Besluit van 25 november 2024 tot wijziging van het Besluit EU-verordeningen Wft en enkele andere besluiten in verband met Verordening (EU) 2022/2554 en Richtlijn (EU) 2022/2556 betreffende digitale operationele weerbaarheid voor de financiële sector (Uitvoeringsbesluit verordening digitale operationele weerbaarheid)

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Op voordracht van Onze Minister van Financiën van 5 september 2024, 2024-0000417864 directie Financiële Markten;

Gelet op Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PbEU 2022, L 333), Richtlijn 2022/2556 van het Europees Parlement en de Raad van 14 december 2022 tot wijziging van de Richtlijnen 2009/65/EC, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 en (EU) 2016/2341 (PbEU 2022, L 333), de artikelen 1:3a, vierde lid, 1:24, derde lid, 1:25, derde lid, 1:79, eerste lid, onderdeel b, 1:80, aanhef en onderdeel b, 1:81, eerste lid, en 1:94, eerste lid, onderdeel i, van de Wet op het financieel toezicht, artikel 143 van de Pensioenwet en artikel 138 van de Wet verplichte beroepspensioenregeling;

De Afdeling advisering van de Raad van State gehoord (advies van 23 oktober 2024, nr. W06.24.00263/III);

Gezien het nader rapport van Onze Minister van Financiën van 5 november 2024, 2024-0000501099, directie Financiële Markten;

Hebben goedgevonden en verstaan:

ARTIKEL I

Het Besluit EU-verordeningen Wft wordt gewijzigd als volgt:

A

In de tabel in bijlage 5, onder 2, wordt in de kolom «Last onder dwangsom» «26, eerste tot en met achtste lid» vervangen door «26, eerste tot en met vijfde lid, zevende en achtste lid» en wordt in de kolom «Artikelen» onder «Bestuurlijke boete» «26, eerste tot en met zesde lid en achtste lid» vervangen door «26, eerste tot en met vijfde lid en achtste lid».

B

Na bijlage 34 wordt, onder vernummering van bijlage 35 tot 38, een bijlage ingevoegd, luidende:

Bijlage 35. Verordening (EU) 2022/2554 (DORA - digitale operationele weerbaarheid)

Verordening (EU) nr. 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PbEU 2022, L 333)

1. Bevoegde autoriteit in de zin van de verordening

De Autoriteit Financiële Markten: ten aanzien van:

• aanbieders van cryptoactivadiensten als bedoeld in artikel 3, eerste lid, onderdeel 15 van Verordening (EU) 2023/1114 (cryptoactiva);

• adviseurs, voor zover zij adviseren over verzekeringen;

• beheerders van beleggingsinstellingen;

• beheerders van cruciale benchmarks als bedoeld in artikel 20, eerste lid, onderdeel b, van Verordening (EU) nr. 2016/1011 (benchmarks);

• beheerders van icbe’s;

• beleggingsondernemingen;

• bemiddelaars in verzekeringen;

• crowdfundingdienstverleners als bedoeld in artikel 2, eerste lid, onderdeel e, van Verordening (EU) 2020/1503 (CSPR);

• datarapporteringdienstverleners;

• gevolmachtigde agenten of ondergevolmachtigde agenten;

• handelsplatformen;

• herverzekeringsbemiddelaars.

De Nederlandsche Bank: ten aanzien van:

• banken, tenzij de Europese Centrale Bank bevoegd is toezicht uit te oefenen op grond van de artikelen 4 en 6 van Verordening (EU) Nr. 1024/2013 (bankentoezicht);

• betaaldienstverleners;

• centrale effectenbewaarinstellingen als bedoeld in artikel 2, eerste lid, onderdeel 1, van Verordening (EU) nr. 909/2014 (CSDR);

• centrale tegenpartijen;

• elektronischgeldinstellingen;

• premiepensioeninstellingen;

• uitgevers van activagerelateerde tokens als bedoeld in artikel 3, eerste lid, onderdelen 6 en 10, van Verordening (EU) 2023/1114 (cryptoactiva);

• verzekeraars.

2. Handhaving door middel van last onder dwangsom of bestuurlijke boete

Last onder dwangsom	Bestuurlijke boete
Artikelen	Artikelen	Boetecategorie
5 tot en met 10	5 tot en met 10	3
11, eerste tot en met tiende lid	11, eerste lid	3
	11, tweede tot en met achtste lid	2
	11, negende en tiende lid	1
12	12	3
13	13, eerste lid	3
	13, tweede tot en met zevende lid	2
14	14	3
15 (RTS), voor zover betrekking hebbende op artikel 6, vijfde lid, 9, tweede lid, 9 vierde lid,10, eerste lid, 11, eerste lid	15 (RTS), voor zover betrekking hebbende op artikel 6, vijfde lid, 9, tweede lid, 9 vierde lid,10, eerste lid, 11, eerste lid	3
15 (RTS), voor zover betrekking hebbende op artikel 11, derde en zesde lid	15 (RTS), voor zover betrekking hebbende op artikel 11, derde en zesde lid	2
16, eerste en tweede lid	16, eerste en tweede lid	3
16, derde lid (RTS)	16, derde lid (RTS)	3
17	17, eerste, en tweede lid	3
18, eerste en tweede lid	18, eerste lid	3
	18, tweede lid	1
18, derde lid (RTS)	18, derde lid (RTS)	3
19, eerste, derde en vierde lid	19, eerste, derde en vierde lid	3
20, onderdeel a (RTS)	20, onderdeel a (RTS)	3
20, onderdeel b (ITS)	20, onderdeel b (ITS)	3
24 en 25	24 en 25	3
26, eerste lid, eerste volzin, tweede tot en met achtste lid	26, eerste lid, eerste volzin, tweede tot en met zesde en achtste lid	3
26, elfde lid (RTS)	26, elfde lid (RTS)	3
27	27	3
28, eerste tot en met achtste lid	28, eerste tot en met achtste lid	3
28, negende lid (ITS)	28, negende lid (ITS)	3
28, tiende lid (RTS)	28, tiende lid (RTS)	3
29	29	3
30, eerste tot en met derde lid	30, eerste tot en met derde lid	3
30, vijfde lid (RTS)	30, vijfde lid (RTS)	3
41 (RTS)	41 (RTS)	2
42, derde en zesde lid	42, derde en zesde lid	2
45	45	1

3. Openbaarmaking overtredingen

De bevoegde autoriteit kan bij een overtreding van het bij of krachtens de verordening bepaalde de overtreding en de naam van de overtreder door middel van een openbare verklaring openbaar maken.

4. Lidstaatoptie artikel 2, vijfde lid (uitzondering richtlijn kapitaalvereisten)

De verordening is niet van toepassing op instellingen als bedoeld in artikel 2, vijfde lid, onderdelen 4 tot en met 23, van Richtlijn 2013/36/EU (kapitaalvereisten).

ARTIKEL II

Artikel 29a van het Besluit Gedragstoezicht financiële ondernemingen Wft wordt als volgt gewijzigd:

1. Onder vernummering van het tweede en derde lid tot derde en vierde lid, wordt een lid ingevoegd, luidende:

• 2. De bedrijfsvoering van een beheerder van een icbe voldoet aan de ingevolge artikel 12 van de richtlijn instellingen voor collectieve belegging in effecten gestelde eisen.

2. In het derde lid (nieuw) wordt «voldoet aan artikel 16, tweede en vijfde lid, tweede alinea, van de richtlijn markten voor financiële instrumenten 2014» vervangen door «voldoet aan de ingevolge artikel 16, tweede, vierde en vijfde lid, tweede en derde alinea, van de richtlijn markten voor financiële instrumenten 2014 gestelde eisen».

