PCI-DSS (Payment Card Industry Data Security Standard) ist für alle Institutionen, die Kartendaten verarbeiten, verpflichtend. Stufen: 1 (6 Mio. + tx/Jahr) – 4 (20.000–1 Mio. tx/Jahr). Es wird zusammen mit KVKK + 6493 SK in der Türkei angewendet.
Stufen
12 PCI-DSS-Anforderungen
Wo kann man in der Türkei ein PCI-DSS-Audit erhalten?
Von QSA-Unternehmen (Qualified Security Assessor). In der Türkei gibt es zugelassene QSAs wie KPMG, EY, Deloitte, PwC, Procoders und Tridom. Das jährliche Audit vor Ort kostet zwischen 25.000 und 100.000 USD.
Steht ein Konflikt mit KVKK?
Steht nicht im Widerspruch; ergänzen. PCI-DSS konzentriert sich auf Kartendaten, KVKK auf alle personenbezogenen Daten. Die Datensicherheitsanforderungen von KVKK m.12 werden dank der PCI-DSS-Konformität problemlos erfüllt.
Ist die Tokenisierung ausreichend?
Die Tokenisierung schränkt den PCI-DSS-Bereich ein, beseitigt ihn jedoch nicht vollständig. Die Infrastruktur, die Token erstellt und die Zuordnung verwaltet, bleibt im PCI-DSS-Bereich.
Was passiert im Falle eines Verstoßes?
Strafe der Kartenvereinigung (Visa, MC): 5.000–100.000 USD/Monat; Türkische Zahlungsintegratoren können den Vertrag kündigen; Benachrichtigung über Verstöße gegen KVKK Artikel 12/5 72 Stunden. Kundenentschädigungsfälle sind langwierig.
Unterschied zwischen SAQ und RoC?
SAQ (Selbstbewertungsfragebogen): Level 2-4. RoC (Report on Compliance): Stufe 1; Reguliert durch QSA.
Einschlägige Gesetzgebung
- Gesetz Nr. 6493 – Zahlung und elektronisches Geld; Lizenzierung, Betriebserlaubnis.
- BRSA-Vorschriften – Zahlungsinstitut/EML-Genehmigung, Kapital, Berichterstattung.
- 5549 SK – MASAK; KYC, STR, regelmäßige Aktivität.
- KVKK + DSGVO – Datensicherheit, grenzüberschreitende Übermittlung.
- PCI-DSS – Kartenspeicher; Konformität mit PCI Level 1–4.