Een cryptodienstverlener die vastliep op dertig vragen van de AFM

Door Tarik Binnekade · 10 september 2026 · MiCAR, CASP, AFM

Voorbeeldcasus — geen bestaande opdrachtgever. Deze casus is geschreven om te laten zien hoe wij werken. De situatie is samengesteld uit patronen die wij bij vergelijkbare instellingen tegenkomen; de organisatie, de aantallen en de uitkomsten zijn illustratief en herleiden niet naar een cliënt van ZandKade Compliance. De genoemde bedragen sluiten aan bij onze gepubliceerde tarieven.

Een cryptodienstverlener met een vervallen DNB-registratie diende zelf een MiCAR-vergunningaanvraag in voor zes diensten. Na de volledigheidstoets volgden dertig aanvullende vragen en liep het traject vast. Wij hebben de kwalificatie van twee tokens alsnog onderbouwd, de scope teruggebracht van zes naar vier diensten, het AML/CFT-raamwerk van beschrijving naar werkende inrichting gebracht en de vragenrondes centraal gevoerd. De tweede ronde telde zes vragen.

Hulp nodig bij dit onderwerp? In een kosteloos gesprek van dertig minuten kijken we mee naar uw situatie. Plan een gesprek of bel 06 11 32 53 62.

De situatie

De onderneming was groot geworden onder het oude Nederlandse registratieregime bij DNB. Dat regime richtte zich vrijwel volledig op integriteit en stelde nauwelijks eisen aan kapitaal, bedrijfsvoering, bewaring van klantmiddelen of informatieverstrekking. Met MiCAR verviel die registratie en kwam er een volwaardige Europese vergunning voor in de plaats, verleend door de AFM.

De onderneming had de aanvraag zelf opgesteld, met hulp van een advocatenkantoor voor de juridische stukken. Zij vroeg zes van de tien cryptoactivadiensten aan, waaronder de exploitatie van een handelsplatform. Na de volledigheidstoets kwam een lijst met dertig aanvullende vragen. Op dat moment kwam de vraag bij ons terecht die wij vaker krijgen: moeten wij deze dertig vragen beantwoorden, of moeten wij iets anders doen?

Wat wij aantroffen

Wij zijn begonnen met een readiness-scan: het volledige dossier lezen alsof wij de beoordelaar waren, en de vragenlijst van de AFM naast de eigen documentatie leggen. Zes bevindingen bepaalden de rest van het traject.

• De kwalificatie van twee tokens was niet onderbouwd. Beide functioneerden economisch als een deelname in een opbrengst. Valt een token als financieel instrument onder MiFID II, dan hoort het niet in een MiCAR-aanvraag thuis en verandert het hele traject. Die vraag was overgeslagen.
• Het AML/CFT-raamwerk was beschreven, niet ingericht. Het beleid verwees naar monitoringscenario's die nog gekalibreerd moesten worden en naar een risicoclassificatie die nog niet in het systeem stond. Dat wordt herkend als papier, en terecht.
• De travel rule had geen besluitregel voor zelfbeheerde wallets. Bij overboekingen van of naar een adres zonder tussenpersoon is er geen tegenpartij die gegevens aanlevert. Wat de onderneming dan deed, verschilde per analist.
• Uitbestede screening zonder aantoonbare aansturing. Onboarding en sanctiescreening lagen bij een externe partij. Er was een contract, maar geen dossier waaruit bleek dat de onderneming die partij daadwerkelijk beoordeelde, testte en kon bijsturen.
• Een bestuurder met vijf functies. Geschiktheid gaat niet alleen over kennis en ervaring maar ook over beschikbare tijd. Vijf functies op één cv roept precies de vraag op die u niet wilt krijgen.
• Bedrijfsplan en risicoanalyse spraken elkaar tegen. De prognose ging uit van snelle groei in twee markten met een verhoogd risicoprofiel; de risicoanalyse omschreef het toekomstige klantenbestand als overwegend laag risico. Beide stukken waren op zichzelf verdedigbaar, samen niet.

