PCI DSS
Der PCI-DSS-Fragebogen, den Ihr Reisebüro jedes Jahr einreicht. Vorbereitet auf dem offiziellen Formular.
Wir bestimmen, welcher SAQ zu Ihrer Kartenzahlung passt, füllen den Fragebogen des PCI Security Standards Council mit Ihren Daten aus und liefern ihn unterschriftsreif, mit einer Erinnerung vor dem Ablauf.
Kurz gesagt
Reisebüros, die bei BSP-Verkäufen Zahlungskarten akzeptieren, müssen PCI DSS einhalten und dies jedes Jahr validieren, in der Regel mit einem Selbstbewertungsfragebogen (SAQ). Der Typ hängt davon ab, wie Karten angenommen werden: SAQ A für Zahlungslinks und Websites, die zur Zahlungsseite des Anbieters weiterleiten oder sie einbetten, SAQ A-EP, wenn die Website des Reisebüros das Zahlungsformular erzeugt, SAQ C-VT für ein virtuelles Terminal und SAQ D, wenn Kartendaten elektronisch gespeichert werden.
SAQ-Typen
Welcher SAQ zu Ihrem Reisebüro passt.
Der Fragebogen folgt dem Weg der Kartendaten durch Ihr Reisebüro, nicht dessen Größe oder Akkreditierungsmodell.
| SAQ | Typische Einrichtung im Reisebüro | ASV-Scans | Was wir tun |
|---|---|---|---|
| SAQ A | Zahlungslinks an den Kunden; keine Kartendaten in Ihren Systemen eingegeben | Nicht nötig | Wir bereiten ihn vor |
| SAQ A | Website, die zur Zahlungsseite des Anbieters weiterleitet oder sie einbettet | Vierteljährlich | Wir bereiten ihn vor und führen die Scans durch |
| SAQ A-EP | Website, die das Zahlungsformular selbst erzeugt (Direct Post oder JavaScript) | Vierteljährlich | Wir prüfen Ihre Einrichtung und bereiten ihn mit Ihnen vor |
| SAQ C-VT | Kartendaten einzeln im virtuellen Terminal eines Anbieters eingegeben, nichts gespeichert | Nicht nötig | Wir bereiten ihn vor |
| SAQ D | Kartennummern elektronisch gespeichert: Dateien, E-Mails, Tabellen oder GDS-Bemerkungen | Vierteljährlich | Wir sagen es Ihnen im ersten Gespräch und helfen Ihnen, einen QSA zu finden |
SAQ B, B-IP, C und P2PE betreffen Kartenterminals und Kassensoftware an einem physischen Verkaufspunkt. Passt einer davon besser zu Ihrem Reisebüro, sagen wir es Ihnen im ersten Gespräch.
01 · Abflüge
Ihr SAQ mit einem Klick.
BordkarteDer Kunde zahlt auf der Seite des Anbieters, und Kartendaten berühren nie Ihre Systeme: der kürzeste Fragebogen, ohne Scans.
Eine Orientierung, keine Entscheidung: Wir bestätigen Ihren SAQ-Typ anhand der Eignungskriterien des PCI SSC, bevor wir etwas vorbereiten.
Was enthalten ist
Alles bis zu Ihrer Unterschrift.
- Eine Übersicht aller Kanäle, über die Kartendaten in Ihr Reisebüro gelangen: Telefon, E-Mail, Website, GDS und Zahlungslinks.
- Der zutreffende SAQ-Typ, mit einer schriftlichen Erklärung der Eignungskriterien, die ihn bestimmt haben.
- Der offizielle PCI-SSC-Fragebogen mit den Daten Ihres Reisebüros und die zugehörige Attestation of Compliance.
- Vierteljährliche ASV-Scans, wenn Ihr SAQ sie verlangt, mit Nachverfolgung aller Befunde.
- Eine kurze Liste von Praktiken, die eine Anforderung nicht erfüllen würden, jeweils mit praktischer Abhilfe.
- Eine Erinnerung sechzig Tage vor Ablauf des SAQ, damit die Verlängerung im nächsten Jahr rechtzeitig beginnt.
Was wir von Ihnen brauchen
- Wie Sie heute Karten annehmen, einschließlich Website- oder Zahlungslink-Anbieter.
- Die rechtlichen Angaben Ihres Reisebüros und die IATA-Nummer sowie Name und Funktion der unterschreibenden Person.
- Ihren bisherigen SAQ und die Attestation, falls vorhanden.
03 · Flugplan
Drei Etappen. Sie fliegen nur die letzte.
- Etappe 1 · Check-in
Einen kurzen Fragebogen beantworten
Wie Sie Karten annehmen, die Daten Ihres Reisebüros und wer unterschreibt. Einmalig, per E-Mail oder in Ihrem kostenlosen Konto.
- Etappe 2 · Im Flug
Wir bereiten alles vor
Der richtige SAQ auf dem offiziellen PCI-SSC-Formular, dazu ASV-Scans, wenn Ihr SAQ sie verlangt.
