Is PCI DSS een EU-wet?

Nee. Het is een sectornorm. Kaartmerken en de banken die je kaartbetalingen verwerken, dwingen de norm af en bepalen welke controles je nodig hebt.

Geldt PCI DSS ook als een dienstverlener onze betalingen verwerkt?

Ja. Een dienstverlener kan veel werk overnemen. Je kunt zelf verantwoordelijk blijven voor instellingen, toegang of systemen die de veiligheid van betalingen beïnvloeden.

Geldt PCI DSS als we nooit kaartnummers opslaan?

Dat kan. De norm geldt ook voor bedrijven die kaartgegevens verwerken of versturen en voor systemen die de beveiliging ervan kunnen beïnvloeden.

Kan Guardera onze PCI DSS-beoordeling ondertekenen?

Nee. We helpen je voorbereiden en beveiligingsmaatregelen invoeren. Vereisen je betaalpartners een erkende, onafhankelijke beoordelaar? Dan moet die de beoordeling uitvoeren.

Bestaat er een PCI DSS-certificaat?

Nee. De PCI Security Standards Council, die PCI DSS publiceert, geeft geen certificaten uit. Kaartmerken en de bank die je kaartbetalingen verwerkt, bepalen hoe je aantoont dat je aan PCI DSS voldoet. Bedrijven met minder kaartbetalingen vullen meestal een vragenlijst voor zelfbeoordeling in. Bedrijven met de meeste kaartbetalingen hebben een rapport van een erkende beoordelaar nodig.

Norm van de betaalkaartsector

PCI DSS begint bij de route van je kaartgegevens

PCI DSS (Payment Card Industry Data Security Standard) is de beveiligingsnorm voor organisaties die kaartgegevens opslaan, verwerken of versturen. De norm kan gelden voor elk bedrijf dat kaartbetalingen accepteert, in een winkel, online of in een app.

Bespreek je PCI DSS-voorbereiding Bekijk onze dienst PCI DSS-compliance

Soort: Beveiligingsnorm voor betaalkaarten
Beschermt: Gegevens van betaalkaarten
Geldt voor: Opslag, verwerking en verzending van kaartgegevens
Afgedwongen door: Kaartmerken en banken die betalingen verwerken
Huidige versie: 4.0.1, geldt volledig sinds 31 maart 2025
Structuur: 12 eisen in 6 doelen

Voor wie dit geldt

Bedrijven die bij kaartbetalingen betrokken zijn

Bedrijven die kaartbetalingen accepteren via websites, apps of andere betaalkanalen.
Betalingsverwerkers en dienstverleners die kaartgegevens verwerken.
Dienstverleners en gekoppelde systemen die de beveiliging van kaartgegevens kunnen beïnvloeden.

Betalingen uitbesteden kan het werk beperken, maar meestal blijven sommige verantwoordelijkheden bij je bedrijf.

Wat je moet doen

Bescherm kaartgegevens op elke plek

Volg gegevens en gekoppelde systemen
Bepaal waar kaartgegevens binnenkomen, naartoe gaan en blijven staan. Neem ook diensten van anderen mee.
Beperk toegang en verbindingen
Beperk wie bij kaartgegevens kan en scheid de betrokken systemen waar dat passend is.
Beveilig en bewaak betaalsystemen
Gebruik veilige instellingen, bescherm opgeslagen en verstuurde gegevens en houd logs van systeemactiviteit bij.
Zoek zwakke plekken en los ze op
Voer de vereiste kwetsbaarhedenscans en pentests uit, inclusief segmentatietests waar van toepassing. Leg bevindingen, herstel en verificatieresultaten vast.
Bereid de vereiste beoordeling voor
Vraag je betaalpartners welke beoordeling nodig is. Verzamel daarna het beleid, de logs en testresultaten die daarvoor nodig zijn.

Hoe we helpen

Bepaal voor welke systemen PCI DSS geldt

We brengen betaalgegevens in kaart en bepalen welke systemen beveiligingsmaatregelen nodig hebben. We helpen die invoeren en organiseren tests, beleid en logs voor de beoordeling die je nodig hebt.

PCI DSS-complianceBreng kaartgegevens in kaart, pak tekortkomingen aan en bereid je voor op de PCI DSS-beoordeling die je betaalpartners vragen. Security audit en risicoanalyseEen onafhankelijke beoordeling van beveiliging en compliance, met risicogerichte bevindingen en praktische aanbevelingen. PentestenWe vinden misbruikbare kwetsbaarheden en geven je team een duidelijk plan om ze te verhelpen. Vulnerability managementDoorlopend kwetsbaarheden opsporen, risico’s beoordelen en herstel adviseren, met opvolging en controle van verbeteringen.

Veelgestelde vragen

Bijbehorende wetten en normen

DORA
De EU-wet voor IT-risico’s, herstel en leveranciers bij betaalinstellingen, elektronischgeldinstellingen en andere financiële instellingen. Voor een betaalinstelling die kaartgegevens verwerkt, kunnen beide gelden. Controles van toegangsrechten en leveranciers kunnen voor beide bruikbaar zijn.

Gratis gesprek van 30 minuten

Bepaal welke betaalsystemen beveiligingsmaatregelen nodig hebben

Neem je betaalkanalen en de beoordeling die je partners vragen door in een gratis gesprek van 30 minuten.

Bespreek je PCI DSS-voorbereiding hello@guardera.tech