Compliance Champs is FD Gazelle 2025

Met trots mogen wij delen dat Compliance Champs behoort tot de snelst groeiende bedrijven van Nederland, in de regio West en categorie Klein.

Deze erkenning van Het Financieele Dagblad onderstreept onze sterke groei en gezamenlijke impact, mogelijk gemaakt door de expertise van ons team, het vertrouwen van onze klanten en partners, en onze toewijding om organisaties op een eerlijke manier verder te brengen op het gebied van compliance risk management.

We kijken ernaar uit om op 25 november tijdens de officiële uitreiking van de FD Gazellen Awards 2025 deze prestatie samen te vieren.

 

Implementatiewet ter voorkoming van witwassen en terrorismefinanciering – Impactanalyse voor trustkantoren

1. Introductie

De ‘Implementatiewet ter voorkoming van witwassen en terrorismefinanciering’ (Iwt) heeft significante gevolgen voor trustkantoren in Nederland. In dit artikel zullen we ingaan op de achtergrond en status van de Iwt en een overzicht geven van een aantal belangrijke wijzigingen voor trustkantoren.

2. Achtergrond en status implementatiewet

De zesde anti-witwasrichtlijn (hierna “AMLD6”) maakt deel uit van een omvattend wetgevingspakket dat op 30 mei 2024 door de Europese Raad is goedgekeurd en op 10 juli 2024 in werking is getreden. Het pakket bestaat, naast AMLD6, uit verordering ter invoering van de Anti-Money Laundering Authority (AMLA) en de Anti-Money Laundering Regulation (AMLR).

AMLD6 heeft tot doel de bestaande anti-witwaswetgeving te moderniseren en te harmoniseren binnen de Europese Unie, waarbij de focus ligt op het sluiten van mazen in het regelgevingskader en het versterken van de samenwerking tussen lidstaten.

Omdat de AMLR een Europese verordening is, heeft zij rechtstreekse werking en is vanaf 10 juli 2027 van toepassing. Hierdoor geldt de regeling zonder nationale omzetting direct in alle EU-lidstaten. Dit vervangt grote delen van de nationale Wet ter voorkoming van witwassen en terrorismefinanciering (Wwft) en zorgt voor een uniforme toepassing van anti-witwasregels in de hele EU.

Daarnaast komt er een nieuwe Nederlandse wet: de Implementatiewet ter voorkoming van witwassen en terrorismefinanciering (Iwt). Samen met de AMLR zal deze wet op 10 juli 2027 de huidige Wwft volledig vervangen en daarmee AMLD6 implementeren.

Het ontwerpwetsvoorstel voor de Iwt is van 4 juli tot 29 augustus 2025 in internetconsultatie geweest. Er zijn 45 openbare reacties ontvangen van diverse organisaties. De wet wordt verder uitgewerkt in een implementatiebesluit dat ook te zijner tijd geconsulteerd zal worden. De uiteindelijke datum waarop de wet en de Europese verordeningen van toepassing worden is 10 juli 2027.

3. Harmonisering en toezicht

Door de Europese harmonisatie ontstaat meer consistentie in regelgeving binnen de EU. Voor trustkantoren die grensoverschrijdend actief zijn, betekent dit duidelijkere en meer voorspelbare regels. Tegelijkertijd wordt het toezicht geïntensiveerd, met een grotere rol voor de nieuwe Europese autoriteit AMLA en verbeterde samenwerking tussen nationale toezichthouders.

4. Impact van de Implementatiewet voor trustkantoren

De Iwt heeft een aanzienlijke impact voor trustkantoren, wij hebben hier een aantal belangrijke wijzigingen uitgelicht en zullen kort een toelichting geven op de wijziging en de impact voor trustkantoren.

Vervallen van nationale regelgeving

Een groot deel van hoofdstuk 4 van de Wet toezicht trustkantoren 2018 (Wtt 2018) komt te vervallen. Dit komt doordat de verplichtingen voortaan rechtstreeks uit de EU antiwitwasverordening voortvloeien. Waar de eerdere antiwitwasrichtlijnen minimumharmonisatie kenden, brengt de antiwitwasverordening maximumharmonisatie. Dit houdt in dat Nederland dus niet langer strengere nationale regels stellen. De bepalingen uit hoofdstuk 4 Wtt hebben betrekking op het clientenonderzoek dat trustkantoren moeten uitvoeren en is daarom een van de meest belangrijke onderdelen van de huidige Wtt 2018.

Behoud verscherpte cliëntenonderzoeksmaatregelen

Ondanks het vervallen van nationale regels blijft de trustsector onderworpen aan verscherpte eisen. Nederland maakt namelijk gebruik van een lidstaatoptie in artikel 34 van de antiwitwasverordening om aanbieders van trust- en vennootschappelijke diensten te verplichten altijd verscherpte cliëntenonderzoeksmaatregelen toe te passen. Dit is gerechtvaardigd gezien de inherente hoge risico’s op witwassen in de trustsector, zoals blijkt uit Nationale Risico Analyses en diverse andere onderzoeken.

Registratieplicht voor domicilieverleners

Een nieuwe ontwikkeling is de registratieplicht voor domicilieverleners. Dit zijn partijen die alleen een postadres, statutaire zetel of administratief adres verstrekken. Waar dit type dienstverlening voorheen niet als zelfstandige trustdienst werd gezien onder de Wtt 2018, valt dit wel onder de antiwitwasverordening. De registratieplicht wordt bij de Minister van Financiën ingevoerd om risico’s beter in kaart te brengen en het zogenaamde “opknippen” van trustdiensten tegen te gaan.

