Indien een rekeninghouder via zijn bank een derde partij, bijvoorbeeld een boekhoudkantoor, gemandateerd heeft om betalingen te verrichten, is dan sprake van dienst 7 van PSD2? Mag daarbij gebruik gemaakt worden van de voor PSD2 ontwikkelde API?
Nee, er is geen sprake van dienst 7 indien de rekeninghouder aan zijn bank vraagt een derde partij, bijvoorbeeld een boekhoudkantoor, te mandateren om betalingen te verrichten via een speciaal kanaal. Immers, van betaalinitiatiedienstverlening als bedoeld in dienst 7 van PSD2 is alleen sprake als de rekeninghouder aan een derde partij vraagt om namens hem een betaling bij zijn bank te initiëren. Daarbij hoeft de rekeninghouder zijn bank niet te vragen om die derde partij daarvoor toestemming te geven. De bank mag gebruik maken van speciale (technische) koppelingen met de partij die het mandaat krijgt via de bank. De bank mag daarbij gebruik maken van de in het kader van PSD2 ontwikkelde API.
De reguliere eisen ten aanzien van beheerste en integere bedrijfsvoering zijn ook hier uiteraard van toepassing. De bank is gehouden te zorgen voor een veilige verbinding met de derde partij. Het is – anders dan bij vergunningplichtige activiteiten in de zin van dienst 7 van PSD2 - aan de banken zelf om op basis van een belangenafweging te bepalen of zij deze dienstverlening aan niet-vergunningplichtige derde partijen (nog) willen verrichten. In het bijzonder gelden de vereisten met betrekking tot sterke cliëntauthenticatie zoals beschreven in artikel 97 van de PSD2. Zo zijn de eisen m.b.t. sterke cliëntauthenticatie van toepassing op (technische) koppelingen waarmee kan worden betaald.
Indien een klant van een bank aan zijn bank vraagt zijn betaalgegevens te delen met een derde partij, bijvoorbeeld een boekhoudkantoor, is dan sprake van vergunningplichtige activiteiten in de zin van dienst 8 van PSD2? Mag de bank daarbij gebruik maken van de voor PSD2 ontwikkelde API?
Nee, er is geen sprake van dienst 8 indien de rekeninghouder aan zijn bank verzoekt om zijn betaalgegevens te delen met een derde partij. Van vergunningplichtige rekeninginformatiedienstverlening als bedoeld in dienst 8 van PSD2 is immers sprake als de rekeninghouder aan een derde partij vraagt om namens hem gegevens bij zijn bank op te halen en te bewerken zonder dat de rekeninghouder zijn bank daarover informeert en/of daartoe opdracht geeft. Deze derde partijen hebben daarvoor een vergunning als betaalinstelling van DNB nodig.
Het staat de bank vrij om de wijze van communiceren te kiezen met de derde partij waar de bank op verzoek van de klant betaalgegevens te delen. De bank kan daarbij onder haar eigen verantwoordelijkheid een speciale (technische) koppeling gebruiken. Daarbij mag gebruik gemaakt worden van de in het kader van PSD2 ontwikkelde API (technische koppeling).
De reguliere eisen ten aanzien van beheerste en integere bedrijfsvoering van toepassing. De bank is dan ook gehouden te zorgen voor een veilige verbinding met de derde partij. Het is – anders dan bij vergunningplichtige activiteiten in de zin van dienst 8 van PSD2 - aan de banken zelf om op basis van een belangenafweging te bepalen of zij deze dienstverlening aan niet-vergunningplichtige derde partijen (nog) willen verrichten. In het geval van een (technische) koppeling gelden – vergelijkbaar met de situatie van een API ten behoeve van een PSD2-dienst 8 - de vereisten met betrekking tot sterke cliëntauthenticatie als de koppeling door rekeninginformatiedienstverleners wordt gebruikt.
DNB heeft de bancaire systeemrelevantiebuffers geëvalueerd en handhaaft de huidige buffers. Als gevolg hiervan blijven de Other Systemically Important Institutions (O-SII) buffers van toepassing voor ING (2%), Rabobank (1,75%), ABN AMRO Bank (1,25%), BNG (0,25%) en de Volksbank (0,25%).
Lees meer DNB handhaaft systeemrelevantiebuffers voor banken
Met de Digital Operational Resilience Act (DORA) wordt van instellingen in de financiële sector verwacht dat ze digitaal weerbaar zijn en hun ICT-risicomanagement op orde hebben. Dit stelt specifieke eisen aan de kennis en ervaring van de personen die het beleid van deze instellingen bepalen.
Lees meer ICT-risicomanagement onder DORA onderdeel van personentoetsingen
In 2025 stelt DNB twee jaarlijkse rapportages al beschikbaar per februari.
Lees meer Vragenlijsten SBA-NFR én IRAP 2025 eerder beschikbaar
FATF heeft een update van haar ‘grijze’ en ‘zwarte’ lijsten gepubliceerd.
Lees meer Update FATF-waarschuwingslijsten oktober 2024
