Op 3 augustus 2026 kondigde Visa de overname van BioCatch aan voor $2,4 miljard in contanten. Eerder dat jaar legden de definitieve compromisteksten van PSR/PSD3, gepubliceerd op 23 april 2026 en nog steeds in afwachting van formele aanname, een principe vast waaraan Belgische banken zullen moeten wennen: in geval van spoofing zijn het de banken die klanten volledig moeten terugbetalen. Door de consolidatie van de RegTech-markt en de komst van AI-gestuurde monitoring in AML-surveillanceomgevingen is fraudedetectie niet langer een kostenpost — het is een van de belangrijkste risico’s voor de winstgevendheid geworden.
Drie ontwikkelingen die samenkomen, veranderen de fraud/AML-dynamiek in 2026 fundamenteel. Ten eerste is er consolidatie: Visa neemt BioCatch over ($2,4 miljard in contanten), marktleider op het gebied van gedragsbiometrie, die 760 miljoen gebruikers bij meer dan 350 financiële instellingen beschermt, als reactie op geschatte wereldwijde verliezen van meer dan $1 biljoen per jaar. Ten tweede is er regelgeving: de PSR keert de bewijslast om — in geval van identiteitsfraude waarbij een fraudeur zich voordoet als een bankmedewerker, moet de klant volledig worden terugbetaald en is het aan de bank om te bewijzen dat de klant zich schuldig heeft gemaakt aan grove nalatigheid, waarbij de bewijsdrempel aanzienlijk hoger ligt dan onder PSD2.
Voor Belgische banken is de combinatie ingrijpend: €93 miljoen werd in 2025 via phishing weggesluisd (tegen €49 miljoen in 2024), een blokkeringspercentage van 75% dat verder zal moeten stijgen, en een VoP die naar alle valuta en rails zal worden uitgebreid. Banken die fraude nog als een IT-probleem zien, moeten nu plannen, vóór de algemene toepassing van de PSR.
Waarom de fraudebestrijding de race verliest
De beoordeling van BioCatch zelf, voortkomend uit haar aankondiging van 3 augustus, verdient het om te worden geciteerd: als bedrijf en als sector winnen zij deze strijd niet — de verliezen, de aantallen pogingen, de muildierrekeningen en de slachtoffers blijven elk jaar toenemen (in sommige gevallen exponentieel), overal ter wereld — aankondigingsblog BioCatch, 3 augustus 2026. Generatieve AI heeft de oplichting geïndustrialiseerd: overtuigende stemdeepfakes, phishingcampagnes die bijna niet te onderscheiden zijn van een echte bank-e-mail, en aanzienlijk lagere aanvalskosten. Visa schat dat oplichting en accountovernames de wereldeconomie meer dan 1 biljoen dollar per jaar kosten.
De detectiemarkt reageert hierop met consolidatie. Nadat Featurespace in 2024 door Worldpay werd overgenomen, is het nu BioCatch — eigendom van fondsen geadviseerd door Permira en andere investeerders — dat voor $2,4 miljard in contanten onder de vlag van Visa komt, met afronding tegen het einde van Visa's fiscale Q2 2027, onder voorbehoud van goedkeuring. De industriële logica is duidelijk: BioCatch brengt gedragsdetectie, Visa de distributie — 14.500 instellingen en 329 miljard transacties per jaar ter waarde van meer dan $17 biljoen.
Hoe verandert het regelgevingskader tegelijkertijd?
Hoe verschuift het regelgevingskader tegelijkertijd?
Terwijl spelers in de betalingssector consolideren, legt Brussel de aansprakelijkheid vast. Op 23 april 2026 publiceerde de Raad de definitieve compromisteksten voor PSD3 en de PSR, met als doel een akkoord met het Parlement in eerste lezing (bron: Council of the EU, document register, ST-8221-2026-INIT [PSR] en ST-8222-2026-INIT [PSD3], 23/04/2026). Een herinnering aan de regelgevingsmechanismen: de PSR is een verordening — rechtstreeks van toepassing in alle 27 lidstaten zonder nationale omzetting; PSD3 is een richtlijn die moet worden omgezet in nationale wetgeving. Dit onderscheid is voor complianceafdelingen geen technische formaliteit: de timing en implementatielast verschillen.
