Veel kleine bedrijven geloven ten onrechte dat PCI DSS alleen voor grote retailers of banken geldt. In werkelijkheid geldt PCI DSS voor elke handelaar of dienstverlener die kaartbetalingsgegevens accepteert, verwerkt, opslaat of overdraagt, ongeacht de omvang of omzet. Een klein restaurant met één kaartlezer heeft dezelfde verplichting als een grote detailhandelaar. Het verschil ligt in de reikwijdte van de vereisten, en het goede nieuws is dat kleine bedrijven via de juiste architectuurkeuzes de minimaal belastende nalevingsvariant kunnen kiezen.
Geldt PCI DSS wirklich voor mein kleines Bedrijf?
Ja. PCI DSS is geen optionele standaard: het is een contractuele verplichting die handelaren aangaan bij het sluiten van hun handelaarsovereenkomst met de acquirer (de bank die kaartbetalingen verwerkt). De handelaarsovereenkomst bevat doorgaans een clausule die naleving van de PCI DSS-normen voorschrijft. De kosten van niet-naleving kunnen aanzienlijk zijn: boetes van de acquirers, verhoogde transactiekosten, intrekking van het recht op kaartacceptatie en bij een datalek directe aansprakelijkheid tegenover de acquirer voor de kosten van de compromittering.
PCI SSC heeft een niveausysteem ingevoerd dat is gebaseerd op het jaarlijkse transactievolume, maar dit systeem bepaalt de beoordelingsmethode (SAQ of QSA-audit), niet de nalevingsplicht zelf. Level-4-handelaren (minder dan 20.000 e-commercetransacties per jaar of tot 1 miljoen transacties van ander type) kunnen doorgaans een SAQ invullen in plaats van een formele QSA-audit doorlopen, maar zij zijn toch verplicht alle in het SAQ beschreven controles te implementeren.
Wat PCI DSS-naleving voor een kmo werkelijk kost
De directe kosten van PCI DSS-naleving voor een klein bedrijf hangen sterk af van het SAQ-type:
- SAQ A (eenvoudigste bereik): Lage directe kosten. De belangrijkste inspanning betreft de jaarlijkse documentatie en de nieuwe vereiste voor scriptbewaking van betaalpagina's in v4.
- SAQ C of SAQ D: Regelmatige kwetsbaarheidsscans via een ASV (ca. 200-500 €/kwartaal), penetratietest (5.000-20.000 €/jaar), interne beveiligingscontroles, mogelijk een firewallinfrastructuur.
- Kosten van niet-naleving: De acquirer kan maandelijkse vergoedingen opleggen voor niet-conforme handelaren (doorgaans 20-100 €/maand) en bij een datalek aanzienlijke aansprakelijkheidskosten.
Voor een klein e-commercebedrijf dat SAQ D invult, kunnen de jaarlijkse directe nalevingskosten (scans, penetratietests, advies) gemakkelijk 10.000-20.000 € overschrijden. Hetzelfde bedrijf dat via tokenisatie in aanmerking komt voor SAQ A, zou slechts minimale directe nalevingskosten hebben.
De eenvoudigste weg naar naleving: SAQ A via tokenisatie
Voor de meeste kleine e-commercebedrijven is de snelste weg naar eenvoudige naleving de implementatie van een hosted payment page of beveiligde tokenisatie-iframes van een PCI DSS Level 1-gecertificeerde aanbieder. De kaartgegevens gaan nooit naar uw eigen server: de klant voert de kaart rechtstreeks in op de beveiligde pagina van de aanbieder.
Met deze architectuur:
- Heeft het bedrijf geen CDE meer (geen eigen systemen die PAN's aanraken)
- Kan SAQ A invullen (22 vragen in plaats van 350)
- Vervallen driemaandelijkse ASV-scans en jaarlijkse penetratietests
- Verkleint zich de Gesamtaufwand voor de jaarlijkse PCI DSS-nalevingsbescheinigung op sommige Uren Arbeit
Veelgestelde vragen
Wat gebeurt er als ik PCI DSS negeer?
De onmiddellijke gevolgen van niet-naleving zijn: maandelijkse vergoedingen van acquirers voor niet-conforme handelaren (die per contract variëren), mogelijke opzegging van de handelaarsrekening en verlies van het recht op kaartacceptatie. Bij een kaartgegevenslek draagt de niet-conforme handelaar de volledige aansprakelijkheid: kosten voor forensisch onderzoek, vergoeding aan de acquirer voor de kosten van gecompromitteerde kaarten en mogelijke AVG-boetes wanneer gegevens van Europese burgers betrokken zijn.
Ik gebruik Shopify/WooCommerce/Stripe. Ben ik al conform?
Niet automatisch. Deze platforms kunnen de naleving vereenvoudigen wanneer u hun hosted-payment-oplossingen correct implementeert, maar naleving is geen standaardgarantie van de platformaanbieders. U moet controleren hoe de betaling is geïmplementeerd: als het betaalformulier op uw eigen domein wordt weergegeven of als kaartgegevens via uw server worden doorgestuurd, heeft u eigen PCI DSS-verplichtingen. Met de correcte hosted-payment-page-implementatie kan de naleving worden teruggebracht tot SAQ A.
Als klein bedrijf kunt u PCI DSS-naleving efficiënter bereiken dan u denkt: met PCI Proxy EU-tokenisatie minimaliseert u het bereik en de inspanning.PCI Proxy EU Ontdekken.
Hulp nodig bij PCI-naleving?
Ons team helpt u uw CDE in kaart te brengen, het juiste SAQ te kiezen en tokenisatie te implementeren met gegevensresidentie in de EU.
Neem contact op