PCI DSS for små virksomheder: hvad kræves, og hvilket skema skal du udfylde?

PCI DSS (Payment Card Industry Data Security Standard) er kortbranchens sikkerhedsstandard for alle, der tager imod, behandler eller gemmer kortdata. Den er ikke en dansk lov, men den er en del af din aftale med indløseren, som skal sikre, at du overholder den. For de fleste små virksomheder betyder det en årlig selvevaluering via et af PCI-rådets selvevalueringsskemaer (SAQ) – og eventuelt en sårbarhedsscanning. Hvilket skema der passer, afhænger af din løsning: en butik med en godkendt, selvstændig terminal har langt færre krav end en webshop, der selv håndterer kortdata. Mange indløsere opkræver et gebyr, hvis dokumentationen mangler. Den gældende version af standarden er PCI DSS v4.0.1.

Guiden hører til faldgruber og officielle kilder. Den er generel og erstatter ikke vejledning fra din indløser.

Hvem stiller kravene?

• PCI Security Standards Council udgiver standarden og skemaerne.
• Kortordningerne kræver, at indløserne sikrer, at deres kunder overholder standarden.
• Din indløser fastsætter i aftalen, hvordan og hvor ofte du skal dokumentere det – og hvilke gebyrer der gælder, hvis du ikke gør.

Ud over PCI DSS gælder GDPR og lov om betalinger §§ 124–125 for behandling af betalingsoplysninger – se svindel, sikkerhed og GDPR.

Hvilket selvevalueringsskema passer typisk?

Skemaerne har detaljerede betingelser for, hvornår de må bruges. Spørg din indløser eller gateway, hvilket skema der gælder for netop din opsætning – og få svaret skriftligt.

Hvad du typisk skal gøre

1. Finde det rigtige skema sammen med indløseren.
2. Besvare spørgsmålene ærligt: Hvem har adgang til terminalen? Er standardadgangskoder skiftet? Hvordan opbevares kvitteringer?
3. Gennemføre sårbarhedsscanning, hvis skemaet kræver det (gælder fx ved visse internetforbundne løsninger), via en godkendt scanningsleverandør.
4. Underskrive en overensstemmelseserklæring og indsende den via indløserens portal.
5. Gentage som udgangspunkt hvert år, og når løsningen ændres.

Eksempel: selvevaluering i en lille butik

En frisør med én selvstændig terminal, der er forbundet til internettet via butikkens router, og som ikke er koblet til andre systemer, vil typisk skulle besvare spørgsmål om bl.a.:

• at terminalen er af en godkendt type og købt eller lejet gennem indløseren,
• at routerens og terminalens standardadgangskoder er skiftet,
• at terminalen ikke står på samme netværk som gæstewifi, eller at netværket er adskilt,
• at kvitteringer kun viser maskerede kortnumre og opbevares sikkert,
• at personalet ved, hvordan de kontrollerer terminalen for manipulation,
• at der er en fortegnelse over terminaler og deres placering.

Det tager typisk ikke lang tid, når løsningen er enkel – men svarene skal være rigtige. Er du i tvivl om et spørgsmål, så spørg indløseren i stedet for at gætte.

Gebyrer for manglende dokumentation

Mange indløsere opkræver et månedligt gebyr, hvis du ikke har indsendt din PCI-dokumentation, og nogle tilbyder en betalt "PCI-tjeneste", der hjælper med skemaet. Begge dele bør indgå i din prisberegning.

Illustrativt eksempel: Et gebyr for manglende PCI-dokumentation på 99 kr. pr. måned er 1.188 kr. om året. For en butik med 1.000.000 kr. i årlig kortomsætning svarer det til 0,12 procentpoint på den effektive sats – mere end forskellen mellem mange tilbud. Regn det med i kortgebyr-beregneren som en fast omkostning.

Sådan mindsker du dine PCI-krav

• Gem aldrig kortnumre i regneark, e-mail, notesbøger eller kassesystemets noter.
• Brug en hostet betalingsside eller et indlejret betalingsvindue fra gatewayen i webshoppen, så kortdata ikke passerer din server.
• Brug tokens til faste betalinger: gatewayen gemmer kortet, du gemmer kun en reference.
• Vælg en godkendt terminal, gerne i en P2PE-løsning.
• Undgå manuel indtastning af kortnumre, fx ved telefonordrer – send hellere et betalingslink.
• Skift standardadgangskoder på terminal, router og kassesystem.
• Begræns adgang til terminalens administrationsmenu.
• Tjek terminalen for tegn på manipulation (fx ekstra udstyr på kortlæseren).

Hvis uheldet er ude

Har du mistanke om, at kortdata er kompromitteret – fx fordi kunder melder om svindel efter køb hos dig – så:

1. Kontakt din indløser med det samme.
2. Bevar logfiler og udstyr; sluk ikke systemer, før du har fået rådgivning.
3. Vurder, om der er tale om et brud på persondatasikkerheden, som skal anmeldes til Datatilsynet inden for 72 timer efter GDPR artikel 33.
4. Få hjælp fra en it-sikkerhedsspecialist.

Et sikkerhedsbrud kan give krav fra indløseren og kortordningerne, som kan være betydelige. Spørg dit forsikringsselskab, om din erhvervs- eller cyberforsikring dækker.

Ofte stillede spørgsmål

Gælder PCI DSS også for en lille butik med én terminal?

Ja, men kravene er små, når terminalen er godkendt og ikke forbundet med andre systemer. Det handler mest om fysisk sikkerhed, adgangskoder og ikke at gemme kortdata.

Er PCI DSS en lov?

Nej, det er en branchestandard, der gælder via din aftale med indløseren. Lovkrav til databeskyttelse følger af GDPR og lov om betalinger.

Hvor ofte skal jeg udfylde skemaet?

Som udgangspunkt en gang om året, og når din løsning ændres væsentligt. Tjek din indløsers krav.

Hvad er forskellen på SAQ A og SAQ A-EP?

Ved SAQ A sker al kortindtastning hos gatewayen, så din hjemmeside ikke kan påvirke den. Ved SAQ A-EP kan din hjemmeside påvirke betalingssidens sikkerhed, så du har flere krav.

Kilder

• PCI Security Standards Council – PCI DSS v4.0.1 og selvevalueringsskemaerne
• Datatilsynet – anmeldelse af brud på persondatasikkerheden
• Retsinformation – lov om betalinger §§ 124–125
• Styrelsen for Samfundssikkerhed – råd om it-sikkerhed for virksomheder