Art. 5 Richtlijn (EU) 2015/2366, Vergunningsaanvragen
1. Voor het verkrijgen van een vergunning als betalingsinstelling wordt bij de bevoegde autoriteiten van de lidstaat van herkomst een aanvraag ingediend, samen met het volgende:
a) een programma van werkzaamheden waarin met name de categorie van voorgenomen betalingsdiensten wordt vermeld;
b) een bedrijfsplan met een budgetprognose voor de eerste drie boekjaren waarmee wordt aangetoond dat de aanvrager in staat is gebruik te maken van passende en evenredige systemen, middelen en procedures om op een gezonde basis te opereren;
c) bewijs dat de betalingsinstelling over het in artikel 7 genoemde aanvangskapitaal beschikt;
d) voor de betalingsinstellingen bedoeld in artikel 10, lid 1, een omschrijving van de maatregelen die zijn genomen ter bescherming van de geldmiddelen van de betalingsdienstgebruikers overeenkomstig artikel 10;
e) een beschrijving van de regelingen op het gebied van bestuur (governance) en de mechanismen voor interne controle die de aanvrager heeft ingesteld, waaronder de administratieve en boekhoudkundige procedures en de procedures voor risicobeheersing, waaruit blijkt dat die bestuursregelingen, controlemechanismen en procedures evenredig, passend, degelijk en adequaat zijn;
f) een beschrijving van de procedures voor het monitoren en afhandelen van veiligheidsincidenten en veiligheidsgerelateerde klachten van cliënten en de follow-up ervan, met inbegrip van een mechanisme voor het melden van incidenten met inachtneming van de in artikel 96 vastgelegde meldingsplicht voor betalingsinstellingen;
g) een beschrijving van de procedures voor het opslaan, monitoren, traceren en beperken van de toegang tot gevoelige betalingsgegevens;
h) een beschrijving van de bedrijfscontinuïteitsregelingen, met daarin een duidelijke uiteenzetting van de kritieke bedrijfsactiviteiten, alsmede doeltreffende noodplannen en een procedure om de toereikendheid en efficiëntie van deze plannen regelmatig te beproeven en te herzien;
i) een beschrijving van de beginselen en definities voor het verzamelen van statistische gegevens over prestaties, transacties en fraude;
j) een beschrijving van het beveiligingsbeleid, met inbegrip van een gedetailleerde risicoanalyse met betrekking tot de betalingsdiensten en een beschrijving van de maatregelen op het gebied van beveiliging en risicobeperking die worden genomen om de gebruikers van de betalingsdiensten afdoende tegen de vastgestelde beveiligingsrisico’s, waaronder fraude en illegaal gebruik van gevoelige gegevens en persoonsgegevens, te beschermen;
k) voor betalingsinstellingen die zijn onderworpen aan de in Richtlijn (EU) 2015/849 van het Europees Parlement en de Raad (31) en Verordening (EU) 2015/847 van het Europees Parlement en de Raad (32) neergelegde verplichtingen in verband met het witwassen van geld en terrorismefinanciering, een beschrijving van de interne controlemechanismen die de aanvrager heeft opgezet om die verplichtingen na te komen;
l) een beschrijving van de organisatiestructuur van de aanvrager, met inbegrip van, voor zover van toepassing, een beschrijving van het voorgenomen gebruik van agenten en bijkantoren, van de minimaal jaarlijkse controles, ter plaatse en elders, van deze agenten en bijkantoren waartoe de aanvrager zich verbindt, van de uitbestedingsregelingen, alsmede van de deelname van de aanvrager aan een nationaal of internationaal betalingssysteem;
m) de identiteit van personen die, rechtstreeks of onrechtstreeks, gekwalificeerde deelnemingen in de aanvrager bezitten in de zin van artikel 4, lid 1, punt 36, van Verordening (EU) nr. 575/2013, alsmede de omvang van hun deelneming en het bewijs van hun geschiktheid, gelet op de noodzaak een gezonde en prudente bedrijfsvoering van de betalingsinstelling te garanderen;
n) de identiteit van de bestuurders en managers van de betalingsinstelling en, waar dienstig, de personen die belast zijn met het beheer van de betalingsdienstactiviteiten van de betalingsinstelling, alsmede het bewijs dat zij als betrouwbaar bekend staan en over de nodige kennis en ervaring beschikken om betalingsdiensten uit te voeren als bepaald door de lidstaat van herkomst van de betalingsinstelling;
o) indien van toepassing, de identiteit van wettelijke auditors en auditkantoren als omschreven in Richtlijn 2006/43/EG van het Europees Parlement en de Raad (33);
p) de rechtsvorm en de statuten van de aanvrager;
q) het adres van het hoofdkantoor van de aanvrager.
Voor de toepassing van de punten d), e), f) en l) van de eerste alinea geeft de aanvrager een beschrijving van de regelingen voor accountantscontrole en de organisatorische regelingen die hij heeft getroffen voor het nemen van alle redelijke maatregelen om de belangen van zijn gebruikers te beschermen en om de continuïteit en betrouwbaarheid bij het uitvoeren van betalingsdiensten te garanderen.
