Private Banking & Wealth Management – Bertrand Mariaux

Reverse Solicitation in Luxembourg Private Banking: Evidence and Limits

Bertrand Mariaux — Fri, 17 Jul 2026 22:26:27 +0000

Reverse solicitation, or the provision of a service at the client’s own exclusive initiative, describes a situation in which a client independently requests an investment service from a firm that has not solicited clients or potential clients in the relevant territory, nor promoted or advertised the service, whether directly or through an entity acting on its behalf or having close links with it. Where recognised by the applicable law, it may have the effect of disapplying a specific authorisation requirement or of the service not being regarded as provided in the relevant territory. It is not, however, a general cross-border authorisation or an automatic substitute for a passport, licence or other applicable market-access requirement.

The situation may be very practical. A client resident or established abroad spontaneously writes to a Luxembourg bank: “I would like to purchase this bond. Can you help me?”

May the bank provide the requested service merely because the client made the first contact? Not automatically. It must verify three elements: the applicable law and location of the service, the absence of earlier commercial activity and the precise scope of the request.

First control: in which direction is the service provided?

The European framework for investment services includes Directive 2014/65/EU of the European Parliament and of the Council of 15 May 2014 on markets in financial instruments, consolidated as at 6 June 2026 (the MiFID II Directive) and Regulation (EU) No 600/2014 of the European Parliament and of the Council of 15 May 2014 on markets in financial instruments (MiFIR). The MiFID II Directive was transposed in Luxembourg notably through the Law of 30 May 2018 on markets in financial instruments and amendments to the Law of 5 April 1993 on the financial sector, as amended (the LFS). More specifically, as regards an investment service provided by a third-country firm at the client’s own exclusive initiative, Article 42 of the MiFID II Directive is reflected in Article 32-1(3) of the LFS. MiFIR, as an EU regulation, is directly applicable.

Four situations should be distinguished:

Situation	First rule to verify
Luxembourg bank serving a client in France or another European Economic Area State	First determine whether, under the law and territorial approach of the relevant State, the service is regarded as being provided in its territory. If so, verify that the relevant activities are covered by the bank’s passport and by the notification made to the Commission de Surveillance du Secteur Financier (the CSSF) under Article 34(1) of the LFS.
Luxembourg bank serving a client outside the European Economic Area	The EU passport does not apply. Assess the law of each jurisdiction in which the service may be regarded as being provided, including its territoriality and market-access rules and, where relevant, the effect given to the client’s initiative.
Third-country firm providing an investment service to a client in Luxembourg	Article 42 of the MiFID II Directive for retail clients and elective professional clients; Article 46(5) of MiFIR for per se professional clients and eligible counterparties. Irrespective of that classification, Article 32-1(3) of the LFS governs the provision in Luxembourg, at the client’s own exclusive initiative, of an investment service by a third-country firm.
Credit institution or foreign financial-sector professional from a third country referred to in Article 32(1) of the LFS, not established in Luxembourg, coming to Luxembourg occasionally and temporarily, notably to receive deposits or other repayable funds from the public or to provide any other service falling within the LFS	Article 32(5) of the LFS, which notably requires written authorisation from the CSSF.

This analysis is limited to investment services and activities. It does not extend reverse solicitation to deposits or other repayable funds from the public, lending or other services falling within the LFS. No general exemption arises for those services merely from the client’s own initiative.

The EU and Luxembourg rules concerning third-country firms directly govern services provided into the Union or Luxembourg. For a Luxembourg bank serving a client abroad, they provide useful benchmarks concerning client initiative and evidence but do not replace an assessment under the law of each relevant jurisdiction.

Article 42(1) of the MiFID II Directive and Article 32-1(3) of the LFS directly address the situation in which a third-country firm provides an investment service to a client established or situated in the Union at that client’s own exclusive initiative. They do not give a Luxembourg bank general permission to serve clients abroad.

Second control: what should the banker do upon receiving the message?

The relationship manager should not immediately send a brochure, product selection or commercial proposal. The relationship manager should:

retain the original message with its date and time;
identify the client’s country of residence or establishment and the location from which the request was made;
record the precise words used and the product or service requested;
check the internal country-by-country cross-border rules applicable to that jurisdiction and service;
search the bank’s systems for earlier communications, including marketing campaigns, calls, meetings involving solicitation, LinkedIn messages, events or introducer involvement;
refer the file to Legal or Compliance before any response containing an offer or recommendation.

In its answer of 25 May 2018 concerning the client’s own exclusive initiative, the European Securities and Markets Authority (ESMA) explains that the assessment must address the actual facts on a service-by-service basis. A signed client declaration cannot cure earlier commercial solicitation.

The bank must therefore be able to produce a complete chronology. According to ESMA, the firm should be able to provide records tracking the relationship with the client and, in particular, establishing who took the initiative. The bank should retain the original message and timestamp, customer-relationship-management records, marketing history, call logs, meeting notes, any intermediary involvement and the compliance approval.

CSSF Circular 19/716 as amended by CSSF Circular 20/743 (the Amended CSSF Circular 19/716) applies directly to third-country firms providing investment services in Luxembourg. Part III, numbered pages 11/22 and 12/22, requires the firm to document and retain its territorial analysis. Separately, it requires reverse solicitation to be assessed for each service and on a continuous basis. A concrete assessment based on the facts of each file also follows from the ESMA Q&A.

Three operational examples

Defensible situation, subject to the applicable law

The client independently sends an email requesting the purchase of a specifically identified bond. The bank’s systems show no earlier campaign, call or meeting involving solicitation. Legal or Compliance confirms that the law of each relevant jurisdiction permits the bank to respond.

Indefensible situation

The banker sent a bond presentation, presented or promoted the relevant product to the client during a commercial event, or asked an intermediary to contact the client. The client then responds with an investment request. That response does not transform the original solicitation into reverse solicitation.

Situation requiring clarification

The client was introduced by an intermediary. The bank must establish for whom the intermediary acted, who arranged the contact and whether commercial activity had previously been undertaken on the bank’s behalf.

