Programm für Kontoinformationssicherheit und PCI Kartendaten schützen
Payment Card Industry Data Security Standard (PCI DSS) Compliance
Die PCI DSS-Compliance ist für alle Unternehmen verpflichtend, die Visa Kartendaten speichern, verarbeiten oder übertragen – einschließlich Finanzinstitute, Händler und Service-Provider. Die Visa Programme steuern die PCI DSS-Compliance, indem sie von den Teilnehmern eine regelmäßige Nachweisführung verlangen.
Das PCI Security Standards Council (SSC) besitzt, pflegt und verwaltet den PCI DSS sowie alle zugehörigen Dokumente; Visa hingegen übernimmt die Durchsetzung und Validierung aller Maßnahmen zur Datensicherheits-Compliance.
PCI DSS-Compliance-Validierung für Händler und Service-Provider
Issuer und Acquirer sind verantwortlich dafür, dass alle ihre Service-Provider, Händler sowie die Service-Provider ihrer Händler die PCI DSS-Anforderungen erfüllen. Das ist die beste Möglichkeit, um mögliche Schwachstellen aufzudecken und sicherzustellen, dass Kartendaten sicher verarbeitet werden.
Kriterien für die Compliance-Validierung
Das gesamte Visa Transaktionsvolumen eines Händlers über einen Zeitraum von 12 Monaten bestimmt dessen Händlerstufe* und die erforderlichen Anforderungen für die Validierung. Acquirer müssen sicherstellen, dass ihre Händler die Validierung auf der passenden Stufe durchführen und die erforderlichen Compliance-Dokumente von ihren Händlern einholen.
*Die Identifizierung der Händlerstufe basiert auf dem gesamten Visa Transaktionsvolumen des Unternehmens (einschließlich Kredit-, Debit- und Prepaidkarten), das die jeweiligen Schwellenwerte in einem Land oder bei einem Acquirer pro Jahr erfüllt. Volumen von unabhängig betriebenen Standorten (z. B. Franchisenehmer, Lizenznehmer) kann ausgeschlossen werden, sofern es nicht über das Unternehmen verarbeitet wird.
Technology Innovation Program (TIP)
Vorschriften und Prüfungen
Die Visa Core Rules sowie die Visa Product and Service Rules regeln die Aktivitäten der Kundeninstitute und in der Folge auch der Service-Provider und Händler als Teilnehmer am Visa Zahlungssystem.
Emittenten und Acquirer sind dafür verantwortlich, die PCI DSS-Compliance ihrer Service-Provider und Händler sicherzustellen, einschließlich der Service-Provider, die der Händler einsetzt. Ein Service-Provider und ein Händler müssen jederzeit vollständig compliant sein. (VCR-Abschnitts-ID #0002228 und #0008031)
Wenn ein Service-Provider oder Händler die PCI DSS nicht erfüllt oder ein Sicherheitsproblem nicht behebt, kann Visa dem Emittenten oder Acquirer eine Non-Compliance-Gebühr auferlegen. Der Emittent oder Acquirer ist verpflichtet, alle Gebühren zu zahlen und darf nicht den Eindruck erwecken, Visa habe eine Gebühr direkt gegenüber dem Service-Provider oder Händler erhoben. (VCR-Abschnitts-ID #0001054|
Gebühren können erlassen werden, wenn es keine Hinweise auf PCI DSS-Nicht-Compliance vor und zum Zeitpunkt einer Datenschutzverletzung gibt, wie in einer forensischen Untersuchung nachgewiesen.
