PCI DSS: co to je, koho se týká a kdy firma potřebuje penetrační test

PCI DSS se týká každého, kdo karetní údaje ukládá, zpracovává nebo přenáší, nebo kdo může ovlivnit jejich ochranu, a to bez ohledu na velikost. Není to zákon. Kdo musí soulad dokládat a jak, určují platební značky a banky, ne PCI SSC. Penetrační test standard nechce od každého: záleží na tom, který dotazník (SAQ) vám banka přidělí. Pro e-shop, který platbu jen přesměruje na certifikovanou bránu, penetrační test v dotazníku SAQ A není. Firma, která karetní údaje přijímá na vlastním webu, podle dotazníku SAQ D dělá vnitřní i vnější test alespoň jednou za 12 měsíců.

Co PCI DSS je a kdo ho vynucuje

PCI DSS je soubor technických a provozních požadavků na ochranu platebních údajů, který vydává PCI Security Standards Council (PCI SSC). Podle PCI SSC se standard vztahuje na obchodníky, firmy zpracovávající platby, banky, vydavatele karet i poskytovatele služeb. Platí globálně: PCI SSC píše, že soulad se čeká od každého, kdo karetní údaje ukládá, zpracovává nebo přenáší, bez ohledu na zemi.

Prosazuje ho někdo jiný. PCI SSC na svých stránkách odpovídá na otázku, jestli soulad vynucuje, slovem ne: o tom, kdo musí soulad dokládat, rozhodují jednotlivé platební značky a jejich vlastní programy. PCI SSC žádné následky za nesoulad neukládá. Platební značky ale mohou mít vlastní programy, včetně finančních nebo provozních následků pro firmy, které standard nesplní. Jaké a kdy, vám řekne banka, která s vámi vyřizuje karetní platby. Částky ani pokuty jsme v oficiálních zdrojích nenašli, a proto je tu neuvádíme.

Platí to i pro malé obchodníky. PCI SSC píše, že standard je určený všem, i když malé firmy mívají jednodušší prostředí. Zda musí soulad dokládat, určují opět platební značky, a PCI SSC radí zeptat se banky nebo značky.

Který dotazník máte a co říká o penetračním testu

Obchodník, který soulad dokládá sám, vyplňuje samohodnotící dotazník (SAQ) s dokladem o souladu (AOC). Hotový dotazník odevzdá tomu, kdo ho chce, tedy bance nebo platební značce. Který dotazník smíte použít, říkají kritéria v něm a váš obchodní partner. Tabulka vychází z dotazníků verze 4.0 z dubna 2022.

Dva dodatky. Zaprvé, SAQ A se od 31. března 2025 změnil: PCI SSC z něj vyjmulo požadavky 6.4.3, 11.6.1 a 12.3.1 o ochraně platební stránky a přidalo kritérium, že firma potvrdí, že její web neohrozí útok skripty. Novou verzi (SAQ A r1) jsme neotevřeli, protože PDF z knihovny PCI SSC vrací chybu 403. Zadruhé, i u plně outsourcované platby zůstává sken ASV: PCI SSC to v odpovědi z června 2026 potvrzuje pro weby, které zákazníka přesměrují na poskytovatele, nebo do sebe vloží jeho iframe.

Co požadavek 11.4 říká o penetračním testu

Kdo penetrační test dělá, musí podle dotazníků SAQ D a A-EP mít zdokumentovaný postup, který mimo jiné zahrnuje:

• uznávané metody,
• celý obvod prostředí s kartami a kritické systémy,
• testování zevnitř i zvenku sítě,
• kontrolu, že prostředí s kartami je od zbytku sítě opravdu odděleno, a dalších opatření, která zmenšují rozsah,
• testování aplikační i síťové vrstvy,
• hrozby a zranitelnosti, které firma zažila za posledních 12 měsíců,
• uchování výsledků a oprav alespoň 12 měsíců.

Test musí dělat kvalifikovaný interní pracovník nebo externí firma a tester musí být organizačně nezávislý. Certifikace QSA ani ASV se nežádá. Nalezené zranitelnosti se opravují podle odhadu rizika a penetrační test se pak zopakuje, aby opravy potvrdil (11.4.4). Jak retest vypadá a co k němu říká zákon o kybernetické ochraně, popisuje článek o retestu. Na co se zaměřit při zadání, ukazují článek o testu webu a interní sítě a článek o black, grey a white boxu: průvodce PCI SSC píše, že testy pro PCI DSS se obvykle dělají jako white nebo grey box.

Dvanáct požadavků v kostce

Dotazník SAQ D je členěný do šesti cílů a 12 požadavků:

1. Ochrana sítě (1) a bezpečně nastavené systémy (2).
2. Ochrana uložených karetních údajů (3) a silné šifry při přenosu přes veřejné sítě (4).
3. Ochrana proti škodlivému kódu (5) a bezpečný vývoj a údržba systémů (6).
4. Přístup jen pro toho, kdo ho potřebuje (7), jasná identita uživatelů (8) a fyzický přístup (9).
5. Záznamy o přístupech (10) a pravidelné testování (11), kam patří sken a penetrační test.
6. Pravidla a postupy ve firmě (12).

Co udělat ve firmě o dvaceti lidech

1. Zeptejte se banky nebo platební značky, který dotazník máte vyplnit a komu ho odevzdat. PCI SSC to výslovně přenechává jim.
2. Zkontrolujte si, jak vaše platba vypadá. Přesměrování na bránu, vložený iframe, nebo vlastní formulář na webu? Podle toho vyjde SAQ A, A-EP, nebo D.
3. Pokud platbu zajišťuje třetí strana, vyžádejte si její AOC. Kritéria SAQ A chtějí, abyste ho přečetli a ujistili se, že poskytovatel standard splňuje.
4. U SAQ A-EP a D naplánujte penetrační test alespoň jednou za 12 měsíců a po významné změně webu nebo sítě. Přípravu popisuje článek o přípravě.
5. Výsledky testu a oprav uschovejte alespoň 12 měsíců.

Chyby, které se opakují

• Brána se bere jako vyřízeno. I u SAQ A zůstává sken ASV a firma za své požadavky odpovídá, píše PCI SSC.
• Vyplní se nesprávný dotazník. Kritéria SAQ A chtějí, aby všechny prvky platební stránky pocházely přímo od certifikovaného poskytovatele.
• Test dělá ten, kdo web spravuje. Tester musí být organizačně nezávislý.
• Jednorázový test. Požadavek je na 12 měsíců a na každou významnou změnu.

Zdroje

• PCI SSC, PCI Data Security Standard, zobrazeno 25. 10. 2026: https://www.pcisecuritystandards.org/standards/pci-dss/
• PCI SSC, FAQ 1004, 1015, 1022, 1024, 1328 a 1588, 1604 (červen 2026): https://www.pcisecuritystandards.org/faqs/1004, https://www.pcisecuritystandards.org/faqs/1015, https://www.pcisecuritystandards.org/faqs/1022, https://www.pcisecuritystandards.org/faqs/1024, https://www.pcisecuritystandards.org/faqs/1328, https://www.pcisecuritystandards.org/faqs/1588, https://www.pcisecuritystandards.org/faqs/1604
• PCI SSC, Just Published: PCI DSS v4.0.1, 11. 6. 2024: https://blog.pcisecuritystandards.org/just-published-pci-dss-v4-0-1
• PCI SSC, Important Updates Announced for Merchants Validating to SAQ A, 30. 1. 2025: https://blog.pcisecuritystandards.org/important-updates-announced-for-merchants-validating-to-self-assessment-questionnaire-a
• PCI SSC, Request for Comments: PCI DSS v4.0.1, 3. 6. 2026: https://blog.pcisecuritystandards.org/request-for-comments-pci-data-security-standard-pci-dss-v4.0.1
• PCI SSC, PCI DSS v3.2.1 is Retiring on 31 March 2024, 31. 1. 2024: https://blog.pcisecuritystandards.org/pci-dss-v3-2-1-is-retiring-on-31-march-2024-are-you-ready
• PCI DSS v4.0, SAQ A, SAQ A-EP a SAQ D for Merchants, duben 2022: https://listings.pcisecuritystandards.org/documents/PCI-DSS-v4-0-SAQ-A.pdf, https://listings.pcisecuritystandards.org/documents/PCI-DSS-v4-0-SAQ-A-EP.pdf, https://listings.pcisecuritystandards.org/documents/PCI-DSS-v4-0-SAQ-D-Merchant.pdf
• PCI SSC, Information Supplement: Penetration Testing Guidance, verze 1.1, září 2017: https://listings.pcisecuritystandards.org/documents/Penetration-Testing-Guidance-v1_1.pdf