Het opknippen van trustdiensten is een vorm van omzeiling van de Wet toezicht trustkantoren 2018 (Wtt 2018), waarbij een of meer dienstverleners hun werkzaamheden kunstmatig splitsen om buiten de vergunningplicht van De Nederlandsche Bank (DNB) te blijven.

Uiteindelijk belanghebbenden

De antiwitwasverordening introduceert een fundamentele wijziging in de werkwijze voor het identificeren van uiteindelijk begunstigden. Een belangrijke verandering is dat zeggenschap nu onafhankelijk en parallel aan eigendomsbelang moet worden vastgesteld.

Daarnaast wordt de drempel voor eigendomsbelang verlaagd van “meer dan 25%” naar “25% of meer” van de aandelen of stemrechten. Hierdoor vallen voortaan ook belanghebbenden met een belang van 25% onder de definitie.

Een andere belangrijke wijziging betreft de situatie waarin geen uiteindelijk begunstigde kan worden vastgesteld. De antiwitwasverordening bepaalt dat als er na uitputting van alle identificatiemogelijkheden geen uiteindelijk begunstigde kan worden vastgesteld, er geen uiteindelijk begunstigde is. In plaats van het begrip “pseudo-UBO” worden nu de gegevens van hogere leidinggevenden geregistreerd. De definitie van hogere leidinggevenden is bovendien uitgebreider dan die van hoger leidinggevend personeel onder de huidige wetgeving.

Behoud van specifieke nationale eisen

Een aantal belangrijke waarborgen uit de Wtt 2018 blijven behouden, te denken valt aan:

  • De vergunningsvereisten
  • De personentoetsingen (betrouwbaarheid van leidinggevenden)
  • De eisen voor integere en beheerste bedrijfsvoering
  • Het verbod op belastingadvies en optreden als doorstroomvennootschap

Deze eisen vallen buiten de reikwijdte van de antiwitwasverordening en kunnen daarom nationaal gehandhaafd blijven. Trustkantoren moeten daarnaast nog steeds bijzondere aandacht hebben voor fiscale integriteitsrisico’s.

De implementatiewet zorgt dus enerzijds voor vereenvoudiging door harmonisatie en het vervallen van dubbele regelgeving, maar anderzijds blijven trustkantoren onderworpen aan strenge eisen vanwege de hoge integriteitsrisico’s die inherent zijn aan hun dienstverlening.

5. Voorbereiding op aanstaande wijzigingen

De aanstaande wijzigingen zullen impact hebben op de bedrijfsvoering van trustkantoren en daarom is het aan te bevelen om tijdig te inventariseren welke maatregelen genomen moeten worden om te voldoen aan het gewijzigde wettelijk kader. Zo zal onder andere gekeken moeten worden welk beleidsstukken en procedures geactualiseerd moeten worden. Om effectief in te spelen de deze wijzigingen naar aanleiding zou een trustkantoor de volgende stappen moeten doorlopen.

a. Impactanalyse

b. Opstellen van een Implementatieplan

c. Aanpassen van beleid en procedures

d. Training en communicatie

e. Technologische ondersteuning waar nodig

f. Evaluatie en periodieke review

Door bovenstaande stappen systematisch te doorlopen, garandeert u dat uw trustkantoor compliant blijft, ook na de wijzigingen op basis van de Iwt.

Wilt u meer weten over hoe u op een effectieve manier uw kantoor kunt voorbereiden op deze aanstaande wijzigingen? Compliance Champs beschikt over uitgebreide kennis, ervaring en expertise om te adviseren over en ondersteunen bij de implementatie. Neem contact op voor een vrijblijvend kennismakingsgesprek.

 

 

Zoekt u ondersteuning bij de impactanalyse van uw trustkantoor?

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen.

De kloof overbruggen tussen decentralisatie en gegevensbescherming

Blockchaintechnologie biedt transparantie en veiligheid dankzij haar onveranderlijke aard. Zodra gegevens op de blockchain zijn vastgelegd, kan niemand ze meer wijzigen of verwijderen. Deze eigenschap wekt vertrouwen in het systeem, maar brengt ook grote juridische uitdagingen met zich mee. De Algemene Verordening Gegevensbescherming (AVG) is een voorbeeld van wetgeving die met deze technologie botst. 

De immutabiliteit van blockchaintechnologie staat rechtstreeks op gespannen voet met artikel 17 van de AVG, dat individuen het recht geeft om vergeten te worden. Zelfs technische maatregelen zoals versleuteling of hashing kunnen dit probleem niet oplossen, aangezien gegevens nog steeds als persoonlijk kunnen worden beschouwd als ze herleidbaar zijn. 

Omdat blockchains gedecentraliseerd en wereldwijd zijn, is het moeilijk te bepalen wie verantwoordelijk is voor naleving van de AVG. Welke partij in het systeem moet worden aangemerkt als gegevensbeheerder en/of gegevensverwerker? Dit roept vragen op over aansprakelijkheid en handhaving, aangezien geen enkele entiteit gezag heeft over het systeem. Daarnaast maken nationale wetten over gegevensbewaring en controleerbaarheid eventuele geschillenbeslechting nog complexer. Het resultaat is een regelgevend grijs gebied waarin juridische verantwoordelijkheid gefragmenteerd raakt. 