Third control: how far may the bank go after the request?

The response must remain limited to the client’s request.

Article 32-1(3) of the LFS provides that the client’s initiative does not entitle a third-country firm to market new categories of investment products or services. Article 42(2) of the MiFID II Directive provides that new categories may not be marketed otherwise than through the branch where a branch is required under national law.

Those provisions directly govern a third-country firm providing a service into the Union or Luxembourg. For a Luxembourg bank serving a client abroad, the limits of its response and subsequent approaches arise under the law of each relevant jurisdiction. The same logic remains operationally prudent: a one-off request should not be treated as permanent permission without verifying the applicable law.

In its answer of 28 March 2019, ESMA explains that a third-country firm may present another product within the same category during the transaction in progress. It may not market such a product at a later stage without a new client initiative, unless this is done through a branch where national law requires one.

In practice, after the transaction, the bank should:

record the product and service covered by the request;
disable automated campaigns that are incompatible with the applicable regime;
subject any extension of the relationship to a new cross-border review;
document each new spontaneous request separately.

For a Luxembourg bank serving a client abroad, a request to purchase a bond should therefore not be treated, without verifying the applicable law, as permitting the bank to market a fund, structured product, portfolio-management mandate or even another bond one month later.

The operational rule is concise: identify the service concerned, verify the law of each relevant jurisdiction, retain the complete chronology and never turn a one-off request into permanent permission.

Connect with Bertrand Mariaux on LinkedIn. You can listen to the related podcast on Apple Podcasts, Spotify, YouTube or wherever you get your podcasts.

References:

Reverse solicitation en banque privée luxembourgeoise : preuve et limites

Bertrand Mariaux — Thu, 16 Jul 2026 21:32:03 +0000

La reverse solicitation, ou fourniture d’un service sur la seule initiative du client, désigne la situation dans laquelle un client sollicite de sa propre initiative un service d’investissement auprès d’un établissement qui n’a pas démarché de clients ou de clients potentiels sur le territoire concerné, ni promu ou fait de la publicité pour ce service, que ce soit directement ou par une entité agissant pour son compte ou ayant des liens étroits avec lui. Lorsqu’elle est reconnue par le droit applicable, elle peut avoir pour effet d’écarter une exigence déterminée d’agrément ou de conduire à considérer que le service n’est pas fourni sur le territoire concerné. Elle ne constitue toutefois ni une autorisation transfrontalière générale ni un substitut automatique au passeport, à l’agrément ou aux autres conditions d’accès au marché applicables.

La situation peut être très concrète. Un client résidant ou établi à l’étranger écrit spontanément à une banque luxembourgeoise : « Je souhaite acheter cette obligation. Pouvez-vous m’aider ? »

La banque peut-elle fournir le service demandé au seul motif que le client l’a contactée le premier ? Pas automatiquement. Elle doit vérifier trois éléments : le droit applicable et la localisation du service, l’absence de démarche commerciale préalable et le périmètre exact de la demande.

Premier contrôle : dans quel sens le service est-il fourni ?

Le cadre européen des services d’investissement comprend notamment la directive 2014/65/UE du Parlement européen et du Conseil du 15 mai 2014 concernant les marchés d’instruments financiers, dans sa version consolidée au 6 juin 2026 (ci-après, la Directive MiFID II) et le règlement (UE) n° 600/2014 du Parlement européen et du Conseil du 15 mai 2014 concernant les marchés d’instruments financiers (ci-après, MiFIR).

La Directive MiFID II a été transposée au Luxembourg, notamment par la loi du 30 mai 2018 relative aux marchés d’instruments financiers et par les modifications apportées à la loi modifiée du 5 avril 1993 relative au secteur financier (ci-après, la LSF). S’agissant précisément de la fourniture d’un service d’investissement par une entreprise de pays tiers sur la seule initiative du client, l’article 42 de la Directive MiFID II trouve sa traduction en droit luxembourgeois à l’article 32-1(3) de la LSF. MiFIR, en tant que règlement de l’Union européenne, est directement applicable.

Il faut distinguer quatre situations :

Situation	Première règle à vérifier
Banque luxembourgeoise servant un client en France ou dans un autre État de l’Espace économique européen	Déterminer d’abord si, selon le droit et l’approche territoriale de l’État concerné, le service est considéré comme fourni sur son territoire. Dans l’affirmative, vérifier que les activités concernées sont couvertes par le passeport de la banque et par la notification effectuée auprès de la Commission de surveillance du secteur financier (ci-après, la CSSF) conformément à l’article 34(1) de la LSF.
Banque luxembourgeoise servant un client hors de l’Espace économique européen	Le passeport européen ne s’applique pas. Examiner le droit de la ou des juridictions dans lesquelles le service est susceptible d’être considéré comme fourni, notamment leurs règles de territorialité et d’accès au marché ainsi que, le cas échéant, la portée reconnue à l’initiative du client.
Entreprise d’un pays tiers fournissant un service d’investissement à un client au Luxembourg	Article 42 de la Directive MiFID II pour les clients de détail et les clients professionnels « sur demande » ; article 46(5) de MiFIR pour les clients professionnels « per se » et les contreparties éligibles. Indépendamment de cette classification, l’article 32-1(3) de la LSF régit la fourniture au Luxembourg, sur la seule initiative du client, d’un service d’investissement par une entreprise de pays tiers.
Établissement de crédit ou professionnel du secteur financier de droit étranger d’un pays tiers visé à l’article 32(1) de la LSF, non établi au Luxembourg, y venant occasionnellement et passagèrement, notamment pour y recueillir des dépôts ou d’autres fonds remboursables du public ou pour y prester tout autre service relevant de la LSF	Article 32(5) de la LSF, qui prévoit notamment un agrément écrit de la CSSF.

Cette analyse porte exclusivement sur les services et activités d’investissement. Elle n’étend pas la reverse solicitation à la réception de dépôts ou d’autres fonds remboursables du public, à l’octroi de crédits ou aux autres services relevant de la LSF. Aucune dispense générale fondée sur la seule initiative du client n’en résulte pour ces services.