Onze aanpak

1. Kwalificatienota eerst. Voor beide tokens een onderbouwde analyse geschreven van de vraag of zij als cryptoactivum of als financieel instrument kwalificeren, met de economische kenmerken als vertrekpunt. Eén token bleek buiten de aanvraag te moeten blijven; dat product is uit de dienstverlening gehaald voordat de aanvraag verderging.
2. Scope herijkt. Zie de volgende paragraaf — dit was het besluit met de grootste invloed op de doorlooptijd.
3. AML-spoor herbouwd. Risicoanalyse opnieuw opgezet vanaf de daadwerkelijke diensten, ketens en tokens; risicoklassen in het systeem gezet; monitoringscenario's gekalibreerd met een testset; on-chain analyse van herkomst en bestemming ingericht met eigen drempels in plaats van de standaardinstelling van de leverancier.
4. Travel rule als besluitboom. Uitgeschreven wat er gebeurt bij ontbrekende gegevens, bij onvolledige gegevens en bij zelfbeheerde adressen, met per pad een vastgelegde uitkomst: uitvoeren, opschorten of weigeren — en wie dat besluit neemt.
5. Uitbestedingsdossier opgebouwd. Niet alleen het contract, maar ook de servicenormen, de periodieke toetsing, de testresultaten en het exitscenario.
6. Vragenrondes centraal gevoerd. Eén eigenaar, één antwoordenlog, en de afspraak dat geen antwoord de deur uitgaat dat strijdig is met een eerder gegeven antwoord. Dat klinkt bureaucratisch en is in de praktijk de belangrijkste versneller.

Het scopebesluit: van zes naar vier diensten

De onderneming vroeg zes diensten aan, waaronder de exploitatie van een handelsplatform. Dat bracht haar in de zwaarste kapitaalklasse en in het zwaarste eisenpakket, terwijl het platform pas over anderhalf jaar zou live gaan en er nog geen proces, personeel of risicoanalyse voor bestond.

Wij hebben geadviseerd het platform en één advies-dienst uit de aanvraag te halen. De redenering: een aangevraagde dienst zonder werkende inrichting kost tijd in plaats van dat hij die bespaart, en uitbreiden kan later alsnog. Dat is een echte afweging, want later uitbreiden betekent opnieuw een traject. Voor deze onderneming woog het zwaarder om binnen een jaar operationeel te zijn met de diensten die het geld verdienden.

Wat er is opgeleverd

• Een kwalificatienota per token, bruikbaar als bijlage bij de aanvraag en als naslag bij nieuwe producten.
• Een herzien aanvraagdossier met een consistente set documenten en een verwijzingsoverzicht, zodat de beoordelaar niet hoeft te zoeken.
• Een AML/CFT-raamwerk dat op de dag van indiening werkte: risicoklassen in het systeem, gekalibreerde scenario's met testverantwoording, on-chain drempels met onderbouwing.
• Een travel rule-besluitboom met vastgelegde uitkomsten en een verantwoordelijke per pad.
• Een uitbestedingsdossier met toetsingskader, testresultaten en exitscenario.
• Een bedrijfsplan en financiële prognose die aansluiten op de risicoanalyse in plaats van die tegen te spreken.
• Een antwoordenlog waarin elk gegeven antwoord terug te vinden is, met bronverwijzing naar het onderliggende document.

Het resultaat

De tweede vragenronde telde zes vragen in plaats van dertig, en geen daarvan raakte de onderwerpen waarop de eerste ronde was vastgelopen. De vergunning is verleend voor vier diensten.

Het scopebesluit heeft naar onze inschatting vier maanden gescheeld. Dat is geen exacte meting — die bestaat niet in een vergunningtraject — maar het handelsplatform vroeg om een kapitaalonderbouwing, een marktmisbruikraamwerk en een operationeel dossier die geen van drieën bestonden.

Het AML-raamwerk was op dag één van de vergunning ook echt in gebruik. Dat is niet vanzelfsprekend: veel partijen leveren een raamwerk op voor de aanvraag en beginnen daarna pas met invoeren. Dan staat de eerste toezichtbeoordeling na verlening al voor de deur voordat het proces zich heeft bewezen.

