Nets Danmark A/S

Virksomheden er en dansk udbyder af betalingstjenester, der har haft tilladelse som betalingsinstitut siden april 2011. Virksomheden opererer primært indenfor betalings- og finansielle tjenester og anvender en B2B-forretningsmodel, hvor fokus er på at levere betalingsløsninger og infrastruktur til virksomheder, finansielle institutioner og offentlige organisationer. Finanstilsynet vurderer, at virksomhedens iboende risiko for at blive brugt til hvidvask eller finansiering af terrorisme er normal til høj. Finanstilsynets vurdering er bl.a. baseret på virksomhedens forretningsmodel, geografi og kunder. På baggrund af inspektionen har et antal områder givet anledning til tilsynsmæssige reaktioner. Virksomheden har et antal kunder, som ikke er blevet risikoklassificeret korrekt og figurerer som ”unrated”. Flere af disse kunder er f.eks. højrisiko, men grundet den manglende korrekte risikoklassificering har virksomheden ikke foretaget skærpede kundekendskabsprocedurer eller skærpet overvågning. Virksomheden har ved en efterfølgende kontrol identificeret flere af kunderne og risikoklassificeret dem som f.eks. højrisiko. Virksomheden har dog ikke i den forbindelse foretaget skærpede kundekendskabsprocedurer, som først er planlagt ved den næstkommende ajourføring, hvilket i nogle tilfælde er et år efter. Det er væsentligt at foretage korrekt risikovurdering og udføre skærpede kundekendskabsprocedurer på højrisikokunder, da et skærpet kundekendskab sikrer, at en virksomhed har opdateret viden om kunden og på den måde har mulighed for at reagere hurtigere på ændringer i kundens transaktionsmønster. Virksomheden har derfor fået påbud om at gennemgå og vurdere alle ”unratede” kundeforhold således, at kunderne risikoklassificeres på baggrund af en konkret og dokumenteret vurdering. Dette betyder, at såfremt kundeforholdene vurderes som f.eks.

Finanstilsynet igangsatte i maj 2023 en undersøgelse af Nets Danmark A/S’ (virksomheden) håndtering af EU-sanktioner, herunder sanktioner mod Rusland og Belarus ved at indhente redegørelse og dertilhørende dokumentation fra virksomheden. Undersøgelsen var et led i en tværgående undersøgelse af det pågældende område i en række pengeinstitutter, pensionskasser, betalingsinstitutter og fondsmæglerselskaber. Virksomheden er en stor aktør inden for den danske betalingsstruktur. Virksomhedens forretningsområder består hovedsageligt af to områder, ”the Issuer” og ”eSecurity Services and Merchant Services”. ”Merchant Services” er hovedforretning og består af Nets’ erhvervsaktiviteter. Virksomheden har en række kunder, som har tilknytning til Rusland, ligesom virksomheden har gennemført et større antal transaktioner fra Rusland og Belarus i H2 2022. Dette medfører efter Finanstilsynets vurdering, at virksomheden har en iboende risiko for, at virksomhedens transaktioner på egne eller kunders vegne kan være i strid med gældende forordninger om finansielle sanktioner mod lande, personer mv. Undersøgelsen har på det foreliggende grundlag ikke givet Finanstilsynet anledning til tilsynsmæssige reaktioner. AI-genererede svar baseret på vores hjemmeside. Verificer via links.

Finanstilsynet gennemgik udvalgte dele af it-området, herunder den generelle it-sikkerhedsstyring, strategi, organisation, beredskabsplaner, sikkerhedspolitikker og retningslinjer. Endvidere gennemgik Finanstilsynet Nets procedurer for styring af adgange til systemer og data, ændringshåndtering, kontrol med outsourcede it-funktioner samt krav og procedurer til kontrol og rapportering. Det er Finanstilsynets vurdering, at Nets på tidspunktet for inspektionens gennemførsel ikke i tilstrækkelig grad har implementeret en dokumenteret it-risiko- og sikkerhedsstyring på tværs af virksomheden. Det er vurderingen, at Nets har betydeligt fokus på efterlevelse af krav og kontrolstandarder, herunder bl.a. PCI krav, og mindre fokus på at sikre, at it-risici er tilstrækkelig synliggjorte og imødegået på tværs af Nets samt outsourcing leverandører. Finanstilsynet har i forbindelse med inspektionen konstateret flere svagheder, hvor ledelsen i Nets fremadrettet skal sikre, at væsentlige risici er tilstrækkeligt synliggjorte og imødegået. Finanstilsynet har påbudt Nets i højere grad at sikre, at it-sikkerhedspolitikken tager afsæt i en dokumenteret it-risikovurdering, samt at ansvar og forventninger mellem direktion og bestyrelse, i relation til it-sikkerhedsstyringen, rapportering og ledelsesopfølgning, præciseres og implementeres. Herunder at der etableres øget dokumenteret kontrol med, at it-sikkerhedspolitikken er tilstrækkeligt implementeret og uddybet i procedurer, forretningsgange og kontroller, samt at Nets styrker it-sikkerhedsorganisation med klart definerede roller og ansvar for organisering af it-arbejdet. Endvidere skal Nets i højere grad sikre, at der etableres tilstrækkelige forretningsgange for it-risikostyring, herunder øget dokumentation af risici samt imødegående kontrol og sikringsforanstaltninger på tværs af Nets og dennes leverandører.