Jeder, der Kartendaten speichert, verarbeitet und/oder übermittelt, muss sich an die Sicherheitsvorgaben des PCI DSS halten. Hierbei ist die Größe der Organisation, ob Händler oder Dienstleister und der Umfang der Kartentransaktionen unerheblich. Die PCI-DSS-Richtlinien betreffen jedoch nicht nur Daten in digitalen Formaten. Unternehmen sind auch verpflichtet, in Schriftform vorliegende Unterlagen, aus denen Daten von Zahlungskarten und Karteninhabern ersichtlich sind, zu schützen. Organisationen, die professionelle externe Datenvernichter beauftragen, müssen dafür sorgen, dass diese Subunternehmer ebenfalls PCI-DSS-konform arbeiten.

Wird der PCI DSS nicht eingehalten, drohen im Schadensfall schwerwiegende Konsequenzen. Unternehmen müssen mit Geldstrafen in sechsstelliger Höhe und ggf. sehr hohen Prozesskosten rechnen. Treten bei Händlern und Dienstleistern der Kategorie 2 bis 4 Sicherheitsverletzungen auf, werden sie in Kategorie 1 hochgestuft (siehe Tabelle „Händlerkategorie“). Eine Einordnung in diese Kategorie ist mit höheren Kosten verbunden, da umfassendere Compliance-Prüfungen erforderlich sind. Zusätzlich können bekannt gewordene PCI-Verstöße das Ansehen eines Unternehmens nachhaltig schädigen und schwindendes Kundenvertrauen zur Folge haben – mit entsprechenden Geschäftsverlusten.

Mit dem Online-Fragebogen wird die Einhaltung der Anforderungen des PCI Data Security Standards mittels Selbstauskunft geprüft. Die Bewertung der technischen und organisatorischen Maßnahmen zur Erfüllung des Sicherheitsstandards ist jährlich vorzunehmen. Abgefragt werden der aktuelle und zurückliegende Sicherheitsstatus des Firmennetzwerks.

Je nach Integrationstyp, kommt eine der folgenden SAQ-Versionen infrage. Unzer stellt im Rahmen des Compliance-Checks automatisch jedem Händler den richtigen Fragenbogen zur Verfügung.

SAQ Version:

SAQ A

Unzer Integrationstyp:

Payment Pages, Plug-ins, UI Components

Definition:

Anwendbar für kartenlose Händler, wenn alle Funktionen für Karteninhaberdaten an einen PCI-konformen Zahlungsabwickler ausgelagert sind. Förderfähige E-Commerce-Implementierungen: wenn die Website des Händlers vollständig von einem PCI-konformen Drittanbieter-Zahlungsabwickler gehostet und verwaltet wird oder einen IFrame zu einem PCI-konformen Drittanbieter-Zahlungsabwickler bereitstellt oder einen URL-Link enthält, der Verbraucher von der Website des Händlers zu einem PCI-konformen Zahlungsabwickler umleitet.

SAQ Version:

SAQ A-EP

Definition:

E-Commerce-Händler, die die gesamte Zahlungsabwicklung an PCI DSS-validierte Drittanbieter auslagern und über eine oder mehrere Webseiten verfügen, die zwar nicht direkt Daten von Karteninhabern empfangen, sich aber auf die Sicherheit der Zahlungstransaktion auswirken können. Keine elektronische Speicherung, Verarbeitung oder Übertragung von Karteninhaberdaten auf den Systemen oder in den Geschäftsräumen des Händlers. Gilt nur für E-Commerce-Kanäle.

SAQ Version:

SAQ C-VT

Unzer Integrationstyp:

Virtual Terminal (MOTO)

Definition:

Anwendbar für Händler, die nur webbasierte virtuelle Terminals ohne elektronische Speicherung von Karteninhaberdaten verwenden.

SAQ Version:

SAQ D

Unzer Integrationstyp:

Server-seitige Integration

Definition:

Alle anderen Händler, die von keiner SAQ abgedeckt werden, und alle Dienstleister, die von einer Zahlungsmarke als berechtigt definiert werden, eine SAQ auszufüllen.