Wat u hieruit kunt meenemen

• Beantwoord dertig vragen niet zonder eerst te kijken waaróm ze er zijn. Een lange vragenlijst is meestal geen verzameling losse onduidelijkheden maar een symptoom van twee of drie structurele gaten.
• Vraag aan wat u kunt laten zien. Voor elke aangevraagde dienst moet u kunnen aanwijzen wie hem uitvoert, welk risico eraan vastzit, hoe u dat beheerst en waar dat is vastgelegd. Kan dat niet, laat de dienst dan uit de aanvraag.
• MiCAR en de Wwft zijn twee sporen die tegelijk worden beoordeeld. Een sterk prudentieel dossier met een dun AML-raamwerk haalt het niet, en andersom evenmin. Zie de Wwft-verplichtingen voor CASP's.
• Consistentie is een zelfstandig beoordelingscriterium. Twee documenten die elkaar tegenspreken kosten meer tijd dan één document dat iets erkent wat nog niet af is.

Doorlooptijd en investering

De readiness-scan was een afgebakende opdracht van € 3.950 excl. btw met een doorlooptijd van drie weken. De begeleiding van het volledige traject daarna startte bij € 12.500 excl. btw, met een prijs op maat zodra de scope vaststond — precies de reden om die scan eerst te doen: pas na de herijking wisten wij en de opdrachtgever waarover wij het hadden.

De elf maanden doorlooptijd bestaan grofweg uit drie maanden herstel en herbouw, één maand herindiening en voorbereiding, en de formele beoordeling met vragenrondes. De wettelijke termijnen — 25 werkdagen voor de volledigheidstoets en 40 werkdagen voor de inhoudelijke beoordeling — lopen pas vanaf het moment dat de aanvraag volledig is verklaard. Zie het stappenplan voor de MiCAR-vergunningaanvraag.

Veelgestelde vragen bij dit type traject

Kan een vastgelopen aanvraag worden vlotgetrokken, of moet je opnieuw beginnen?

Meestal kan hij worden vlotgetrokken, maar niet door de vragen één voor één te beantwoorden. De praktische route is: vaststellen welke structurele gaten achter de vragen zitten, die dichten, en daarna een samenhangende set antwoorden geven met verwijzing naar herziene documenten. Opnieuw beginnen is alleen nodig als de kwalificatie of de dienstenscope fundamenteel niet klopt.

Is het verstandig om alvast diensten aan te vragen die je later wilt aanbieden?

Alleen als u ze kunt onderbouwen. Een vergunning wordt verleend voor de aangevraagde diensten en uitbreiden vraagt later opnieuw een traject, dus vooruit aanvragen heeft waarde. Maar een dienst zonder proces, personeel en risicoanalyse vertraagt de hele aanvraag — inclusief de diensten waarmee u vandaag geld verdient.

Wie is bij ons de toezichthouder: de AFM of DNB?

Voor een CASP is de AFM de vergunningverlener en de toezichthouder op gedrag én op de Wwft en de Sanctiewet. DNB houdt prudentieel toezicht en beoordeelt gekwalificeerde deelnemingen. Biedt een bank of elektronischgeldinstelling cryptodiensten aan, dan blijft DNB ook de Wwft-toezichthouder. Uitgewerkt in AFM of DNB.

Hoeveel eigen vermogen moeten wij aanhouden?

Dat hangt af van de diensten: € 50.000 voor onder meer advies en orderdiensten, € 125.000 wanneer u ook bewaart of wisselt, en € 150.000 bij een handelsplatform. U houdt aan wat hoger uitvalt: dat bedrag, of een kwart van de vaste kosten over het voorgaande jaar. Dat maakt de dienstenscope ook een kapitaalvraag.

Bronnen

• CASP-vergunning — AFM
• Annex Leidraad Wwft en Sanctiewet — aandachtspunten voor CASP's (AFM)
• Verordening (EU) 2023/1114 (MiCAR) — EUR-Lex
• Verordening (EU) 2023/1113 (travel rule cryptoactiva) — EUR-Lex

Lees verder

• MiCAR-vergunning voor CASP's — onze dienst
• MiCAR-vergunning aanvragen: stappenplan
• Wwft-verplichtingen voor CASP's
• AFM of DNB? Wie houdt waarop toezicht
• Casus: KYC-remediation bij een trustkantoor

Herkent u dit? In een kosteloos gesprek van dertig minuten kijken we mee naar uw situatie en zeggen we ronduit of wij u kunnen helpen. Plan een gesprek of bel 06 11 32 53 62.