Les règles européennes et luxembourgeoises concernant les entreprises de pays tiers régissent directement les services fournis dans l’Union européenne ou au Luxembourg. Pour une banque luxembourgeoise servant un client à l’étranger, elles fournissent des repères utiles concernant l’initiative du client et sa preuve, mais ne remplacent pas l’analyse du droit de chaque juridiction concernée.

L’article 42(1) de la Directive MiFID II et l’article 32-1(3) de la LSF traitent directement de la situation dans laquelle une entreprise de pays tiers fournit un service d’investissement à un client établi ou situé dans l’Union sur la seule initiative de celui-ci. Ils ne donnent donc pas à une banque luxembourgeoise une autorisation générale de servir des clients à l’étranger.

Deuxième contrôle : que doit faire le banquier dès réception du message ?

Le chargé de relation ne devrait pas envoyer immédiatement une brochure, une sélection de produits ou une proposition commerciale. Il devrait :

conserver le message original avec sa date et son heure ;
identifier le pays de résidence ou d’établissement du client et le lieu depuis lequel il formule sa demande ;
enregistrer les mots exacts employés et le produit ou service demandé ;
vérifier les règles internes transfrontalières, pays par pays, applicables à ce pays et à ce service ;
rechercher dans les systèmes toute communication antérieure : campagne marketing, appel, réunion comportant une sollicitation, message LinkedIn, événement ou intervention d’un apporteur ;
transmettre le dossier au département juridique ou compliance avant toute réponse comportant une offre ou une recommandation.

Dans sa réponse du 25 mai 2018 relative à la seule initiative du client, l’Autorité européenne des marchés financiers (ci-après, l’ESMA) précise que l’analyse doit porter concrètement sur les faits, service par service. Une déclaration signée par le client ne corrige pas une démarche commerciale antérieure.

La banque doit donc pouvoir produire une chronologie complète. Selon l’ESMA, l’entreprise devrait être en mesure de produire des traces permettant de suivre la relation avec le client et, en particulier, d’établir qui a pris l’initiative. La banque devrait conserver le message original et son horodatage, les historiques de gestion de la relation client, les campagnes marketing, les relevés d’appels, les comptes rendus de réunions, l’intervention éventuelle d’un intermédiaire et la validation de conformité.

La Circulaire CSSF 19/716 telle que modifiée par la circulaire CSSF 20/743 (ci-après, la Circulaire CSSF 19/716 modifiée) s’applique directement aux entreprises de pays tiers fournissant des services d’investissement au Luxembourg. Sa partie III, pages numérotées 12/23 et 13/23, exige que l’entreprise documente et conserve son analyse de territorialité. Elle prévoit séparément que la reverse solicitation doit être évaluée pour chaque service et de manière continue. L’appréciation concrète, au regard des faits propres à chaque dossier, résulte également des questions-réponses de l’ESMA.

Trois exemples opérationnels

Situation défendable, sous réserve du droit applicable

Le client envoie de lui-même un courriel demandant l’achat d’une obligation précisément identifiée. Les systèmes ne montrent aucune campagne, aucun appel et aucune réunion antérieure comportant une sollicitation. Le département juridique ou compliance confirme que le droit du pays concerné permet à la banque de répondre.

Situation non défendable

Le banquier a envoyé une présentation obligataire, présenté ou promu le produit concerné auprès du client lors d’un événement commercial, ou demandé à un intermédiaire de le contacter. Le client répond ensuite qu’il souhaite investir. Sa réponse ne transforme pas le démarchage initial en reverse solicitation.

Situation à clarifier

Le client a été présenté par un intermédiaire. La banque doit établir pour qui cet intermédiaire agissait, qui a organisé le contact et si une démarche commerciale avait été entreprise pour son compte.

Troisième contrôle : que peut faire la banque après la demande ?

La réponse doit rester limitée à la demande du client.

L’article 32-1(3) de la LSF précise que l’initiative du client ne donne pas à l’entreprise de pays tiers le droit de commercialiser de nouvelles catégories de produits ou de services d’investissement. L’article 42(2) de la Directive MiFID II prévoit que de nouvelles catégories ne peuvent être commercialisées autrement que par l’intermédiaire de la succursale lorsqu’une telle succursale est requise par le droit national.

Ces dispositions régissent directement l’entreprise de pays tiers fournissant un service dans l’Union ou au Luxembourg. Pour une banque luxembourgeoise servant un client à l’étranger, les limites de la réponse et des démarches ultérieures découlent du droit de chaque juridiction concernée. La même logique de prudence opérationnelle demeure néanmoins pertinente : une demande ponctuelle ne devrait pas être traitée comme une autorisation permanente sans vérification du droit applicable.

L’ESMA précise, dans sa réponse du 28 mars 2019, qu’une entreprise de pays tiers peut présenter un autre produit de la même catégorie pendant l’opération en cours. Elle ne peut pas commercialiser ultérieurement un tel produit sans nouvelle initiative du client, sauf par l’intermédiaire d’une succursale lorsque le droit national en impose l’établissement.

Concrètement, après l’opération, la banque devrait :

enregistrer le produit et le service couverts par la demande ;
désactiver les campagnes automatiques incompatibles avec le régime applicable ;
soumettre toute extension de la relation à un nouveau contrôle transfrontalier ;
documenter séparément toute nouvelle demande spontanée du client.

Pour une banque luxembourgeoise servant un client à l’étranger, une demande d’achat d’une obligation ne devrait donc pas être traitée, sans vérification du droit applicable, comme permettant d’envoyer un mois plus tard une offre portant sur un fonds, un produit structuré, un mandat de gestion ou même une autre obligation.

À retenir : identifier le service concerné, vérifier le droit de chaque juridiction, conserver la chronologie complète et ne jamais transformer une demande ponctuelle en autorisation permanente.

Connectez-vous avec Bertrand Mariaux sur LinkedIn. Vous pouvez écouter le podcast associé sur ApplePodcasts, Spotify, YouTube ou sur votre plateforme d’écoute préférée.