- Etappe 3 · Ankunft
Sie prüfen, unterschreiben und reichen ein
Ein PDF, bereit zur Einreichung bei IATA, und eine Erinnerung vor der Verlängerung im nächsten Jahr.
02 · Autopilot
Nach dem Start halten wir Wache.
Vierteljährliche ASV-Scans
Verlangt Ihr SAQ externe Scans, prüft ein vom PCI SSC anerkannter Approved Scanning Vendor Ihre Website jedes Quartal. Wir planen jeden Scan, verfolgen Befunde nach und legen jeden bestandenen Bericht in Ihrer Akte ab.
Verlängerungen, die nie untergehen
Wir bewahren Ihre Antworten und Ihre Termine auf. Sechzig Tage vor Ablauf Ihres SAQ melden wir uns, um ihn zu verlängern.
Offizielle Formulare. Immer.
Ihr SAQ ist der Fragebogen des PCI Security Standards Council selbst, mit den Daten Ihres Reisebüros ausgefüllt und bereit zur Einreichung bei IATA. Nichts nachgebaut, nichts zusammengefasst.
Häufige Fragen
Brauchen IATA-Reisebüros PCI DSS?
Ja, wenn sie bei BSP-Verkäufen Zahlungskarten akzeptieren. IATA verlangt von akkreditierten Agenturen, die Kartenzahlungen annehmen, die Einhaltung von PCI DSS und deren jährliche Validierung, in der Regel mit einem Selbstbewertungsfragebogen (SAQ) und der zugehörigen Attestation of Compliance.
Welchen SAQ braucht ein Reisebüro?
Das hängt davon ab, wie das Reisebüro Karten annimmt. Zahlungslinks oder eine Website, die zur Zahlungsseite des Anbieters weiterleitet oder sie einbettet, bedeuten meist SAQ A. Eine Website mit eigenem Zahlungsformular bedeutet SAQ A-EP. Die Eingabe von Karten in das virtuelle Terminal eines Anbieters bedeutet SAQ C-VT. Elektronisch gespeicherte Kartennummern bedeuten SAQ D. Wir bestätigen den Typ anhand der Eignungskriterien des PCI SSC, bevor wir ihn vorbereiten.
Was ist ein ASV-Scan und wann ist er Pflicht?
Ein externer Schwachstellenscan Ihrer aus dem Internet erreichbaren Systeme durch einen Approved Scanning Vendor, der beim PCI Security Standards Council gelistet ist. Er ist mindestens alle drei Monate Pflicht, wenn Ihr SAQ die Anforderung 11.3.2 enthält: etwa SAQ A für ein Reisebüro, dessen Website zur Zahlungsseite weiterleitet oder sie einbettet, und SAQ A-EP.
Reichen Sie den SAQ für uns bei IATA ein?
Nein. Der SAQ ist eine Erklärung Ihres Reisebüros, daher unterschreibt und reicht ihn eine berechtigte Person des Reisebüros ein. Wir liefern ihn vollständig und unterschriftsreif und sagen Ihnen, was Sie einsenden müssen.
Wie lange dauert es?
Ein bis zwei Wochen ab dem Moment, in dem wir Ihre Antworten haben, vor allem abhängig davon, wie schnell Ihr Team antwortet. Verlängerungen für bestehende Kunden sind meist in wenigen Tagen erledigt.
Brauchen GoLite-Reisebüros PCI DSS?
Wenn das Reisebüro für Ticketverkäufe Zahlungskarten akzeptiert, ja. Das Akkreditierungsmodell ändert, wie Sie mit dem BSP abrechnen, nicht, ob die Regeln für Kartendaten gelten.
Was passiert, wenn wir nichts einreichen?
Nichteinhaltung hat nach den Kartenverkaufsregeln von IATA Folgen bis hin zum Verlust der Möglichkeit, bei BSP-Verkäufen Karten zu akzeptieren, und sie setzt das Reisebüro vertraglich gegenüber seinem Acquirer einem Risiko aus.
Wie oft muss der SAQ verlängert werden?
Jedes Jahr. Die PCI-DSS-Konformität wird jährlich validiert, und erneut, wenn sich die Kartenzahlung ändert, etwa durch eine neue Website oder einen neuen Zahlungsanbieter.
Ist der SAQ auf Englisch?
Ja, wir bereiten den offiziellen englischen Fragebogen des PCI SSC vor. Wir erklären Ihnen jede Frage in Ihrer Sprache und bewahren die Antworten für das nächste Jahr in Ihrer Akte auf.
Können Sie uns PCI-konform machen?
Wir stellen sicher, dass Ihr Fragebogen der richtige ist und wahrheitsgemäß beantwortet wird, führen die verlangten ASV-Scans durch und sagen Ihnen, was sich ändern muss, wo eine Praxis eine Anforderung nicht erfüllt. Penetrationstests und technische Behebung bieten wir nicht an.
Letzter Aufruf
Bereit zum Boarding?
Erstmals oder als Verlängerung: Ihr PCI DSS, vorbereitet von Spezialisten für die Compliance von Reisebüros.