Is het dan onmogelijk om blockchaintechnologie te verzoenen met de AVG? Er zijn inspanningen geleverd die hebben geleid tot gedeeltelijke technische oplossingen, zoals off-chain opslag, gegevensminimalisatie en cryptografische verwijdering. Toch bereiken deze benaderingen zelden volledige naleving, omdat ze het fundamentele uitgangspunt uitdagen dat gegevens altijd kunnen worden gewijzigd of verwijderd. Het probleem is daarom niet alleen technisch maar ook conceptueel: de gedecentraliseerde logica van blockchain botst met het mensgerichte model van de AVG, dat uitgaat van een beheersbaar gegevenssysteem. Zonder aanpassing van deze juridische principes blijft naleving vooralsnog een juridische ambitie. 

 

Zoekt u ondersteuning bij het versterken van uw Crypto Compliance Framework?

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen.

Stablecoins: Een compliance-gedreven basis voor 24/7 financiële infrastructuur

Stablecoins zijn inmiddels voorbij de experimentele fase. Tegenwoordig worden ze breed ingezet in het financiële systeem voor transparante en efficiënte afwikkeling. Banken en financiële instellingen integreren stablecoins in uiteenlopende activiteiten, van liquiditeitsbeheer tot grensoverschrijdende betalingen.

Gegevens van Visa’s Onchain Analytics Dashboard bevestigen de omvang van deze verschuiving. Er is meer dan 45 biljoen dollar aan stablecoin-transactievolume geregistreerd op openbare blockchains. Er zijn meer dan 300 miljoen unieke actieve adressen, en het gemiddelde stablecoin-aanbod bedraagt meer dan 200 miljard dollar. Deze cijfers tonen aan dat stablecoins al een centrale rol spelen in wereldwijde betalingsstromen en blockchain-gebaseerde financiële diensten. 

Een van de belangrijkste infrastructuurontwikkelingen is het besluit van SWIFT om een op blockchain gebaseerd gedeeld grootboek op te nemen in zijn wereldwijde systeem. SWIFT vormt de financiële berichtgevingsruggengraat voor meer dan 11.000 banken in ruim 200 landen. Hoewel SWIFT zelf geen geld verplaatst, is het essentieel voor het verzenden van beveiligde financiële gegevens. Met de toevoeging van een blockchain-grootboek zal SWIFT nu gereguleerde stablecoins, getokeniseerde activa en digitale valuta van centrale banken (CBDC’s) in staat stellen om in real time te worden vereffend over interoperabele netwerken. 

De regelgevende duidelijkheid ontwikkelt zich parallel. In de Europese Unie is de Markets in Crypto-Assets Regulation (MiCAR) nu van kracht. Deze wetgeving verplicht uitgevers van Electronic Money Tokens (EMT’s) en Asset Referenced Tokens (ART’s) — twee verschillende soorten stablecoins — om volledig gedekte reserves aan te houden, aan openbaarmakingsvereisten te voldoen en zich te registreren bij financiële toezichthouders. In de Verenigde Staten biedt de GENIUS Act een federaal kader waarmee instellingen hun eigen stablecoins kunnen uitgeven onder vastgestelde juridische en risiconormen. Andere regio’s, waaronder Singapore en Hongkong, bouwen aan vergelijkbare regelgevingsregimes. 

Bij Compliance Champs werken wij samen met financiële instellingen en crypto-activadienstverleners om deze ontwikkelingen te vertalen naar concrete strategieën. Of het nu gaat om het voorbereiden op vergunningverlening, het opbouwen van interne risicokaders of het voldoen aan toezichtseisen — onze focus ligt op het helpen van klanten om innovatie in overeenstemming te brengen met regelgeving. 

Stablecoins gaan niet alleen over technologische innovatie. Ze draaien om operationele betrouwbaarheid en juridische zekerheid. De instellingen die slagen in deze volgende fase van digitale financiën, zijn degenen die compliance vanaf het begin integreren. Als uw organisatie zich voorbereidt om stablecoins uit te geven, te adopteren of het gebruik ervan uit te breiden, staan wij klaar om u te ondersteunen. 

 

Zoekt u ondersteuning bij het versterken van uw Crypto Compliance Framework?

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen.

Crypto ATMs: Een brug tussen twee werelden of een vluchtwagen voor criminelen?

In ons recente artikel in het tijdschrift Compliance, Ethics & Sustainability (“From inadequate oversight to effective regulation?”) benadrukten wij hoe de crypto-industrie steeds volwassener wordt onder invloed van Europese regelgeving. Tegelijkertijd blijven risico’s rond witwassen, fraude en sanctieontwijking bestaan.

Een concreet voorbeeld van deze risico’s zijn crypto-automaten (ATMs). In het tijdschrift bespraken we reeds het risico op sanctieontwijking middels crypto ATMs. Kort samengevat staat er in Polen meer dan 280 crypto-automaten, vaak strategisch gelegen nabij de grenzen met Belarus en Rusland. Hier kan contant geld eenvoudig worden omgezet in crypto, de grens over worden gebracht via een mobiele wallet of voucher, en elders weer worden geliquideerd. Dit alles buiten de traditionele financiële kanalen en sanctietoezicht.

In dit artikel zoomen we verder in op de werking van deze crypto ATMs, de risico’s die ze met zich meebrengen en welke rol regelgeving en handhaving speelt in het beperken van misbruik.