ARTIKEL III

Het Besluit prudentiële regels Wft wordt gewijzigd als volgt:

A

In artikel 1 wordt in de alfabetische volgorde een definitie ingevoegd, luidende:

verordening digitale operationele weerbaarheid:

Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PbEU 2022, L 333);

B

Aan artikel 20 wordt een lid toegevoegd, luidende:

• 4. Onverminderd het eerste lid beschikt een bank over een netwerk- en informatiesysteem dat wordt opgericht en beheerd overeenkomstig de verordening digitale operationele weerbaarheid.

C

In artikel 24a2 wordt «29a, derde lid» telkens vervangen door «29a, vierde lid».

D

Aan paragraaf 4.5 wordt een artikel toegevoegd, luidende:

Artikel 26ba

• 1. Een betaalinstelling beschikt over een beschrijving van de regelingen op het gebied van bestuur en mechanismen voor interne controle.

• 2. De in het eerste lid genoemde bestuursregelingen en interne controlemechanismen omvatten in elk geval:

  • a. administratieve en boekhoudkundige procedures;

  • b. procedures voor risicobeheersing;

  • c. regelingen voor het gebruik van ICT-diensten in overeenstemming met de verordening digitale operationele weerbaarheid, waaruit blijkt dat die bestuursregelingen en interne controlemechanismen evenredig, passend, degelijk en adequaat zijn.

E

Artikel 26c, tweede lid, wordt gewijzigd als volgt:

1. Aan onderdeel a wordt «onder meer in relatie tot digitale operationele veiligheid als bedoeld in de verordening digitale operationele weerbaarheid» toegevoegd.

2. In onderdeel b wordt «met inachtneming van de in artikel 26g, eerste lid, vastgelegde meldingsplicht voor betaalinstellingen» vervangen door «die rekening houden met de kennisgevingsverplichtingen voor betaalinstellingen die zijn vastgelegd in hoofdstuk III van de verordening digitale operatonele weerbaarheid».

F

Artikel 26d komt te luiden:

Artikel 26d

Een betaaldienstverlener beschikt over procedures ter waarborging van de bedrijfscontinuïteit, waaronder de bedrijfscontinuïteit op het gebied van de informatie- en communicatievoorziening, waarin de kritieke bedrijfsactiviteiten zijn opgenomen, met inbegrip van respons- en herstelplannen voor de informatie- en communicatievoorziening en een procedure om de toereikendheid en efficiëntie van deze procedures en plannen periodiek te toetsen en te herzien met inachtneming van de verordening digitale operationele weerbaarheid.

G

Aan artikel 26f wordt een lid toegevoegd, luidende:

• 4. Dit artikel is van toepassing onverminderd hoofdstuk II van de verordening digitale operationele weerbaarheid.

H

Aan artikel 26g wordt een lid toegevoegd, luidende:

• 3. Het eerste lid is niet van toepassing op de in artikel 96, zevende lid, van de richtlijn betaaldiensten genoemde betaaldienstverleners.

ARTIKEL IV

Artikel 3a, eerste lid, van het Besluit Markttoegang financiële ondernemingen Wft wordt gewijzigd als volgt:

1. In onderdeel t wordt «met inachtneming van de in artikel 26g, eerste lid, vastgelegde meldingsplicht voor betaalinstellingen» vervangen door «dat rekening houdt met de kennisgevingsverplichtingen voor betaalinstellingen die zijn vastgelegd in hoofdstuk III van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PbEU 2022, L 333)».

2. Onderdeel v komt te luiden:

• v. een beschrijving van de procedures ter waarborging van de bedrijfscontinuïteit, waaronder de bedrijfscontinuïteit op het gebied van de informatie- en communicatievoorziening, waarin de kritieke bedrijfsactiviteiten zijn opgenomen, met inbegrip van respons- en herstelplannen voor de informatie- en communicatievoorziening en een procedure om de toereikendheid en efficiëntie van deze procedures en plannen periodiek te toetsen en te herzien met inachtneming van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PbEU 2022, L 333).

3. Aan onderdeel x wordt «, onder meer in relatie tot digitale operationele weerbaarheid als bedoeld in Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PbEU 2022, L 333)» toegevoegd.

ARTIKEL V

Het Besluit gereglementeerde markten Wft wordt gewijzigd als volgt:

A

In artikel 2, onderdeel j, wordt «5:30a, eerste en tweede lid» vervangen door «5:30a, tweede en derde lid».

B

In het opschrift van paragraaf 2a wordt «artikel 5:30a, vierde lid» vervangen door «artikel 5:30a, vijfde lid».

C

In artikel 4b, aanhef, wordt «artikel 5:30a, eerste lid, onderdeel c,» vervangen door «artikel 5:30a, tweede lid».

D

In artikel 4c wordt «artikel 5:30a, tweede lid» vervangen door «artikel 5:30a, derde lid».

ARTIKEL VI

Artikel 18 van het Besluit financieel toetsingskader pensioenfondsen wordt gewijzigd als volgt:

1. In het derde lid wordt onder vervanging van «en» aan het slot van onderdeel f door een puntkomma en onder vervanging van de punt aan het slot van onderdeel g door «; en» een onderdeel toegevoegd, luidende:

• h. netwerk- en informatiesystemen als bedoeld in Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PbEU 2022, L 333).

2. Onder vernummering van het vierde tot en met zesde lid tot vijfde tot en met zevende lid, wordt een lid ingevoegd, luidende:

• 4. Een fonds waarborgt dat de beheerste bedrijfsvoering geschiedt met in achtneming van Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PbEU 2022, L 333).

ARTIKEL VII

In artikel 10 van het Besluit bestuurlijke boetes financiële sector wordt in de opsomming van artikelen uit het Deel Gedragstoezicht financiële markten van de Wet op het financieel toezicht «5:30a, eerste tot en met vierde lid» vervangen door «5:30a, eerste tot en met vijfde lid».

ARTIKEL VIII

Dit besluit treedt in werking met ingang van 17 januari 2025.

ARTIKEL IIX

Dit besluit wordt aangehaald als: Uitvoeringsbesluit digitale operationele weerbaarheid.

Lasten en bevelen dat dit besluit met de daarbij behorende nota van toelichting in het Staatsblad zal worden geplaatst.

’s-Gravenhage, 25 november 2024

Willem-Alexander

De Minister van Financiën, E. Heinen

Uitgegeven de derde december 2024

De Minister van Justitie en Veiligheid, D.M. van Weel

NOTA VAN TOELICHTING

Algemeen

§ 1. Inleiding

Dit besluit dient, tezamen met de Implementatiewet digitale operationele weerbaarheid¹ (hierna: implementatiewet), ter uitvoering van de Verordening 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 en tot wijziging van de Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PbEU 2022, L 333) (hierna: de verordening), en ter implementatie van de Richtlijn 2022/2556 van het Europees Parlement en de Raad van 14 december 2022 tot wijziging van de Richtlijnen 2009/65/EC, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 en (EU) 2016/2341 (PbEU 2022, L 333) (hierna: de richtlijn). De verordening is op 17 januari 2023 in werking getreden en lidstaten dienen op 17 januari 2025, dus twee jaar na publicatie aan deze verordening te voldoen. De implementatiedatum van de richtlijn is eveneens 17 januari 2025.

Kort gezegd vormen de richtlijn en de verordening een gezamenlijk kader ter verbetering van de digitale operationele weerbaarheid voor de financiële sector.

