08), om den sökande endast avser att tillhandahålla tjänst 8 (kontoinformationstjänster).

Riktlinje 4: Affärsplan

4.1. Den sökandes affärsplan bör innehålla följande:

• a) En marknadsföringsplan bestående av
• i. en analys av företagets konkurrenssituation och

marknadssegmentet i fråga, marknadsföringsmaterial och distributionskanaler.

• b) Reviderade årsredovisningar för de föregående tre åren om dessa finns tillgängliga, eller en sammanfattning av den finansiella situationen för sökande som ännu inte har lämnat någon årsredovisning.
• c) En budgetprognos för de tre första räkenskapsåren som visar att den sökande har förmåga att utnyttja system, resurser och förfaranden som är lämpliga och väl anpassade för en sund verksamhet. Denna bör innehålla
• i. resultat- och balansprognoser med målscenarier och stresscenarier samt underliggande antaganden om till exempel antal kunder, prissättning och förväntad ökning av lönsamhetströskeln,
• ii. förklaringar till de viktigaste intäkts- och kostnadsposterna, de finansiella skulderna och kapitaltillgångarna och
• iii. ett diagram och en detaljerad analys av de uppskattade kassaflödena under de närmaste tre åren.

Riktlinje 5: Organisationsstruktur

5.1. Om den sökande är en fysisk person bör beskrivningen av den sökandes organisationsstruktur innehålla följande information:

• a) En övergripande prognos för antalet medarbetare under de närmaste tre åren.
• b) En beskrivning av relevanta lösningar för utkontraktering som innehåller
• i. uppgifter om uppdragstagarens identitet och geografiska belägenhet,
• ii. uppgifter om vilka personer hos leverantören av kontoinformationstjänster som ansvarar för den utkontrakterade verksamheten och
• iii. en detaljerad beskrivning av den utkontrakterade verksamheten och dess huvudsakliga egenskaper.
• c) En kopia av utkast till uppdragsavtal.
• d) I tillämpliga fall en beskrivning av användning av ombud och filialer som innehåller
• i. en beskrivning av de externa kontroller och kontroller på plats som den sökande avser att genomföra hos dessa,
• ii. uppgifter om de IT-system och processer och den infrastruktur som den sökandes ombud använder för att bedriva verksamhet för den sökandes räkning och
• iii. uppgifter om policyn för val av ombud, förfaranden för övervakning av ombud, utbildningen av ombud och i tillämpliga fall utkast till uppdragsavtal.
• e) En förteckning över alla fysiska och juridiska personer som har nära förbindelser med den sökande leverantören av kontoinformationstjänster, med uppgifter om deras identiteter och arten av dessa förbindelser.

5.2. Om den sökande är en juridisk person bör beskrivningen av företagets organisationsstruktur innehålla följande information:

• a) Ett detaljerat organisationsschema som utvisar alla divisioner, avdelningar och liknande strukturella enheter med namn på ansvariga personer, i synnerhet ansvariga för interna kontrollfunktioner, tillsammans med beskrivningar av dessa divisioners, avdelningars och liknande strukturella enheters funktioner och ansvarsområden.
• b) En övergripande prognos för antalet medarbetare under de närmaste tre åren.
• c) En beskrivning av relevanta lösningar för utkontraktering som innehåller
• i. uppgifter om uppdragstagarens identitet och geografiska belägenhet,
• ii. uppgifter om vilka personer hos leverantören av kontoinformationstjänster som ansvarar för den utkontrakterade verksamheten och
• iii. en detaljerad beskrivning av den utkontrakterade verksamheten och dess huvudsakliga egenskaper.
• d) En kopia av utkast till uppdragsavtal.
• e) I tillämpliga fall en beskrivning av användning av ombud och filialer som innehåller
• i. en beskrivning av de externa kontroller och kontroller på plats som den sökande avser att genomföra hos dessa,
• ii. uppgifter om de IT-system och processer och den infrastruktur som den sökandes ombud använder för att bedriva verksamhet för den sökandes räkning och
• iii. uppgifter om policyn för val av ombud, förfaranden för övervakning av ombud, utbildningen av ombud och i tillämpliga fall utkast till uppdragsavtal.
• f) En förteckning över alla fysiska och juridiska personer som har nära förbindelser med den sökande, med uppgifter om deras identiteter och arten av dessa förbindelser.