Bij de onder j) van de eerste alinea bedoelde maatregelen op het gebied van beveiliging en risicobeperking wordt aangegeven op welke wijze een hoog niveau van technische beveiliging en gegevensbescherming wordt gewaarborgd, ook wat betreft de software en IT-systemen die worden gebruikt door de aanvrager of door ondernemingen waaraan de aanvrager zijn activiteiten geheel of gedeeltelijk uitbesteedt. Deze maatregelen omvatten tevens de bij artikel 95, lid 1, vastgestelde beveiligingsmaatregelen. Bij het opstellen van deze maatregelen wordt tevens rekening gehouden met de in artikel 95, lid 3, bedoelde EBA-richtsnoeren inzake beveiligingsmaatregelen, zodra die zijn vastgesteld.
2. De lidstaten schrijven ondernemingen die een vergunningsaanvraag indienen voor het aanbieden van de in bijlage I, punt 7, bedoelde betalingsdiensten voor dat zij over een beroepsaansprakelijkheidsverzekering beschikken voor de gebieden waarin zij diensten aanbieden, of over een andere vergelijkbare waarborg tegen aansprakelijkheid, waarmee zij gedekt zijn voor hun aansprakelijkheid die is bepaald in de artikelen 73, 89 en 92.
3. De lidstaten schrijven ondernemingen die een registeraanvraag indienen voor het aanbieden van de in bijlage I, punt 8, bedoelde betalingsdiensten voor dat zij over een beroepsaansprakelijkheidsverzekering beschikken voor de gebieden waarin zij diensten aanbieden, of over een andere vergelijkbare waarborg tegen hun aansprakelijkheid ten aanzien van de rekeninghoudende betalingsdienstaanbieder of de betalingsdienstgebruiker als gevolg van niet-toegestane of frauduleuze toegang tot of niet-toegestaan of frauduleus gebruik van betaalrekeninginformatie.
4. Na raadpleging van alle relevante belanghebbenden, onder andere deze op de markt voor betalingsdiensten, waarbij alle betrokken belangen tot uiting komen, vaardigt EBA uiterlijk op 13 januari 2017 in overeenstemming met artikel 16 van Verordening (EU) nr. 1093/2010, ten behoeve van de bevoegde autoriteiten, richtsnoeren uit inzake de criteria voor de vaststelling van het minimumgeldbedrag van de in de leden 2 en 3 bedoelde beroepsaansprakelijkheidsverzekering of andere vergelijkbare waarborg.
EBA stelt de in de eerste alinea bedoelde richtsnoeren op rekening houdend met het volgende:
a) het risicoprofiel van de onderneming;
b) of de onderneming andere in bijlage I vermelde betalingsdiensten aanbiedt, of andere bedrijfswerkzaamheden heeft;
c) de omvang van de activiteit:
i) voor ondernemingen die een vergunning aanvragen om de in bijlage I, punt 7, bedoelde betalingsdiensten aan te bieden, de waarde van de geïnitieerde transacties;
ii) voor ondernemingen die een registratie aanvragen om de in bijlage I, punt 8, bedoelde betalingsdiensten aan te bieden, het aantal cliënten dat gebruik maakt van de rekeninginformatiediensten;
d) de specifieke kenmerken van vergelijkbare waarborgen en de criteria voor de implementatie ervan.
EBA onderwerpt die richtsnoeren regelmatig aan een evaluatie.
5. Na raadpleging van alle relevante belanghebbenden, onder andere deze op de markt voor betalingsdiensten, waarbij alle betrokken belangen tot uiting komen, vaardigt EBA uiterlijk op 13 juli 2017 in overeenstemming met artikel 16 van Verordening (EU) nr. 1093/2010 richtsnoeren uit over de gegevens, met inbegrip van de voorschriften in de punten a), b), c), e), g), h), i) en j), van lid 1, die in een vergunningsaanvraag voor betalingsinstellingen aan de bevoegde autoriteiten moeten worden verstrekt.
EBA evalueert die richtsnoeren regelmatig, doch ten minste om de drie jaar.
6. In voorkomend geval rekening houdend met de ervaring die bij het toepassen van de in lid 5 bedoelde richtsnoeren is opgedaan, kan EBA ontwerpen van technische reguleringsnormen opstellen waarin nader wordt bepaald welke gegevens, met inbegrip van het bepaalde in de punten a), b), c), e), g), h), i) en j), van lid 1, in een vergunningsaanvraag voor betalingsinstellingen aan de bevoegde autoriteiten moeten worden verstrekt.
Aan de Commissie wordt de bevoegdheid overgedragen de in de eerste alinea bedoelde technische reguleringsnormen vast te stellen volgens de procedure van de artikelen 10 tot en met 14 van Verordening (EU) nr. 1093/2010.
7. De in lid 4 bedoelde gegevens worden overeenkomstig lid 1 aan de bevoegde autoriteiten medegedeeld.