AFM en EIOPA verduidelijken toepassing van DORA

18 september 2026

News Update Financieel Toezicht

In deze News Update bespreken wij: het arrest van het HvJEU over de kwalificatie van zekerheidstellingsdiensten als betalingsdienst onder PSD2 (i.e. Betaal Garant); de inwerkingtreding van artikel 18 van de Wet kwaliteit incassodienstverlening; de mogelijkheid om nu al een vergunning bij de AFM aan te vragen onder CCD II; en de recent door de AFM gepubliceerde beleidsregel voor geschiktheidstoetsing van beleidsbepalers van accountantsorganisaties. Daarnaast belichten wij een aantal overige publicaties.

HvJEU: zekerheidstellingsdienst kwalificeert niet als betalingsdienst onder PSD2

Het Hof van Justitie van de Europese Unie wees op 16 juli 2026 (het “Hof“) arrest in zaak C-51/25, Betaal Garant Nederland (“Betaal Garant“) tegen De Nederlandsche Bank (“DNB“), naar aanleiding van een prejudiciële vraag van het College van Beroep voor het bedrijfsleven (“CBb“). Het geschil betrof een door DNB aan Betaal Garant opgelegde last onder dwangsom wegens het zonder vergunning uitoefenen van de activiteit van betaaldienstverlener onder de Wet op het financieel toezicht (betalingsdienstaanbieder onder PSD2).

Betaal Garant biedt bij bouwprojecten een alternatief voor het storten van een waarborgsom bij de notaris. De klant stort daarbij een zekerheidsbedrag, doorgaans 6% van de aanneemsom, bij een aan Betaal Garant gelieerde stichting, Stichting BGN Zekerheidsstelling (“Stichting Betaal Garant“). Na (correcte) oplevering van het project wordt dit bedrag door Stichting Betaal Garant aan de aannemer uitgekeerd.

DNB stelde zich op het standpunt dat Betaal Garant hiermee betaaldiensten verrichtte zonder een toereikende vergunning en legde een last onder dwangsom op om de overtreding te beëindigen. Na de bezwaar- en beroepsprocedures te hebben doorlopen, stelde Betaal Garant hoger beroep in bij het CBb tegen onder meer dit dwangsombesluit. Het CBb legde vervolgens de vraag aan het Hof voor of de dienst moet worden aangemerkt als de uitvoering van overmakingen (c.q. betalingstransacties) in de zin van PSD2 (dienst 3 onder c uit Bijlage I PSD2).

Volgens het Hof is daarvan geen sprake. Voor het kwalificeren van een dienst als de uitvoering van overmakingen als bedoeld onder PSD2, is volgens het Hof essentieel dat de betalingsdienstaanbieder die de betalingsopdracht krijgt van een betaler tevens de betaalrekening van deze betaler beheert. Betaal Garant en de Stichting Betaal Garant beheren echter geen betaalrekeningen voor hun klanten. De daadwerkelijke overboekingen worden uitgevoerd door de banken van de klant enerzijds en van Stichting Betaal Garant anderzijds, die daarbij als betalingsdienstaanbieders optreden. De contractuele afspraken tussen de klant, de aannemer en Betaal Garant maken dit niet anders.

De hoofdactiviteit van Betaal Garant is het bieden van een persoonlijke zekerheid in de vorm van een borgstelling of waarborgstelling bij bouwprojecten. De geldovermakingen die in dat kader worden verricht, dienen enkel ter uitvoering van deze hoofdactiviteit. Een kwalificatie als vergunningplichtige betalingsdienst is volgens het Hof in dat geval niet gerechtvaardigd. Het Hof wijst er bovendien op dat de hoofdactiviteit van Betaal Garant naar Nederlands recht een alternatief vormt voor notariële bewaarneming en dat niet blijkt dat dergelijke dienstverlening zelf onder de vergunningplicht uit PSD2 valt.

Het arrest is relevant voor ondernemingen die geldstromen tussen klanten en andere partijen faciliteren. Het enkele ontvangen, aanhouden en doorbetalen van gelden leidt niet automatisch tot een vergunningsplichtige betalingsdienst wanneer deze ondernemingen niet zelf de betaalrekeningen van de betrokken partijen beheren. Daarbij is niet doorslaggevend of de onderneming haar eigen betalingsdienstaanbieders (zoals banken) instrueert om betalingen te verrichten, maar moet worden beoordeeld of de onderneming ook de betaalrekening voor of namens haar klanten beheert.

