Wwft-verplichtingen voor CASP's: wat MiCAR niet regelt
Een CASP is een Wwft-instelling. MiCAR regelt markttoegang, kapitaal en marktgedrag; cliëntenonderzoek, transactiemonitoring, sanctiescreening en het melden van ongebruikelijke transacties komen uit de Wwft en de Sanctiewet 1977. In Nederland houdt de AFM daar toezicht op bij CASP's — alleen wanneer de cryptodienst wordt aangeboden door een bank of elektronischgeldinstelling blijft DNB de Wwft-toezichthouder.
Hulp nodig bij dit onderwerp? In een kosteloos gesprek van dertig minuten kijken we mee naar uw situatie. Plan een gesprek of bel 06 11 32 53 62.
Waarom dit spoor apart staat
Het hardnekkigste misverstand bij cryptodienstverleners is dat de MiCAR-vergunning het AML-werk afdekt. Dat doet zij niet. MiCAR stelt eisen aan wie u bent en hoe u zich gedraagt in de markt. De Wwft stelt eisen aan wat u van uw cliënt weet en wat u doet als u iets ziet dat niet klopt. Twee regimes, twee dossiers, één beoordeling — want in een vergunningtraject worden ze tegelijk bekeken.
De omgekeerde vergissing komt ook voor: partijen die het oude DNB-registratieregime kenden en aannemen dat hun bestaande AML-raamwerk daarmee voldoet. Dat regime was lichter en anders getoetst. De verwachting waaraan u nu wordt gemeten, ligt hoger.
1. Risicoanalyse (SIRA)
Alles begint bij een risicoanalyse die past bij wat u werkelijk doet. Voor een CASP betekent dat meer dan de standaardrisico's: het type cryptoactiva dat u ondersteunt, de herkomst van instroom, de mate waarin u met zelfbeheerde wallets werkt, uw geografische bereik en uw distributiekanalen. Een analyse die niet benoemt welke ketens en tokens u wel en niet ondersteunt, is geen analyse van úw risico.
Uit die analyse volgen uw acceptatiebeleid, uw risicoklassen en de zwaarte van uw onderzoek. Toezichthouders lezen die keten omgekeerd: zij pakken een dossier en vragen waarom het zo is behandeld. Zonder die lijn valt daar niets op te antwoorden.
2. Cliëntenonderzoek
De stappen zijn dezelfde als bij elke Wwft-instelling — identificatie, verificatie, UBO-vaststelling, doel en aard van de relatie, risicoclassificatie, PEP-toets en doorlopende monitoring — maar de invulling verschilt. Zie het stappenplan cliëntenonderzoek voor de basis; crypto-specifiek zijn vooral deze punten:
- Herkomst van middelen bij instroom in cryptoactiva. Een storting vanaf een adres met een bekende hoog-risicohistorie vraagt om onderzoek voordat de dienst wordt verleend, niet erna.
- Onboarding op afstand. Vrijwel alle cliëntrelaties komen digitaal tot stand. Dat is toegestaan, maar de betrouwbaarheid van uw verificatiemethode moet onderbouwd zijn — inclusief hoe u presentation attacks tegengaat.
- Zakelijke cliënten met een cryptomodel. Bij ondernemingen die zelf cryptodiensten verlenen aan derden zit u in feite in een nested-relatie. Dat vraagt om verscherpt onderzoek naar hun eigen AML-inrichting.
3. Transactiemonitoring, on-chain en off-chain
Monitoring bij een CASP kent twee lagen die u allebei nodig heeft. Off-chain monitort u het gedrag binnen uw eigen omgeving: stortingen en opnames in euro's, frequentie, snelheid van doorstroom, afwijkingen ten opzichte van het verwachte gebruik dat u bij onboarding vastlegde. On-chain beoordeelt u de herkomst en bestemming van cryptoactiva zelf, doorgaans met blockchain-analyse: exposure aan mixers, sanctieadressen, darkmarkets of bekende fraudeadressen, en het aantal stappen tussen die bron en uw cliënt.
Twee dingen gaan hier in de praktijk mis. Het eerste is dat de tweede laag ongemerkt door een leverancier wordt bepaald: scores komen binnen, drempels staan af fabriek, en niemand kan uitleggen waarom een score van zeventig wel en van vijfenzestig niet tot onderzoek leidt. Kalibreer die drempels zelf en leg de onderbouwing vast. Het tweede is dat alerts wel worden afgehandeld maar niet worden geëvalueerd: zonder terugkoppeling van de uitkomst naar de scenario's blijft u dezelfde loze signalen genereren.
4. Sanctiescreening
De Sanctiewet 1977 en de EU-sanctieverordeningen gelden ongeacht sector of omvang. Voor een CASP betekent dat screening op twee niveaus: uw cliënten en betrokken partijen tegen de sanctielijsten, en de wallet-adressen waarmee u te maken krijgt tegen adressen die aan gesanctioneerde partijen zijn gekoppeld. Dat tweede niveau is bij uitstek crypto-specifiek en vergt actuele adresdata; een lijst die maandelijks wordt ververst is daarvoor te traag.
Denk ook aan de 50%-regel: een entiteit die voor de helft of meer eigendom is van of onder zeggenschap staat van een gesanctioneerde partij, wordt zelf als gesanctioneerd behandeld — ook zonder eigen vermelding. Een treffer leidt tot onmiddellijke bevriezing en melding, niet tot een onderzoekstraject van enkele dagen.
5. De travel rule
Naast MiCAR geldt Verordening (EU) 2023/1113. Die verplicht u om bij een overboeking gegevens over de opdrachtgever en de begunstigde mee te sturen, te ontvangen en te controleren. Anders dan bij gewone betalingen geldt er geen drempelbedrag: de verplichting begint bij de eerste euro.
Twee situaties vragen om een vooraf vastgelegd besluitproces. Bij ontbrekende of onvolledige gegevens moet u kunnen aantonen waarom u de transactie toch heeft uitgevoerd, dan wel geweigerd of opgeschort. Bij overboekingen van of naar zelfbeheerde adressen zit er aan de andere kant geen instelling die gegevens kan aanleveren; welke aanvullende maatregelen u dan neemt — eigendomsbewijs, transactielimieten, verhoogde monitoring — is een keuze die u vooraf maakt en onderbouwt, niet per geval.
6. Melden bij FIU-Nederland
Nederland kent een meldplicht voor ongebruikelijke transacties, niet voor verdachte. U meldt bij FIU-Nederland zodra een transactie voldoet aan een objectieve indicator of u subjectief aanleiding ziet om witwassen of terrorismefinanciering te vermoeden. FIU-Nederland bepaalt vervolgens of een melding verdacht wordt verklaard. Zie het meldproces stap voor stap.
De meldplicht loopt onverkort door tijdens een vergunningtraject, en het verbod op tipping-off geldt ook hier: u informeert de cliënt niet over een melding. Dat botst soms met de wens om een klantvraag netjes af te handelen — leg vooraf vast hoe uw medewerkers dan communiceren.
7. Opleiden en vastleggen
Twee verplichtingen die zelden bovenaan de lijst staan en toch structureel terugkomen in bevindingen. Opleiding moet aantoonbaar aansluiten bij de rol: een compliance-analist heeft andere kennis nodig dan een klantcontactmedewerker, en generieke e-learning voor iedereen wordt als onvoldoende gezien. Zie onze trainingen. Vastlegging betekent dat uw dossiers en meldingen minimaal vijf jaar bewaard blijven en reconstrueerbaar zijn: niet alleen de uitkomst, maar ook de afweging die eraan voorafging.
Wie erop toeziet
Sinds de overgang naar MiCAR is de AFM in Nederland de toezichthouder op de Wwft en de Sanctiewet bij CASP's. De AFM publiceerde daarvoor een aanvulling op haar Wwft- en Sanctiewetleidraad, specifiek voor cryptodienstverleners, en bevraagt de sector periodiek. Uitzondering: biedt een bank of elektronischgeldinstelling cryptodiensten aan, dan blijft DNB de Wwft-toezichthouder voor die instelling. Meer daarover in AFM of DNB: wie houdt waarop toezicht.
Wat er in 2027 verandert
Vanaf 10 juli 2027 is de EU-anti-witwasverordening rechtstreeks van toepassing en vervangt zij grote delen van de Wwft. Aanbieders van cryptoactivadiensten vallen daar expliciet onder, met Europees geharmoniseerde regels in plaats van nationale invulling. Voor CASP's die hun raamwerk nu inrichten is dat geen reden om te wachten, maar wel om vooruit te bouwen: wie beleid en procedures nu al tegen de verordeningstekst legt, hoeft over een jaar niet te herschrijven. Zie van Wwft naar EU AMLR en onze AMLR gap-analyse.
Veelgestelde vragen
Vallen CASP's onder de Wwft?
Ja. Aanbieders van cryptoactivadiensten zijn Wwft-instellingen en moeten cliëntenonderzoek doen, transacties monitoren, screenen tegen sanctielijsten en ongebruikelijke transacties melden bij FIU-Nederland. Een MiCAR-vergunning komt daar bovenop en vervangt die verplichtingen niet.
Wie houdt Wwft-toezicht op cryptodienstverleners in Nederland?
De AFM. Sinds de invoering van MiCAR is de AFM in Nederland de toezichthouder op de Wwft en de Sanctiewet 1977 bij aanbieders van cryptoactivadiensten. Worden de cryptodiensten aangeboden door een bank of een elektronischgeldinstelling, dan blijft DNB de Wwft-toezichthouder van die instelling.
Geldt de travel rule vanaf een bepaald bedrag?
Nee. Voor overboekingen van cryptoactiva geldt geen drempelbedrag: de verplichting om gegevens over opdrachtgever en begunstigde mee te sturen en te controleren begint bij de eerste euro. Dat is een verschil met gewone geldovermakingen, waar wel drempels gelden.
Hoe ga ik om met overboekingen naar zelfbeheerde wallets?
Bij overboekingen van of naar een zelfbeheerd adres is er geen tegenpartij-instelling die gegevens kan aanleveren. U bepaalt dan vooraf welke aanvullende maatregelen u neemt — bijvoorbeeld een eigendomsbewijs van het adres, limieten of verhoogde monitoring — en legt dat besluitproces vast, zodat u achteraf kunt uitleggen waarom een transactie is uitgevoerd of geweigerd.
Is blockchain-analyse verplicht?
De wet schrijft geen specifiek hulpmiddel voor, maar wel een effectieve monitoring die past bij uw risico's. Voor een dienstverlener die cryptoactiva ontvangt en verzendt is een beoordeling van de herkomst en bestemming on-chain in de praktijk moeilijk anders in te richten. Belangrijk is dat u de drempels en scores zelf kalibreert en onderbouwt in plaats van de standaardinstelling van een leverancier over te nemen.
Bronnen
- Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft)
- Sanctiewet 1977 — wetten.overheid.nl
- Annex Leidraad Wwft en Sanctiewet — aandachtspunten voor CASP's (AFM)
- Verordening (EU) 2023/1113 (travel rule cryptoactiva) — EUR-Lex
- FIU-Nederland
Lees verder
Zo ziet zo'n traject eruit
Een MiCAR-traject voor de boeg? Wij begeleiden aanvragen van de kwalificatievraag tot de vergunning, en bouwen het AML/CFT-raamwerk dat er hoe dan ook bij hoort. Bekijk de dienst of plan een gesprek van dertig minuten.