PCI SAQ-quiz: Vind uw juiste SAQ in 2 minuten

Je bent niet de enige als PCI-compliance aanvoelt als een regulatoire variant van whack-a-mole.

Je betalingsverwerker stuurt een e-mail: "Vul je jaarlijkse PCI SAQ vóór vrijdag in." Je googelt "PCI SAQ" en vindt vijf verschillende vragenlijsten—A, A-EP, B, C, D—elk met andere vereisten.

De ene heeft 22 vragen. De andere 329. Je hebt geen idee welke op jou van toepassing is.

Kies de verkeerde en je verspilt uren aan het beantwoorden van irrelevante vragen. Of erger nog: je slaat controles over die je daadwerkelijk nodig hebt—en stelt jezelf bloot aan datalekken, boetes of sancties van je betalingsverwerker.

De oplossing? Deze quiz.

De quiz vraagt hoe je tegenwoordig betalingen accepteert, waar kaartgegevens naartoe stromen en welke systemen ermee in aanraking komen. Twee minuten later krijg je je SAQ-type, een uitleg in duidelijke taal en een checklist waarmee je aan de slag kunt.

Zo werkt deze PCI SAQ-quiz

De quiz doorloopt je betalingsomgeving systematisch:

1. Hoe klanten kaartgegevens invoeren. Een gehoste checkout? Een betaalpagina op locatie? Een zelfstandige betaalterminal? Een POS-systeem op je netwerk? Een virtuele terminal? Het antwoord bepaalt de basisomvang.
2. Waar kaartgegevens naartoe stromen. Je bevestigt welke systemen kaartgegevens verwerken en of iets deze gegevens opslaat, zelfs tijdelijk. Opslag verandert alles.
3. Controles voor P2PE en handmatige invoer. P2PE-gevalideerde terminals verkleinen de omvang drastisch. Handmatige invoer in een browser—zelfs "maar af en toe"—vergroot deze.
4. Vragen voor de eindverificatie. Enkele ja/nee-vragen brengen randgevallen in kaart en bevestigen je configuratie.
5. Je resultaat. Ontvang je SAQ-type, waarom het bij je bedrijf past en een concrete takenlijst om compliant te worden zonder tijd te verspillen.

Wat je uit je resultaat haalt

• Je exacte SAQ-type. Geen giswerk. De quiz vertelt je welke vragenlijst je moet invullen—A, A-EP, B, C of D—op basis van de manier waarop je daadwerkelijk betalingen accepteert.
• Uitleg in duidelijke taal. Je ziet waarom deze SAQ bij je configuratie past, zodat je dit aan je betalingsverwerker, auditor of team kunt uitleggen zonder te klinken alsof je uit een compliancehandleiding voorleest.
• Een uitvoerbare checklist. Concrete vervolgstappen—segmenteer je netwerk, stap over op gehoste velden, implementeer P2PE—die compliance veranderen in een project dat je dit kwartaal kunt afronden in plaats van het maandenlang te laten aanslepen.
• Context voor verdere verdieping. Nieuw met PCI? We linken naar onze gids over PCI-compliance voor kleine bedrijven, zodat je begrijpt waarom elke vereiste bestaat.

Snelle SAQ-definities—wat elk type werkelijk betekent

SAQ A — Kaartgegevens komen nooit met je systemen in aanraking

Volledig gehoste e-commerce of terugkerende facturering. Je website stuurt door naar een betaalpagina of gebruikt een iframe waarin de betalingsprovider alles afhandelt. Je systemen zien, verwerken of bewaren nooit kaartgegevens.

SAQ A-EP — Je website host betaalelementen

Je website host betaalpagina's, JavaScript of scripts die de checkout-flow kunnen beïnvloeden. De omvang is groter dan bij SAQ A, omdat je infrastructuur het betalingsproces raakt—even als deze geen kaartgegevens opslaat.

SAQ B — Alleen inbellende terminals

Zelfstandige terminals die via een telefoonlijn uitbellen, of ouderwetse afdrukmachines. Geen internetverbinding met je netwerk betekent een minimale omvang.

SAQ C — Zelfstandige terminals met IP-verbinding

Betaalterminals die met internet zijn verbonden, maar geïsoleerd zijn van je bedrijfsnetwerk. Veelvoorkomend in de retail met gesegmenteerde POS-configuraties. Er worden geen kaartgegevens opgeslagen.

SAQ D — Al het overige

Aangepaste betalingsstromen, opslag van kaartgegevens of een brede netwerkreikwijdte waarbij meerdere systemen toegang zouden kunnen hebben tot betalingsgegevens.

Dit is de grote—329 vragen over je volledige omgeving.

Veelgemaakte fouten waardoor je de verkeerde SAQ krijgt

• Ervan uitgaan dat je SAQ A hebt wanneer je betaalvelden insluit. iFrames en gehoste omleidingen kunnen in aanmerking komen voor SAQ A, maar als je pagina betaalvelden rechtstreeks laadt (zelfs via JavaScript), kom je waarschijnlijk uit op A-EP. De quiz maakt dit snel duidelijk.
• Medewerkers kaartgegevens laten invoeren in een browser, zelfs "maar af en toe". Eén winkelmanager die kaartgegevens invoert in een virtuele betaalterminal op een onbeheerde laptop vergroot je PCI-scope. Los deze werkwijze op met geschikte terminals of een vergrendelde configuratie van de virtuele betaalterminal.
• P2PE overslaan. Apparaten met point-to-point-encryptie zorgen ervoor dat kaartgegevens bij de terminal worden versleuteld en versleuteld blijven totdat ze je betaalverwerker bereiken. P2PE-gevalideerde terminals verkleinen de scope aanzienlijk — vraag je provider ernaar.
• Systemen combineren op een vlak netwerk. Staan POS-terminals op hetzelfde netwerk als je administratieve werkstations, wifi en andere apparaten? Dat is scope-uitbreiding. Segmenteer je netwerk zodat betaalsystemen geïsoleerd zijn. Het kost minder werk dan je denkt en bespaart je later enorm veel problemen tijdens audits.
• Mobiele betalingen negeren. Als je bestellingen telefonisch aanneemt en kaartgegevens invoert in een virtuele betaalterminal, telt dat mee. Als je app betalingen verwerkt, telt dat mee. De quiz houdt rekening met deze scenario's.

Volgende stappen nadat je je resultaat hebt ontvangen

Als je beperkte middelen hebt, gebruik de checklist van de quiz naast onze PCI-compliancegids voor kleine bedrijven.

Je doorloopt alles stap voor stap zonder een consultant in te huren totdat je er daadwerkelijk een nodig hebt.

Als je van platform wisselt of systemen bijwerkt, geef dan prioriteit aan providers met gehoste velden en P2PE-ondersteuning.

Onze vergelijking van de beste betalingsgatewayproviders laat zien welke platforms compliance eenvoudiger maken — en welke voor hoofdpijn zorgen.

Als de quiz je naar SAQ D verwijst, raak dan niet in paniek.

Ja, het is de langste vragenlijst, maar veel bedrijven beginnen daar en werken vervolgens terug door de scope te verkleinen.

Implementeer P2PE-terminals, stap voor e-commerce over op gehost afrekenen en segmenteer netwerken. Binnen enkele maanden kom je mogelijk in aanmerking voor een eenvoudigere SAQ — en bespaar je tijd en geld bij doorlopende audits.

Waarom dit belangrijker is dan de meeste retailers denken

PCI draait niet alleen om het voorkomen van boetes — al kunnen die snel oplopen. Het gaat erom je bedrijf te beschermen tegen kosten van datalekken, die volgens gegevens uit de sector gemiddeld $200 per gecompromitteerde kaart bedragen.

Een datalek bij een middelgrote retailer die 500 kaarten per maand verwerkt, kan $100,000 kosten aan forensisch onderzoek, kennisgevingen, het opnieuw uitgeven van kaarten en merkschade.

Met de juiste SAQ richt je je op beveiligingsmaatregelen die het risico daadwerkelijk verkleinen, in plaats van op het afvinken van irrelevante vereisten. Het is het verschil tussen een week verspillen aan de verkeerde vragenlijst en je compliance in één middag afronden met een duidelijke checklist.

Doe nu de quiz — weet in twee minuten welke SAQ op jou van toepassing is en onderneem vervolgens actie.