PCI DSS en uw webshop: moet u laten testen vanwege online betalingen?

Wat is PCI DSS en wanneer geldt het?

PCI DSS 4.0.1 is de beveiligingsstandaard voor betaalkaartgegevens die sinds 31 maart 2025 volledig van kracht is. Hij wordt beheerd door de PCI Security Standards Council (PCI SSC), opgericht door de grote kaartmerken. Hij geldt voor iedereen die betaalkaartgegevens opslaat, verwerkt of doorgeeft, en ook voor wie de beveiliging daarvan kan beïnvloeden. Accepteert uw webshop creditcards, dan hoort u daar in principe bij.

PCI DSS is geen wet. Het is een afspraak via uw contract met de bank of betaalprovider die uw kaartbetalingen afhandelt (de acquirer). Die bepaalt welk bewijs u moet aanleveren. Sinds 31 maart 2025 gelden ook alle eisen die in versie 4.0 nog als ‘toekomstig’ waren aangekondigd.

Kleine webshops tonen hun naleving meestal aan met een zelfbeoordeling: een Self-Assessment Questionnaire (SAQ). Welke SAQ voor u geldt, hangt af van hoe de betaling technisch verloopt. Voor webshops zijn er vooral twee: SAQ A en SAQ A-EP.

SAQ A: uw betaalprovider regelt de hele betaalpagina

Bij SAQ A komen alle onderdelen van de betaalpagina rechtstreeks van een betaalprovider die zelf aan PCI DSS voldoet. De klant wordt bijvoorbeeld doorgestuurd naar de betaalpagina van de provider. Of de provider toont het volledige betaalformulier in een venster (iframe) op uw site. Kaartgegevens komen dan niet op uw server.

De update van januari 2025 geldt vanaf 31 maart 2025. Sindsdien bevestigt u voor SAQ A ook dat uw site niet vatbaar is voor aanvallen met scripts. Uw eigen site doet er dus nog steeds toe. De pagina die doorstuurt naar de betaalpagina kan klanten naar een valse betaalpagina sturen.

Voorbeelden: een WooCommerce-shop die bij het afrekenen doorstuurt naar de betaalpagina van de provider. Of een Shopify-shop met de standaard checkout. Shopify geeft aan dat het platform voldoet aan PCI DSS niveau 1.

SAQ A-EP: uw webshop beïnvloedt de betaalpagina zelf

Bij SAQ A-EP gaan de kaartgegevens ook niet over uw server. Maar uw eigen site bepaalt wél (een deel van) de betaalpagina. Bijvoorbeeld: u host zelf het betaalformulier dat de gegevens rechtstreeks naar de provider stuurt (direct post). Of u laadt de betaalvelden met JavaScript op uw eigen pagina.

Dan kan een aanvaller die uw webshop overneemt het formulier aanpassen en kaartgegevens meelezen. Daarom gelden voor SAQ A-EP veel meer eisen, waaronder een pentest (eis 11.4).

Wat betekent dit voor scans en pentests?

ASV-scan (eis 11.3.2): een externe kwetsbaarhedenscan van uw systemen aan internet. Minstens eens per drie maanden en na grote wijzigingen. Alleen een Approved Scanning Vendor (ASV), erkend door de PCI SSC, mag die scan uitvoeren als bewijs. Volgens de huidige SAQ-versies geldt deze scan ook bij SAQ A; vraag uw acquirer wat zij van u verwachten.

Pentest (eis 11.4): een handmatige test van buitenaf en waar nodig van binnenuit. Minstens eens per twaalf maanden en na belangrijke wijzigingen. PCI DSS vraagt dat de tester gekwalificeerd is en organisatorisch onafhankelijk, en dat de test een vastgelegde methode volgt. Deze eis geldt bij SAQ A-EP, niet bij SAQ A.

Blackbox Cyber is geen ASV, dus onze Scan telt niet als ASV-scan. Of een pentest van ons voor eis 11.4 wordt geaccepteerd, beslist uw acquirer of beoordelaar. Leg dat vooraf aan hen voor. Wij geven u daarvoor de scope en onze testmethode (OWASP Web Security Testing Guide) op papier.

Zo zoekt u uit wat PCI DSS betekent

Stap 1: vraag uw betaalprovider welke koppeling u gebruikt: doorsturen, iframe, JavaScript-velden of een eigen formulier.

Stap 2: vraag uw acquirer welke SAQ voor u geldt en welk bewijs zij willen zien.

Stap 3: laat uw bouwer alle scripts op de pagina’s rond het afrekenen op een lijst zetten. Haal weg wat daar niet nodig is.

Stap 4: plan de verplichte ASV-scan bij een erkende ASV. Plan een pentest als u onder SAQ A-EP valt of wilt weten of uw checkout te misbruiken is.

Voor de checkout van buitenaf past een Inbraaktest (vanaf € 2.950 excl. btw). Gaat het ook om klantaccounts en koppelingen met uw betaalprovider? Dan past De Inbraaktest Totaal (vanaf € 4.950 excl. btw). Wij testen nooit de systemen van uw betaalprovider. Uw eigen webshop testen we alleen na schriftelijke toestemming van de eigenaar van het systeem.