Références :

Dutch Private-Banking Clients: Cross-Border Servicing Checks from Luxembourg

Bertrand Mariaux — Sat, 04 Jul 2026 23:47:04 +0000

Dutch private-banking clients must be serviced from Luxembourg on a service-by-service basis. The European passport is the starting point.

For a Luxembourg credit institution, Article 2 of the Law of 5 April 1993 on the financial sector, as amended (hereafter, the Financial Sector Law) sets the authorisation requirement. Article 34(1) of the Financial Sector Law frames outbound banking services in another Member State. It implements the notification logic of Article 39(1) of Directive 2013/36/EU of 26 June 2013 (hereafter, the CRD) where the institution provides services for the first time in another Member State. For investment services, Article 34(1) to (3) of Directive 2014/65/EU of 15 May 2014 on markets in financial instruments (hereafter, MiFID II) is reflected, for outbound Luxembourg servicing, in Article 34(2) to (4) of the Financial Sector Law.

Three Key Takeaways

(i) Map the exact service perimeter: deposits, lending, investment advice, discretionary portfolio management, reception and transmission of orders, and ancillary services must match the authorisation, the passport notification and, for investment services, the programme of operations required under Article 34(2)(b) of MiFID II and Article 34(2)(b) of the Financial Sector Law.
(ii) Do not confuse private-banking status, professional-client status and eligible-counterparty status. “Private-banking client” is not a legal client category under MiFID II. Article 4(1)(10) of MiFID II defines the professional client. Article 4(1)(11) of MiFID II defines the retail client. Eligible counterparties fall under Article 30 of MiFID II, transposed in Article 37-7 of the Financial Sector Law. A high-net-worth Dutch client remains retail unless properly classified as professional.
(iii) Apply the relevant Dutch rules in practice, including Section 4:19(2) of the Wet op het financieel toezicht (hereafter, the Wft) and Section 2 of the AFM Policy Rule on Provision of Information of 30 September 2024, for correct, clear and non-misleading communications. The same investment-services standard is reflected in Article 24(3) of MiFID II and Article 37-3(2) of the Financial Sector Law.

Must-know: the fact that transactions are merely recorded or booked in Luxembourg is not enough to evidence compliance. The file needs a Netherlands control trail: passported services, client status, entry channel, language, marketing material, documentation, visits, complaints and exceptions.

In practice, the bank should formalise Netherlands-specific cross-border controls before recurring client coverage. Without them, cross-border servicing becomes an operational grey zone.

Connect with Bertrand Mariaux on LinkedIn. You can listen to the related podcast on ApplePodcast, Spotify, YouTube, or wherever you get your podcasts.

References:

Clients néerlandais en banque privée : contrôles transfrontaliers depuis Luxembourg

Bertrand Mariaux — Sat, 04 Jul 2026 00:06:54 +0000

Clients néerlandais en banque privée : le suivi transfrontalier depuis Luxembourg doit être contrôlé service par service. Le point de départ est le passeport européen.

Pour un établissement de crédit luxembourgeois, l’article 2 de la loi modifiée du 5 avril 1993 relative au secteur financier (ci-après, la LSF) pose la nécessité d’un agrément. L’article 34, paragraphe 1er, de la LSF encadre la prestation de services bancaires dans un autre État membre. Il transpose la logique de notification prévue à l’article 39, paragraphe 1er, de la directive 2013/36/UE du 26 juin 2013 (ci-après, la CRD) lorsque l’établissement exerce pour la première fois la libre prestation de services. Pour les services d’investissement, l’article 34, paragraphes 1 à 3, de la directive 2014/65/UE du 15 mai 2014 concernant les marchés d’instruments financiers (ci-après, MiFID II) est repris, pour la prestation transfrontalière depuis Luxembourg, à l’article 34, paragraphes 2 à 4, de la LSF.

Trois implications majeures

(i) Vérifier le périmètre exact : dépôt, crédit, conseil en investissement, gestion discrétionnaire, réception-transmission d’ordres et services accessoires doivent correspondre à l’agrément, à la notification de passeport et, pour les services d’investissement, au programme d’activités visé par l’article 34, paragraphe 2, point b), de MiFID II et l’article 34, paragraphe 2, point b), de la LSF.
(ii) Ne pas confondre client patrimonial, client professionnel et contrepartie éligible. La notion de « client patrimonial » n’est pas une catégorie juridique sous MiFID II. L’article 4, paragraphe 1er, point 10, de MiFID II définit le client professionnel. L’article 4, paragraphe 1er, point 11, de MiFID II définit le client de détail. Les contreparties éligibles relèvent de l’article 30 de MiFID II, transposé à l’article 37-7 de la LSF. Un client fortuné reste donc client de détail sauf classification professionnelle valable.
(iii) Appliquer en pratique les règles néerlandaises encore pertinentes, notamment l’article 4:19, paragraphe 2, de la Wet op het financieel toezicht (ci-après, la Wft) et la section 2 de la Policy Rule on Provision of Information de l’AFM du 30 septembre 2024, pour les communications correctes, claires et non trompeuses. Le même standard existe, pour les services d’investissement, à l’article 24, paragraphe 3, de MiFID II et à l’article 37-3, paragraphe 2, de la LSF.

À retenir : le fait que les opérations soient simplement enregistrées ou comptabilisées au Luxembourg (« centre de booking ») ne suffit pas à démontrer la conformité. Il faut une piste d’audit Pays-Bas : services passeportés, statut client, canal d’entrée, langue, supports commerciaux, documentation, visites, réclamations et exceptions.

En pratique, la banque doit formaliser des contrôles transfrontaliers spécifiques aux Pays-Bas avant tout suivi client récurrent. À défaut, le suivi transfrontalier devient une zone grise opérationnelle.

Connectez-vous avec Bertrand Mariaux sur LinkedIn. Vous pouvez écouter le podcast associé sur ApplePodcast, Spotify, YouTube ou sur votre plateforme d’écoute préférée.