Van contant geld naar crypto- buiten de banken om

Crypto ATMs bieden gebruikers een directe en vertrouwde toegangspoort waarmee contant geld kan worden omgezet in cryptovaluta en omgekeerd, zonder dat een traditioneel account bij een (crypto) exchange nodig is. Het gebruik van crypto ATMs is eenvoudig: gebruikers kiezen kopen of verkopen, voeren een bedrag in en verifiëren – afhankelijk van de regelgeving – hun identiteit via ID, telefoonnummer of een andere vorm van vereenvoudigde KYC. Daarna wordt het bedrag in crypto of contanten uitbetaald.

Voor mensen in regio’s met beperkte bancaire infrastructuur of voor minder digitaal vaardige gebruikers lijken deze terminals een uitkomst. Maar juist de combinatie van toegankelijkheid en anonimiteit maakt crypto-automaten aantrekkelijk voor crimineel misbruik.[1]

Een magneet voor oplichting en witwassen

Wereldwijd signaleren toezichthouders toenemend misbruik van crypto ATMs voor witwassen en fraude. Het klassieke witwasproces (plaatsing, gelaagdheid en integratie) kan via automaten eenvoudig worden uitgevoerd: in de meest eenvoudige vorm kan cash worden ingevoerd, verdeeld over meerdere terminals, omgezet in crypto en later opnieuw terug gewisseld naar contanten.[2]

In 2025 rapporteerde de Amerikaanse Financial Crimes Enforcement Network (FinCEN) dat slachtoffers ruim $247 miljoen verloren via crypto-automaten, met een opvallende concentratie boven de 60.[3] Slachtoffers worden vaak telefonisch onder druk gezet door oplichters die zich voordoen als bankmedewerker of overheidsfunctionaris en hen instrueren grote sommen geld via een ATM te storten.

Daarnaast zijn er automaten die bedragen tot €15.000 (of $25.000) per dag accepteren zonder strikte identiteitsverificatie.[4] De transactiekosten liggen fors boven die van gereguleerde exchanges (>5% vs. <1%). Sommige terminals printen papieren vouchers die als anonieme toonderinstrumenten functioneren.

Internationale verschillen in toezicht

De regulering van crypto ATMs verschilt sterk per jurisdictie. Nieuw-Zeeland verbood de automaten volledig,[5] terwijl Australië een risico gebaseerd model hanteert met limieten en strengere KYC.[6] In de VS gaan waarschuwingen gepaard met vervolging van niet-gereguleerde exploitanten.[7]

Binnen de EU wordt meer duidelijkheid geboden door de Markets in Crypto-Assets Regulation (MiCAR). Crypto-automaten vallen daarin onder de categorie “Crypto-Asset Service Providers” (CASP’s) en zijn niet verboden, maar exploitanten moeten voldoen aan vergunningseisen, KYC-verplichtingen, transactiemonitoring en risico-gebaseerd klantonderzoek.[8] Ondanks dat het overgangsregime van MiCAR in Nederlands reeds is verlopen, constateerden wij dat enkele crypto-automaten ook na deze deadline nog actief zijn geweest.

Regelgeving alleen is dus onvoldoende. Effectieve handhaving is essentieel – iets dat Nederlandse jurisprudentie onderstreepte. [9]

Nederlandse jurisprudentie: crypto-ATM als witwasvehikel

In een recente uitspraak van het Gerechtshof Arnhem-Leeuwarden (ECLI:NL:GHARL:2025:237) oordeelde het hof over een exploitant van crypto-automaten die herhaaldelijk en bewust de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) had overtreden. [10]

Uit bewijs in de rechtszaal bleek dat de automaten herhaaldelijk werden gebruikt voor transacties die verband hielden met criminele opbrengsten, waaronder drugshandel. Onderzoek wees uit dat de exploitant het proces bewust had ingericht om herleidbaarheid te minimaliseren: er werd geen identiteitscontrole uitgevoerd bij transacties onder de € 10.000, en stortingen werden vaak verdeeld over meerdere automaten om detectie te vermijden. Zelfs bij hogere bedragen waren de KYC-procedures oppervlakkig en werd het uiteindelijk belang bij de wallets niet geverifieerd.

Het hof oordeelde dat deze werkwijze neerkwam op willens en wetens faciliteren van witwassen. De exploitant kreeg een meerjarige gevangenisstraf en apparatuur werd in beslag genomen. Deze zaak toont dat Nederlandse rechters crypto ATM-overtredingen als ernstig strafbaar feit behandelen en dat nationale handhaving een belangrijke rol speelt naast EU-regelgeving.

Casus Athena Bitcoin Inc. – een wake-up call

In februari 2025 spande de Attorney General van het District of Columbia een rechtszaak aan tegen Athena Bitcoin Inc., een van de grootste exploitanten van crypto ATMs in de VS. Uit het onderzoek bleek dat in de eerste vijf maanden van hun activiteiten in Washington D.C. maar liefst 93% van alle transacties frauduleus was, met een gemiddeld verlies van $8.000 per transactie en slachtoffers met een gemiddelde leeftijd van 71 jaar. Slachtoffers storten onder druk van oplichters herhaaldelijk geld naar dezelfde reeds bekende scam-wallets.[11]

Athena wordt beschuldigd van het willens en wetens profiteren van deze praktijken door verborgen kosten tot wel 26% te hanteren, zonder dit duidelijk aan klanten te communiceren. Bovendien weigerde het bedrijf structureel om slachtoffers te compenseren, zelfs wanneer duidelijk was dat de transacties richting eerder misbruikte wallets gingen. In plaats daarvan eiste Athena in sommige gevallen een vrijwaringsverklaring van de slachtoffers die alsnog probeerden een deel van hun verliezen terug te krijgen.