Het arrest is gewezen onder PSD2. Het is daarom nog onzeker of de door het Hof gehanteerde toets ook standhoudt onder het nieuwe regime van PSD3. De verwachting is dat PSD3, waarover de formele goedkeuring in 2026 wordt verwacht, twintig dagen na publicatie in het Publicatieblad van de Europese Unie in werking treedt. Marktpartijen doen er goed aan de definitieve tekst van PSD3 op dit punt te analyseren.

Civielrechtelijke gevolgen Wet kwaliteit incassodienstverlening van kracht per 1 oktober 2026

Het artikel 18 van de Wet kwaliteit incassodienstverlening (Wki) treedt op 1 oktober 2026 in werking. Dit artikel regelt de civielrechtelijke gevolgen voor incassodienstverleners die niet geregistreerd staan in het Register Incassodienstverlening. Met de inwerkingtreding van dit artikel wordt de laatste fase van de invoering van de Wki voltooid.

Achtergrond: de Wki in het kort

De Wki is op 1 april 2024 in werking getreden en verplicht partijen die buitengerechtelijke incassowerkzaamheden verrichten voor derden of na overdracht van een vordering zich te registreren in het Register Incassodienstverlening bij screeningsautoriteit Justis. Daarnaast stelt de wet eisen aan onder meer vakbekwaamheid, communicatie met schuldenaren en klachtenafhandeling. Sinds 1 april 2025 geldt de registratieplicht onverkort en wordt overtreding van de registratieplicht aangemerkt als een economisch delict. De reikwijdte is breed: ook aanbieders van uitstel van betaling diensten (Buy Now Pay Later of “BNPL“) en partijen voor wie incasso slechts een beperkt onderdeel van hun activiteiten vormt (bijvoorbeeld VvE-beheerders en vastgoedbeheerders) vallen onder de Wki.

Wat verandert er op 1 oktober 2026?

Tot 1 oktober 2026 was het verbod om zonder registratie buitengerechtelijke incassowerkzaamheden voor derden of na overdracht van een vordering te verrichten uitsluitend publiekrechtelijk gesanctioneerd. Dit betekent dat een dergelijke incassodienstverlener wel een sanctie (zoals een last onder dwangsom) kon worden opgelegd door Justis, maar dat partijen in een civiele procedure nog geen rechten konden ontlenen aan de Wki indien zij te maken kregen met een niet-geregistreerde incassodienstverlener. Met de inwerkingtreding van artikel 18 Wki krijgt het registratievereiste nu ook civielrechtelijke gevolgen. De belangrijkste consequenties zijn:

  • Geen betalingsverplichting jegens niet-geregistreerde incassodienstverleners. Een schuldenaar is niet gehouden een vordering tot betaling van een geldsom te voldoen jegens een aanbieder of verrichter van buitengerechtelijke incassowerkzaamheden die niet is geregistreerd of wiens registratie is geschorst.
  • Geen incassokosten verschuldigd. De wettelijke buitengerechtelijke incassokosten kunnen niet meer bij de schuldenaar in rekening worden gebracht als de incassowerkzaamheden zijn verricht door een niet-geregistreerde incassodienstverlener.
  • Geen doorlopende rente. Vanaf het moment van het eerste betalingsverzoek door een niet-geregistreerde incassodienstverlener loopt de wettelijke rente niet door.
  • “Besmette” vordering. Wellicht het meest verstrekkende gevolg: als een schuldeiser aanvankelijk een niet-geregistreerde incassodienstverlener inschakelt, worden de incassokosten ook niet verschuldigd indien de vordering vervolgens wordt overgedragen aan een geregistreerde incassodienstverlener. De vordering raakt als het ware “besmet” door de inschakeling van de niet-geregistreerde incassodienstverlener.

Invoeringstoets en naleving in de praktijk

In een brief van 16 juni 2026 heeft staatssecretaris Van Bruggen gereageerd op de uitkomsten van de invoeringstoets van de Wki (Kamerstukken II 2025/26, 35 733, nr. 19). De invoeringstoets beoordeelt de werking van de Wki in het eerste jaar na inwerkingtreding en de conclusie is duidelijk: de naleving van de registratieplicht blijft sterk achter. Op 11 juni 2026 waren slechts 269 partijen geregistreerd in het Register Incassodienstverlening, terwijl het ministerie eerder al 550 registratieplichtige incassodienstverleners had geïdentificeerd, en de potentiële groep door de brede wettelijke definitie – aldus staatssecretaris Van Bruggen – “veel groter” is.

