Ich bin ein kleiner Händler. Gilt PCI DSS auch für mich?

PCI DSS gilt für alle in das Zahlungskarten-Processing involvierten juristischen Personen einschließlich Händler, Prozessoren, Acquirer, Emittenten und Serviceprovider sowie alle juristischen Personen, die Karteninhaberdaten (Cardholder Data, CHD) bzw. sensible Authentifizierungsdaten (Sensitive Authentication Data, SAD) speichern, verarbeiten oder übertragen.

F: Gilt PCI DSS für eine juristische Person, die einen externen Serviceprovider (Third-Party Service Provider, TPSP) nutzt?

Ja. Die Nutzung eines externen Serviceproviders (TPSP) entlastet die juristische Person nicht von der letztendlichen Verantwortung für die eigene PCI DSS-Compliance oder der Haftung und Verpflichtung, die Sicherheit für die Karteninhaberdaten (CHD) und die Kartendatenumgebung (Card Data Environ-ment, CDE) zu gewährleisten. Die Nutzung eines externen Serviceproviders kann jedoch die Risikoexposition verringern und den Aufwand für die Validierung und Aufrechterhaltung der PCI DSS-Compliance reduzieren.