Références :

Belgian Clients in Luxembourg Private Banking: The Legal Perimeter

Bertrand Mariaux — Thu, 02 Jul 2026 21:32:09 +0000

Belgian clients in Luxembourg private banking require a clearly defined cross-border legal framework grounded in EU passporting and national supervisory rules. This framework rests on a structured regulatory analysis—covering authorisation, scope of services and applicable conduct rules—rather than on simple commercial segmentation. A Luxembourg private bank starts with the European passport under Directive 2013/36/EU of 26 June 2013 on access to the activity of credit institutions and the prudential supervision of credit institutions and investment firms (hereafter, the CRD IV Directive). Under Luxembourg law, Articles 33 and 34 of the Law of 5 April 1993 on the financial sector (hereafter, the Financial Sector Law) address the establishment of branches and the provision of services in another Member State.

For investment services, the framework also relies on Directive 2014/65/EU of 15 May 2014 on markets in financial instruments (hereafter, the MiFID II Directive). Articles 34 and 35 of the MiFID II Directive address the freedom to provide investment services and the establishment of branches. The Law of 30 May 2018 on markets in financial instruments (hereafter, the MiFID II Law) transposes the MiFID II Directive and notably amends the Financial Sector Law.

Key point: passporting does not override Belgian rules serving the general interest (règles d’intérêt général). Belgian residence changes the operational perimeter, even where the relationship is managed from Luxembourg.

Three Core Legal Perimeter Checks

(i) Confirm that the Belgian activity is covered by the Luxembourg authorisation, the CRD IV Directive, the MiFID II Directive and the relevant freedom-to-provide-services notification.
(ii) Apply the relevant Belgian rules safeguarding the general interest (règles d’intérêt général). The NBB/FSMA list of provisions that may apply to EEA credit institutions operating in Belgium under the freedom to provide services (hereafter, the Belgian FPS List) identifies Belgian economic and financial provisions that may protect the general interest. It is non-exhaustive and applies without prejudice to separately applicable Belgian civil, commercial, criminal, tax or privacy rules.
(iii) Keep the Luxembourg controls in force. The Financial Sector Law governs organisational requirements, conflicts of interest and conduct of business rules, in particular Articles 37-1, 37-2 and 37-3. The Grand-ducal Regulation of 30 May 2018 on the protection of financial instruments and funds belonging to clients, product governance obligations and the rules applicable to the provision or reception of fees, commissions or any monetary or non-monetary benefits (hereafter, the Client Protection Regulation) requires documented product governance.

In practice, the bank must establish and maintain a comprehensive, documented and defensible Belgium country file, evidencing its legal analysis and operational controls. It should classify the channel: unsolicited request, Belgian campaign, visit, event, targeted website or tied agent. It should also classify the client, the service and the product. A wealthy client may still be a retail client under the MiFID II Directive.

Connect with Bertrand Mariaux on LinkedIn. You can listen to the related podcast on ApplePodcast, Spotify, YouTube, or wherever you get your podcasts.

References:

French Private-Banking Clients: Securing Servicing from Luxembourg

Bertrand Mariaux — Tue, 30 Jun 2026 17:59:07 +0000

French private-banking clients require a freedom-to-provide-services check where a Luxembourg institution services or acquires French-resident clients from Luxembourg. The legal issue is not only the client’s nationality. It is which entity acts, from which Member State, towards which market, and for which regulated service.

For a Luxembourg bank, the Luxembourg basis remains the Law of 5 April 1993 on the financial sector, as amended (the “Financial Sector Act 1993”). For banking activities, Directive 2013/36/EU of 26 June 2013 on access to the activity of credit institutions and prudential supervision of credit institutions and investment firms (“CRD IV”) provides the EU basis for passporting and freedom to provide services. On the French side, Article L. 511-22 of the French Monetary and Financial Code (the “CMF”) allows a credit institution having its registered office in another Member State to operate in France under freedom to provide services, within the scope of the authorisation granted in its home Member State. For investment services, Directive 2014/65/EU of 15 May 2014 on markets in financial instruments (“MiFID II”) is the EU basis for freedom to provide investment services, while Article L. 532-18 of the CMF organises its application on French territory, within the scope of the authorisation granted in the home Member State.

Three Operational Checks

(i) Classify the service. Deposits, Lombard lending (credit secured against a portfolio of financial instruments), payments, investment advice, discretionary portfolio management (a mandate under which the client entrusts the bank with portfolio management and decision-making authority without prior validation of each transaction), structured products (financial instruments whose return is linked to the performance of one or more underlying assets, indices or benchmarks and whose payoff is determined by predefined formulas) and fund distribution do not use the same passport analysis.
(ii) Check the notified scope. This is the freedom-to-provide-services notification sent by the competent authority of the home Member State, for example the Commission de Surveillance du Secteur Financier (CSSF), to the host Member State authority. In France, the Autorité de contrôle prudentiel et de résolution (ACPR) is central for banking and insurance matters; the Autorité des marchés financiers (AMF) becomes relevant for financial markets, financial instruments, portfolio management, distribution of financial products and investor protection. The control should be performed entity by entity: Luxembourg institution, French group entity, or cooperation between entities.
(iii) Apply the relevant French host-State rules adopted in the general interest (règles françaises d’intérêt général) in practice. These include pre-contractual information duties, banking and financial solicitation (démarchage bancaire et financier) rules, know-your-customer (KYC) requirements, anti-money laundering and counter-terrorist financing (AML/CFT) controls, and French investor-protection rules.

KYC matters because Luxembourg-to-France servicing is not only a passporting question. The Luxembourg institution carrying the relationship must also control onboarding, customer risk, due-diligence duties and ongoing monitoring. These requirements stem from the EU AML/CFT framework, including Directive (EU) 2015/849 of 20 May 2015 on the prevention of the use of the financial system for money laundering or terrorist financing (the “AML Directive 2015/849” or “AMLD4”), as amended in particular by Directive (EU) 2018/843 of 30 May 2018 amending Directive (EU) 2015/849 (“AMLD5”), and now complemented by the 2024 AML package, according to its own application and transposition timetable. Operational application then runs through national rules, including customer due-diligence duties in the CMF.

