O PCI DSS para pequenas empresas é um dos temas mais mal compreendidos no panorama dos pagamentos digitais europeus. A crença generalizada de que as PME estão isentas não tem qualquer fundamento: o PCI DSS aplica-se a qualquer empresa que aceite, armazene, transmita ou processe dados de cartões de pagamento, independentemente da dimensão ou do número de transações. Se tem um POS, um site de comércio eletrónico ou aceita cartões por telefone, está sujeito à norma.
O mito da isenção: as PME não estão excluídas do PCI DSS
O PCI DSS classifica os comerciantes em quatro níveis com base no volume anual de transações. Os comerciantes de Nível 4 — aqueles com menos de 20.000 transações de comércio eletrónico anuais ou até 1 milhão de transações de qualquer tipo — são a grande maioria das PME europeias. Este nível não está isento das obrigações de conformidade: tem simplesmente um processo de validação menos exigente. Em vez de uma auditoria formal realizada por um QSA certificado, um comerciante de Nível 4 pode completar um SAQ (Self-Assessment Questionnaire) de forma autónoma.
A diferença prática entre níveis diz respeito ao método de validação, não à aplicabilidade da norma. Uma pequena loja online com 500 transações por mês está igualmente sujeita ao PCI DSS. Se não completar o SAQ exigido pelo seu adquirente e sofrer uma violação dos dados de cartão, as sanções contratuais aplicam-se na mesma. A ideia de que as pequenas empresas são "demasiado pequenas para serem visadas" é refutada pelos dados: a maioria das violações documentadas afeta precisamente as organizações mais pequenas, muitas vezes menos protegidas.
O que arrisca concretamente uma PME não conforme
O risco principal para uma PME não conforme com o PCI DSS é de natureza contratual. O adquirente, o banco ou o fornecedor de serviços de pagamento com quem a PME assinou o contrato para aceitar cartões pode aplicar sanções mensais que vão de 1.000 a 5.000 euros por incumprimento continuado. Em caso de violação dos dados de cartão, as sanções aumentam drasticamente e podem incluir o custo da investigação forense, o reembolso dos chargebacks fraudulentos e, nos casos graves, a revogação da habilitação para aceitar cartões dos circuitos afetados.
A isto acresce o dano reputacional. Uma PME local que sofre uma violação e fica associada a uma exposição dos dados de cartão dos seus clientes enfrenta consequências dificilmente quantificáveis em termos de perda de confiança. O custo de uma violação para uma pequena empresa é muitas vezes desproporcional à sua dimensão: segundo as estimativas do setor, uma em cada duas PME que sofre uma violação significativa não se recupera completamente nos dois anos seguintes.
Como pode uma PME europeia tornar-se conforme rapidamente
O caminho mais rápido para uma PME rumo à conformidade PCI DSS passa pela redução do perímetro. Se os dados de cartão não entrarem nos sistemas da PME, a maioria das obrigações reduz-se drasticamente. Concretamente, isto significa utilizar um formulário de pagamento alojado pelo fornecedor (hosted payment page ou hosted fields) que interceta os dados de cartão antes de chegarem aos servidores da PME. Neste cenário, o comerciante pode qualificar-se para o SAQ A, que exige menos de 50 controlos e pode ser completado em poucas horas sem conhecimentos técnicos especializados.
Para as PME com terminais POS físicos, a solução muitas vezes já está implementada: os terminais certificados P2PE (Point-to-Point Encryption) geridos pelo fornecedor de serviços de pagamento reduzem automaticamente o perímetro do comerciante. O passo importante é documentar esta arquitetura no SAQ e verificar junto do adquirente que o questionário foi preenchido e aceite. Muitas PME nunca completam este passo formal, mesmo tendo uma postura de segurança adequada, ficando igualmente expostas a sanções contratuais em caso de litígios.
Perguntas frequentes
Basta ter um único POS para estar obrigado ao PCI DSS?
Sim. Qualquer aceitação de cartões de pagamento dos principais circuitos (Visa, Mastercard, Amex, etc.) implica a obrigação de conformidade PCI DSS. Não existe um limiar mínimo de transações abaixo do qual a norma não se aplique. A diferença entre comerciantes de baixo e alto volume diz respeito apenas ao método de validação da conformidade, não à obrigação em si.
Quem controla a conformidade PCI DSS para as PME?
O controlo ocorre principalmente através da relação contratual com o adquirente. É o adquirente que solicita a documentação de conformidade (SAQ preenchido, análises de vulnerabilidades) e que aplica sanções em caso de incumprimento ou violação. Os circuitos de pagamento (Visa, Mastercard) têm os seus próprios programas de conformidade que delegam a aplicação nos adquirentes. Não existe uma autoridade pública europeia que sancione diretamente por incumprimento PCI DSS.
Uma PME pode gerir a conformidade sem consultores?
Para um comerciante de Nível 4 com arquitetura simples (página de pagamento alojada, POS certificado P2PE), o SAQ A pode ser completado internamente sem consultores. O questionário está disponível gratuitamente no site do PCI Security Standards Council. Para arquiteturas mais complexas ou em caso de dúvidas sobre a classificação do nível, um consultor PCI ou o suporte do fornecedor de tokenização pode reduzir o risco de erros no preenchimento.
PCI DSS acessível também para as pequenas empresas: a tokenização reduz o perímetro e torna a conformidade gerível sem consultores dispendiosos. Descubra a PCI Proxy EU.
Precisa de apoio na conformidade PCI?
A nossa equipa ajuda a mapear o seu CDE, escolher o SAQ adequado e implementar tokenização com residência de dados na UE.
Contacte-nos