Als jij online betalingen verwerkt via creditcard of betaalpas, val je onder de PCI DSS (Payment Card Industry Data Security Standard). Deze norm is opgesteld door de grote betaalnetwerken (Visa, Mastercard, American Express) en geldt voor elk bedrijf dat betaalkaartgegevens verwerkt, opslaat of doorgeeft.
PCI DSS is geen wet, maar een contractuele verplichting. Jouw payment provider of acquirer eist naleving. Als je niet voldoet en er vindt een datalek plaats, kan je betaalmogelijkheid worden opgeschort en worden aanzienlijke boetes opgelegd. Versie 4.0 van de norm, die in 2024 volledig van kracht is geworden, stelt hogere eisen dan zijn voorganger.
PCI DSS
Elk bedrijf dat betaalkaartgegevens verwerkt, opslaat of doorstuurt. In de praktijk gaat het om:
Zelfs als jij de kaartgegevens zelf niet opslaat maar doorgeeft aan een betaalgateway, val je in het laagste complianceniveau (SAQ A), maar je moet wel kunnen aantonen dat jouw omgeving veilig is.
De verplichtingen
PCI DSS is opgebouwd uit 12 vereisten, gegroepeerd in zes doelstellingen:
Onze bijdrage
Van firewall tot kwartaalscan: dit zijn de technische maatregelen uit onze pakketten die de PCI DSS-vereisten invullen.
01
Website- en domeinbescherming via een WAF (Web Application Firewall) en DDoS-bescherming bieden de netwerkbeveiligingslaag die PCI DSS vereist. Kwaadaardig verkeer wordt gefilterd voordat het jouw systemen bereikt.
02
SSL/TLS-certificaatmonitoring waarborgt dat al het dataverkeer versleuteld plaatsvindt, een directe vereiste van PCI DSS voor het beschermen van kaarthoudergegevens in transit.
03
PCI DSS verplicht tot regelmatige kwetsbaarheidsscans van netwerk en systemen. Guardian biedt een jaarlijkse geautomatiseerde scan. Sentinel biedt een kwartaallijkse scan, passend bij hogere PCI DSS-risiconiveaus.
04
De wachtwoord manager helpt standaardwachtwoorden te vervangen door sterke, unieke wachtwoorden per account, een basisvereiste van PCI DSS.
05
PCI DSS vereist een jaarlijkse beveiligingstraining voor medewerkers. Security awareness training in het Sentinel-pakket vult die verplichting direct in.
Welk pakket dekt welke richtlijn? Bekijk onze negen diensten
Let op
Orange Warriors levert technische beveiligingsmaatregelen die bijdragen aan compliance. Wij verlenen geen certificering en zijn geen juridisch adviseur. Of jij volledig aan een richtlijn voldoet, hangt ook af van organisatorische maatregelen, beleid en documentatie die buiten onze diensten vallen.
PCI Security Standards Council (pcisecuritystandards.org)Andere richtlijnen:AVG / GDPRNIS2NEN 7510ISO 27001
FAQ
Ja, maar je complianceniveau is lager (SAQ A of SAQ A-EP). Je hoeft kaartgegevens zelf niet te beveiligen omdat de gateway dat doet, maar je moet wel kunnen aantonen dat jouw eigen omgeving, je website en netwerk, veilig zijn.
Je payment provider kan je betaalmogelijkheden opschorten. Bij een datalek waarbij kaartgegevens zijn gelekt kunnen de betaalnetwerken boetes opleggen van 5.000 tot 100.000 euro per maand totdat je compliant bent.
Guardian biedt de basistechnische maatregelen: firewall, SSL/TLS en jaarlijkse kwetsbaarheidsscan. Sentinel voegt kwartaalscans toe, security awareness training en uitgebreidere monitoring. Welk niveau jij nodig hebt, hangt af van jouw SAQ-niveau.
Gratis scan
Guardian dekt de basis van PCI DSS, Sentinel het volledige niveau. In een gratis scan zien we welk niveau bij jouw webshop past.