Deze casus toont aan dat slecht gereguleerde crypto-automaten niet alleen een risico vormen voor integriteit van het financiële stelsel, maar ook een structurele bedreiging zijn voor financieel kwetsbare groepen, met name ouderen.

 Van signaal naar structurele actie

De komst van MiCAR schept een noodzakelijk kader, maar regelgeving zonder consequente toepassing blijft tandeloos. Crypto-automaten bevinden zich op het snijvlak van financiële inclusie en financieel-economische criminaliteit. Juist daarom is een gezamenlijke én daadkrachtige aanpak essentieel. Zolang exploitanten profiteren van ondoorzichtige kostenstructuren en criminelen vrij spel krijgen, blijven crypto ATMs eerder een vluchtwagen voor criminelen dan een brug voor financiële inclusie.

Wat moet er gebeuren?

  • Exploitanten moeten volledige transparantie bieden over tarieven en limieten, structureel monitoren van transacties en actief verdachte wallets blokkeren.
  • Toezichthouders moeten verder te kijken dan registratie-eisen en te investeren in effectieve monitoring en handhaving.
  • Financiële instellingen moeten alert zijn op ongebruikelijke cashstromen die mogelijk via crypto-automaten verdwijnen en daar risico-gebaseerd op acteren.
  • Consumenten moeten beter beschermd worden middels educatie, waarschuwingen en laagdrempelige meldpunten.

CASPs zijn wettelijk verplicht transacties te monitoren. Niet-legitieme geldstromen, onder meer vanuit crypto ATMs, worden vaak al gedetecteerd via tools zoals Cense, Chainalysis, TRM Labs en Elliptic. Van CASPs wordt actieve monitoring én rapportage verwacht.

Samen met onze partner Cense publiceren wij binnenkort een vervolgartikel waarin wij dieper ingaan op de inzet van deze tools en hoe organisaties hun detectie- en beheerscapaciteiten verder kunnen versterken.

Bij Compliance Champs volgen wij deze ontwikkelingen met een kritische blik. Wij begeleiden organisaties om hun processen en controles in lijn te brengen met MiCAR, de Wwft en internationale standaarden. Door middel van kennisdeling, training en advies helpen wij professionals risico’s tijdig te herkennen, te mitigeren en duurzame compliance in te bedden.

 

Zoekt u ondersteuning bij het versterken van uw Crypto Compliance Framework?

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen.

[1] The Record. (2025). Crypto ATMs fueling cybercrime.

[2] Sanction Scanner. (2025). How to ensure AML compliance on Bitcoin ATMs in the US. https://www.sanctionscanner.com/blog/how-to-ensure-aml-compliance-on-bitcoin-atms-in-the-us-448.

[3] FinCEN. (2025). FinCEN Notice on crypto kiosk scams. https://www.fincen.gov/sites/default/files/shared/FinCEN-Notice-CVCKIOSK.pdf

[4] Europol. (2022). Cryptocurrencies – Tracing the evolution of criminal finances. Europol.

[5] Rahman Ravelli. (2024). New Zealand to ban crypto ATMs. https://www.rahmanravelli.co.uk.

[6] CryptoNews. (2025). Tasmania joins nationwide crackdown on crypto ATMs as scam losses hit $1.6 million. https://cryptonews.com

[7] FinCEN. (2025). FinCEN Notice on crypto kiosk scams. https://www.fincen.gov/sites/default/files/shared/FinCEN-Notice-CVCKIOSK.pdf

[8] European Parliament and Council. (2023). Markets in Crypto-Assets Regulation (MiCAR).

[9] Bitomat. (2024). MiCA impact on Bitcoin ATMs. https://www.bitomat.com.

[10] Gerechtshof Arnhem-Leeuwarden. (2025). ECLI:NL:GHARL:2025:237.

[11] Office of the Attorney General for the District of Columbia. (2025, February). Attorney General Schwalb Sues Athena Bitcoin for Failing to Protect Consumers from Scams . https://lnkd.in/eb8qGmqP.

Cense and Compliance Champs Partner to Power the Future of Financial Compliance

Rotterdam / Zug, dinsdag 2 september 2025 — Cense, het bedrijf dat de complexiteit van crypto-compliance ontrafelt, is een strategisch partnerschap aangegaan met Compliance Champs. Dit samenwerkingsverband is erop gericht om financiële instellingen sterker te maken in hun aanpak van crypto-gerelateerde compliance — niet alleen op technologisch vlak, maar ook in processen, beleid en langetermijnstrategie.

“Onze missie is altijd geweest om instellingen in staat te stellen de brug te slaan tussen traditionele financiën en de nieuwe digitale economie,” zegt Michiel Hoogenboom, Chief Commercial Officer bij Cense. “Dit partnerschap versterkt onze go-to-marketstrategie doordat onze technologie direct wordt verbonden met de bredere context van crypto-beleid en uitvoering. Samen maken we compliance sneller, slimmer en toekomstbestendig.”

Compliance Champs brengt diepgaande expertise mee in het helpen van financiële instellingen en Crypto-Asset Service Providers bij het definiëren en implementeren van compliance-strategieën. Met de integratie van Cense beschikken zij nu over de technologische tools om die strategieën met precisie en snelheid uit te voeren.