The key point is this: when a Luxembourg-based bank uses Luxembourg as a private-banking platform to service or acquire French-resident clients, it cannot rely solely on its Luxembourg onboarding file. Such documentation typically covers identity verification and risk classification, but does not, by itself, evidence compliance with cross-border rules. The file must clearly demonstrate that the activity is passported, falls within the notified scope, is conducted through a controlled interaction channel, and that the origin of the client request is documented. It should also identify the competent French authority and show that applicable French host-State rules are applied. The presence of a French group entity does not substitute for this analysis where the Luxembourg institution is the effective service provider or commercial driver.

In practice, each French relationship should have a short cross-border servicing file. It should cover the concrete scenario: existing French client, French prospect, remote interaction from Luxembourg, travel to France, intra-group referral, targeted campaign, new product, Lombard lending, investment advice, discretionary mandate, structured product or fund distribution. This file should be updated before any service extension, product launch or commercial action targeting the French market when conducted by the Luxembourg institution or under its responsibility.

Connect with Bertrand Mariaux on LinkedIn. You can listen to the related podcast on ApplePodcast, Spotify, YouTube, or wherever you get your podcasts.

References:

Clientèle française de banque privée : sécuriser l’accompagnement depuis Luxembourg

Bertrand Mariaux — Mon, 29 Jun 2026 23:14:30 +0000

Lorsqu’un établissement luxembourgeois sert ou capte des clients résidents français depuis Luxembourg, la libre prestation de services doit être contrôlée dès le cadrage commercial. Le sujet n’est pas seulement la nationalité du client. Il est de savoir quelle entité agit, depuis quel État, vers quel marché, et pour quel service réglementé.

Pour une banque luxembourgeoise, le socle luxembourgeois reste la loi modifiée du 5 avril 1993 relative au secteur financier (la « Loi de 1993 sur le Secteur Financier »). Pour les activités bancaires, la Directive 2013/36/UE du 26 juin 2013 concernant l’accès à l’activité des établissements de crédit et la surveillance prudentielle des établissements de crédit et des entreprises d’investissement (la « CRD IV ») organise le passeport européen et la libre prestation de services. Côté français, l’article L. 511-22 du Code monétaire et financier (le « CMF ») permet à un établissement de crédit ayant son siège dans un autre État membre d’intervenir en France en libre prestation de services, dans la limite de l’agrément reçu dans son État d’origine. Pour les services d’investissement, la Directive 2014/65/UE du 15 mai 2014 concernant les marchés d’instruments financiers (« MiFID II ») constitue le socle européen, tandis que l’article L. 532-18 du CMF en organise l’application sur le territoire français, dans la limite de l’agrément reçu dans l’État d’origine.

Trois contrôles opérationnels

(i) Qualifier le service. Dépôt, crédit lombard (prêt garanti par un portefeuille de titres financiers), paiement, conseil en investissement, gestion discrétionnaire (mandat par lequel le client confie à la banque la gestion de son portefeuille avec pouvoir de décision sans validation préalable pour chaque opération), produit structuré et distribution de fonds ne relèvent pas du même passeport.
(ii) Vérifier le périmètre notifié. Il s’agit de la notification de libre prestation de services transmise par l’autorité compétente de l’État d’origine, par exemple la Commission de Surveillance du Secteur Financier (CSSF), à l’autorité de l’État d’accueil. En France, l’Autorité de contrôle prudentiel et de résolution (ACPR) est centrale pour le volet bancaire et assurantiel ; l’Autorité des marchés financiers (AMF) devient pertinente pour les marchés financiers, les instruments financiers, la gestion, la distribution de produits financiers et la protection des investisseurs. Le contrôle doit être fait entité par entité : établissement luxembourgeois, entité française du groupe, ou coopération entre entités.
(iii) Appliquer les règles françaises d’intérêt général pertinentes. Cela inclut l’information précontractuelle, le démarchage bancaire et financier, les exigences de connaissance client (know-your-customer, KYC), la lutte contre le blanchiment et le financement du terrorisme (LCB-FT) et les règles françaises de protection des investisseurs.

Le KYC est pertinent car l’accompagnement Luxembourg-France ne se limite pas au passeport. L’établissement luxembourgeois qui porte la relation doit aussi maîtriser l’onboarding, le risque client, les obligations de vigilance et le suivi continu. Ces exigences procèdent du cadre européen LCB-FT, notamment la Directive (UE) 2015/849 du 20 mai 2015 relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme (la « Directive AML 2015/849 » ou « AMLD4 »), modifiée notamment par la Directive (UE) 2018/843 du 30 mai 2018 modifiant la Directive (UE) 2015/849 (« AMLD5 »), et désormais complétée par le paquet anti-blanchiment 2024 (anti-money laundering, AML), selon son calendrier propre. Leur application opérationnelle passe ensuite par les textes nationaux, dont les obligations de vigilance prévues par le CMF.

Le must-know est simple : lorsqu’une banque basée au Luxembourg utilise Luxembourg comme plateforme de private banking pour servir ou capter des clients résidents français, elle ne peut pas se limiter à son dossier d’entrée en relation luxembourgeois. Elle doit démontrer que l’activité transfrontalière est couverte par le passeport européen, que le service fourni entre dans le périmètre notifié, que le canal d’interaction est maîtrisé, que l’origine de la demande est documentée, que l’autorité française pertinente est identifiée et que les règles françaises d’accueil sont appliquées. L’existence éventuelle d’une entité française dans le même groupe ne remplace pas cette analyse si l’établissement luxembourgeois fournit effectivement le service ou pilote l’action commerciale.

En pratique, chaque relation française devrait avoir une fiche de suivi transfrontalier. Elle doit couvrir le scénario concret : client français existant, prospect français, interaction à distance depuis Luxembourg, déplacement en France, recommandation intragroupe, campagne ciblée, nouveau produit, crédit lombard, conseil en investissement, mandat de gestion, produit structuré ou distribution de fonds. Cette fiche doit être mise à jour avant toute extension de service, tout lancement de produit ou toute action commerciale visant le marché français conduite par l’établissement luxembourgeois ou sous sa responsabilité.