De filosofische verschuiving is radicaal. Onder PSD2 was beveiliging "technisch": tweefactorauthenticatie, wachtwoorden. Onder de PSR wordt het "ecosysteemverantwoordelijkheid": samenwerking tussen actoren is niet langer optioneel en de bewijslast verschuift.
Wat betekenen de nieuwe regels inzake fraude en AML voor financiële instellingen?
1. De PSR: wat verandert er concreet voor de aansprakelijkheid van banken?
Spoofing eerst. Als een fraudeur zich voordoet als een bankmedewerker ("dit is de fraudedienst, maak uw geld over naar deze beveiligde rekening") en de klant hierop ingaat, moet de bank het volledige bedrag terugbetalen, op voorwaarde dat de klant zonder ongerechtvaardigde vertraging zijn bank en de politie heeft gewaarschuwd. Weigering is alleen mogelijk als de bank fraude of grove nalatigheid van de klant bewijst — een hogere drempel dan onder PSD2 — en de terugbetaling kan tot 15 werkdagen worden uitgesteld bij objectief gerechtvaardigde verdenking, met schriftelijke toelichting. In boekhoudkundige termen: elke succesvolle scam waarbij een fraudeur zich voordoet als bankmedewerker wordt een directe kost voor de instelling, tenzij moeilijk te bewijzen het tegendeel kan worden aangetoond.
Universele VoP, laatste golf. Verification of Payee (Name Check) was tot nu toe gebaseerd op de verordening inzake instantbetalingen en beperkt tot SEPA-eurotransfers. De PSR breidt dit uit naar alle transfers in EU-valuta en alle rails — maar de uitgebreide verplichting (art. 50/57) geldt ongeveer 27 maanden na inwerkingtreding, na de algemene toepassing van de PSR. Het "SEPA-veiligheidsnet" wordt een Europese bescherming, in de laatste golf.
Bevriezing aan de ontvangende zijde. De begunstigde PSP krijgt nu de bevoegdheid — en de verplichting — om als veiligheidsrem op te treden: verdachte inkomende gelden te bevriezen voordat ze op de rekening van de begunstigde worden bijgeschreven. Dit is het belangrijkste wapen tegen mule accounts en het snel wegsluizen van gelden.
Platforms worden onderdeel van de aansprakelijkheidsketen. Het meest besproken nieuwe element: nadat een bank een klant heeft terugbetaald die slachtoffer werd van een scam via een sociaal netwerk of frauduleuze advertentie, kan de bank verhaal halen op het platform — op voorwaarde dat het platform op de hoogte was gebracht van de frauduleuze inhoud en deze niet heeft verwijderd. Fraude eindigt in de bankapp, maar begint vaak op een platform; de regelgever heeft beslist de kosten terug te leggen bij de plaats waar ze zijn ontstaan.
Tot slot de GDPR-safe harbour. PSP's mogen expliciet fraudedata delen: identificatiegegevens van mule accounts, device fingerprints en aanvalspatronen. Collectieve verdedigingsconsortia en gedeelde blacklists zijn niet langer uitsluitend een compliance-risico, maar worden een aangemoedigd instrument.
2. Agentic AI en governance: wat Santander laat zien
Op het gebied van transactiemonitoring is het vaak aangehaalde voorbeeld Santander, dat al meerdere jaren AI-modellen van ThetaRay gebruikt om witwaspatronen te detecteren die met statische regels onzichtbaar blijven. De nuttige les voor een Belgische compliance officer is governance: kenmerken documenteren, beslissingen traceren en antwoorden voor toezichthouders voorbereiden — precies wat AMLA zal formaliseren. Een model dat "werkt" zonder uitlegbaar te zijn, is een aansprakelijkheidsbom, vooral omdat de PSR de bank financieel verantwoordelijk maakt voor gemiste fraude.