De bekendheid met de Wki blijkt beperkt: veel partijen herkennen zichzelf niet als incassodienstverlener. Daarnaast ontbreekt bij een deel van de partijen de bereidheid om zich te registreren, mede vanwege de daarmee gepaard gaande kosten. Een concreet voorbeeld: Klarna was per februari 2026 nog niet ingeschreven in het incassoregister, hoewel het als BNPL-aanbieder onder de Wki valt. Toch had zij de Wki niet zo geïnterpreteerd dat deze wet direct op haar Nederlandse activiteiten van toepassing was. Klarna verklaart daarover dat zij na nadere bestudering van de Wki en haar activiteiten concludeerde dat zij zich toch moest registreren (zie hier). Deze registratie is in maart 2026 – bijna twee jaar na de inwerkingtreding van de registratieplicht – aangetekend in het Register Incassodienstverlening.

Relevantie voor de praktijk: handhaving en aanbevelingen

Hoewel de handhaving tot nu toe nog beperkt is gebleven, blijkt uit het Jaarbericht 2025 van de Inspectie Justitie en Veiligheid (“Inspectie JenV“) dat in 2025 in totaal 21 inspectiebezoeken zijn verricht (waarvan acht herinspecties), wat resulteerde in elf waarschuwingsbrieven, drie lasten onder dwangsom en een bestuurlijke boete. Daarnaast zijn via het Meldpunt Wki meer dan 350 klachten ontvangen over incassodienstverleners die zich mogelijk niet aan de regels houden. In januari 2026 heeft de Inspectie JenV bovendien een formele Beleidsregel bestuurlijke boetes gepubliceerd waarin het boetekader voor Wki-overtredingen is vastgelegd.

Belangrijk om te vermelden is dat de beleidsreactie van de staatssecretaris duidt op strengere handhaving in de toekomst. De Inspectie JenV heeft aangegeven dat een uitbreiding van haar instrumentarium nodig is om effectiever toezicht te houden, waaronder publicatie- en openbaarmakingsbevoegdheden en een boetebevoegdheid specifiek voor overtredingen van de registratieplicht. Het ministerie verkent of het opleggen van een bestuurlijke boete voor het ten onrechte niet registreren mogelijk en wenselijk is. Bovendien heeft de staatssecretaris een peilmoment aangekondigd kort na 1 oktober 2026 om te beoordelen of het aantal registraties is gestegen. Tot slot wordt de wetsevaluatie een jaar naar voren gehaald, naar 2028, vanwege de “sterke signalen” uit de invoeringstoets.

Wij raden buitengerechtelijke incassodienstverleners die nog niet geregistreerd zijn dan ook aan om zo snel mogelijk te beoordelen of hun activiteiten registratieplichtig zijn en zo ja, hun registratie in orde te brengen. De wettelijke beslistermijn op een registratieaanvraag bedraagt dertien weken. Schuldeisers dienen er alert op te zijn dat zij uitsluitend geregistreerde incassodienstverleners inschakelen: het Register Incassodienstverlening op de website van Justis is hiervoor raadpleegbaar.

Aanvragen CCD II-vergunning al mogelijk

Per 20 november 2026 treedt de herziene Richtlijn Consumentenkrediet (Richtlijn (EU) 2023/2225) (“CCD II“) in werking. Met deze richtlijn beoogt de Europese wetgever consumenten beter te beschermen en de regels voor consumentenkrediet binnen de Europese Unie verder te harmoniseren. Het wetsvoorstel voor de implementatiewet is ingediend bij de Tweede Kamer. Het implementatiebesluit bevindt zich in de voorbereidende fase. De Autoriteit Financiële Markten (“AFM“) heeft bekendgemaakt dat zij vooruitlopend op de definitieve implementatie nu al aanvragen voor een vergunning onder CCD II in behandeling neemt.

