Betalingssoevereiniteit verwijst naar het vermogen van een organisatie of staat om de controle te behouden over de infrastructuur, jurisdictie en datasturing van haar betaalstromen, zonder afhankelijk te zijn van derde landen of commerciële partijen buiten de eigen rechtsorde. Voor Europese organisaties in gereguleerde sectoren is dit geen abstracte beleidsvraag, maar een dagelijks operationeel en compliance-vraagstuk.
Jurisdictierisico’s van niet-Europese betaalnetwerken
De dominantie van Visa, Mastercard en Apple Pay over Europese betalingen brengt een structureel juridisch risico mee: alle drie zijn Amerikaanse rechtspersonen en vallen daarmee onder de reikwijdte van de CLOUD Act (2018) en de Foreign Intelligence Surveillance Act. Dit betekent dat Amerikaanse overheidsinstanties, onder bepaalde omstandigheden en zonder tussenkomst van een Europese rechter, toegang kunnen vorderen tot transactiedata die Europese burgers en organisaties betreffen.
De schaal van het probleem is aanzienlijk. Visa en Mastercard verwerken samen meer dan 90% van de Europese kaartbetalingen buiten de SEPA-directdebitmarkt (ECB, Payments statistics, 2023). Voor organisaties in de juridische sector, de gezondheidszorg of de overheid betekent dit dat transactiepatronen, betalingsfrequenties en tegenpartijinformatie in principe toegankelijk zijn voor een buitenlandse jurisdictie, ongeacht waar de data fysiek is opgeslagen.
Voor compliance officers is dit niet uitsluitend een theoretisch risico. De AVG (Verordening (EU) 2016/679) verbiedt doorgifte van persoonsgegevens aan derde landen tenzij er een adequaatheidsbesluit geldt of passende waarborgen zijn getroffen. Transactiedata bevat vrijwel altijd persoonsgegevens: namen, IBAN-nummers, aankooppatronen. Wanneer een Amerikaanse autoriteit die data vordert op grond van de CLOUD Act, staat de verwerkende partij voor een onoplosbaar conflict tussen twee rechtsstelsels.
Digitale euro: wetgevingstraject en monetaire soevereiniteit
De digitale euro is het antwoord van de EU op de groeiende afhankelijkheid van private en buitenlandse betaalinfrastructuur. De Europese Commissie publiceerde in juni 2023 een formeel wetgevingsvoorstel dat de digitale euro definieert als wettig betaalmiddel in digitale vorm, uitgegeven door de Europese Centrale Bank.
ECB-president Christine Lagarde formuleerde de kern van het argument als volgt: “Een digitale euro zou ervoor zorgen dat Europeanen in het digitale tijdperk altijd toegang hebben tot een risicovrij betaalmiddel dat door de centrale bank is uitgegeven, ongeacht de technologische of commerciële ontwikkelingen op de markt” (ECB, 2021).
Het wetgevingsvoorstel doorloopt momenteel de medebeslissingsprocedure van het Europees Parlement en de Raad. Invoering wordt op zijn vroegst rond 2026-2027 verwacht. Cruciaal voor organisaties in gereguleerde sectoren is dat de digitale euro ontworpen is om buiten de datasilo’s van commerciële platforms te opereren: transacties verlopen via de ECB-infrastructuur, waardoor geen enkele private partij buiten de EU als intermediair fungeert. Dit elimineert het jurisdictieprobleem dat kleeft aan Apple Pay of Google Pay.
De EU Economic Security Strategy (2023) plaatst deze afhankelijkheid expliciet in een bredere geopolitieke context: financiële afhankelijkheden van derde landen worden aangemerkt als een strategisch risico dat actief beheerd moet worden. De digitale euro is daarin geen louter monetaire innovatie, maar een instrument van economische veiligheid.
AVG-compliance en niet-EU digitale portemonnees
De afhankelijkheid van niet-EU digitale portemonnees is een onderschat AVG-risico. De EU-markt voor digitale portemonnees werd in 2023 voor meer dan 60% gedomineerd door Apple Pay en Google Pay, beide onderworpen aan Amerikaans jurisdictierecht (EBA, Report on Digital Wallets, 2022).
Wanneer een organisatie betalingen accepteert via Apple Pay, worden transactiegegevens verwerkt door Apple’s Wallet-infrastructuur, inclusief apparaat-ID’s, tijdstempels en in sommige gevallen locatiedata. Apple en Google zijn verwerkingsverantwoordelijken of sub-verwerkers in de zin van de AVG. Een verwerkersovereenkomst (artikel 28 AVG) is verplicht, maar lost het grondliggende probleem niet op: de verwerkingsinfrastructuur staat buiten de directe controle van de EU-toezichthouders en valt primair onder Amerikaans bedrijfsrecht.
Voor organisaties die gevoelige transactiedata verwerken, zoals advocatenkantoren, zorgverzekeraars of overheidsinstanties, is dit meer dan een papieren risico. De Autoriteit Persoonsgegevens en haar Europese equivalenten kunnen bij een datalek of ongeoorloofde buitenlandse toegang handhavend optreden, ook als de organisatie zelf geen directe fout heeft gemaakt maar de verantwoordelijkheid heeft gedelegeerd aan een niet-EU-verwerker zonder toereikende waarborgen.
DORA-conformiteit en leveranciersconcentratie in betalingsinfrastructuur
De Digital Operational Resilience Act (Verordening (EU) 2022/2554, DORA) is op 17 januari 2025 volledig van toepassing geworden voor financiële entiteiten in de EU. Artikelen 28 tot en met 30 vormen het hart van het ICT-derdepartijenrisicobeheer en zijn direct relevant voor betalingsinfrastructuur.
| DORA-artikel | Verplichting | Relevantie voor betaalinfrastructuur |
|---|---|---|
| Artikel 28 | Register van alle ICT-derdepartijencontracten | Betalingsverwerkers, portemonnee-aanbieders en netwerken moeten worden geregistreerd |
| Artikel 29 | Concentratierisicoanalyse | Afhankelijkheid van één netwerk (bv. Mastercard) als systemisch risico identificeren |
| Artikel 30 | Contractuele minimumwaarborgen | Exit-strategie, auditrecht en incidentmeldplicht verplicht in contracten met kritieke aanbieders |
De European Banking Authority benadrukte in haar DORA-implementatierichtsnoeren van 2024: “De concentratie van kritieke ICT-dienstverleners, inclusief betalingsinfrastructuur, vormt een systemisch risico dat DORA expliciet wil adresseren via verplichte risicobeheerskaders voor financiële entiteiten” (EBA, 2024).
In de praktijk betekent dit dat een bank of betaalinstelling die uitsluitend via Visa en Mastercard opereert, haar concentratierisico moet documenteren en aantoonbaar moet kunnen uitwijken naar een alternatief netwerk bij uitval of sanctionering van de primaire aanbieder. Een exit-strategie die in theorie SEPA-overschrijvingen als alternatief aanwijst, maar in de praktijk geen technische route bevat voor kaartbetalingen, zal bij een DORA-audit tekortschieten.
Soevereine alternatieven voor Europese betaalinfrastructuur
Er bestaan meerdere lagen van soevereine betaalinfrastructuur waarop Europese organisaties kunnen steunen, elk met een eigen dekkingsbereik en volwassenheidsniveau.
De meest volwassen en volledig EU-soevereine optie is de SEPA-betalingsinfrastructuur, beheerd onder toezicht van de ECB en de nationale centrale banken. SEPA-overschrijvingen (SCT) en SEPA-incasso’s (SDD) verlopen volledig buiten de invloedssfeer van niet-EU rechtsstelsels. Het SEPA Instant Credit Transfer (SCT Inst)-stelsel maakt bovendien real-time betalingen tot 100.000 euro mogelijk. Voor organisaties die overwegen om interne betalingsprocessen te herschikken, is uitbreiding van het SEPA-gebruik de minst risicovolle eerste stap.
Voor kaartbetalingen is de situatie complexer. Het European Payments Initiative (EPI), gesteund door een consortium van Europese banken, heeft het Wero-systeem gelanceerd als pan-Europese betaaloplossing op basis van SEPA Instant. Wero is eind 2024 beschikbaar gekomen in Nederland, België, Frankrijk en Duitsland. Het systeem opereert volledig binnen de EU-rechtsorde en valt niet onder buitenlandse jurisdictie. De marktdekking is echter nog beperkt vergeleken met Visa en Mastercard, wat betekent dat organisaties een hybride strategie moeten voeren tijdens de transitiefase.
Voor internationale betalingen buiten de eurozone biedt SWIFT weliswaar een neutraal internationaal netwerk, maar het hoofdkantoor is gevestigd in België en SWIFT valt onder EU-toezicht, wat het een robuustere keuze maakt dan volledig Amerikaanse systemen. Organisaties die ook internationale handel faciliteren, kunnen SWIFT-gebaseerde correspondentbankieren combineren met SEPA voor binnenlandse stromen.
Ten slotte is er de digitale euro in wording. Zodra het wetgevingsvoorstel van het Europees Parlement en de Raad is vastgesteld en de ECB de technische implementatie heeft voltooid, biedt de digitale euro een volledig soeverein, publiek alternatief voor zowel retail- als zakelijke digitale betalingen. Organisaties in gereguleerde sectoren doen er verstandig aan hun betalingsarchitectuur nu al te evalueren op compatibiliteit met de digitale euro, zodat de integratie bij introductie geen grote technische omwenteling vereist.
Praktische evaluatiecriteria voor compliance officers en IT-beslissers
Een structurele evaluatie van de betalingsinfrastructuur begint met vier concrete vragen. Ten eerste: welk deel van het betalingsvolume verloopt via verwerkers die onder niet-EU jurisdictie vallen? Ten tweede: is er voor elk kritiek betaalsegment een operationele uitwijkroute die volledig binnen de EU blijft? Ten derde: zijn verwerkersovereenkomsten met niet-EU partijen getoetst op AVG-conformiteit, inclusief een beoordeling van het risico op buitenlandse vorderingen? Ten vierde: is de afhankelijkheid per aanbieder gedocumenteerd in het DORA-register en voorzien van een geteste exit-strategie?
Organisaties die deze vragen niet sluitend kunnen beantwoorden, lopen niet alleen een juridisch risico, maar ook een operationeel risico: sanctionering van een niet-EU betaalverwerker of een geopolitieke crisis kan betalingsstromen abrupt verstoren zonder dat er een werkend alternatief gereed is.
FAQ: Betalingssoevereiniteit en jurisdictierisico
Valt transactiedata van Visa- en Mastercard-betalingen onder de CLOUD Act?
Ja. Visa en Mastercard zijn Amerikaanse rechtspersonen. Hun data, inclusief Europese transactiedata, kan onder de Amerikaanse CLOUD Act worden gevorderd door Amerikaanse autoriteiten, ook als de data fysiek in Europa staat. Dit vormt een rechtstreeks conflict met de AVG.
Wanneer wordt de digitale euro verwacht beschikbaar te zijn?
Het wetgevingsvoorstel van de Europese Commissie dateert van juni 2023. Het Europees Parlement en de Raad behandelen het voorstel. Invoering wordt op zijn vroegst rond 2026-2027 verwacht, afhankelijk van het politieke en technische traject.
Wat verplicht DORA concreet op het gebied van betalingsleveranciers?
DORA artikelen 28 tot en met 30 verplichten financiële entiteiten tot een register van ICT-derdepartijcontracten, een concentratierisicoanalyse en contractuele minimumwaarborgen met kritieke aanbieders, waaronder exit-strategieën en auditrechten.
Is SEPA een volledig soeverein alternatief voor Visa en Mastercard?
SEPA dekt overboekingen en incasso’s binnen de eurozone en staat volledig onder EU-jurisdictie. Voor kaartbetalingen aan de kassa of online ontbreekt een volwaardig pan-Europees alternatief. Initiatieven zoals EPI en het Wero-systeem proberen die leemte te vullen, maar hebben nog geen volledige marktdekking.
Moeten ook niet-bancaire organisaties rekening houden met DORA?
DORA geldt primair voor financiële entiteiten zoals banken, verzekeraars, beleggingsondernemingen en betaalinstellingen. Niet-financiële organisaties vallen er direct niet onder, maar hun financiële tegenpartijen wel. Dit kan indirecte contractuele vereisten opleveren voor leveranciers van betalingsdiensten aan die instellingen.