“Wij ondersteunen klanten bij het bouwen van een visie voor compliant crypto-adoptie,” zegt Peter Engering, CEO van Compliance Champs. “Cense is de technologie die dit mogelijk maakt. Hun oplossing versnelt de implementatie en maakt het mogelijk om onze ontwerpen effectief en op schaal te realiseren.

Samen stellen Cense en Compliance Champs de financiële wereld in staat met vertrouwen de steeds complexere digitale toekomst tegemoet te komen. Van automatisering tot advies: dit partnerschap levert end-to-end compliance oplossingen voor instellingen die klaar zijn om de leiding te nemen.

 

Over Cense
Cense automatiseert crypto-compliance voor financiële instellingen. Het platform biedt real-time user-profiling, AML-screening en verificatie van herkomst van middelen. Zo kunnen instellingen legitieme crypto-stromen snel en met vertrouwen onboarden.

 

Over Compliance Champs
Compliance Champs adviseert toonaangevende financiële instellingen en Crypto-Asset Service Providers over regelgevingsveranderingen, crypto-adoptie en de inrichting van compliance. Hun werk zorgt ervoor dat innovatie wordt ingebed in beleid en afgestemd blijft op de hoogste reguleringsstandaarden.

 

Cense. Decoding complexity. Empowering finance.

Compliance Champs. Leading with vision. Delivering with confidence.

 

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen.

Nog een Schrems II in de maak? Trumps privacy beleid kan opnieuw roet in het eten gooien van EU-VS datatransfers

Privacyprofessionals in de EU, maak je borst maar nat: trans-Atlantische datatransfers staan mogelijk opnieuw onder druk.

In een ontwikkeling die al voor opschudding zorgt binnen de wereld van privacy en compliance, heeft voormalig president Donald Trump verschillende sleutelfiguren uit de Privacy and Civil Liberties Oversight Board (PCLOB) verwijderd. Juist dit toezichthoudend orgaan moet ervoor zorgen dat Amerikaanse surveillancepraktijken in lijn zijn met privacy rechten

Waarom is dit relevant voor GDPR-compliance?

De PCLOB is een belangrijke pijler onder het vertrouwen van de EU in de Amerikaanse waarborgen het nieuwe EU-US Data Privacy Framework (DPF). Zonder deze onafhankelijke toezichthouder zou het DPF zomaar hetzelfde lot kunnen ondergaan als zijn voorganger, Privacy Shield—waardoor bedrijven opnieuw in een juridisch vacuüm belanden.

Déjà vu? We hebben dit eerder gezien.

Eerst viel Safe Harbor weg—een overeenkomst waarin Amerikaanse bedrijven zichzelf konden certificeren als ‘adequaat’ volgens EU-privacy maatstaven. Daarna volgde Schrems II, de zaak van de Oostenrijkse privacy activist Max Schrems, die leidde tot de vernietiging van Privacy Shield in 2020. De reden? Het Hof van Justitie van de EU (HvJEU) oordeelde dat Amerikaanse surveillancewetgeving onvoldoende bescherming bood voor de rechten van Europese burgers onder de GDPR en het EU-Handvest.

Het DPF werd in het leven geroepen om dat vertrouwen te herstellen, onder meer via versterkt toezicht. Maar als de PCLOB nu buiten spel staat, is het dan nog wel geloofwaardig?

Wat als het vertrouwen opnieuw wegvalt?

De mogelijke gevolgen:

  • Een nieuwe ongeldigverklaring van EU-VS datatransfers
  • Nieuwe rechtszaken van privacy activisten (Schrems III?)
  • Bedrijven die zich noodgedwongen moeten richten op Standard Contractual Clauses (SCCs) of kostbare lokale opslagoplossingen

Wat staat ons te wachten?

Europese toezichthouders zullen ongetwijfeld vragen stellen en mogelijk het adequaatheidsbesluit voor het DPF heroverwegen. Max Schrems en zijn organisatie None of Your Business (NOYB) zouden het framework opnieuw kunnen aanvechten bij het HvJEU—en gezien hun eerdere succes is dat geen vergezocht scenario.

Voor bedrijven die afhankelijk zijn van EU-VS datastromen is het daarom cruciaal om zich voor te bereiden op potentiële verstoringen. Een hernieuwde blik op compliance-aanpak is aan te raden—waarbij het uitvoeren van een gedegen Data Transfer Impact Assessment (DTIA) in ieder geval een verstandige stap is.

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen.

[1] Liquid staking tokens verwijst naar het verkrijgen van een verhandelbare token in ruil voor het staken van een munt op een proof-of-stake blockchain.

De Bybit-hack: 4 Compliance- en AML-lessen van de grootste crypto-hack door Noord-Korea

 

Op 21 februari 2025 werd Bybit getroffen door een cyberaanval, waarbij circa $1,46 miljard aan digitale activa werd gestolen. Ter vergelijking: de grootste crypto-overval vóór Bybit was die van $611 miljoen bij Poly Network in 2021. Al snel wezen rapporten naar de beruchte Lazarus Group, een Noord-Koreaans gesponsorde cyberbende die eerder betrokken was bij spraakmakende hacks en witwaspraktijken. De FBI heeft inmiddels bevestigd dat deze groep verantwoordelijk is voor de aanval.