Deze verordening staat in het Engels bekend als de Digital Operational Resilience Act en wordt afgekort tot DORA.

§ 2. Inhoud en achtergrond verordening en richtlijn

De toegenomen digitalisering van de financiële sector brengt kansen met zich mee, maar ook risico’s, zoals afhankelijkheid van financiële ondernemingen wat betreft informatie- en communicatietechnologie (ICT). Verstoringen van deze ICT-processen kunnen leiden tot problemen in de continuïteit van de bedrijfsvoering van financiële ondernemingen, wat weer kan leiden tot risico’s van consumentenbescherming en voor financiële stabiliteit. Daarom is op EU-niveau een uniform kader voor digitale operationele weerbaarheid voor de financiële sector tot stand gekomen.

Hoewel er reeds Unieregels op sectoraal niveau bestaan die zien op ICT, en operationele en cyberrisico’s, gelden deze maar voor een klein aantal typen dienstenaanbieders, zoals banken en betaalinstellingen. Voor overige financiële ondernemingen hebben sommige lidstaten zelf regelgevende kaders opgesteld. De normen zijn vaak algemeen en in veel gevallen zijn er helemaal geen regels. Het wettelijk kader voor financiële ondernemingen op dit terrein is daardoor zeer versnipperd. Dit maakt effectief toezicht houden moeilijk en leidt tot inconsistenties in wet- en regelgeving tussen lidstaten, een imperfecte interne markt en onnodige kosten voor de sector. Om bovenstaande redenen is deze verordening en richtlijn opgesteld om in de Unie te komen tot een eenvormig wetgevend kader (een verordening) ten aanzien van digitale operationele weerbaarheid van de financiële sector.

De verordening kent drie hoofddoelen. Ten eerste worden de reeds bestaande, maar versnipperde sectorale Unieregels ten aanzien van cyberweerbaarheid van de financiële sector geharmoniseerd middels een richtlijn, zodat ze in lijn zijn met de verordening, hierover wordt verder gesproken in paragraaf 3. Ten tweede creëert de verordening een regelgevend kader voor financiële ondernemingen waarvoor nog geen weerbaarheidseisen bestonden. Ten derde bevat de verordening regels om de risico’s van uitbesteding van kritieke ICT-processen van financiële ondernemingen aan derde aanbieders van ICT-diensten (zoals clouddienstverleners) beter te mitigeren en om de versnippering van de regels daaromtrent tegen te gaan.

In de verordening is gekozen voor een risicogebaseerde aanpak. Financiële diensten kunnen sterk van elkaar verschillen, en ook binnen dezelfde diensten zijn er verschillen in grootte van instellingen en bedrijfsmodellen. De verordening houdt daarom rekening met onder andere de omvang en het algehele risicoprofiel en de aard van de financiële onderneming, alsook de complexiteit van diensten, activiteiten en verrichtingen.

De verordening bevat allereerst een algemeen kader waarbinnen financiële ondernemingen verplicht worden om maatregelen te nemen om ICT-risico’s te beheersen (artikelen 5 tot en met 16).Vervolgens worden financiële ondernemingen verplicht om ernstige ICT-gerelateerde incidenten te melden bij de bevoegde autoriteit, en hiervoor systemen op te zetten waarmee incidenten gemonitord, vastgelegd en geclassificeerd worden (artikelen 17 tot en met 23). Financiële ondernemingen dienen daarnaast periodiek de digitale weerbaarheid te testen op paraatheid, eventuele zwaktes en tekortkomingen (artikelen 24 tot en met 27). Vervolgens worden er bepalingen geïntroduceerd ten aanzien van het beheer van ICT-risico’s van derde partijen die ICT-diensten aanbieden aan financiële ondernemingen (artikelen 28 tot en met 30).

Verder worden kritieke derde aanbieders van ICT-diensten onderworpen aan een oversightkader op Unieniveau (artikelen 31 tot en met 44). De Europese Toezichthoudende Autoriteiten (ETA’s) krijgen gezamenlijk een mandaat, dit zijn de Europese Bankenautoriteit (EBA), de Europese autoriteit voor verzekeringen en bedrijfspensioenen (EIOPA) en de Europese autoriteit voor effecten en markten (ESMA). Binnen dit gezamenlijke mandaat kunnen de ETA’s onder andere audits uit voeren bij, en bindende aanbevelingen doen aan de kritieke derde aanbieder van ICT-diensten. De nationale bevoegde autoriteit kan, indien de kritieke derde aanbieder van ICT-diensten de aanbevelingen niet opvolgt, vervolgmaatregelen nemen richting de financiële onderneming, waarbij in uiterst geval geëist kan worden dat de financiële onderneming de dienstverlening moet beëindigen. Tenslotte bevat de verordening een wettelijk kader voor financiële ondernemingen om onderling informatie over cyberbedreigingen te delen (artikel 45).

§ 3. Wijze van implementatie

De verordening heeft rechtstreekse werking in de Nederlandse rechtsorde en behoeft als zodanig geen omzetting in Nederlandse wet- en regelgeving. Wel vergt de verordening nadere uitvoering, welke plaatsvindt middels wijziging van het Besluit EU-verordeningen Wft (BEUv). Zoals eerder aangegeven bestaan er op EU sectoraal niveau reeds regels die zien op ICT, operationele en cyberrisico’s. Deze sectorale regels bestaan op zowel richtlijn als verordening niveau. De verordening bevat zelf de noodzakelijke wijzigingen om de regels ook in andere verordeningen in te bedden. De richtlijn doet hetzelfde voor onderwerpen die tot nu toe in sectorale richtlijnen zijn geregeld. Deze sectorale richtlijnen zijn geïmplementeerd in de Wet op het financieel toezicht (Wft) en onderhavige besluiten. Voor de wijzigingen die nodig zijn op besluitniveau wordt daar met dit besluit in voorzien.

§ 4. Hoofdlijnen

4.1. Besluit EU-verordeningen Wft

Voor uitvoering van de verordening ligt de grondslag in de artikelen 1:3a, vierde lid, 1:24, derde lid, en 1:25, derde lid, Wft en, ten aanzien van financiële ondernemingen, geregeld in het BEUv. Voor pensioenfondsen, die niet onder de Wft vallen, ligt de grondslag in artikel 143 Pensioenwet en artikel 138 van de Wet verplichte beroepspensioenregeling en hiervoor wordt het besluit financieel toetsingskader pensioenfondsen aangepast.

Dit uitvoeringsbesluit wijst de Autoriteit Financiële Markten (AFM) en de Nederlandsche Bank (DNB) als bevoegde autoriteiten als bedoeld in de verordening aan. Hierbij wordt aangesloten bij de bevoegdheidsverdeling uit andere EU-wetgeving. Voor een deel van de ondernemingen is de Europese Autoriteit voor effecten en marken (ESMA) de aangewezen toezichthouder en voor een deel de nationale toezichthouders. In Nederland is het toezicht op financiële ondernemingen verdeeld tussen de AFM en DNB. Ten aanzien van pensioenfondsen is bepaald dat het prudentiële toezicht bij DNB is belegd ingevolge de Pensioenwet.

4.1.1. Handhaving en openbaarmaking

Ook de sanctionering van overtredingen van de verordening wordt middels dit uitvoeringsbesluit geregeld. In de bijlagen van het BEUv komt tot uiting welke boete(categorie) dan wel last onder dwangsom door AFM of DNB kan worden opgelegd.

Ten aanzien van de verplichtingen voor pensioenfondsen volgen de handhavingsmogelijkheden van DNB uit de Pensioenwet en de Wet verplichte beroepspensioenregeling.

4.1.2. Lidstaatopties

De verordening laat, ondanks het feit dat deze rechtstreekse werking heeft, ruimte voor lidstaten om zelf invulling te geven aan enkele zaken.

Zo is het onder de verordening mogelijk om één toezichthouder aan te wijzen voor de begeleiding van dreigingsgestuurde penetratietests (Thread Let Penetration Testing: TLPT). Er wordt hier geen gebruik van gemaakt, wat betekent dat de toezichthouder die aangewezen is voor het toezicht op naleving ook degene is die de TLPT begeleidt en het attest van de TLPT aan de financiële onderneming bezorgt.

Daarnaast wordt de mogelijkheid geboden om de meldingen die financiële ondernemingen doen aan de toezichthouder van ernstige ICT-incidenten ook te doen bij de Computer Security Incident Response Team (CSIRT)² zoals bedoeld in Richtlijn (EU) 2022/2555 (hierna: NIS2-richtlijn).³ Nederland zal gebruik maken van deze optie. Omdat de implementatie van die richtlijn is voorzien nadat DORA van toepassing is wordt deze lidstaatoptie in de implementatie van de NIS2-richtlijn meegenomen. Dit volgt op een later moment. Omdat dit een lidstaatoptie betreft heeft dit geen gevolgen voor de uiterste implementatiedatum.

4.2 Overige wijzigingen op besluitniveau

Zoals benoemd in paragraaf 3 behoeft de richtlijn wijzigingen op besluitniveau. Dit betreffen wijzigingen in besluiten ter uitwerking van de Wft namelijk het Besluit Gedragstoezicht financiële ondernemingen Wft gewijzigd, het Besluit prudentiële regels Wft gewijzigd, het Besluit Markttoegang financiële ondernemingen Wft, het Besluit gereglementeerde markten Wft en het Besluit bestuurlijke boetes financiële sector.

Om de verplichtingen uit de verordening van toepassing te laten zijn op pensioenfondsen wordt dit ook expliciet opgenomen in het Besluit financieel toetsingskader pensioenfondsen.

§ 5. Uitvoeringstoets en handhaving

Een ontwerp van dit uitvoeringsbesluit is voor een uitvoerings- en handhaafbaarheidstoets voorgelegd aan DNB en de AFM.

DNB acht het uitvoeringsbesluit uitvoerbaar en geeft aan dat het toezicht op deze verordening zal leiden tot een aanzienlijke extra vereiste inspanning voor DNB, die ook implicaties zal hebben voor de toezichtkosten. In de uitvoeringstoets licht DNB een schatting van de benodigde extra capaciteit toe. Er zijn reeds gesprekken geweest met DNB over de benodigde capaciteit voor het toezicht uit hoofde van deze verordening. Deze schatting is opgenomen in het kostenkader DNB 2025 – 2028.⁴ De huidige inschatting van benodigde additionele middelen betreft een structureel aantal (op jaarbasis) van 10,5 fte voor de periode 2025–2026 en 12,5 fte vanaf 2027. Deze kosten worden doorberekend aan de instellingen. Ook zal DNB onder deze verordening capaciteit moeten leveren aan de ETA’s voor het oversight op kritieke ICT-dienstverleners. DNB verwacht hiervoor 2 fte’s te leveren. De kosten voor deze fte worden ook direct doorberekend aan deze kritieke ICT-dienstverleners.

Daarnaast verzoekt DNB om een aanpassing in het uitvoeringsbesluit. In het uitvoeringsbesluit wordt DNB aangewezen als «autoriteit voor betaaldienstverleners met zetel in een andere lidstaat of betaaldienstverleners die geheel of gedeeltelijk zijn vrijgesteld van artikel 2:3a, eerste lid, van de wet». DNB verzoekt om een aanpassing omdat DNB niet kan worden aangewezen als verantwoordelijke toezichthouder voor instellingen die geen zetel hebben in Nederland. Ten opzichte van de versie die in consultatie is gebracht is de definitie aangepast naar «betaaldienstverleners», hiermee wordt aangesloten bij de definitie in de Wft. Daarnaast is in de artikelsgewijze toelichting verduidelijkt dat het gaat om betaaldienstverleners die zetel hebben in Nederland, en is de verwijzing dat DNB de bevoegde autoriteit zal zijn op betaalinstellingen komen te vervallen, omdat betaalinstellingen onder de noemer betaaldienstverleners vallen.

Tot slot geeft DNB aan geen significante obstakels te voorzien in de handhaving van de verordening. De verordening biedt voldoende flexibele handhavingsinstrumenten om risicogebaseerd toezicht uit te voeren op financiële ondernemingen ten aanzien van de vereisten uit de verordening.

Onder de verordening wordt de AFM verantwoordelijk voor het toezicht op de naleving van de normen door onder andere handelsplatformen, beheerders van beleggingsinstellingen, instellingen voor collectieve beleggingen (icbe’s), beleggingsondernemingen, adviseurs en bemiddelaars. De AFM verwacht dat het om ongeveer 500 gaat instellingen die onder toezicht van de AFM komen te vallen. Ook de AFM acht het uitvoeringsbesluit uitvoerbaar. Tegelijkertijd stelt de AFM dat de impact van de verordening substantieel is en daardoor extra fte en IT-investeringen vereist.

Uit de toets volgt dat de AFM het toezicht uit hoofde van de verordening kan uitvoeren en daarbij, uit de drie door AFM gedefinieerde ambitieniveaus, kiest voor het basisniveau. Binnen dit gekozen scenario zal de AFM risicogestuurd toezicht houden, zullen de toezichtactiviteiten gericht zijn op het verbeteren van de compliance en zal de AFM in een periodieke cyclus toezichtactiviteiten uitvoeren bij de financiële instellingen die moeten voldoen aan de verplichtingen uit de verordening. Deze toezichtsaanpak legt de nadruk op de meest systeemrelevante instellingen. AFM geeft aan dat er in dit basisscenario minder capaciteit is voor het toezicht op niet systeemrelevante instellingen.

Voor dit basisscenario schat de AFM in vanaf 2025 structureel 17,75 fte nodig te hebben. Daarnaast geeft AFM in haar uitvoeringstoets aan dat IT-investeringen nodig zijn voor beheer en onderhoud van de software. Deze kosten worden, naast een eerste investering van 1,2 mln, begroot op 0,4 mln per jaar. De AFM geeft aan van plan te zijn om jaarlijks te toetsen of de capaciteit passend is. Ook wil zij jaarlijks toetsen of en in hoeverre opschaling naar een hogere toezichtintensiteit wenselijk is.

Het begrotingsmaximum van de AFM is in het kostenkader 2025-2028 opgehoogd met de gevraagde fte en IT-investeringen uit het door haar voorgestelde toezichtscenario.⁵ De AFM is vrij om, binnen de grenzen van het kostenkader, de toezichtintensiteit bij te stellen.

§ 6. Financiële gevolgen

Op grond van de Wet bekostiging financiële sector 2019 geldt dat de sector als geheel verantwoordelijk is voor alle kosten die de toezichthouders maken voor hun ZBO-taken, tenzij er sprake is van een uitzondering. Dit geldt ook voor de taken die voortvloeien uit de verordening. De kosten die gemaakt worden zullen daarom op grond van de Wet bekostiging financiële sector 2019 door de toezichthouders doorberekend worden. Zie hiervoor ook de paragraaf hierboven.

§ 7. Consultatie

Een concept van het wetsvoorstel en de memorie van toelichting is openbaar geconsulteerd op www.internetconsultatie.nl van 21 mei 2024 tot en met 1 juli 2024.

Er is naar aanleiding hiervan één consultatiereactie ontvangen van de Nederlandse Vereniging van Participatiemaatschappijen (NVP). De NVP geeft aan dat de lidstaatoptie over het twee keer melden van een ICT-incident, zoals gemeld onder 4.1.2, zowel bij de financiële toezichthouder als bij de Computer Security Incident Response Team (CSIRT) tot bijkomende administratieve verplichtingen leidt, omdat ondernemingen de informatie twee moeten verzamelen, indienen en documenteren. De NVP pleit voor één melding.

In paragraaf 4.1.2 staat aangegeven dat Nederland gebruik zal maken van de lidstaatoptie om ICT-incidenten ook te laten melden bij de CSIRT zoals bedoeld in de NIS2-richtlijn. Op basis van de verordening moeten instellingen ernstige ICT-incidenten melden bij DNB of AFM. Daarnaast kunnen zij vrijwillig significante dreigingen ook melden aan AFM en DNB. De lidstaatoptie behelst dat de ernstige ICT-incidenten door banken, exploitanten van handelsplatformen, centrale tegenpartijen en centrale effectenbewaarinstellingen ook gemeld moeten worden aan de CSIRT en legt tevens de juridische basis om ook vrijwillig significante dreigingen te melden bij de CISRT. Bij de laatste gaat het dus om een vrijwillige melding, waarbij in beginsel geen regeldruk mee gemoeid gaat. De instelling besluit immers zelf of deze wil melden.

De keuze om gebruik te maken van deze lidstaatoptie komt voort uit dat het doel van de CSIRT anders is dan het doel van DNB en AFM. De CSIRT heeft als taak om advies te geven en bijstand te verlenen aan de entiteit indien nodig, om overloopeffecten naar andere sectoren te kunnen identificeren, betreffende entiteiten in die sectoren te waarschuwen en om trends te analyseren. De achtergrond van deze beleidskeuze is dat de toezichthoudende instantie en de CSIRT allebei zelfstandig invulling geven aan hun taken en dat hun functies daarbij gescheiden blijven. Op dit moment zijn aanbieders van essentiële diensten (AED’s) en andere als vitaal aangewezen aanbieders, waaronder die in de financiële sector, op grond van de Wet beveiliging netwerk- en informatiesystemen (Wbni) ook al verplicht om significante incidenten te melden bij de CSIRT. Met de inwerkingtreding van de Cyberbeveiligingswet – ter implementatie van de NIS2-richtlijn – wordt de Wbni ingetrokken, maar door gebruik te maken van deze lidstaatoptie blijft de directe melding aan de CSIRT in stand. Zowel DNB en AFM enerzijds als het ministerie van Justitie en Veiligheid anderzijds, welke de implementatie van de NIS2-richtlijn uitvoert, streven ernaar dat de melding aan de CSIRT en de toezichthouder zoveel mogelijk geharmoniseerd wordt.

Artikelsgewijs

Artikel I (Besluit EU-verordeningen Wft)

A

Artikel 60, eerste lid, tweede onderdeel van de verordening schrapt artikel 26, zesde lid van Verordening (EU) nr. 648/2012 (EMIR).⁶ Hiermee kan het desbetreffende artikellid komen te vervallen in de tabel onder 2 in bijlage 5.

B

Onderdeel B voegt een bijlage toe aan het Besluit EU-verordeningen Wft voor de verordening. Om de chronologische volgorde te behouden wordt de bestaande bijlage 35 daarbij vernummerd. Bij die vernummering is rekening gehouden met Verordeningen (EU) 2023/1114 (MiCAR) en (EU) 2023/2631 (EuGBR), die als bijlagen 36 en 37 zullen worden opgenomen. Hieronder worden de verschillende onderdelen van de nieuwe bijlage 35 besproken.

1. Bevoegde autoriteit in de zin van de verordening

Hier wordt de bevoegdheidsverdeling bepaald. In de verordening is in artikel 46 per type financiële onderneming door middel van verwijzingen naar de sectorale EU wetgeving, steeds aangegeven wie de toezichthouder is op naleving van de verordening. De bedoeling van artikel 46 van de verordening is dat de toezichthouder die aangewezen is via de sectorale regelgeving ook toezicht houdt op de naleving van de verordening door de betreffende financiële onderneming. In Nederland is het toezicht op financiële ondernemingen verdeeld tussen de AFM en DNB, welke vervat is in de taakverdeling zoals opgenomen in artikel 1:24 en 1:25 Wft. De AFM en DNB hebben in sommige gevallen gedeelde toezichttaken ten aanzien van de beheerste en integere bedrijfsvoering waarbij de AFM zich richt op het gedragstoezicht en DNB op het prudentiële toezicht. Voor ondernemingen waarbij sprake is van door AFM en DNB gedeeld toezicht komt het toezicht op naleving van de verordening te liggen bij de vergunningverlenende toezichthouder. Een voorbeeld van een type onderneming met gedeeld toezicht zijn beleggingsondernemingen. De AFM is de vergunningverlener bij (niet-bank) beleggingsondernemingen. Toezicht op deze financiële ondernemingen moet derhalve bij de AFM worden belegd. Er wordt één uitzondering gemaakt op deze regel, namelijk voor centrale effectenbewaarinstellingen. Het toezicht op naleving van deze verordening wordt bij DNB belegd terwijl de vergunning door de AFM verleend wordt. De reden hiervoor is dat deze toewijzing beter aansluit bij de bestaande verdeling van toezichtsbevoegdheden op basis van de verordening centrale effectenbewaarinstellingen en er geen aanleiding is om dat te veranderen. De verdeling van het toezicht wordt geregeld in het BEUv. Voor pensioenfondsen is bepaald dat het prudentiële toezicht bij DNB is belegd ingevolge de Pensioenwet. DNB houdt al toezicht op de beheerste en integere bedrijfsvoering bij pensioenfondsen en dat toezicht wordt uitgebreid met de verplichtingen die volgen uit de verordening. Er wordt opgemerkt dat onder «bemiddelaars in verzekeringen» ook nevenverzekeringstussenpersonen vallen in de zin van de richtlijn verzekeringsdistributie.⁷ Tenslotte wordt opgemerkt dat met betaaldienstverleners, zoals gedefinieerd in artikel 1:1 Wft, hier betaaldienstverleners worden bedoeld die hun zetel in Nederland hebben.

2. Handhaving door middel van last onder dwangsom of bestuurlijke boete

Er wordt een tabel toegevoegd met daarin de handhaafbare artikelen uit de verordening. De boetecategorie is bepaald naar de ernst van de overtreding en sluit aan bij de boetecategorieën die thans gelden voor soortgelijke overtredingen. Bij ernstige overtredingen ofwel de hoofdnormen van de verordening is gekozen voor een boetecategorie 3. Het uitgangspunt is daarbij dat overtreding van deze norm direct tot grote ICT-risico’s kan leiden voor de onderneming. Bij een melding of rapportageverplichting is gekozen voor een boetecategorie 1. Voor andere bepalingen is gekeken welke boetecategorie het meest opportuun is.

3. Openbaarmaking overtreding

Op grond van artikel 50, vierde lid, onderdeel e, van de verordening moet de toezichthouder een overtreding en de naam van de overtreder openbaar kunnen maken.

4. Lidstaatoptie artikel 2, vierde lid (uitzondering richtlijn kapitaalvereisten)

Hier wordt geregeld dat de instellingen die uitgezonderd zijn onder de richtlijn kapitaalvereisten, ook uitgezonderd zijn van de verplichtingen onder de verordening. In Nederland gaat dit om de «Nederlandse Investeringsbank voor Ontwikkelingslanden NV», de «NV Noordelijke Ontwikkelingsmaatschappij», de «NV Industriebank Limburgs Instituut voor Ontwikkeling en Financiering» en de «Overijsselse Ontwikkelingsmaatschappij NV».

Artikel II (Besluit Gedragstoezicht financiële ondernemingen Wft)

A

Artikel 29a is gebaseerd op artikel 4:14, tweede lid, aanhef en onderdeel a, Wft en stelt regels inzake de bedrijfsvoering van beleggingsondernemingen en beleggingsinstellingen. In artikel 29a worden twee aanpassingen doorgevoerd ten behoeve van twee sectorale richtlijnen.

Ten eerste wordt een lid ingevoegd. Dit betreft implementatie van artikel 1 van de richtlijn. Artikel 1 van de richtlijn wijzigt namelijk artikel 12, eerste lid, onderdeel a, van de richtlijn instellingen voor collectieve belegging in effecten.⁸ De bedrijfsvoering van de beheerder van een icbe wordt daarmee toegevoegd aan artikel 29a. Een beheerder van een icbe dient op grond van deze wijziging van artikel 29a tweede lid, te voldoen aan artikel 12 van de richtlijn instellingen voor collectieve belegging in effecten, welke weer gekoppeld is aan de verordening. Op grond van artikel 12 van de richtlijn instellingen voor collectieve belegging in effecten dient een beheerder van een icbe te beschikken over een goede administratieve en boekhoudkundige organisatie, controle- en beveiligingsvoorzieningen op het gebied van elektronische informatieverwerking, onder meer op het gebied van netwerk- en informatiesystemen die worden opgericht en beheerd volgens de verordening en adequate interne controleprocedures. Het gaat dan met name over regels voor persoonlijke transacties van de eigen medewerkers en voor het aanhouden of beheren van beleggingen in financiële instrumenten met het oog op het beleggen voor eigen rekening. Tevens dient de beheerder van een icbe te beschikken over procedures die ervoor zorgen dat activa van de icbe overeenkomstig het fondsreglement, statuten en toepasselijke wet- en regelgeving wordt belegd.

De tweede wijziging is tweeledig. Artikel 6, eerste lid, onderdeel a, van de richtlijn wordt geïmplementeerd. Dit artikel wijzigt artikel 16, vierde lid, van de richtlijn markten voor financiële instrumenten 2014⁹, dat bepaalt dat een beleggingsonderneming redelijke maatregelen moet treffen om de continuïteit en regelmaat bij het verlenen van beleggingsdiensten en het verrichten van beleggingsactiviteiten te waarborgen. Daartoe dient de beleggingsonderneming gebruik te maken van passende en evenredige systemen, middelen en procedures. Deze dienen te worden beheerd overeenkomstig artikel 7 van de verordening. Tevens wordt de in artikel 29a, tweede lid, opgenomen verwijzing naar artikel 16, vijfde lid, van de richtlijn markten voor financiële instrumenten 2014 gewijzigd door daaraan een verwijzing naar de derde alinea van artikel 16, vijfde lid, van de richtlijn markten voor financiële instrumenten 2014 toe te voegen. Die wijziging verwerkt de aanpassing in artikel 6, eerste lid, onderdeel b, van de richtlijn.

Artikel III (Besluit prudentiële regels Wft)

B

Artikel 4, onderdeel 2, van de richtlijn vult artikel 74, eerste lid, van de richtlijn kapitaalvereisten¹⁰ aan. Die aanvulling brengt met zich mee dat banken dienen te beschikken over netwerk- en informatiesystemen die worden ontwikkeld en beheerd overeenkomstig Verordening (EU) nr. 2022/2554. Uit artikel 20, eerste lid, Bpr volgt reeds dat een bank dient te beschikken over een informatiesysteem dat een effectieve beheersing van de bedrijfsprocessen en de risico’s mogelijk maakt en dat voorziet in interne en externe informatiebehoeften. Dit dekt echter nog niet de aanvulling die volgt uit de richtlijn, voor wat betreft het netwerk- en informatiesysteem van de bank in relatie tot Verordening (EU) nr. 2022/2554. Daarom wordt in aanvulling op het eerste lid uit artikel 20 Bpr voor banken een vierde lid toegevoegd, dat hierin voorziet.

C

In verband met de vernummering in artikel 29a Bgfo (zie artikel II, onderdeel A) wordt de verwijzing in artikel 24a Bpr aangepast.

D

Dit betreft implementatie van artikel 5, eerste lid, onderdeel e, van de richtlijn van betalingsdiensten¹¹ en artikel 7, tweede lid, onderdeel a, onder i, van de richtlijn. Verzuimd is om artikel 5, eerste lid, onderdeel e, van de richtlijn van betalingsdiensten te implementeren. Met deze wijziging wordt dit hersteld.

E

Dit betreft implementatie van artikel 7, tweede lid, onderdeel a, onder ii en van onderdeel b van de richtlijn. Deze wijziging zorgt ervoor dat de verplichtingen voor de beschrijving van de procedures voor het monitoren en afhandelen van veiligheidsincidenten en maatregelen op het gebied van beveiligingscontrole en risicobeperking die reeds gesteld waren in de richtlijn van betalingsdiensten in lijn zijn met de verordening.

F

Dit betreft implementatie van artikel 7, tweede lid, onderdeel a, onder iii van de richtlijn. Betaaldienstverleners kennen reeds procedures ten aanzien van bedrijfscontinuïteit. Met deze wijziging wordt aansluiting gezocht bij de procedures uit de verordening.

G

Dit betreft implementatie van artikel 7, vierde lid, van de richtlijn. In zowel dit artikel als in de verordening staan voorschriften voor betaaldienstverleners. Met deze bepaling wordt duidelijk dat beide voorschriften van toepassing zijn op betaaldienstverleners.

H

Betreft implementatie van artikel 7, vijfde lid, van de richtlijn. Enkele voorschriften uit de richtlijn betaaldiensten worden buiten toepassing verklaard, omdat de verordening dit regelt.

Artikel IV (Besluit markttoegang financiële ondernemingen Wft)

Betreft implementatie van artikel 7, tweede lid, onderdeel a, onder ii en iii en tweede lid, onderdeel b van de richtlijn.

Artikel V (Besluit gereglementeerde markten Wft)

A, B, C en D

Dit betreft een wijziging in verband met een verlettering van artikel 5:30a Wft en de verwijzing naar dat artikel in de artikelen 2, 4b, 4c en paragraaf 2a van het Besluit gereglementeerde markten Wft.

Artikel VI (Besluit financieel toetsingkader pensioenfondsen)

De aanwijzing van de toezichthouder voor financiële ondernemingen loopt via het Besluit uitvoering EU-verordeningen Wft. Ten aanzien van Pensioenfondsen ontlenen zij hun regels over beheerste bedrijfsvoering aan de Pensioenwet. De regels uit de verordening dienen daarom ook via die route van toepassing te worden verklaard op pensioenfondsen. Er wordt daarom een nieuw lid ingevoegd in artikel 18 van het Besluit financieel toetsingskader pensioenfondsen om de regels uit de verordening van toepassing te laten zijn. Daarnaast kenden pensioenfondsen ook reeds eisen ten aanzien van ict-huishouding en procedures die zijn opgenomen in dit besluit. Met de aanpassing is geregeld dat deze eisen in lijn met de verordening zijn.

Artikel VII (Besluit bestuurlijke boetes financiële sector)

Er wordt een wijziging doorgevoerd in artikel 5:30a Wft, waardoor de verwijzing hiernaar in het Besluit bestuurlijke boetes financiële sector dient te worden aangepast.

Artikel VIII

De verordening wordt op 17 januari 2025 van toepassing en de richtlijn dient dan eveneens geïmplementeerd te zijn.

De Minister van Financiën, E. Heinen

Bijlage. Transponeringstabellen

Transponeringstabel bij Verordening (EU) 2022/2554 van het Europees Parlement en de Raad van 14 december 2022 betreffende digitale operationele weerbaarheid voor de financiële sector en tot wijziging van Verordeningen (EG) nr. 1060/2009, (EU) nr. 648/2012, (EU) nr. 600/2014, (EU) nr. 909/2014 en (EU) 2016/1011 (PbEU 2022, L 333).

Afkortingen:

Awb: Algemene wet bestuursrecht

BEUv: Besluit EU-verordeningen Wft

Pw: Pensioenwet

Wft: Wet op het financieel toezicht

Wvbp: Wet verplichte beroepspensioenregeling

Bepaling EU-regeling	Bepaling in implementatieregeling of bestaande regeling	Omschrijving beleidsruimte	Toelichting op de keuze(n) bij de invulling van de beleidsruimte
	(Toelichting indien niet geïmplementeerd of naar zijn aard geen implementatie behoeft)
Artikel 1	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 2 lid 4	Bijlage 35, onder 4, BEUv (zie artikel I, onderdeel B)	Lidstaatoptie voor het uitzonderen van enkele banken.	Deze banken zijn uitgezonderd onder de richtlijn kapitaaleisen. Deze lijn wordt doorgetrokken.
Artikel 3 tot en met 18	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 19, eerste lid, eerste en tweede alinea	Waar het hier het toezicht op de verordening betreft is implementatie voorzien middels het BEUv Bijlage 35, op basis van de artikelen 1:24, derde lid, en 1:25, derde lid, Wft.	Geen	Volgt voor het overige reeds uit de artikelen 1:24 en 1:25 Wft
Artikel 19, eerste lid, derde tot en met vijfde alinea	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 19, eerste lid, zesde alinea	Voorlopig nog geen gebruik van gemaakt.	Geen
Artikel 19, tweede lid, eerste en tweede alinea	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 19, tweede lid, derde alinea	Voorlopig geen gebruik van gemaakt, zie hiervoor het algemene deel van de toelichting.	Lidstaatoptie.
Artikel 19, derde tot en met achtste lid	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 20 tot en met 25	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 26, eerste lid tot en met achtste lid	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 26, negende lid	Behoeft geen uitvoering	Lidstaatoptie: hier maakt NL geen gebruik van.
Artikel 26, tiende lid	NL maakt hier gebruik van, behoeft geen uitvoering in wetgeving, valt onder mandaat toezichthouder.	Lidstaatoptie: taken kunnen aan een andere autoriteit gedelegeerd worden.
Artikel 26, elfde lid	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 27 tot en met 31	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 32	Behoeft naar zijn aard geen uitvoering, aanwijzing is vormvrij	Geen
Artikel 33 tot en met 45	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 46	Waar het hier het toezicht op de verordening betreft is implementatie voorzien middels toevoeging van Bijlage 35 in BEUv (Artikel I, onderdeel B), op basis van de artikelen 1:24, derde lid, en 1:25, derde lid, Wft. Voor (beroeps)pensioenfondsen is handhaving conform H7.4 Pw en H6.4 Wvbp	Geen	In het BEuv wordt bepaald welke bevoegde autoriteit toezicht houdt op welke financiële entiteit
Artikel 47 tot en met 49	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 50, eerste lid	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 50, tweede lid, onder a	Implementatie door middel van bestaande regelgeving in artikel 1:72 Wft en 5:16 en 5:17 awb.	Geen
Artikel 50, tweede lid, onder b	Implementatie door middel van bestaande regelgeving in artikel 1:72 Wft jo. 5:15 Awb) waaronder oproepen (Art. 1:74 jo. 1:24, derde lid, en 1:25, derde lid, wft. Art 5:13 jo. 5:20 awb.) interviewen (1:74 Wft en 5:16 en 5:17 Awb) Voor (beroeps)pensioenfondsen is handhaving conform H7.4 Pw en H6.4 Wvbp.	Geen
Artikel 50, tweede lid, onder c	Implementatie door middel van bestaande regelgeving in Art. 1:24, derde lid, en 1:25, derde lid, 1:75 en 1:79 Wft. Voor (beroeps)pensioenfondsen is handhaving conform H7.4 Pw en H6.4 Wvbp	Geen
Artikel 50, derde lid	In het BEUv middels toevoeging van Bijlage 35 worden de bestuurlijke boete categorieën opgenomen en lasten onder dwangsom (Artikel I, onderdeel B). Voor (beroeps)pensioenfondsen is handhaving conform H7.4 Pw en H6.4 Wvbp.	De hoogte van de bestuurlijke boete kan op categorie 1, 2 of 3 gezet worden.
Artikel 50, vierde lid, onder a	Staken van gedragingen (Bevoegdheid komt reeds toe aan toezichthouders op basis van 1:75 en 1:79, eerste lid, onderdeel b, Wft); Wordt geregeld middels toevoeging van Bijlage 35 van het BEUv Voor (beroeps)pensioenfondsen is handhaving conform H7.4 Pw en H6.4 Wvbp	Geen
Artikel 50, vierde lid, onder b	Staken van gedragingen (Bevoegdheid komt reeds toe aan toezichthouders op basis van 1:75 en artikel 1:79, eerste lid, onderdeel b, Wft; Wordt geregeld middels toevoeging van Bijlage 35 van het BEUv	Geen
Artikel 50, vierde lid onder c	Maatregel (Art. 1:79 Wft); Wordt geregeld middels toevoeging van Bijlage 35 van het BEUv. Voor (beroeps)pensioenfondsen is handhaving conform H7.4 Pw en H6.4 Wvbp	Geen
Artikel 50, vierde lid onder d	Wordt niet geïmplementeerd. De Telecomwet biedt alleen een grondslag in het kader van strafrecht. De verordening wordt bestuursrechtelijk gehandhaafd.	Geen
Artikel 50, vierde lid onder e	Openbare mededeling 1:94, eerste lid, onderdeel i, Wft; nieuwe definitie toevoegen aan Bijlage 35 in het BEUv. Voor (beroeps)pensioenfondsen is handhaving conform H7.4 Pw en H6.4 Wvbp	Geen
Artikel 50, vijfde lid	Implementatie door middel van bestaande regelgeving. Artikel 5:1 Awb.	Geen
Artikel 50, zesde lid	Implementatie door middel van bestaande regelgeving in artikel 1:3a, derde lid, Wft en hoofdstukken 6-8 Awb, 3:46 Awb	Geen
Artikel 51, eerste lid, onder a	Implementatie door middel van bestaande regelgeving, in Afdeling 1.4.2 Wft	Geen
Artikel 51, eerste lid, onder b	Implementatie door middel van bestaande regelgeving in H 1.3 Wft	Geen
Artikel 51, eerste lid onder c	N.v.t. Dit vindt niet plaats in Nederland.	Geen
Artikel 51, eerste lid onder d	Implementatie door middel van bestaande regelgeving in Artikel 5:44, tweede lid Awb	Geen
Artikel 51, tweede lid	Implementatie door middel van bestaande regelgeving in artikel 1:79 jo. 1:80 Wft; artt. 3:4 en 5:46 Awb; art. 1b jo. 2 jo. 3a. jo 4 Bbbfs. Tevens is het Handhavingsbeleid van AFM en DNB, het boetetoemetingsbeleid AFM en het Boetetoemetingsbeleid DNB van toepassing	Geen
Artikel 52	Lidstaatoptie voor strafrechtelijke handhaving waar geen gebruik van wordt gemaakt.	Nederland heeft gekozen voor bestuursrechtelijke handhaving
Artikel 53	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 54	Implementatie door middel van bestaande regelgeving in artikel 1:97 jo. 1:98 Wft.	Geen
Artikel 55	Implementatie door middel van bestaande regelgeving in artikel 1:89 en 1:90 Wft	Geen
Artikel 56 tot en met 58	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen
Artikel 59	Wijzigt verordening (EG) 1060/2009, Wijzigt enkele bepalingen in de bijlage, behoeft geen wijziging.	Geen
Artikel 60	In de bijlage bij het BEUv in artikel I, onderdeel A.
Artikel 61 en 62	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking
Artikel 63	Wijzigt enkele bepalingen in verordening 600/2014
Artikel 64 (Inwerkingtreding)	Behoeft naar zijn aard geen uitvoering, rechtstreekse werking	Geen

Transponeringstabel bij Richtlijn (EU) 2022/2556 van het Europees Parlement en de Raad van 14 december 2022 tot wijziging van de Richtlijnen 2009/65/EG, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 en (EU) 2016/2341 wat betreft digitale operationele weerbaarheid voor de financiële sector (PbEU 2022, L 333).

Bepaling EU-regeling	Bepaling in implementatieregeling of bestaande regeling	Omschrijving beleidsruimte	Toelichting op de keuze(n) bij de invulling van de beleidsruimte
	(Toelichting indien niet geïmplementeerd of naar zijn aard geen implementatie behoeft)
Artikel 1, eerste lid	artikel 29a van het Besluit gedragstoezicht financiële ondernemingen Wft (Bgfo)	Geen
Artikel 1, tweede lid	Richt zich tot de Commissie, behoeft geen implementatie	Geen
Artikel 2, eerste lid	Implementatie door middel van bestaande regelgeving in artikel 3:17, tweede lid, aanhef en onderdeel a en c Wft juncto artikel 26.2. Besluit prudentiële regels Wft (Bpr).	Geen
Artikel 2, tweede lid	Behoeft geen implementatie, bepaling gericht tot de Europese Commissie.	Geen
Artikel 3	Is al geïmplementeerd d.m.v. dynamische verwijzing in artikel 29a BGfo	Geen
Artikel 4, eerste lid	Is al geïmplementeerd d.m.v. bestaand recht in 1:74 Wft	Geen
Artikel 4, tweede lid	Artikel 20, vierde lid, Bpr	Geen
Artikel 4, derde lid	Is al geïmplementeerd d.m.v. dynamische verwijzing in artikel 23a, aanhef en onderdeel a, Bpr	Geen
Artikel 4, vierde lid	3:18a, eerste lid, Wft	Geen
Artikel 5, eerste lid, onderdeel a en b	3A:9, vierde lid, Wft	Geen
Artikel 5, tweede lid	Behoeft geen implementatie, want bijlage zonder implementatie	Geen
Artikel 6, eerste lid, onderdeel a en b	29a Bgfo	Geen
Artikel 6, tweede lid, onderdeel a	4:91n, tweede lid, Wft	Geen
Artikel 6, tweede lid, onderdeel b	Behoeft geen implementatie, bepaling gericht tot de ETA’s	Geen
Artikel 6, derde lid, onderdeel a en b	5:30, eerste lid, Wft	Geen
Artikel 6, vierde lid, onderdeel a, eerste alinea	5:30a, eerste lid, Wft, vernummering in het Besluit gereglementeerde markten Wft en artikel 10 van het Besluit bestuurlijke boetes financiële sector (Bbbfs)	Geen
Artikel 6, vierde lid, onderdeel b	5:30a, tweede lid, onderdeel b, Wft, artikel 4b van het Besluit gereglementeerde markten Wft en artikel 10 Bbbfs	Geen
Artikel 6, vierde lid, onderdeel c	Behoeft geen implementatie, bepaling gericht tot Europese Commissie	Geen
Artikel 7, eerste lid	1:5a, tweede lid, onderdeel j, Wft	Geen
Artikel 7, tweede lid, onderdeel a, eerste sub	26ba Bpr	Geen
Artikel 7, tweede lid, onderdeel a, tweede sub	26c Bpr, en artikel 3a, eerste lid, onderdeel t van het Besluit Markttoegang financiële ondernemingen (Bmfo)	Geen
Artikel 7, tweede lid, onderdeel a, derde sub	26d Bpr en 3a, eerste lid, onderdeel v Bmfo	Geen
Artikel 7, tweede lid, onderdeel b	26c, tweede lid, onder a Bpr en artikel 3a, onderdeel x Bmfo	Geen
Artikel 7, derde lid	Deze tekst staat reeds in de richtlijn betaaldiensten en behoeft niet opnieuw te worden geïmplementeerd.	Geen
Artikel 7, vierde lid	26f Bpr	Geen
Artikel 7, vijfde lid	26g Bpr	Geen
Artikel 7, zesde lid	Behoeft geen implementatie, bepaling gericht tot EBA	Geen
Artikel 8	Artikel 18 van het Besluit financieel toetsingskader pensioenfondsen	Geen

---

1 Stb 2024, 199.

2 De facto is dit het Nationaal Cyber Security Centre (NCSC), ressorterend onder het Ministerie van Justitie en Veiligheid.

3 Richtlijn (EU) nr. 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (PbEU 2022, L 333).

4 Kamerstukken II 2023/24, 32 545, nr. 206.

5 Kamerstukken 2023/24, 32 545, nr. 205.

6 Verordening (EU) nr. 648/2012 van het Europees parlement en de Raad van 4 juli 2012 betreffende otc-derivaten, centrale tegenpartijen en transactieregisters (PbEU 2012, L 201).

7 Richtlijn (EU) nr. 2016/97 van het Europees Parlement en de Raad van 20 januari 2016 betreffende verzekeringsdistributie (PbEU 2016, L 26).

8 Richtlijn nr. 2009/65/EG van het Europees Parlement en de Raad van de Europese Unie van 13 juli 2009 tot coördinatie van de wettelijke en bestuursrechtelijke bepalingen betreffende bepaalde instellingen voor collectieve belegging in effecten (icbe’s) (PbEU 2009, L 302).

9 Richtlijn 2014/65/EU van het Europees Parlement en de Raad van 15 mei 2014 betreffende markten voor financiële instrumenten en tot wijziging van Richtlijn 2002/92/EG en Richtlijn 2011/61/EU (PbEU 2014, L 173).

10 Richtlijn 2013/36/EU van het Europees Parlement en de Raad van 26 juni 2013 betreffende toegang tot het bedrijf van kredietinstellingen en het prudentieel toezicht op kredietinstellingen, tot wijziging van Richtlijn 2002/87/EG en tot intrekking van de Richtlijnen 2006/48/EG en 2006/49/EG (PbEU 2013, L 176).

11 Richtlijn (EU) 2015/2366 van het Europees Parlement en de Raad van 25 november 2015 betreffende betalingsdiensten in de interne markt, houdende wijziging van de Richtlijnen 2002/65/EG, 2009/110/EG en 2013/36/EU en Verordening (EU) nr. 1093/2010 en houdende intrekking van Richtlijn 2007/64/EG (PbEU 2015, L 337).