Riktlinje 6: Styrsystem och interna kontrollmekanismer

6.1. Den sökande bör tillhandahålla en beskrivning av styrsystemen och de interna kontrollmekanismerna som inbegriper följande:

• a) En kartläggning av de risker som den sökande har identifierat, där de förfaranden som den sökande kommer att införa för att bedöma och förebygga olika typer av risker anges.
• b) Förfaranden för periodiska och fortlöpande kontroller med angivande av frekvens och avsatta mänskliga resurser.
• c) De redovisningsförfaranden som den sökande kommer att använda för att registrera och rapportera sin finansiella information.
• d) Uppgifter om den eller de personer som ansvarar för den interna kontrollen, däribland för periodiska och fortlöpande kontroller samt för efterlevnadskontroller, med aktuella meritförteckningar.
• e) Uppgifter om revisorer som inte är lagstadgade revisorer enligt direktiv 2006/43/EG.
• f) Sammansättningen av ledningsorganet och i tillämpliga fall andra organ eller kommittéer med övervakningsansvar.
• g) En beskrivning av hur utkontrakterade funktioner övervakas och kontrolleras för att undvika att kvaliteten hos den sökandes interna kontroller försämras.
• h) En beskrivning av hur ombud och filialer övervakas och kontrolleras inom ramen för den sökandes interna kontroller.
• i) En beskrivning av koncernens styrelseformer om den sökande är dotterbolag till ett företag som står under tillsyn i en annan EU-medlemsstat.

Riktlinje 7: Förfaranden för övervakning, hantering och uppföljning av säkerhetsincidenter och säkerhetsrelaterade kundklagomål

7.1. Den sökande bör tillhandahålla en beskrivning av de förfaranden som finns för att övervaka, hantera och följa upp säkerhetsincidenter och säkerhetsrelaterade kundklagomål, vilken innehåller information om

• a) organisatoriska åtgärder och verktyg för att förhindra bedrägerier,
• b) personer och organ som ansvarar för att bistå kunderna i händelse av bedrägerier, tekniska problem och/eller med kravhantering,
• c) rapporteringsvägar i händelse av bedrägerier,
• d) kontaktpunkten för kunderna, med namn och e-postadress,

externa organ samt för att underrätta nationella behöriga myndigheter om allvarliga incidenter enligt artikel 96 i andra betaltjänstdirektivet samt i linje med EBA:s riktlinjer om incidentrapportering enligt samma artikel och

• f) de övervakningsverktyg som används samt de uppföljningsåtgärder och förfaranden som finns för att minska säkerhetsriskerna.

Riktlinje 8: Processen för att arkivera, övervaka, spåra och begränsa åtkomsten till känsliga betalningsuppgifter

8.1. Den sökande bör tillhandahålla en beskrivning av den process som har införts för att arkivera, övervaka, spåra och begränsa åtkomsten till känsliga betalningsuppgifter, vilken innehåller

• a) en beskrivning av det dataflöde som klassificeras som känsliga betalningsuppgifter i den sökandes affärsmodell,

betalningsuppgifter,

• c) en beskrivning av övervakningsverktyget,
• d) information om policyn för åtkomsträttigheter till alla relevanta infrastrukturkomponenter och system samt databaser och infrastruktur för säkerhetskopiering,
• e) en beskrivning av hur insamlade data arkiveras,

inklusive kryptering och/eller tokenisering,

• h) information om de personer, organ och/eller kommittéer som har tillgång till de känsliga betalningsuppgifterna,
• i) en beskrivning av hur intrång ska upptäckas och åtgärdas och
• j) en beskrivning av det program som finns för årlig intern kontroll av IT-systemens säkerhet.

Riktlinje 9: Arrangemang för verksamhetens driftskontinuitet

9.1. Den sökande bör tillhandahålla en beskrivning av arrangemangen för verksamhetens driftskontinuitet som inbegriper följande:

• a) En konsekvensanalys som omfattar affärsprocesserna och mål för återskapandet av data såsom återskapandetid, återskapandepunkt och skyddade tillgångar.
• b) Uppgifter om var säkerhetskopior sparas, tillgången till IT-infrastrukturen och viktiga program och data som måste återskapas efter haverier eller störningar.
• c) En beskrivning av hur den sökande kommer att hantera viktiga händelser och störningar av driften, såsom haverier i viktiga system, förlust av viktiga data, otillgängliga lokaler och förlust av nyckelpersoner.
• d) Den frekvens med vilken den sökande avser att testa driftskontinuiteten och planerna för återhämtning efter katastrofer, inklusive hur testresultaten ska registreras.

Riktlinje 10: Säkerhetspolicydokument

10.1. Den sökande bör tillhandahålla ett säkerhetspolicydokument som innehåller följande information:

• a) En detaljerad riskbedömning av den eller de betaltjänster som den sökande avser att tillhandahålla, vilken bör inbegripa bedrägeririsker och en beskrivning av de säkerhetskontroll- och begränsningsåtgärder som vidtagits för att på lämpligt sätt skydda betaltjänstanvändarna mot de belagda riskerna.
• b) En beskrivning av IT-systemen, vilken innehåller information om
• i. systemens arkitektur och nätverkselement,
• ii. de affärssystem som stöder de tillhandahållna tjänsterna, såsom den sökandes webbplats, motor för hantering av risker och bedrägerier samt kundredovisning,
• iii. de stödsystem som används för leverantörens av kontoinformationstjänster organisation och förvaltning, såsom system för redovisning och rapportering, personaladministration, hantering av kundrelationer, e-postservrar och servrar för interna dokument,
• iv. huruvida dessa system redan används av leverantören av kontoinformationstjänster eller dess koncern, och i tillämpliga fall uppskattat implementeringsdatum.
• c) Uppgifter om tillåtna externa anslutningar till exempelvis partner, tjänsteleverantörer, koncernföretag och anställda som arbetar på distans, samt motiven för dessa anslutningar.
• d) För var och en av de anslutningar som anges i punkt c: information om de logiska säkerhetsåtgärder och mekanismer som finns samt den kontroll som den sökande kommer att ha över åtkomsten. Kontrollernas art och frekvens: tekniska eller organisatoriska, förebyggande eller upptäckande, övervakning i realtid eller regelbundna granskningar. Information om användning av en aktiv katalog utanför koncernen, öppning/stängning av kommunikationslinjer, konfiguration av säkerhetsutrustning, skapande av nycklar eller klientcertifikat, systemövervakning, autentisering, konfidentiell kommunikation, detektering av intrång, virusskydd och loggar.
• e) Uppgifter om de logiska säkerhetsåtgärder och mekanismer som styr den interna åtkomsten till IT-systemen, med information om
• i. varje åtgärds tekniska och organisatoriska art och frekvens, till exempel om åtgärden är förebyggande eller upptäckande och huruvida den utförs i realtid och
• ii. hur avskiljandet av klientmiljön hanteras om den sökandes IT-resurser är gemensamma.
• f) Uppgifter om de fysiska säkerhetsåtgärderna och mekanismerna i den sökandes lokaler och datacentral, såsom åtkomstkontroller och miljöskydd.
• g) Uppgifter om betalningsprocesserna, som inbegriper
• i. information om det förfarande för kundautentisering som används för åtkomst till uppgifter och genomförande av transaktioner,
• ii. en redogörelse för hur säker leverans till legitima användare av betaltjänsterna och integriteten hos autentiseringsfaktorer som hårdvarutokens och mobila applikationer säkerställs, såväl vid första inregistreringen som vid förnyelse av avtalet och
• iii. en beskrivning av de system och förfaranden som den sökande använder för att analysera transaktioner och identifiera misstänkta eller ovanliga transaktioner.
• h) En detaljerad riskbedömning av betaltjänsterna, bland annat avseende bedrägeririsker, med en länk till de säkerhetskontroll- och begränsningsåtgärder som beskrivs i ansökningsfilen och som visar att riskerna har åtgärdats.
• i) En förteckning över de viktigaste skriftliga förfarandena som rör den sökandes IT-system eller uppgift om när den sökande bedömer att förfaranden som ännu inte har formaliserats kommer att vara färdigställda.

Riktlinje 11: Identitetsuppgifter om och lämplighetsbedömning av personer i styrelsen och personer som leder leverantören av kontoinformationstjänster

11.1. För att identifiera personer i styrelsen och personer som leder leverantören av kontoinformationstjänster och bevisa deras lämplighet bör den sökande lämna följande information:

• a) Personuppgifter som inkluderar
• i. fullständigt namn, kön, födelseort och födelsedatum, adress och nationalitet samt personligt identifikationsnummer eller kopia av id-kort eller motsvarande och
• ii. uppgifter om vilken befattning bedömningen gäller, huruvida personen har en verkställande funktion i ledningsorganet eller inte, samt information om

• b) I tillämpliga fall uppgifter om den lämplighetsbedömning som den sökande har gjort, vilken bör inkludera information om resultaten av institutets bedömningar av personens lämplighet, såsom relevanta styrelseprotokoll eller rapporter från lämplighetsbedömningar eller andra handlingar.

personen arbetar eller har arbetat för och uppgift om organisationstyp samt befattningarnas art och uppdragens varaktighet, med betoning på verksamheter som har samband med den sökta befattningen.

• d) Dokument som styrker gott anseende, hederlighet och integritet, vilka bör inkludera följande information:
• i. Utdrag ur brottsregister och relevant information om brottsutredningar och rättsliga förfaranden, relevanta civilrättsliga och administrativa ärenden samt disciplinära ärenden (däribland förbud att fungera som företagsledare, konkurs, insolvens och liknande), främst i form av officiella intyg eller uppgifter från objektivt sett tillförlitliga informationskällor om att personen inte har dömts i brottmål eller varit föremål för brottsutredning eller rättsliga förfaranden, såsom undersökningar av tredje part och vittnesmål från jurister eller notarier som är etablerade i EU.
• ii. Uppgifter om huruvida straffrättsliga förfaranden pågår eller om personen eller någon organisation som han eller hon leder har figurerat som gäldenär i insolvensförfaranden eller motsvarande.
• iii. Uppgifter om

Riktlinje 12: Ansvarsförsäkring eller jämförbar garanti

12.1. Den sökande bör lämna följande uppgifter för att påvisa innehavet av en ansvarsförsäkring eller jämförbar garanti som överensstämmer med EBA:s riktlinjer för kriterierna för att

(EBA/GL/2017/08) och artiklarna 5.2 och 5.3 i andra betaltjänstdirektivet:

• a) Ett försäkringsavtal eller annat likvärdigt dokument som bekräftar innehavet av en ansvarsförsäkring eller jämförbar garanti med ett försäkringsskydd som överensstämmer med EBA:s riktlinjer enligt ovan och utvisar vilket skadeståndsansvar som omfattas.
• b) Dokumentation av att den sökande har beräknat minimibeloppet på ett sätt som överensstämmer med EBA:s riktlinjer enligt ovan, med alla tillämpliga komponenter i formeln specificerade.

1. Översikt

1.1 Referenser

1.2 Identifierade krav

1.3 Relaterade standarder

2. Identifierade krav

3. Relaterade standarder

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/