3. Marktconsolidatie: fraudedetectie wordt infrastructuur
De deal van 3 augustus 2026 past in Visa's value-added services-strategie. Na Featurespace/Worldpay in 2024 komt BioCatch — eigendom van fondsen geadviseerd door Permira — voor $2,4 miljard in contanten onder Visa, met afronding tegen het einde van Visa's fiscale Q2 2027, onder voorbehoud van goedkeuringen. Andrew Torre, president van de divisie, vat samen: fraude stoppen vóór de betalingsfase.
Voor Europese banken is het signaal concurrentieel: gekoppeld aan Visa's rails (14.500 instellingen, 329 miljard transacties per jaar) wordt BioCatch's model gevoed door een ongekend datavolume. De vraag is niet langer "hebben we gedragsdetectie nodig?" maar "bij welke leverancier, met welke afhankelijkheid en auditability?"
België: 93 miljoen euro phishingverlies in 2025
De Belgische bankfederatie Febelfin documenteert de blootstelling van het land: in 2025 werd €93 miljoen via phishing weggesluisd, tegen €49 miljoen in 2024, terwijl Belgische banken ongeveer 75% van de frauduleuze transacties uit deze campagnes detecteren, blokkeren of recupereren. Het nettoverlies komt overeen met ongeveer 0,004% van het totale transactievolume in 2025: elke individuele fraude is marginaal voor de bank, het totaal niet. Onder de PSR wordt de resterende 25% een directe kost, bovenop volledige terugbetalingen bij bankspoofing.
Belgische phishing heeft een specifiek kenmerk: het maakt gebruik van het vertrouwen in institutionele kanalen — valse berichten uit naam van de Nationale Bank, valse bankadviseurs. De NBB heeft waarschuwingen moeten publiceren tegen valse artikelen en berichten die haar naam gebruiken. Voor Belgische instellingen zijn universele VoP en bevriezing aan de ontvangende zijde geen abstracte concepten — het zijn de twee instrumenten die zullen helpen om het resterende verliespercentage te verlagen, — bevriezing bij algemene toepassing van de PSR, uitgebreide VoP ongeveer zes maanden later.
Het platform in het vizier: het precedent van beleggingsfraude
Kunnen sociale-mediaplatforms nu financieel aansprakelijk worden voor fraude?
Het aansprakelijkheidsprincipe voor platforms in de PSR speelt in op een grootschalig fenomeen: valse beleggingsadvertenties op sociale media. Het mechanisme werkt als volgt: de bank vergoedt het slachtoffer en probeert vervolgens verhaal te halen op het platform, dat op de hoogte was gebracht van de frauduleuze inhoud maar deze niet heeft verwijderd. Voor Belgische banken is dit een nieuwe mogelijkheid tot recuperatie — maar daarvoor moet een strikte traceerbaarheid worden opgezet van meldingen die aan platforms worden verstuurd. Een niet-gedocumenteerde melding betekent verloren verhaalsmogelijkheden.
Wat moeten Compliance-, Risk-, Legal-, Procurement- en IT-teams nu doen?
Voor compliance- en AML-afdelingen. Transactiemonitoring moet verschuiven van een regelgebaseerde logica naar een gedragsgerichte, voorspellende aanpak. Concreet: audit de false-positivepercentages, verminder het aandeel handmatig verwerkte alerts en bereid het dossier rond de uitlegbaarheid van modellen voor voordat AMLA hierom vraagt.
Voor risk- en operationsafdelingen. Bevriezing aan de ontvangende zijde is een belangrijke proceswijziging: er zijn snelle beslissingsprocessen nodig om verdachte inkomende gelden te bevriezen zonder legitieme klanten te benadelen, evenals verificatieworkflows die zijn afgestemd op universele VoP — inclusief niet-SEPA-transfers en hoogwaardige betalingen die nu binnen de scope vallen.
Voor juridische afdelingen. Breng spoofinggevallen in kaart en bouw bewijstdossiers op: onder de PSR is het de bank die de grove nalatigheid van de klant moet bewijzen om een terugbetaling te weigeren. Zorg ook voor traceerbaarheid van meldingen aan platforms — verhaal op hen is alleen mogelijk als de melding gedocumenteerd is.