Connectez-vous avec Bertrand Mariaux sur LinkedIn. Vous pouvez écouter le podcast associé sur ApplePodcast, Spotify, YouTube ou sur votre plateforme d’écoute préférée.

Références :

Payment Fraud in Private Banking: Liability, Evidence and Strong Customer Authentication

Bertrand Mariaux — Sun, 28 Jun 2026 17:33:37 +0000

Payment fraud liability in private banking turns first on legal qualification. Luxembourg’s loi modifiée du 10 novembre 2009 relative aux services de paiement, à l’activité d’établissement de monnaie électronique et au caractère définitif du règlement dans les systèmes de paiement et les systèmes de règlement des opérations sur titres (hereafter, the Payment Services Act of 2009) distinguishes three situations. It covers unauthorised transactions. It covers defective execution, meaning a payment that was authorised but not carried out correctly, for example because of delay, incorrect amount or transfer to the wrong beneficiary due to an execution error. It also covers payments authorised by a deceived payer, meaning a payer who consented to the transaction but was misled or manipulated by fraudsters. Authorised push payment fraud, meaning a situation where the payer is tricked into initiating and approving a transfer to a fraudster, does not automatically fall within the refund mechanism under Article 87 of the Payment Services Act of 2009.

Three Liability Controls

(i) Refund is the starting point. For an unauthorised transaction, Article 87 of the Payment Services Act of 2009 requires reimbursement no later than the end of the following business day, unless there are good reasons to suspect fraud and those reasons are communicated in writing to the Commission de Surveillance du Secteur Financier (CSSF).
(ii) Evidence sits with the provider. Article 86 of the Payment Services Act of 2009 requires a comprehensive evidentiary record, including authentication data, transaction integrity, system reliability and absence of technical failure, not merely technical logs. Use of a payment instrument does not necessarily prove authorisation, payer fraud or gross negligence.
(iii) Strong customer authentication (SCA) is a decisive control. It determines how financial risk is allocated between the payer and the provider. It requires the use of independent authentication factors falling within three categories: knowledge, possession and inherence. Each factor must be independent and properly combined. The mechanism must be correctly designed, triggered at the right moment and fully documented. Article 88(2bis) of the Payment Services Act of 2009 protects the payer where the provider failed to require SCA. This protection does not apply if the payer acted fraudulently.

The must-know point: a fraud file is an evidence file. Private banks should qualify consent, test the notification timeline under Article 85 of the Payment Services Act of 2009, preserve authentication data, document any fraud suspicion and align customer journeys with Directive (EU) 2015/2366 of the European Parliament and of the Council of 25 November 2015 on payment services in the internal market (hereafter, PSD2), as transposed into Luxembourg law by the Payment Services Act of 2009, and with Commission Delegated Regulation (EU) 2018/389 of 27 November 2017 supplementing Directive (EU) 2015/2366 with regard to regulatory technical standards for strong customer authentication (hereafter, the SCA Delegated Regulation).

Failures can arise at several levels. They may concern system design, the use of exemptions, step-up authentication or audit trails. Each failure can directly affect liability allocation. In private banking, this matters because high-value transfers, manual validation channels and relationship-manager involvement can make the evidence chain more complex.

Change to monitor: the proposal for a Regulation of the European Parliament and of the Council on payment services in the internal market, COM(2023)367 (hereafter, the PSR, the proposed Payment Services Regulation) and the proposal for a Directive of the European Parliament and of the Council on payment services and electronic money services, COM(2023)366 (hereafter, PSD3, the proposed third Payment Services Directive) are not yet applicable. The provisional political agreement of 27 November 2025 nevertheless points to targeted tightening: name and unique identifier checks, blocking measures, fraud-related information sharing and increased liability where required prevention mechanisms are not implemented. The sensitive point for private banking concerns fraud through impersonation of the payment service provider. The PSR could create a more protective reimbursement layer, subject to the final adopted text.

For non-consumer clients, Article 78 of the Payment Services Act of 2009 allows certain contractual derogations. Family holding companies, patrimonial vehicles and investment structures therefore need clause-by-clause review.

Connect with Bertrand Mariaux on LinkedIn. You can listen to the related podcast on ApplePodcast, Spotify, YouTube, or wherever you get your podcasts.

References:

Fraude de paiement en banque privée : responsabilité, preuve et authentification forte

Bertrand Mariaux — Sat, 27 Jun 2026 16:17:38 +0000

La responsabilité fraude paiement banque privée se traite d’abord par qualification juridique. La loi modifiée du 10 novembre 2009 relative aux services de paiement, à l’activité d’établissement de monnaie électronique et au caractère définitif du règlement dans les systèmes de paiement et les systèmes de règlement des opérations sur titres (ci-après, la Loi de 2009 sur les Services de Paiement) distingue l’opération non autorisée, l’opération mal exécutée et l’ordre autorisé par un payeur trompé. Une fraude au virement autorisé (authorised push payment fraud) n’entre donc pas automatiquement dans le remboursement de l’article 87 de la Loi de 2009 sur les Services de Paiement.

Trois contrôles de responsabilité

(i) Le remboursement est le point de départ. En cas d’opération non autorisée, l’article 87 de la Loi de 2009 sur les Services de Paiement impose le remboursement au plus tard à la fin du premier jour ouvrable suivant, sauf si le prestataire a de bonnes raisons de soupçonner une fraude et communique ces raisons par écrit à la Commission de Surveillance du Secteur Financier (CSSF).
(ii) La preuve pèse sur le prestataire. L’article 86 de la Loi de 2009 sur les Services de Paiement exige plus qu’un journal technique. L’usage d’un instrument de paiement ne suffit pas nécessairement à prouver l’autorisation, la fraude ou la négligence grave.
(iii) L’authentification forte du client (strong customer authentication, SCA) change la répartition de la responsabilité financière entre le client et la banque. L’article 88, paragraphe 2bis, de la Loi de 2009 sur les Services de Paiement protège le payeur si le prestataire n’a pas exigé l’authentification forte, sauf fraude du payeur.

