Artykuł 5

1. W celu uzyskania zezwolenia na działalność w charakterze instytucji płatniczej należy złożyć wniosek do właściwych organów państwa członkowskiego pochodzenia, załączając:

a) program działalności określający w szczególności rodzaj planowanych usług płatniczych;

b) biznesplan zawierający prognozę budżetu na pierwsze trzy lata obrachunkowe, z którego wynika, że wnioskodawca jest w stanie zastosować odpowiednie i proporcjonalne systemy, zasoby i procedury niezbędne do prawidłowego prowadzenia działalności;

c) dokumentację potwierdzającą, że dana instytucja płatnicza posiada kapitał założycielski przewidziany w art. 7;

d) w przypadku instytucji płatniczych, o których mowa w art. 10 ust. 1 – opis środków przedsięwziętych zgodnie z art. 10 w celu ochrony środków pieniężnych użytkowników usług płatniczych;

e) opis stosowanych przez wnioskodawcę zasad zarządzania i mechanizmów kontroli wewnętrznej, w tym procedur administracyjnych, procedur zarządzania ryzykiem i procedur księgowych, jak również ustaleń dotyczących korzystania z usług ICT zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2022/2554 (

4

), wykazujący, że te zasady zarządzania i mechanizmy kontroli wewnętrznej są proporcjonalne, właściwe, rzetelne i adekwatne;

f) opis procedury wprowadzonej w celu monitorowania incydentów związanych z bezpieczeństwem i skarg klientów dotyczących bezpieczeństwa oraz postępowania i działań następczych w przypadku wystąpienia takich incydentów i skarg, łącznie z mechanizmem zgłaszania incydentów uwzględniającym obowiązki instytucji płatniczej dotyczące zgłaszania określone w rozdziale III rozporządzenia (UE) 2022/2554;

g) opis procedury wprowadzonej w celu włączania do dokumentacji, monitorowania i śledzenia szczególnie chronionych danych dotyczących płatności oraz ograniczenia dostępu do tych danych;

h) opis rozwiązań zapewniających ciągłość działania, w tym jasne określenie operacji krytycznych, skutecznej strategii i planów na rzecz ciągłości działania w zakresie ICT oraz planów reagowania i przywracania sprawności ICT, a także procedury na potrzeby regularnego testowania i przeglądu adekwatności i skuteczności takich planów zgodnie z rozporządzeniem (UE) 2022/2554;

i) opis zasad i definicji stosowanych do gromadzenia danych statystycznych dotyczących wyników, transakcji i oszustw;

j) dokument dotyczący strategii w zakresie bezpieczeństwa, łącznie ze szczegółową oceną ryzyka w odniesieniu do świadczonych przez wnioskodawcę usług płatniczych oraz opisem środków kontroli bezpieczeństwa i ograniczania ryzyka podjętych w celu odpowiedniej ochrony użytkowników usług płatniczych przed zidentyfikowanymi ryzykami, w tym oszustwami i nielegalnym wykorzystywaniem danych szczególnie chronionych i danych osobowych;

k) w przypadku instytucji płatniczych podlegających obowiązkom związanym z zapobieganiem praniu pieniędzy i finansowaniu terroryzmu zgodnie z dyrektywą Parlamentu Europejskiego i Rady (UE) 2015/849 (

5

) i rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2015/847 (

6

) – opis mechanizmów kontroli wewnętrznej ustanowionych przez wnioskodawcę w celu dopełnienia tych obowiązków;

l) opis struktury organizacyjnej wnioskodawcy, w tym w stosownych przypadkach opis planowanego korzystania z usług agentów i oddziałów, a także kontroli zdalnych i kontroli na miejscu, które wnioskodawca zobowiązuje się przeprowadzać w stosunku do tych agentów i oddziałów co najmniej raz w roku, oraz opis rozwiązań w zakresie outsourcingu i opis dotyczący udziału wnioskodawcy w krajowym lub międzynarodowym systemie płatności;

m) dane dotyczące tożsamości osób posiadających we wnioskującym podmiocie – bezpośrednio lub pośrednio – znaczne pakiety akcji w rozumieniu art. 4 ust. 1 pkt 36 rozporządzenia (UE) nr 575/2013, dane dotyczące wielkości należących do nich pakietów akcji, a także dokumentację potwierdzającą, że osoby te są odpowiednie, zważywszy na konieczność zapewnienia należytego i ostrożnego zarządzania instytucją płatniczą;

n) dane dotyczące tożsamości dyrektorów i osób odpowiedzialnych za zarządzanie instytucją płatniczą oraz, w stosownych przypadkach, osób odpowiedzialnych za zarządzanie działalnością instytucji płatniczej w zakresie usług płatniczych, jak również dokumentację potwierdzającą, że osoby te cieszą się dobrą opinią oraz posiadają odpowiednią wiedzę i doświadczenie, by świadczyć usługi płatnicze, zgodnie z przepisami określonymi przez państwo członkowskie pochodzenia instytucji płatniczej;

o) w stosownych przypadkach, dane dotyczące tożsamości biegłych rewidentów i firm audytorskich zgodnie z definicją w dyrektywie 2006/43/WE Parlamentu Europejskiego i Rady (

7

);

p) informacje o statusie prawnym wnioskodawcy i jego akt założycielski;

q) adres siedziby zarządu wnioskodawcy.

Na potrzeby akapitu pierwszego lit. d), e), f) i l) wnioskodawca przedkłada opis rozwiązań w zakresie badania sprawozdań finansowych oraz rozwiązań organizacyjnych, które przyjął z myślą o podjęciu wszelkich racjonalnych kroków dla ochrony interesów swoich użytkowników oraz dla zapewnienia ciągłości świadczenia usług płatniczych i ich wiarygodności.

