PCI DSS (Payment Card Industry Data Security Standard)

Prüfzeichenübersicht

//Value-Newsletter

0800 5791-5000

Zertifizierung:
Zertifizierung technischer und organisatorischer Maßnahmen / freiwillige Prüfung

Prüfungsgrundlage:
Payment Card Industry Data Security Standard in der jeweils aktuellen Fassung (de.pcisecuritystandards.org)

Standard-Normgeber:
PCI Security Standards Council, LLC.

Was beinhaltet der Standard PCI DSS?

Der Standard PCI DSS legt die Anforderungen an die Bereiche eines Unternehmens fest, die mit der Speicherung, Verarbeitung oder Übermittlung von Kreditkartendaten zusammenhängen. Hierzu zählen u. a.:

Das Unternehmen hat geeignete Prozesse definiert, um die verarbeiteten Kreditkarteninformationen zu schützen.
Die IT-Systeme des Unternehmens sind gemäß den PCI DSS Anforderungen konfiguriert und werden entsprechend betrieben.

Was bedeutet „Zertifizierung“ bzw. Vergabe eines Prüfzeichens für PCI DSS?
- Der Kunde hat sich einer Prüfung (Audit) anhand festgelegter Kriterien (Prüfgrundlage) unterzogen.
- Ein Zertifikat bzw. die Erlaubnis zur Nutzung eines Prüfzeichens wird nur dann erteilt, wenn im Rahmen der Prüfung keine wesentlichen Abweichungen gegenüber den Anforderungen der Prüfgrundlage festgestellt werden konnten.
- Zertifikate bzw. Prüfzeichen werden zeitlich begrenzt vergeben. Eine Überprüfung der Gültigkeit einzelner Zertifikate ist in der Zertifikatsdatenbank möglich.
- Die Zertifizierung erfordert eine jährliche, angekündigte Prüfungen mit positivem Ergebnis.
Wie wird geprüft?
Folgende Prüfmethoden werden von unabhängigen und qualifizierten Experten (Auditoren) angewendet:
- Dokumentenprüfung:
  Bewertung der Festlegungen bzw. Dokumentation des Unternehmens zur systematischen Regelung aller Abläufe, die für den Umgang mit Kreditkarteninformationen eine Bedeutung haben
- Vor-Ort-Audit:
  Überprüfung der Umsetzung der Regelungen in der Praxis durch Interviews beim Kunden vor Ort
- Technische Prüfung:
  Überprüfung der Konfiguration von relevanten Systemen, ggfs. durch entsprechende Stichproben
Was kann eine Zertifizierung nach dem Standard PCI DSS nicht leisten?
- Es handelt sich hierbei nicht um eine Produktzertifizierung. Eine Aussage zur Qualität eines Produkts oder einer Dienstleistung des zertifizierten Kunden wird somit nicht getroffen.
- Eine Zertifizierung nach PCI DSS garantiert nicht, dass die betroffenen Kreditkarteninformationen nicht abhandenkommen, nicht unrechtmäßig verändert werden oder zur richtigen Zeit zugreifbar sind, wenngleich dies ein wesentliches Ziel des Standards PCI DSS ist.