Le message central : en banque privée, un dossier de fraude est d’abord un dossier de preuve. Il faut qualifier le consentement. Il faut contrôler la notification prévue par l’article 85 de la Loi de 2009 sur les Services de Paiement. Il faut conserver les données d’authentification. Il faut documenter le soupçon de fraude. Il faut tester les parcours client contre le règlement délégué (UE) 2018/389 de la Commission du 27 novembre 2017 complétant la directive (UE) 2015/2366 par des normes techniques de réglementation relatives à l’authentification forte du client (ci-après, le Règlement Délégué SCA).

Le contrôle SCA repose sur des facteurs indépendants relevant de trois catégories : connaissance, possession et inhérence. La défaillance peut venir de la conception du parcours, de l’usage d’exemptions, du déclenchement d’une authentification renforcée (step-up authentication) ou de la piste d’audit (audit trail). En pratique, chaque faiblesse peut peser directement sur l’allocation de la perte.

Évolution à surveiller : la proposition de règlement du Parlement européen et du Conseil sur les services de paiement dans le marché intérieur COM(2023)367 (ci-après, le PSR, pour Payment Services Regulation) et la proposition de directive du Parlement européen et du Conseil concernant les services de paiement et les services de monnaie électronique COM(2023)366 (ci-après, la PSD3, pour third Payment Services Directive) ne sont pas encore applicables. L’accord politique provisoire du 27 novembre 2025 annonce toutefois un durcissement ciblé : contrôle du nom du bénéficiaire avec l’identifiant unique, mesures de blocage, partage d’informations liées à la fraude et responsabilité accrue lorsque les mécanismes de prévention requis ne sont pas mis en œuvre. Le point sensible en banque privée concerne les fraudes par usurpation de l’identité du prestataire de services de paiement. Le PSR pourrait imposer un remboursement plus protecteur, sous réserve du texte final adopté.

Pour les clients non consommateurs, l’article 78 de la Loi de 2009 sur les Services de Paiement permet certaines dérogations contractuelles. Les comptes de sociétés patrimoniales, holdings familiales et structures d’investissement doivent donc être revus clause par clause.

Connectez-vous avec Bertrand Mariaux sur LinkedIn. Vous pouvez écouter le podcast associé sur ApplePodcast, Spotify, YouTube ou sur votre plateforme d’écoute préférée.

Références :

Luxembourg Payment Account Terms in Private Banking

Bertrand Mariaux — Thu, 18 Jun 2026 14:30:45 +0000

Luxembourg payment account terms in private banking start with the definition of the account itself. Under Article 1, point 5, of the Luxembourg law of 10 November 2009 on payment services, as amended (“2009 Payment Services Law”), a payment account is an account held in the name of one or more payment service users and used for executing payment transactions. In private banking, this is typically the current account or cash account used for credit transfers, direct debits, cards, withdrawals, deposits and digital banking channels. A securities account, savings account or term deposit does not fall within that category if it does not allow direct execution of payment transactions.

The central distinction concerns the status of the account holder. A consumer is a natural person acting for purposes other than a commercial or professional activity. A non-consumer client may include a company, a wealth holding company, a société de participations financières (Soparfi), a société de gestion de patrimoine familial (SPF), a fund, a family vehicle or a person acting in a professional capacity.

The 2009 Payment Services Law is the general framework for payment-services framework contracts. For consumers, the protective rules apply in principle in full. For non-consumer clients, Article 59 of the 2009 Payment Services Law allows the parties to disapply all or part of Title III on transparency of conditions and information requirements. Article 78 of the 2009 Payment Services Law also allows certain rights and obligations under Title IV to be adjusted, including rules on charges, withdrawal of consent, burden of proof, unauthorised transactions, refunds, revocation, liability and notification time limits. The Luxembourg law of 13 June 2017 on payment accounts (“2017 Payment Accounts Law”) adds a specific consumer layer.

Payment account terms correspond to the framework contract accepted by the client when the account is opened. This document governs the provision of payment services and covers, among other points, charges, execution mechanics, security measures, liability for unauthorised transactions, the mechanism for changing the contract and termination conditions.

Must-know point: payment account terms should not be analysed as a single block applying indistinctly to all clients. They should be structured by reference to the account holder’s status: consumer or non-consumer client.

Three legal requirements structure these terms.

First, pre-contractual information must be provided on paper or another durable medium before the client is bound. Articles 70 and 71 of the 2009 Payment Services Law cover, among other points, the provider, service features, consent mechanics, the time of receipt of payment orders, any cut-off times set by the provider. These are deadlines by which a payment order must be received to be processed on the same business day. Execution times, charges, interest and exchange rates, communication, safeguards, liability, changes, termination and complaint routes must also be disclosed.

Second, the mechanism for amending framework-contract terms must comply with Article 73 of the 2009 Payment Services Law. Changes normally require two months’ prior notice and give the payment service user the right to reject the change and terminate the contract free of charge before it takes effect, unless a valid contractual adjustment applies to a non-consumer client.

Third, termination clauses must comply with Article 74 of the 2009 Payment Services Law. The user may terminate at any time, subject to any agreed notice period not exceeding one month, while provider termination of an indefinite framework contract requires at least two months’ notice if agreed, subject to contractual adjustments applicable to non-consumer clients.

For consumer payment accounts, the 2017 Payment Accounts Law adds controls on fee information documents and statements of fees under Chapter 2, account switching under Chapter 3, and payment accounts with basic features under Chapter 4. In practice, private banks should align account terms with tariff sheets, card terms, overdraft wording, digital banking channels, complaint wording and account-switching disclosures.

They should also monitor, as a regulatory watch point, the European PSD3 / PSR package. PSD3 means the proposed third Payment Services Directive. PSR means the proposed Payment Services Regulation. Together, these proposals are expected to strengthen the European payment-services framework, in particular on fraud, transparency and user protection.

Connect with Bertrand Mariaux on LinkedIn.

You can listen to the related podcast on ApplePodcast, Spotify, YouTube, or wherever you get your podcasts.

References: