PCI-compliance voor kleine detailhandelaren: deskundige gids
Belang van compliance: PCI DSS is essentieel voor kleine detailhandelaren; niet-naleving kan leiden tot enorme boetes en datalekken.
Handelaarsniveaus: Kleine detailhandelaren vallen vaak onder niveau 4, waardoor zelfbeoordeling nodig is in plaats van audits door derden.
De juiste SAQ kiezen: Het kiezen van de juiste SAQ is cruciaal om onnodige taken te voorkomen en geen kritieke vereisten over het hoofd te zien.
Technische beveiligingsmaatregelen: Implementeer belangrijke maatregelen, zoals netwerkbeveiliging en wachtwoordbeleid, om 80% van het compliancerisico te beheersen.
Validatieschema: Compliant blijven vereist jaarlijkse validatie, voortdurende systeemupdates en monitoring van de omgeving.
Als je creditcards accepteert, staat PCI-compliance op je te wachten—net als een belastingaanslag, maar dan met meer acroniemen en minder mazen in de wet.
De meeste kleine detailhandelaren negeren het, hopen dat hun verwerker het regelt of denken dat ze te klein zijn om aandacht te trekken. Alle drie zijn het wensdromen.
De realiteitscheck: één misstap en je krijgt te maken met boetes waarmee je een nieuwe winkel zou kunnen financieren (of waarmee je de winkel die je hebt moet sluiten). Datalekken zijn niet alleen krantenkoppen voor grote ketens; voor zelfstandige detailhandelaren kunnen ze het einde van de onderneming betekenen.
Want more from The Retail Exec?
Sign up for a free membership to complete reading this article:
Have an account? Log In
En ja, de regels gelden ook als je maar een handvol transacties per maand verwerkt.
Dus laten we het getob overslaan en meteen naar het deel gaan dat er echt toe doet: hoe je bepaalt welke PCI-vereisten op jouw bedrijf van toepassing zijn, wat je moet doen (en wat je kunt negeren) en hoe je compliant wordt zonder een week aan papierwerk te besteden of een consultant te betalen om de handleiding aan je voor te lezen.
Deze gids is gemaakt voor ondernemers die de feiten, de snelkoppelingen en de zaken willen kennen die niemand je vertelt voordat het te laat is.
Wat PCI DSS betekent voor kleine detailhandelaren
PCI DSS is niet optioneel—accepteer kaarten, volg de regels of krijg te maken met boetes en kosten door datalekken die een klein bedrijf kunnen sluiten.
De Payment Card Industry Data Security Standard (PCI DSS) wordt gehandhaafd door de grote kaartmerken—Visa, Mastercard, American Express, Discover en JCB.
Deze bedrijven verplichten elke acceptant die kaarthoudergegevens verwerkt, opslaat of verzendt om te voldoen aan specifieke beveiligingsnormen voor betalingsverwerking, ongeacht de omvang van het bedrijf.
Veel kleine detailhandelaren denken dat ze te klein zijn om ertoe te doen of dat hun betalingsverwerker de compliance voor hen regelt.
Beide aannames zijn onjuist.
Verwerk slechts één creditcardtransactie en je bent verantwoordelijk voor de PCI-compliancevereisten. Je betalingsverwerker kan compliant zijn, maar dat dekt niet jouw verantwoordelijkheden voor het beschermen van kaarthoudergegevens in jouw omgeving.
De gevolgen zijn reëel.
Niet-compliant acceptanten krijgen maandelijks boetes van $5,000 tot $100,000. Datalekken kosten kleine bedrijven gemiddeld $2.98 miljoen, volgens IBM's 2024 Cost of a Data Breach Report—genoeg om de meeste detailhandelaren permanent te sluiten. Naast financiële schade loop je het risico je acceptantenaccount volledig te verliezen.
Om de bredere context van regelgeving voor betalingsverwerkers te begrijpen en te zien hoe deze zowel acceptanten als klanten beschermt, is het belangrijk te weten dat compliance veel verder reikt dan PCI DSS.
Inzicht in deze vereisten begint met weten welk complianceniveau op jou van toepassing is—en de meeste kleine detailhandelaren vallen in een categorie die beter beheersbaar is dan ze denken.
Welk complianceniveau heb je?
De meeste kleine detailhandelaren vallen onder niveau 4 en moeten jaarlijks zelfevaluatievragenlijsten invullen in plaats van dure audits door derden te ondergaan.
PCI-compliance kent vier acceptantenniveaus, gebaseerd op het jaarlijkse transactievolume over een periode van 12 maanden:
| Niveau | Transactievolume | De meeste kleine detailhandelaren | Vereiste validatie |
|---|---|---|---|
| Niveau 4 | <20K e-commerce OF <1M totaal | ✓ MEEST VOORKOMEND | Jaarlijkse SAQ + kwartaalbeveiligingsscans |
| Niveau 3 | 20K-1M e-commercetransacties | Sommige detailhandelaren met meerdere locaties | Jaarlijkse SAQ + kwartaalbeveiligingsscans |
| Niveau 2 | 1M-6M transacties | Grote detailhandelaren | Jaarlijkse SAQ + kwartaalbeveiligingsscans |
| Niveau 1 | 6M+ transacties OF een datalek | Uitsluitend ondernemingen | Volledige QSA-audit + rapport |
Harbor & Pine, onze fictieve lifestyle-detailhandelaar met 20 winkels die 800.000 jaarlijkse transacties via alle kanalen verwerkt, valt onder niveau 3 omdat het bedrijf jaarlijks meer dan 20.000 e-commercetransacties verwerkt.
Toen het bedrijf met vijf winkels begon, viel het onder niveau 4—een veel eenvoudiger compliancetraject.
Het belangrijkste verschil: acceptanten op niveau 4 vullen zelfevaluatievragenlijsten (SAQ's) in, in plaats van Qualified Security Assessors (QSA's) in te huren voor formele audits.
Dit bespaart duizenden aan auditkosten, maar vereist wel dat je je eigen compliance eerlijk beoordeelt en documenteert.
Je acquiringbank of betalingsverwerker vertelt je welk niveau van toepassing is en welke validatie vereist is. Sommige verwerkers hanteren strengere eisen dan PCI, dus vraag dit na bij je aanbieder.
Zodra je je niveau kent, kies je het juiste type SAQ—als je dit verkeerd doet, verspil je tijd aan irrelevante vereisten.
Je SAQ kiezen: het besliskader
Kies je de verkeerde SAQ, dan verspil je tijd aan irrelevante vereisten of mis je cruciale vereisten—zo maak je de juiste keuze.
Zelfevaluatievragenlijsten (SAQ's) verschillen per methode voor betalingsverwerking en de complexiteit van de omgeving.
De lengte van de vragenlijst vertelt het complianceverhaal:
- SAQ A (22 vragen): De eenvoudigste route voor handelaren zonder fysieke kaartpresentatie die alle betalingsverwerking uitbesteden. U ziet nooit kaartgegevens: klanten voeren hun betalingsgegevens rechtstreeks in op de beveiligde pagina van uw betalingsdienstverlener.
- SAQ A-EP (178 vragen): Voor e-commercehandelaren met betaalpagina's op hun websites, maar zonder opslag van kaartgegevens. Betalingsgegevens stromen via uw website, maar worden elders verwerkt.
- SAQ B (41 vragen): Voor handelaren die zelfstandige inbel- of IP-terminals gebruiken die niet met andere systemen zijn verbonden. Denk aan eenvoudige terminals voor het doorhalen van kaarten zonder integratie.
- SAQ C (160 vragen): De meest voorkomende vragenlijst voor kleine retailers met geïntegreerde kassasystemen (POS). Omvat handelaren met betaalapplicaties die met internet zijn verbonden, maar zonder opgeslagen kaarthoudergegevens.
- SAQ D (329 vragen): De uitgebreide vragenlijst voor alle andere handelaren, waaronder organisaties die klantgegevens opslaan of complexe betaalomgevingen hebben.
Harbor & Pine dacht aanvankelijk dat hun geïntegreerde kassasysteem in aanmerking kwam voor SAQ A omdat hun verwerker "alles regelde."
In werkelijkheid hadden ze SAQ C nodig omdat hun kassasysteem verbinding maakte met hun netwerk en voorraadsysteem. De verkeerde SAQ betekende dat essentiële vereisten voor netwerkbeveiliging werden gemist.
Laten we beginnen met een eenvoudige beslisboom:
- Alleen verwerking door derden. Klanten voeren kaartgegevens rechtstreeks in op de website van uw betalingsdienstverlener, zonder dat er gegevens door uw systemen stromen → SAQ A
- Website-integratie zonder opslag. Kaartgegevens stromen via uw website, maar worden elders verwerkt zonder opslag → SAQ A-EP
- Zelfstandige terminals. U gebruikt inbel- of IP-terminals zonder netwerkverbindingen → SAQ B
- Met het netwerk verbonden systemen. U beschikt over POS- of betaalapplicaties die met uw netwerk zijn verbonden → SAQ C of D
Let op:
U kunt SAQ-varianten tegenkomen zoals C-VT (virtuele terminal) of B-IP/P2PE-HW (specifieke terminalsituaties).
Ze komen overeen met dezelfde kernverplichtingen als B of C, maar beperken het aantal vragen. Gebruik de quiz hieronder voor de precieze SAQ en de eerste stappen.
Weet u niet zeker welke variant op u van toepassing is? Gebruik de quiz hieronder: die vertelt u of u bijvoorbeeld SAQ C of de C-VT-variant nodig hebt.
Bij twijfel kunnen uw betalingsverwerker of uw acquirer helpen bepalen welke SAQ van toepassing is. Zodra u de juiste SAQ hebt vastgesteld, begint het echte werk: het implementeren van technische beheersmaatregelen die de basis van compliance vormen.
Essentiële technische beheersmaatregelen die elke winkelier nodig heeft
Deze zes beheersmaatregelen beperken 80% van uw compliancerisico. Voer ze eerst goed uit en houd u daarna pas bezig met documentatie.
Netwerkbeveiliging en toegangsbeheer
Drie fundamentele beheersmaatregelen beschermen de perimeter van uw netwerk:
- Firewallbeveiliging. Installeer en onderhoud firewalls rond systemen die kaarthoudergegevens verwerken. Dit omvat POS-netwerken, kantoorcomputers en wifi-netwerken. Veel kleine retailers gaan de fout in door POS-systemen zonder goede segmentatie op hetzelfde netwerk als kantoorcomputers aan te sluiten.
- Verwijder standaardwachtwoorden. Wijzig alle door leveranciers aangeleverde standaardwachtwoorden onmiddellijk. Standaardwachtwoorden worden online gepubliceerd en gebruikt bij geautomatiseerde aanvallen. Dit geldt voor routers, POS-systemen, betaalterminals, beveiligingscamera's en alle verbonden apparaten.
- Beperk de toegang. Beperk de toegang tot kaarthoudergegevens op basis van een aantoonbare behoefte. Niet iedere medewerker heeft toegang tot het betalingssysteem nodig. Maak voor iedere persoon een unieke gebruikers-ID aan en verplicht sterke wachtwoorden die regelmatig worden gewijzigd.
Beveiliging van betalingsverwerking
- Versleutel kaarthoudergegevens, zowel wanneer ze zijn opgeslagen als wanneer ze worden verzonden. Een belangrijk voordeel van moderne kassasystemen is dat ze dit meestal automatisch kunnen afhandelen, maar controleer dit bij je leverancier.
- Sla nooit gevoelige authenticatiegegevens op, zoals CVV-codes of PIN-verificatiewaarden—dit is verboden.
- Gebruik veilige hardware voor betalingsverwerking. Moderne kassasystemen met punt-tot-puntversleuteling (P2PE) versleutelen kaartgegevens vanaf het moment dat de kaart wordt gelezen, waardoor de reikwijdte van de naleving aanzienlijk wordt beperkt.
Deze systemen kosten vooraf meer, maar vereenvoudigen de voortdurende nalevingsvereisten.
Voor een diepere blik op de implementatie van veilige betalingsverwerking werken encryptie en tokenisatie samen om gegevens in elke fase te beschermen.
Systeemonderhoud en monitoring
- Installeer antivirussoftware op alle systemen die betalingsgegevens verwerken en houd deze up-to-date. Retail-kassasystemen zijn veelvoorkomende doelwitten voor malware die uit het geheugen gegevens buitmaakt en die is ontworpen om betalingsgegevens te stelen. Een van de voordelen van retail-kassasystemen is dat ze veel ingebouwde beveiligingsfuncties hebben.
- Voer regelmatig kwetsbaarheidsscans uit met behulp van een goedgekeurde scanleverancier (ASV). Externe scans zijn elk kwartaal verplicht en je moet alle kwetsbaarheden met een hoog risico verhelpen voordat je je nalevingsverklaring indient.
Harbor & Pine ontdekte dit tijdens een uitbreiding, toen het bedrijf bijna te maken kreeg met een datalek door een standaardwachtwoord op hun draadloze router op een nieuwe locatie.
Een snelle IT-reactie voorkwam dat gegevens werden blootgesteld, maar maakte duidelijk hoe gemakkelijk technische tekortkomingen een enorm risico veroorzaken.
Documentatievereisten
- Houd beveiligingsbeleid bij voor gegevensverwerking, toegangsbeheer en incidentrespons. Dit hoeft niet ingewikkeld te zijn—eenvoudige, duidelijke procedures die je medewerkers daadwerkelijk kunnen volgen.
- Registreer en monitor de toegang tot kaarthoudergegevens en beveiligde systemen.
- Houd gedetailleerde gegevens bij over wie wanneer toegang had tot welke informatie. Veel datalekken worden pas maanden later ontdekt door analyse van logbestanden.
Deze technische controles werken samen met het menselijke aspect van naleving—je beleid, medewerkerstraining en fysieke beveiligingsmaatregelen.
Beleid, medewerkerstraining & fysieke beveiliging
Technologie alleen is niet voldoende voor naleving—je hebt gedocumenteerde processen nodig die je medewerkers daadwerkelijk volgen.
Toegangsbeheer
Stel schriftelijk beleid op voor wachtwoordvereisten, het toekennen van gebruikerstoegang en procedures voor gegevensverwerking. Vereis unieke gebruikers-ID's voor elke medewerker en verbied gedeelde accounts.
Wanneer medewerkers uit dienst gaan, moet je hun toegang tot alle betalingssystemen onmiddellijk uitschakelen.
Minimale wachtwoordvereisten:
Acht tekens met hoofdletters, kleine letters, cijfers en speciale tekens. Vereis elke 90 dagen wijzigingen voor accounts met uitgebreide rechten. Overweeg wachtwoordmanagers om medewerkers te helpen sterke, unieke wachtwoorden te gebruiken.
Medewerkerstraining
Train alle medewerkers die betaalkaarten verwerken in PCI-procedures voor gegevensbeveiliging.
Behandel de juiste omgang met kaarten, welke gegevens ze wel en niet mogen opslaan (schrijf kaartnummers nooit op) en hoe ze verdachte activiteiten kunnen herkennen en melden.
Documenteer trainingsdata en onderwerpen. Veel SAQ's vereisen bewijs dat medewerkers hun verantwoordelijkheden voor gegevensbeveiliging begrijpen.
Fysieke beveiliging
Beveilig de fysieke toegang tot systemen voor betalingsverwerking, kaarthoudergegevens en opslagmedia.
Dit betekent dat serverruimtes op slot moeten zijn, de toegang tot kassaterminals moet worden beperkt en documenten met betrekking tot betalingen op de juiste manier moeten worden afgevoerd.
Bescherm opgeslagen media met kaarthoudergegevens.
Als je betalingsgegevens moet opslaan (vermijd dit indien mogelijk), gebruik dan afgesloten archiefkasten met toegangslogboeken. Vernietig oude betalingsgegevens op een veilige manier—versnippering of verbranding voor papier, en het veilig wissen van gegevens voor elektronische media.
Veel kleine retailers zien fysieke beveiliging over het hoofd, in de veronderstelling dat cybersecurity het enige aandachtspunt is.
Maar betalingsgegevens die op plakbriefjes zijn geschreven, niet-vergrendelde serverruimtes en onjuist afgevoerde betalingsgegevens leiden tot nalevingsovertredingen en beveiligingsrisico's.
Harbor & Pine ontdekte dit toen het bedrijf uitbreidde naar zijn zesde locatie.
Ze hadden uitstekende digitale beveiliging, maar ontdekten dat medewerkers in de nieuwe winkel klantkaartnummers op bestelformulieren schreven "voor het gemak". Een korte herinnering aan het beleid en een trainingssessie losten het probleem op voordat hun nalevingscontrole plaatsvond.
Met solide technische beheersmaatregelen en beleid wordt het handhaven van naleving een doorlopend proces in plaats van een jaarlijkse haastklus.
Validatie en naleving handhaven
Naleving bestaat uit jaarlijkse validatie plus doorlopend onderhoud—hier is uw planning om actueel te blijven.
Jaarlijkse vereisten
Uw jaarlijkse nalevingschecklist:
✓ Voltooi de SAQ en dien deze samen met de Verklaring van Naleving (AoC) in bij uw bank van acceptatie of betalingsverwerker
✓ Dien deze vóór de deadline van de verwerker in om kosten wegens niet-naleving te voorkomen
✓ Doorsta vier externe kwartaalcontroles op kwetsbaarheden door een ASV ($100-500 per kwartaal)
✓ Verhelp eventuele kwetsbaarheden met een hoog risico vóór de attestatie
Doorlopend onderhoud
Doorlopende naleving vereist constante waakzaamheid:
- Systeemupdates. Houd POS-software en betaalapplicaties up-to-date met beveiligingspatches. Abonneer u op beveiligingsbulletins van leveranciers en installeer kritieke updates snel.
- Omgevingsbewaking. Het toevoegen van nieuwe POS-terminals, het upgraden van software of het wijzigen van betalingsverwerkers kan een ander type SAQ of aanvullende beveiligingsmaatregelen vereisen.
- Toegangscontroles. Kwartaalcontroles van toegangslijsten verwijderen vertrokken medewerkers en verifiëren dat de huidige toegangsniveaus overeenkomen met de functievereisten.
De PCI DSS-standaard zelf wordt periodiek bijgewerkt. Versie 4.0 werd van kracht in maart 2024, en volledige handhaving begon in maart 2025. Blijf op de hoogte via uw betalingsverwerker of de communicatie van de PCI Security Standards Council.
Zelfs met de beste bedoelingen maken kleine detailhandelaren vaak fouten die hun nalevingsinspanningen kunnen dwarsbomen en onnodige risico's kunnen creëren.
Harbor & Pine kreeg hiermee te maken toen een vertrekkende winkelmanager een laptop mee naar huis nam die mogelijk klantbetaalgegevens bevatte. De mogelijke blootstelling leidde tot vereisten voor het melden van een datalek en toezicht door regelgevende instanties, zelfs zonder dat er daadwerkelijk een datalek had plaatsgevonden.
Het incident leidde tot strenger beleid voor apparaatbeheer op alle locaties.
Inzicht in deze valkuilen helpt bij het bepalen van uw nalevingsbudget en uw planningsbeslissingen.
Budget voor naleving: realistische kosten
Vul enkele korte gegevens over uw winkel in en we schatten uw PCI-kosten voor het eerste jaar, uw jaarlijkse langetermijnkosten en wat het bedrag daadwerkelijk bepaalt.
Plan jaarlijks $2,000-8,000 voor naleving op niveau 4, afhankelijk van uw huidige beveiligingsniveau en de complexiteit van uw systemen.
Typische kostenverdeling
| Kostencategorie | Kostenbereik | Frequentie | Waarvoor het wordt gebruikt |
|---|---|---|---|
| SAQ-voltooiing | $500-2,000 | Jaarlijks | Zelf doen versus hulp van een consultant |
| Controles op kwetsbaarheden | $400-2,000 | Per kwartaal | Externe ASV-controles |
| POS-/systeemupgrades | $0-5,000 | Eenmalig* | Beveiligingsconforme hardware |
| Netwerkbeveiliging | $500-3,000 | Eenmalig* | Firewalls, netwerksegmentatie |
| Training en beleid | $200-800 | Jaarlijks | Medewerkerstraining, documentatie |
| Doorlopend onderhoud | $300-1,200 | Jaarlijks | Updates, monitoring, toegangsbeheer |
ROI-berekening
Vergelijk de kosten van naleving met de gevolgen van een datalek: een gemiddeld datalek bij een klein bedrijf kost $2.98 miljoen, terwijl uitgebreide PCI-naleving jaarlijks $3,000-6,000 kost.
Basismaatregelen voor naleving verlagen het risico op datalekken en de kosten daarvan aanzienlijk.
Wanneer hulp inschakelen
Overweeg een QSA of adviseur als:
- Complexe vragenlijst. Je SAQ bevat meer dan 100 vragen
- Gegevensopslag. Je slaat kaarthoudergegevens in welke vorm dan ook op
- Complex netwerk. Je hebt meerdere geïntegreerde systemen of complexe netwerkomgevingen
- Eerdere tekortkomingen. Je hebt eerdere validaties voor naleving niet doorstaan
Zelf doen werkt als:
- Eenvoudige verwerking. Je gebruikt eenvoudige betalingsverwerking (SAQ A of B)
- Technische kennis. Je beschikt over basiskennis van IT en tijd om bij te leren
- Ondersteuning van de verwerker. Je betalingsverwerker biedt speciale ondersteuning bij naleving
De meeste handelaren van niveau 4 kunnen naleving bereiken zonder dure adviseurs, maar professionele hulp zorgt ervoor dat je geen kritieke vereisten over het hoofd ziet die boetes of controles kunnen veroorzaken.
Harbor & Pine begon met zelf naleving regelen toen het bedrijf vijf winkels had, maar schakelde een adviseur in toen het uitbreidde naar 15 locaties en naar niveau 3 ging.
De investering betaalde zichzelf terug doordat een mogelijke boete van $25,000 wegens onvolledige documentatie tijdens hun eerste formele beoordeling werd voorkomen.
Belangrijke hulpmiddelen die kunnen helpen: POS-systemen met ingebouwde nalevingsfuncties, betalingsverwerkers die PCI-vereisten vereenvoudigen en veilige betaalpoorten verminderen je nalevingslast door versleuteling en tokenisatie automatisch af te handelen.
Clicks on the links below may earn a commission, which supports our independent testing and review of software and services. Learn more about how we stay transparent.
Blijf aan de voorschriften voldoen en pluk de vruchten
PCI-naleving hoeft kleine detailhandelaren niet te overweldigen. Richt je eerst op essentiële controles, kies de juiste SAQ voor je omgeving en pas consequent beveiligingspraktijken toe.
De investering in naleving is minimaal vergeleken met de kosten van een datalek of het verlies van je mogelijkheid om creditcards te accepteren.
Raadpleeg voor specifieke richtlijnen voor naleving die zijn afgestemd op je betalingsomgeving je acquiringbank of betalingsverwerker. Zij kunnen helpen om je exacte vereisten en validatieprocedures te bepalen.
Bekijk voor bredere inzichten in betalingsverwerking onze complete gids voor betalingsverwerking.
De detailhandel staat nooit stil — en jij zou dat ook niet moeten doen. Abonneer je op onze nieuwsbrief voor de nieuwste inzichten, strategieën en hulpmiddelen voor je carrière van toonaangevende retailleiders die de sector vormgeven.
Veelgestelde vragen over PCI-naleving
Enkele laatste vragen en antwoorden voordat we vertrekken.
Wat valt precies onder "kaartgegevens van kaarthouders" die ik moet beschermen?
Primair rekeningnummer (PAN), vervaldatum, naam van de kaarthouder en servicecode. Sla nooit CVV-codes, PIN-verificatiewaarden of volledige magneetstripgegevens op—dit is verboden.
Kan ik alle betalingsverwerking uitbesteden om PCI-naleving te vermijden?
Nee. Hoewel uitbesteding de reikwijdte van de naleving verkleint, blijf je verantwoordelijk voor het beschermen van kaartgegevens van kaarthouders in jouw omgeving en voor het controleren of dienstverleners aan de eisen voldoen.
Hoe vaak moet ik kwetsbaarheidsscans uitvoeren?
Externe scans elk kwartaal door een ASV. Interne scans ook elk kwartaal als je interne netwerken met kaartgegevens van kaarthouders hebt. Mislukte scans moeten worden verholpen en opnieuw worden uitgevoerd.
Wat gebeurt er als ik niet aan de eisen voldoe?
Kaartmerken kunnen maandelijks boetes van $5,000-100,000 opleggen. Je kunt je handelaarsaccount volledig kwijtraken. Datalekken brengen forensische kosten, juridische kosten en mogelijke rechtszaken met zich mee.
Moet ik aan de nalevingsvereisten voldoen als ik maar een paar creditcards per maand accepteer?
Ja. PCI DSS is van toepassing op alle handelaren die kaartgegevens van kaarthouders opslaan, verwerken of verzenden, ongeacht het transactievolume. Zelfs voor één transactie is naleving vereist.