De diefstal werpt kritische vragen op over de beveiliging van gecentraliseerde beurzen, zeker in het licht van de Digital Operational Resilience Act (DORA). Extra zorgwekkend is de snelheid waarmee de tegoeden zijn witgewassen. TRM Labs schat dat binnen 48 uur minstens $160 miljoen werd witgewassen, oplopend tot ruim $400 miljoen in een week. Dit wijst op een ongekende mate van professionaliteit en efficiëntie.

Hoe de fondsen werden witgewassen: een overzicht

Gezien de uitzonderlijke snelheid van de witwasoperatie is het belangrijk om de gebruikte tactieken te analyseren. De Lazarus Group maakte gebruik van geavanceerde methoden en diverse crypto-diensten en DEX’s om het spoor te verbergen.

De operatie begon direct na de diefstal. De gestolen tokens – mETH en sETH (liquid staking tokens)[1] – werden via DEX’s omgezet in Ethereum. Deze stap voorkwam dat token-uitgevers de activa konden bevriezen. Omdat Ether en Bitcoin niet door een centrale partij worden beheerd, zijn ze minder gevoelig voor bevriezingsmaatregelen.

Na de omzetting naar ETH paste de Lazarus Group een bekende witwastechniek toe: “layering” (gelaagdheid). Fondsen werden verspreid over meerdere wallets om herkomst en tracering te bemoeilijken. Hoewel blockchain-transacties transparant zijn, gaf deze strategie de hackers voldoende tijd om fondsen te verplaatsen, tokens te wisselen, cross-chain bridges te gebruiken en no-KYC instant swap-diensten in te zetten.

Via deze diensten werden grote hoeveelheden ETH omgezet naar andere crypto’s, voornamelijk BTC en DAI. Voorheen gebruikte Noord-Korea vooral mixers om sporen te wissen voordat de activa naar fiat werden omgezet. Door strengere controles lijkt de groep nu snelheid en efficiëntie boven anonimiteit te verkiezen.

Belangrijke compliance- en AML-lessen

De nasleep van de Bybit-hack biedt cruciale lessen voor compliance-professionals, regelgevers en bedrijven in de cryptosector. De hack onderstreept niet alleen de kwetsbaarheden in de industrie, maar benadrukt ook het belang van sterke compliance-kaders, robuuste AML-praktijken en samenwerking binnen de sector. De vier belangrijkste lessen:

  1. Geavanceerde transactie-monitoringsystemen

De verfijnde witwastactieken maken duidelijk dat crypto-platforms geavanceerde transactiemonitoring moeten implementeren. Dankzij samenwerking tussen blockchain-analysebedrijven, wetshandhavers en gecentraliseerde beurzen is veel van de gestolen crypto getraceerd, en zijn adressen gelinkt aan de Lazarus Group geïdentificeerd en gemarkeerd. Hoewel enkele gecentraliseerde beurzen activa hebben bevroren, is een groot deel van de gestolen fondsen in handen van de hackers gebleven.

De voortdurende onderzoeken tonen zowel de effectiviteit van blockchain-analyse aan als ook de uitdagingen die gepaard gaan met crypto-diensten, zoals DeFi-protocollen, die vaak geen geavanceerde monitoring toepassen.

  1. Versterking van KYC- en AML-normen

Crypto-beurzen moeten strikte Know Your Customer (KYC)-procedures hanteren en regelmatige AML-controles uitvoeren gedurende de gehele klantrelatie. Hoewel KYC-vereisten inmiddels standaard zijn bij gecentraliseerde beurzen, lopen veel DeFi-platforms achter in het opzetten van robuuste identiteitsverificatieprocessen en het monitoren van transacties.

Nu gedecentraliseerde financiering en privacytools zich blijven ontwikkelen, groeit de noodzaak voor strengere gebruikersregistratie en transactiemonitoring. Een goed voorbeeld hiervan is Chainflip, een gedecentraliseerd protocol dat proactief een software-update implementeerde om inkomende transacties gerelateerd aan de hack te blokkeren.

  1. Samenwerking binnen de sector en met wetshandhavers

Samenwerking is cruciaal om witwasdreigingen tegen te gaan en het crypto-ecosysteem te beschermen. Na de hack lanceerde Bybit een bounty-programma met beloningen tot 10% voor het bevriezen van gestolen fondsen. Dit bevorderde samenwerking tussen partijen en maakte het moeilijker voor hackers om de activa om te zetten naar fiat. Daarnaast stelden enkele gecentraliseerde exchanges tegoeden beschikbaar aan Bybit. Zo kon het platform operationeel blijven en werd de impact van de hack beperkt. Deze aanpak onderstreept het belang van snelle, gezamenlijke reacties om de integriteit van het crypto-ecosysteem te waarborgen.

  1. Opleiding en bewustwording

De Bybit-hack benadrukt de noodzaak van continue opleiding en bewustwording binnen de crypto-industrie. Bedrijven zouden moeten investeren in regelmatige trainingen voor hun compliance-teams om op de hoogte te blijven van de nieuwste witwastechnieken. Daarnaast blijft het cruciaal om gebruikers bewust te maken van de risico’s van ongecontroleerde platforms, om zo illegale activiteiten in de crypto-ruimte te bestrijden.