Voor procurement- en IT-afdelingen. De consolidatie van de markt verkleint het aanbod van onafhankelijke leveranciers van gedragsdetectie. Meerjarige contracten zullen technologische afhankelijkheid moeten adresseren, evenals de auditclausules die toezichthouders vereisen voor outsourcing.
Wat zijn de belangrijkste aandachtspunten voor Belgische banken?
De PSR keert de bewijslast om: in gevallen van spoofing moet de bank het volledige bedrag terugbetalen, tenzij zij de grove nalatigheid van de klant kan bewijzen — een aanzienlijk hogere drempel dan onder PSD2 (iPiD).
Bevriezing aan de ontvangende zijde wordt verplicht bij algemene toepassing van de PSR; uitgebreide VoP (alle valuta, alle rails) volgt ongeveer zes maanden later — plannen, niet als onmiddellijk project behandelen (iPiD).
Fraudedetectie consolideert: Visa/BioCatch voor $2,4 miljard, na Featurespace/Worldpay — gedragsdetectie wordt betalingsinfrastructuur en niet langer een optie (CNBC).
In België werd in 2025 €93 miljoen via phishing weggesluisd (tegen €49 miljoen in 2024) en bedroeg het blokkeringspercentage 75%: de PSR maakt van de resterende 25% een directe kost voor Belgische banken (Febelfin).
Roadmap / Tijdlijn voor de komende periode
Deadline | Gebeurtenis | Aanbevolen actie |
|---|---|---|
December 2026 | Plenaire stemming Europees Parlement over PSR/PSD3 (indicatieve datum: 14/12/2026), daarna publicatie in PB | Impactanalyse en monitoring afronden |
Q4 2028 (geschat) | Algemene toepassing PSR, 21 maanden na inwerkingtreding. Uitgebreide begunstigdenverificatie (art. 50/57) en gerelateerde aansprakelijkheid ongeveer 6 maanden later, dus Q2 2029 | VoP buiten SEPA, bevriezing aan ontvangende zijde, delen van fraudedata |
Juli 10, 2027 | Volledige toepassing van de AMLR — één AML-regelboek in de hele EU | Transactiemonitoring afstemmen op AMLA-normen; modeluitlegbaarheid voorbereiden |
Januari 1, 2028 | Start van het directe toezicht van AMLA op hoogrisicogroepen | Grote Belgische groepen dienen nu hun RegTech-outsourcingkeuzes te documenteren. |
Zijn Belgische banken klaar voor de nieuwe economische realiteit van fraude?
De boodschap voor Belgische banken is duidelijk: fraude kan niet langer worden behandeld als een louter operationeel of IT-probleem. De combinatie van toenemende scamvolumes, steeds geavanceerdere AI-gestuurde aanvallen, strengere aansprakelijkheidsregels onder de PSR en een snelle consolidatie van fraudedetectietechnologie verandert de economische impact van fraude fundamenteel.
De overname van BioCatch door Visa illustreert waar de markt naartoe gaat: gedragsanalyse en AI-gestuurde detectie worden kernonderdelen van de betalingsinfrastructuur. Tegelijkertijd zal de PSR de financiële verantwoordelijkheid van PSP's vergroten, met name in gevallen van spoofing en scams, terwijl Verification of Payee wordt uitgebreid en controles rond verdachte betalingen worden versterkt.
Voor banken moet de prioriteit daarom liggen bij de verschuiving van reactief fraudebeheer naar proactieve fraudepreventie. Dit betekent investeren in gedragsdetectie, het versterken van VoP en controles aan de ontvangende zijde, het verbeteren van het delen van fraudedata en ervoor zorgen dat geautomatiseerde modellen uitlegbaar, controleerbaar en goed beheerd zijn.
De regelgevingskalender laat weinig ruimte voor zelfgenoegzaamheid. Instellingen die nu beginnen met de aanpassing van hun systemen en processen, kunnen deze veranderingen aangrijpen als een kans om fraudeverliezen te beperken, klanten beter te beschermen en een veerkrachtiger controlekader op te bouwen. Instellingen die wachten tot de nieuwe verplichtingen van kracht worden, lopen het risico niet alleen met hogere fraudecijfers te worden geconfronteerd, maar ook met aanzienlijk grotere financiële en regelgevende risico's.
