SAQ (Selbstbeurteilungsfragebogen)

Ein Self-Assessment Questionnaire (SAQ) ist ein Validierungsinstrument, mit dem die Ergebnisse einer PCI DSS Selbstbeurteilung gemeldet werden. Er richtet sich an SAQ-berechtigte Händler und Dienstleister, also an solche, die von einem Acquirer oder einer Zahlungsmarke nicht zur Einreichung eines vollständigen Report on Compliance verpflichtet werden 1. Die Berechtigung hängt von den Compliance-Programmen der Zahlungsmarken und von den Kriterien des jeweils gewählten SAQ ab 1.

Es gibt mehrere SAQ-Typen, die jeweils auf eine bestimmte Zahlungsumgebung zugeschnitten sind. SAQ A betrifft beispielsweise Händler ohne physische Kartenpräsenz, die alle Funktionen rund um Kontodaten vollständig an konforme Dritte auslagern, während SAQ B für Imprinter und eigenständige Einwahl-Terminals gilt 8. SAQ D ist für berechtigte Händler vorgesehen, die keinem anderen Typ entsprechen 3. Dienstleister, die eine Selbstbeurteilung vornehmen dürfen, verwenden ausschließlich den SAQ D für Dienstleister 8.

In der Praxis sollte eine Agentur:

• ihre Zahlungsumgebung mit den Berechtigungskriterien der SAQ abgleichen und vor Beginn bestätigen, dass sie alle Kriterien erfüllt 12.
• nicht davon ausgehen, dass ein SAQ zwischen PCI DSS v3.2.1 und v4.x unverändert bleibt, und die aktuelle Version vollständig lesen 2.
• bei ihrem Acquirer oder den Zahlungsmarken klären, ob sie überhaupt einen SAQ verwenden darf und ob besondere Vorgaben bestehen 18.

Welcher SAQ zur Anwendung kommt, richtet sich nach dem tatsächlichen Umgang der Agentur mit Kartendaten und nach den Anforderungen des Acquirers oder der Zahlungsmarke, nicht nach persönlicher Präferenz 2.