Conclusie: De Weg Vooruit voor Crypto Compliance

De Bybit-hack laat de kwetsbaarheden zien die nog aanwezig zijn in de cryptosector. Nu criminele organisaties steeds geavanceerdere witwasmethoden toepassen, is de urgentie voor robuuste compliance- en AML-maatregelen groter dan ooit. Beurzen, DeFi-platforms en wetshandhavers moeten samenwerken om de zwakke plekken in het huidige systeem te dichten, geavanceerdere monitoringtools te implementeren en de crypto-ruimte veiliger te maken voor legitieme gebruikers.

De gezamenlijke inspanningen naar aanleiding van de hack laten zien dat de sector steeds meer prioriteit geeft aan beveiliging en gebruikersbescherming. Door de focus te leggen op sterkere compliance-kaders, verbeterde KYC- en AML-normen en nauwe samenwerking, zet de industrie cruciale stappen om het risico op toekomstige aanvallen te verminderen.

Zoekt u ondersteuning bij het versterken van uw Crypto Compliance Framework?

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen.

[1] Liquid staking tokens verwijst naar het verkrijgen van een verhandelbare token in ruil voor het staken van een munt op een proof-of-stake blockchain.

Voorbereiden op DORA-compliance: wat financiële instellingen moeten weten

DORA-compliance is officieel van toepassing! Vanaf 17 januari 2025 zijn financiële instellingen verplicht te voldoen aan de eisen van de Digital Operational Resilience Act (DORA). Met nationale toezichthouders zoals de Autoriteit Financiële Markten (AFM) en De Nederlandsche Bank (DNB) die hun controle aanscherpen, is dit hét moment om prioriteit te geven aan de naleving van DORA. Hieronder geven we een overzicht van wat u kunt verwachten en hoe u voorop kunt blijven lopen. 

Wat verandert er in 2025? 

Vanaf dit jaar zullen toezichthouders actief controleren hoe financiële instellingen voldoen aan DORA. Dit omvat onder meer het indienen van kritieke informatie bij de Europese Toezichthoudende Autoriteiten (EBA, EIOPA, en ESMA) en het waarborgen van operationele veerkracht binnen de financiële sector. 

Voor meer informatie kunt u de officiële tekst van de DORA-regelgeving raadplegen: DORA Regulation (EU) 2022/2554. 

Belangrijke prioriteiten voor 2025 

1. Indienen van het informatieoverzicht 

Een van de eerste belangrijke mijlpalen voor DORA-compliance is het opstellen en indienen van een informatieregister, ook wel “Register of Information”. 

  • Deadline: De AFM en DNB moeten uiterlijk 30 april 2025 de eerste informatieoverzichten indienen bij de Europese Toezichthoudende Autoriteiten (ESA’s). 
  • Acties: Organisaties die onder DORA vallen, kunnen kort na de officiële ingangsdatum van DORA een informatieverzoek van de AFM verwachten. Het is essentieel om nu al voorbereidingen te treffen om aan deze deadline te voldoen. 
  • Jaarlijkse updates: Na de initiële indiening wordt van instellingen verwacht dat zij jaarlijks een geüpdatet overzicht indienen. De AFM en DNB zullen deze informatie voorafgaand aan de indiening controleren. 

Dit overzicht stelt de ESA’s in staat om aanbieders van ICT-diensten te identificeren, die vervolgens onder direct toezicht van de ESA’s komen te staan. 

2. Melden van ICT-gerelateerde incidenten 

Het tijdig melden van grote ICT-incidenten is een andere belangrijke vereiste onder DORA. 

  • Meldingstermijn: 
  • Meld grote incidenten binnen 4 uur na classificatie als “major“.” 
  • Dien een tussentijds rapport in binnen 72 uur. 
  • Lever een eindrapport aan binnen 1 maand. 
  • Proactieve communicatie: Naast verplichte meldingen van grote incidenten wordt ook het vrijwillig melden van cyberdreigingen aangemoedigd. Dit draagt bij aan een beter inzicht in de sectorbrede risico’s. 

De AFM zal meldingen beoordelen op volledigheid en kan aanvullende informatie opvragen om de volledige impact te begrijpen. 

3. Threat-led penetration testing (TLPT) 

Voor bepaalde instellingen wordt dreigingsgerichte penetratietesting (Threat-Led Penetration Testing, TLPT) een verplicht onderdeel van DORA-compliance. 

  • Selectie: Instellingen die hiervoor in aanmerking komen, ontvangen een schriftelijke kennisgeving van de AFM. 
  • Voorbereiding: De AFM biedt begeleiding gedurende het hele proces, van planning tot uitvoering. 
  • Certificering: Succesvolle afronding van de test leidt tot een certificaat dat compliance aantoont. 

Wat kunt u nu doen? 

  • Begin direct: Begin met het voorbereiden van uw “Register of Information”  en bekijk uw procedures voor het melden van incidenten. 
  • Werk samen: Zorg dat uw ICT- en compliance-teams volledig op de hoogte zijn van de eisen van DORA. 
  • Blijf geïnformeerd: Volg updates van de AFM en wees voorbereid op verzoeken of meldingen.

 

Waarom DORA belangrijk is 

DORA draait niet alleen om naleving van regelgeving, maar ook om het versterken van de digitale operationele veerkracht van de financiële sector. Door tijdig actie te ondernemen, kunt u risico’s beperken, aantonen dat uw organisatie aan de eisen voldoet, en vertrouwen opbouwen bij stakeholders. 

Laten we deze uitdaging zien als een kans om de operationele veerkracht en cybersecurity in de sector te verbeteren. Is uw organisatie klaar voor DORA? Deel uw gedachten met ons! 

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen.