BIJLAGE

tot vaststelling van de in artikel 1 bedoelde technische specificaties en procedures

1. Voorwerp

Het systeem van gekoppelde registers van uiteindelijk begunstigden, dat aangeduid wordt als “Beneficial Ownership Registers Interconnection System” of “Boris”, moet worden opgezet als een decentraal systeem dat de centrale nationale registers van uiteindelijk begunstigden en het Europees e-justitieportaal (1) via het Europees centraal platform aan elkaar koppelt (2). Het Boris dient als centrale zoekdienst die alle informatie over uiteindelijk begunstigden beschikbaar stelt overeenkomstig de bepalingen van Richtlijn (EU) 2015/849 (3).

2. Definities

a)	“register”: een nationaal centraal register met de in de artikelen 30 en 31 van Richtlijn (EU) 2015/849 bedoelde informatie over uiteindelijk begunstigden;

b)	“gekwalificeerde gebruiker”: een gebruiker van het Boris bedoeld in artikel 30, lid 5, onder a) en b), en artikel 31, lid 4, onder a) en b), van Richtlijn (EU) 2015/849;

c)	“verplichte minimuminformatie”: de gemeenschappelijke reeks gegevens met dezelfde structuur en dezelfde soorten gegevens voor alle registers in de lidstaten;

d)	“aanvullende informatie”: de gemeenschappelijk vooraf bepaalde reeks gegevens die de lidstaten — naast de “verplichte minimuminformatie” — kunnen besluiten deels of geheel via het Boris te delen;

e)	“nationaal inschrijvingsnummer”: het individuele identificatienummer dat krachtens het nationale recht in het register van uiteindelijk begunstigden aan een vennootschap of andere juridische entiteit, of aan een trust of een soortgelijke constructie is toegekend.

3. De relatie tussen het nationale inschrijvingsnummer en de unieke Europese identificatiecode en het inschrijvingsnummer van een vennootschap

3.1

Het register van uiteindelijk begunstigden moet met het Europees centraal platform het nationale inschrijvingsnummer en, voor vennootschappen, de in het Business Registers Interconnection System (“BRIS”) (4) aan hen toegekende Europese unieke identificatiecode (“EUID”) delen, alsook het inschrijvingsnummer van de vennootschap, ingeval dat laatste nummer verschilt van het nationale inschrijvingsnummer. Om een EUID toe te kennen aan vennootschappen die in het BRIS geen EUID hebben, moet het inschrijvingsnummer van de vennootschap worden gebruikt. Voor andere juridische entiteiten, trusts of soortgelijke constructies moet een EUID worden toegekend op basis van het nationale inschrijvingsnummer.

3.2

Gebruikers van het Boris moeten vennootschappen, andere juridische entiteiten, trusts of soortgelijke constructies kunnen opzoeken aan de hand van het nationale inschrijvingsnummer en het inschrijvingsnummer van de vennootschap, ingeval dat verschilt van het nationale inschrijvingsnummer.

3.3

De lidstaten mogen ervoor kiezen geen nationale inschrijvingsnummers voor trusts of soortgelijke juridische constructies te verstrekken. Met betrekking tot trusts of soortgelijke juridische constructies die zijn opgericht krachtens het recht van de lidstaat waar deze in het register van uiteindelijk begunstigden worden bijgehouden, geldt deze afwijking alleen voor een periode van vijf jaar te rekenen vanaf de datum waarop het Boris operationeel wordt.

4. Communicatiemethoden

Voor de koppeling van registers moet het Boris gebruikmaken van op diensten gebaseerde methoden voor elektronische communicatie, zoals webdiensten.

Bij de communicatie tussen het portaal en het platform, en tussen een register en het platform, gaat het om één-op-één-communicatie.

5. Communicatieprotocollen

Voor de communicatie tussen het portaal, het platform en de registers worden beveiligde internetprotocollen toegepast, zoals HTTPS.

Voor de verzending van gegevens en metagegevens moeten standaardcommunicatieprotocollen worden toegepast, zoals het Single Object Access Protocol (SOAP).

6. Beveiligingsnormen

Voor de communicatie en de verspreiding van informatie via het Boris moeten onder meer de volgende technische maatregelen worden toegepast om minimumnormen voor IT-beveiliging te waarborgen:

a)	maatregelen om de vertrouwelijkheid van de informatie te waarborgen, waaronder het gebruik van beveiligde kanalen (zoals HTTPS);

b)	maatregelen om de integriteit van de gegevens tijdens de uitwisseling ervan te waarborgen;

c)	maatregelen ter waarborging van de niet-weerlegbaarheid van de herkomst van de verzender van de informatie in het Boris en de niet-weerlegbaarheid van de ontvangst van informatie;

d)	maatregelen die waarborgen dat beveiligingsincidenten in een logboek worden vastgelegd overeenkomstig erkende internationale aanbevelingen voor normen voor IT-beveiliging;

e)	maatregelen voor de authenticatie en autorisatie van alle gekwalificeerde gebruikers en maatregelen ter verificatie van de identiteit van de met het portaal, het platform of de registers in het Boris verbonden systemen;

f)	indien nodig, maatregelen ter bescherming tegen geautomatiseerde opzoekingen en tegen het kopiëren van registers, zoals het beperken van het aantal resultaten per register tot een maximum en het gebruiken van een CAPTCHA-functionaliteit (5).