Środki kontroli bezpieczeństwa i ograniczania ryzyka, o których mowa w akapicie pierwszym lit. j), wskazują sposób zapewniania wysokiego poziomu operacyjnej odporności cyfrowej zgodnie z rozdziałem II rozporządzenia (UE) 2022/2554, w szczególności w zakresie bezpieczeństwa technicznego i ochrony danych, w tym w odniesieniu do oprogramowania i systemów ICT stosowanych przez wnioskodawcę lub przedsiębiorstwa, którym zleca on w ramach outsourcingu całość lub część swoich operacji. Środki te obejmują również środki bezpieczeństwa określone w art. 95 ust. 1 niniejszej dyrektywy. Środki te uwzględniają wytyczne EUNB dotyczące środków bezpieczeństwa, o których mowa w art. 95 ust. 3 niniejszej dyrektywy, kiedy zostaną one przyjęte.

2. Państwa członkowskie wymagają, by przedsiębiorstwa składające wniosek o udzielenie zezwolenia na świadczenie usług płatniczych, o których mowa w pkt 7 załącznika I, posiadały – jako warunek uzyskania zezwolenia – ubezpieczenie odpowiedzialności z tytułu prowadzenia działalności zawodowej, obejmujące terytoria, na których przedsiębiorstwa te oferują usługi, lub inną porównywalną gwarancję na wypadek odpowiedzialności w celu zapewnienia możliwości pokrycia przez nie ich

zobowiązań zgodnie z art. 73, 90 i 92.

3. Państwa członkowskie wymagają, by przedsiębiorstwa składające wniosek o zarejestrowanie w celu świadczenia usług płatniczych, o których mowa w pkt 8 załącznika I, posiadały – jako warunek rejestracji – ubezpieczenie odpowiedzialności z tytułu prowadzenia działalności zawodowej, obejmujące terytoria, na których przedsiębiorstwa te oferują usługi, lub inną porównywalną gwarancję na wypadek odpowiedzialności wobec dostawcy usług płatniczych prowadzącego rachunek lub użytkownika usług płatniczych wynikającej z nieautoryzowanego lub nielegalnego dostępu do informacji o rachunku płatniczym lub nieautoryzowanego lub nielegalnego użycia takich informacji.

4. Do dnia 13 stycznia 2017 r. EUNB – po przeprowadzeniu konsultacji z wszystkimi stosownymi zainteresowanymi podmiotami, w tym podmiotami na rynku usług płatniczych, biorąc pod uwagę wszystkie stosowne interesy – wydaje zgodnie z art. 16 rozporządzenia (UE) nr 1093/2010 wytyczne skierowane do właściwych organów dotyczące kryteriów określania minimalnej kwoty pieniężnej ubezpieczenia odpowiedzialności z tytułu prowadzenia działalności zawodowej lub innej porównywalnej gwarancji, o których mowa w ust. 2 i 3.

Opracowując wytyczne, o których mowa w akapicie pierwszym, EUNB bierze pod uwagę:

a) profil ryzyka danego przedsiębiorstwa;

b) fakt, czy dane przedsiębiorstwo świadczy inne usługi płatnicze, o których mowa w załączniku I, lub prowadzi inną działalność gospodarczą;

c) wielkość działalności:

(i) w przypadku przedsiębiorstw składających wniosek o udzielenie zezwolenia na świadczenie usług płatniczych, o których mowa w pkt 7 załącznika I – wartość zainicjowanych transakcji;

(ii) w przypadku przedsiębiorstw składających wniosek o zarejestrowanie w celu świadczenia usług płatniczych, o których mowa w pkt 8 załącznika I – liczbę klientów korzystających z usług dostępu do informacji o rachunku;

d) szczególne cechy porównywalnych gwarancji i kryteria ich wykonania.

EUNB regularnie dokonuje przeglądu tych wytycznych.

5. Do dnia 13 lutego 2017 r. EUNB – po przeprowadzeniu konsultacji z wszystkimi stosownymi zainteresowanymi podmiotami, w tym podmiotami na rynku usług płatniczych, biorąc pod uwagę wszystkie stosowne interesy – wydaje zgodnie z art. 16 rozporządzenia (UE) nr 1093/2010 wytyczne dotyczące informacji, jakie należy przedstawić właściwym organom we wniosku instytucji płatniczych o udzielenie zezwolenia, łącznie z wymogami ustanowionymi w ust. 1 akapit pierwszy lit. a), b), c), e) i g)–j) niniejszego artykułu.

EUNB dokonuje przeglądu tych wytycznych regularnie, a w każdym razie nie rzadziej niż co trzy lata.

6. Mając na uwadze, w stosownych przypadkach, doświadczenia zdobyte w stosowaniu wytycznych, o których mowa w ust. 5, EUNB może opracować projekt regulacyjnych standardów technicznych określających informacje, jakie należy przedstawić właściwym organom we wniosku instytucji płatniczych o udzielenie zezwolenia, łącznie z wymogami ustanowionymi w ust. 1 lit. a), b), c), e) i g)–j).

Komisji powierza się uprawnienie do przyjęcia regulacyjnych standardów technicznych, o których mowa w akapicie pierwszym, zgodnie z art. 10–14 rozporządzenia (UE) nr 1093/2010.

7. O informacjach, o których mowa w ust. 4, powiadamia się właściwe organy zgodnie z ust. 1.