De implementatie van de CCD II brengt belangrijke wijzigingen mee in de regelgeving omtrent consumentenkrediet, waaronder in de reikwijdte. Na inwerkingtreding zullen er meer partijen als kredietaanbieder of bemiddelaar worden aangemerkt. Dit is met name relevant voor kredietaanbieders en -bemiddelaars die momenteel nog onder een vrijstelling of uitzondering vallen, zoals aanbieders van BNPL-diensten, kaarten met uitgestelde debitering en huur- of leaseovereenkomsten met een optie tot koop. In het bijzonder raden wij deze partijen aan om na te gaan of zij na de implementatie van de CCD II onder de vergunningplicht als consumentenkredietaanbieder van artikel 2:60 Wet op het financieel toezicht (“Wft“) komen te vallen. Daarnaast moeten kredietaanbieders ook nagaan of zij bemiddelaars waarmee wordt samengewerkt moeten aanmelden bij de AFM onder het nieuwe registratieregime van artikel 2:81 Wft. Deze registratieplicht geldt voor leveranciers van roerende zaken of diensten die grootbedrijf zijn, en bemiddelen in BNPL-diensten.

Omdat de implementatie van CCD II nog niet definitief is, dragen aanvragers het risico dat het wettelijk kader omtrent de vergunningaanvraag nog zal veranderen. Dit is een belangrijke kanttekening die de AFM plaatst bij de mogelijkheid om nu al een CCD II-vergunning aan te vragen.

Nieuwe beleidsregel AFM voor geschiktheidstoetsing van beleidsbepalers van accountantsorganisaties

Op 20 augustus 2026 heeft de AFM de Beleidsregel geschiktheid Wta 2027 gepubliceerd. Deze beleidsregel bevat het toetsingskader dat de AFM zal hanteren bij de beoordeling van de geschiktheid van beleidsbepalers van accountantsorganisaties. De beleidsregel houdt verband met de Wijzigingswet accountancysector en zal naar verwachting gelijktijdig met deze wet op 1 januari 2027 in werking treden. De nieuwe beleidsregel is daarom nog niet van toepassing, maar biedt accountantsorganisaties alvast inzicht in de wijze waarop de AFM toekomstige geschiktheidstoetsingen zal uitvoeren.

Met het oog op het publieke belang bij kwalitatief goede wettelijke controles heeft de wetgever bepaalde governancevereisten gesteld voor accountantsorganisaties. Een van die vereisten betreft de geschiktheidstoets van beleidsbepalers. Met de Wijzigingswet accountancysector wordt de bestaande geschiktheidseis uitgebreid naar beleidsbepalers van de grootste reguliere accountantsorganisaties. Tot op heden gold deze eis alleen voor beleidsbepalers van accountantsorganisaties voor Organisaties van Openbaar Belang (OOB). De geschiktheidstoets zal ook gaan gelden voor accountantsorganisaties met een reguliere vergunning die gedurende drie aaneengesloten boekjaren ten minste € 3 miljoen omzet uit wettelijke controles realiseren en jaarlijks minimaal 150 wettelijke controles uitvoeren.

De beleidsregel geeft nadere invulling aan de factoren die de AFM betrekt bij haar beoordeling van de geschiktheid van beleidsbepalers voor deze accountantsorganisaties. De bijlage bij de beleidsregel bevat een lijst met competenties die kunnen worden gebruikt om geschiktheid aan te tonen. Het gaat onder andere om de competenties: adaptief vermogen en flexibiliteit, authenticiteit, besluitvaardigheid, communicatief vermogen, helikopterzicht, kwaliteitsgerichtheid en leiderschap.

In de beleidsregel wordt door de AFM ook benadrukt dat dagelijks beleidsbepalers voldoende tijd moeten besteden aan de uitvoering van hun taken. Zij moeten daarom prioriteit geven aan het besturen van hun organisatie en aandacht besteden aan de interne bedrijfsvoering, zorgplicht, kwaliteitsbeheersing en -bewaking, continue verbetering en gedrags- en cultuuraspecten in de accountantsorganisatie.

Hoewel de beleidsregel nog niet in werking is getreden, biedt deze al waardevolle handvatten voor het beoordelen van de geschiktheid van beleidsbepalers voor accountantsorganisaties die vanaf 2027 onder het uitgebreide toepassingsbereik van de geschiktheidseis zullen vallen.

Overige publicaties financieel toezicht

Hieronder volgt een selectie van overige publicaties die relevant zijn voor de financiële markten en het financieel toezicht.