7. In het kader van het Boris uit te wisselen gegevens

7.1.

De reeks gegevens in de nationale registers over een vennootschap of andere juridische entiteit, of een trust of een soortgelijke juridische constructie wordt “BO-record” genoemd. De “BO-record” omvat gegevens over het profiel van de betrokken entiteit of constructie, de persoon van de uiteindelijk begunstigde(n) van die entiteit of constructie, alsook over het (de) uiteindelijk(e) belang(en) dat (die) begunstigden houden.

7.2.

Met betrekking tot een vennootschap of andere juridische entiteit, alsook met betrekking tot een trust of een soortgelijke constructie, moeten de gegevens over het profiel informatie bevatten over de naam, de rechtsvorm, het inschrijvingsadres en het nationale inschrijvingsnummer, in voorkomend geval.

7.3.

Elke lidstaat kan de verplichte minimuminformatie uitbreiden met aanvullende informatie. Met betrekking tot de uiteindelijk begunstigde en het door hem/haar gehouden uiteindelijke belang moet de verplichte minimuminformatie bestaan uit de in artikel 30, lid 5, tweede alinea, en artikel 31, lid 4, tweede alinea, van Richtlijn (EU) 2015/849 genoemde gegevens. Met betrekking tot de identiteit van de uiteindelijk begunstigde moet de aanvullende informatie ten minste de geboortedatum of de contactgegevens bevatten, zoals bepaald in de laatste zin van artikel 30, lid 5, en de derde alinea van artikel 31, lid 4. De gegevens uit de BO-record moeten worden gemodelleerd op basis van de vastgestelde interfacespecificatie.

7.4.

De informatie-uitwisseling moeten tevens de berichten omvatten die noodzakelijk zijn voor de werking van het systeem, zoals ontvangstbevestiging, registratie en rapportage.

8. Structuur van het gestandaardiseerde berichtformaat

Bij de informatie-uitwisseling tussen de registers, het platform en het portaal moet worden gebruikgemaakt van gestandaardiseerde datastructureringsmethoden en een gestandaardiseerd berichtformaat, zoals XML (6).

9. Aan het platform te verstrekken gegevens

9.1.

Omwille van de interoperabiliteitsvereisten moeten de door elk register aangeboden diensten uniform zijn en dezelfde interface hebben, zodat de interactie met de aanroepende applicatie, zoals het platform, verloopt via één type interface en aan de hand van een gemeenschappelijke reeks gegevenselementen. De lidstaten moeten hun interne gegevensstructuur aanpassen aan de hand van correlatietabellen of soortgelijke technische uitvoering om te voldoen aan de vereisten van de door de Commissie te verstrekken interfacespecificaties.

9.2.

Voor de vervulling van de taken van het platform moeten de volgende soorten gegevens worden verstrekt:

a)	gegevens aan de hand waarvan de met het platform verbonden systemen kunnen worden geïdentificeerd. Deze gegevens kunnen URL’s zijn of een ander nummer of andere code waarmee elk systeem in het Boris uniek wordt geïdentificeerd;

alle andere operationele gegevens die het platform nodig heeft om de zoekdienst correct en efficiënt te doen functioneren en de interoperabiliteit van de registers met het platform te verzekeren. Het kan daarbij gaan om codelijsten, referentiegegevens, glossaria en vertalingen van die metagegevens, of registratie- en rapportagegegevens.

9.3.

Bij de verwerking en opslag van de gegevens en metagegevens die door het platform worden behandeld, moeten de in punt 5 vastgestelde beveiligingsnormen in acht worden genomen.

10. Werkwijze van het systeem en door het platform verleende IT-diensten

10.1.

De technische werkwijze van het systeem met het oog op de verspreiding en uitwisseling van informatie dient als volgt te zijn:

10.2.

Voor de aflevering van berichten in de correcte taalversie verstrekt het Europees e-justitieportaal referentiedataproducten, zoals codelijsten, gereguleerde vocabularia en glossaria. Waar nodig worden deze vertaald in de officiële talen van de Unie. Waar mogelijk worden erkende normen en standaardberichten gebruikt.

10.3.

De Commissie moet nadere bijzonderheden over de technische werkwijze en de uitvoering van de IT-diensten van het platform aan de lidstaten ter beschikking stellen.

11. Zoekcriteria

11.1.

Bij een opzoeking moet ten minste één land worden geselecteerd.

11.2.

Het portaal moet de volgende geharmoniseerde zoekcriteria aanbieden:

met betrekking tot vennootschappen of andere juridische entiteiten, trusts of soortgelijke constructies:

i)	naam van de juridische entiteit of constructie;

ii)	nationaal inschrijvingsnummer. De zoekcriteria onder i) en ii) kunnen afzonderlijk worden gebruikt;

met betrekking tot personen als uiteindelijk begunstigden:

i)	voornaam en achternaam van de uiteindelijk begunstigde;

ii)	geboortedatum van de uiteindelijk begunstigde. De zoekcriteria onder i) en ii) moeten samen worden gebruikt.

11.3.

Via het portaal kunnen ook andere zoekcriteria beschikbaar zijn.

12. Betalingsmodaliteiten en onlineregistratie

12.1.

Als een lidstaat een vergoeding vraagt voor specifieke gegevens die via het Boris op het portaal ter beschikking worden gesteld, moeten gebruikers onlinebetalingen kunnen verrichten met gebruikelijke betaalmiddelen, zoals krediet- en debetkaarten.

12.2.

Het Boris moet maatregelen bevatten om de mogelijkheid van onlineregistratie te garanderen overeenkomstig artikel 30, lid 5 bis, en artikel 31, lid 4 bis, van Richtlijn (EU) 2015/849.

13. Beschikbaarheid van diensten

13.1.

De dienst moet 24 uur per dag en zeven dagen per week beschikbaar zijn, met een beschikbaarheidsgraad van het Boris van ten minste 98 %, regelmatig onderhoud buiten beschouwing gelaten.

13.2.

De lidstaten moeten de Commissie in kennis stellen van onderhoudsactiviteiten met de volgende termijnen:

a)	5 werkdagen van tevoren bij onderhoudswerkzaamheden waardoor het systeem maximaal 4 uur buiten werking kan zijn;

b)	10 werkdagen van tevoren bij onderhoudswerkzaamheden waardoor het systeem maximaal 12 uur buiten werking kan zijn;

c)	30 werkdagen van tevoren bij onderhoud aan de infrastructuur van de computerruimte waardoor het systeem maximaal zes dagen per jaar buiten werking kan zijn. Onderhoudswerkzaamheden moeten zo veel mogelijk buiten de werktijden worden gepland (19 uur tot 8 uur Midden-Europese tijd).

13.3.

De lidstaten die vaste wekelijkse onderhoudsperioden hanteren, moeten de Commissie meedelen op welke dag en welk tijdstip die vaste wekelijkse onderhoudsperioden gepland zijn. Onverminderd de onder a) tot en met c) van de tweede alinea aangegeven verplichtingen mogen lidstaten, als hun systemen gedurende een dergelijke vaste periode niet beschikbaar zijn, ervan afzien die onbeschikbaarheid aan de Commissie te melden.

13.4.

Bij een onverwachte technische storing waardoor de systemen van een lidstaat gedurende langer dan een half uur niet beschikbaar zijn, moet de betrokken lidstaat de Commissie onverwijld tijdens de werkuren (9 uur tot 16 uur Midden-Europese tijd) melden dat zijn systemen niet beschikbaar zijn, en moet hij zo mogelijk aangeven wanneer de dienstverlening zal worden hervat.

13.5.

Bij een onverwachte storing van het centraal platform of het portaal moet de Commissie de lidstaten onverwijld tijdens de werkuren (9 uur tot 16 uur Midden-Europese tijd) melden dat het platform of het portaal niet beschikbaar is, en moet zij zo mogelijk aangeven wanneer de dienstverlening zal worden hervat.

14. Regels voor transcriptie en transliteratie

Elke lidstaat moet de aan hem gerichte zoekopdrachten en de gevonden resultaten transcriberen en translitereren in overeenstemming met hun nationale normen.

(1) Hierna: “het portaal”.

(2) Het Europees centraal platform (hierna “het platform”) is ingesteld bij artikel 22, lid 1, van Richtlijn (EU) 2017/1132 van het Europees Parlement en de Raad van 14 juni 2017 aangaande bepaalde aspecten van het vennootschapsrecht (PB L 169 van 30.6.2017, blz. 46).

(3) Dit laat onverlet dat het Boris in de toekomst extra functionaliteiten zou kunnen krijgen.

(4) Artikel 16, lid 1, van Richtlijn (EU) 2017/1132 van het Europees Parlement en de Raad van 14 juni 2017 aangaande bepaalde aspecten van het vennootschapsrecht en artikel 8 van de bijlage bij Uitvoeringsverordening (EU) 2015/884 van de Commissie van 8 juni 2015 tot vaststelling van de technische specificaties en de procedures voor het systeem van gekoppelde registers dat is ingesteld bij Richtlijn 2009/101/EG van het Europees Parlement en de Raad.

(5) “Completely Automated Public Turing test to tell Computers and Humans Apart”.

(6) Extensible Markup Language.