  • Op 21 juli 2026 maakte DNB een boete openbaar die op 9 juli 2020 is opgelegd aan betaalinstelling CCV Group BV (“CCV“) wegens het ontbreken van een Systematische Integriteitsrisicoanalyse (SIRA), in strijd met artikel 3:10 Wft en artikel 10 Besluit prudentiële regels Wft. Door het ontbreken van een SIRA beschikte CCV niet over een systematische identificatie en analyse van integriteitsrisico’s en kon zij haar poortwachtersfunctie onvoldoende invullen. De oorspronkelijke boete van € 625.000 is na bezwaar, beroep en hoger beroep uiteindelijk vastgesteld op € 406.125. CCV heeft inmiddels herstelmaatregelen getroffen en in 2019 alsnog een SIRA opgesteld.
  • Op 18 juni 2026 heeft de rechtbank Rotterdam de boete van € 375.000 die de AFM aan Vodafone Financial Services BV (“Vodafone FS“) heeft opgelegd gematigd tot een bedrag van € 185.000. Door een fout bij een software-aanpassing werd in augustus 2022 gedurende enkele weken bij Vodafone FS de inkomsten- en lastentoets overgeslagen bij de verlening van telecomkredieten. Deze fout in de software is door Vodafone FS zelf gesignaleerd en als incident gemeld bij de AFM. Na het verhelpen van de fout is gebleken dat aan 158 klanten krediet is verstrekt dat niet (in die omvang) had mogen worden verstrekt. De boete is door de rechtbank Rotterdam gematigd tot € 185.000 op grond van de ernst, duur en verwijtbaarheid van de overtreding, en wegens een overschrijding van de redelijke termijn met vijf maanden.
  • De AFM heeft in haar DORA-update 7 aanvullende duidelijkheid gegeven over de toepassing van de DORA-drempelwaarden voor verzekeringstussenpersonen. In Q&A DORA237 – 3350 heeft EIOPA verduidelijkt dat in beginsel de cijfers van de gehele onderneming moeten worden meegenomen bij de beoordeling of de drempelwaarden worden overschreden. Echter, vanuit het proportionaliteitsbeginsel mogen ondernemingen waarvan de verzekeringsbemiddelingsactiviteiten slechts een beperkte omvang hebben, ervoor kiezen om uitsluitend de activiteiten en middelen die worden ingezet voor die verzekeringsactiviteiten mee te nemen in de berekening. Daarnaast is er meer duidelijkheid gekomen over de berekening van de drempelwaarden binnen groepsstructuren. Voor verzekeringstussenpersonen die deel uitmaken van een groep moet eerst worden vastgesteld of sprake is van een financiële groep of een niet-financiële groep. Het begrip financiële groep is niet gedefinieerd in DORA, maar op basis van andere EU-regelgeving binnen het financieel toezichtrecht (CRR, MiFID II, Financial Conglomerate Directive, Solvency II) kan als handvat worden aangehouden dat bij een financiële groep meer dan 50% van het vermogen, de activa, de omzet of het personeel toerekenbaar is aan entiteiten die kwalificeren als financiële ondernemingen als bedoeld in DORA (zoals beleggingsondernemingen, verzekeringsbemiddelaars, etc.). Bij een niet-financiële groep wordt enkel gekeken naar de individuele onderneming. Mocht u hulp willen bij het beoordelen of DORA op uw onderneming of uw groep van toepassing is, schroom dan niet om contact met ons op te nemen. Wij kijken graag met u mee.
  • Uit de door de AFM gepubliceerde Q&A’s over het DORA-informatieregister volgt voorts dat digitale advertentieplatforms onder de rapportageverplichting vallen. Financiële entiteiten die contractuele overeenkomsten hebben met dergelijke platforms moeten deze opnemen in het DORA-informatieregister. Tegelijkertijd verduidelijkt de AFM dat gratis diensten waarvoor geen contractuele overeenkomst bestaat, niet in het register hoeven te worden opgenomen. Waar advertentieplatforms (deels) zonder contract worden gebruikt, biedt dit een praktische afbakening. Daarnaast is de aanlevering van het informatieregister vanaf 2026 uitsluitend mogelijk in het xBRL-CSV-formaat; de eenmalige conversieservice vanuit Excel die de AFM in 2025 aanbood, is niet herhaald.