Verschiedene Gesetze und Richtlinien erschweren Compliance-Konformität PCI-DSS-Compliance in der EU als Herausforderung für Unternehmen

Verarbeitet, speichert oder übermittelt Ihr Unternehmen Daten über Kreditkarten-Transaktionen? Dann sollte es seit Beginn dieses Jahres die PCI-Richtlinien einhalten. Der Payment Card Industry Data Security Standard umfasst gerade einmal zwölf Anforderungen ans Firmen-Netzwerk, die recht eindeutig erscheinen. Doch warum hält sich dann immer noch nicht jedes betroffene Unternehmen daran?

Anbieter zum Thema

Security-Insider

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Insider Research

Bei einer Studie hat RSA Security Mitte vergangenen Jahres insgesamt 677 Unternehmen zum Thema Compliance befragt. Knapp zwei Drittel dieser Firmen stammen aus der Europäischen Union (EU), rund ein Fünftel allein aus Deutschland.

Dabei hat sich herausgestellt, dass Unternehmen aus den USA und Großbritannien innerhalb eines Jahres hohe Compliance-Anforderungen erfüllen wollten. Derweil planten viele der Befragten aus Deutschalnd, Frankreich und Spanien mehr als ein Jahr dafür ein.

Doch wie weit viele Firmen von Compliance-Konformität entfernt sind, geht aus der Studie ebenfalls hervor: Mehr als die Hälfte dieser Unternehmen gab an, Kreditkarten-Daten aufzubewahren. Laut den Richtlinien des Payment Card Industry Data Security Standards (PCI DSS) ist dies allerdings streng verboten.

Noch dazu speichern mehr als die Hälfte der befragten Firmen die Kundendaten, die auf den Magnetstreifen der Kreditkarten gespeichert sind. Bemächtigt sich ein Angreifer dieser Daten – wie im Falle des Kreditkartendaten-Diebstahls bei TJX – dann besitzt er alle nötigen Informationen um Kreditkarten zu klonen.

Länderübergreifende Zahlung als Compliance-Hemmschuh

Handel und finanzielle Transaktionen in der EU stellen ein einzigartiges Problem dar: Einerseits handelt es sich um einen Zusammenschluss unabhängiger Staaten bzw. Länder zu einem Wirtschaftsblock. Andererseits erschweren Sprachbarrieren und teils verschiedene Währungen die Transaktionen zwischen EU-Mitgliedern und ins nicht-europäische Ausland.

Recht schnell hat die EU erkannt, dass jeder Unterschied zwischen den Mitgliedsländern eine Hürde für wirtschaftlichen Erfolg darstellt. Aus diesem Grund hat sie auch den Einheitlichen Euro-Zahlungsverkehrsraum (Single Euro Payments Area, SEPA) vorangetrieben, in dem alle Zahlungen wie inländische Transaktionen behandelt werden.

Traditionell hatte jedes Land stark variierende Transaktionsgebühren festgelegt und eigene Vereinbarungen mit den Kreditkartenunternehmen getroffen. Während die Europäische Währungsunion (EWU) die Landeswährungen durch den Euro ersetzte, geht SEPA also noch einen Schritt weiter. Denn mit dieser Vereinbarung nähert sich die EU den uneingeschränkten Zahlungsmodalitäten der USA an.

Verschiedenste Regularien erschweren Compliance

Landesspezifische Gesetze und Regelwerke sind ein anderer Faktor, der sich auf generelle Richtlinien wie PCI DSS auswirkt. Selbst die EU macht eigene Auflagen, beispielsweise mit der Europäischen Datenschutz-Richtlinie. Jede einzelne PCI-Compliance-Maßnahme sollte also auch länderübergreifende, regionale und lokale Bestimmungen erfüllen.

Es ist schon hart genug, Compliance in einem einzelnen Land zu erfüllen. Einer noch ernüchternderen Aufgabe stehen international und EU-weit operierende Unternehmen gegenüber: Verschiedene Rechtssysteme sowie zahlreiche Regeln und Richtlinien wirken sich negativ auf das Erreichen von PCI-Compliance aus.

Jedes Unternehmen sollte sich sämtlicher Regelwerke bewusst sein, von denen es betroffen ist. Um Compliance zu erreichen, sollten zunächst einmal die Überschneidungen zwischen den Vorgaben erarbeitet und addressiert werden.

Geschäftsanforderungen und Compliance ausbalancieren

Nur gut, dass es sich bei den Anforderungen von PCI DSS um relativ einfache Security-Maßnahmen handelt. Die meisten Unternehmen sollten die elementarsten PCI-Vorgaben bereits umgesetzt haben. Compliance erfordert keinen hohen finanziellen oder technischen Aufwand.

Jedoch sollten Unternehmen das Erfüllen von PCI-Compliance oder anderen Richtlinien nicht als einmaliges Projekt betrachten, das widerwillig umgesetzt wird, um ein Audit zu bestehen. Haken Sie nicht einfach jeden Punkt einer Checkliste ab. Vielmehr sollten Sie verstehen, wie Compliance sich positiv auf Ihr Geschäft auswirken kann. Als Ziel sollten Sie ins Auge fassen, die IT-Sicherheit im Allgemeinen zu stärken und somit Ihre Marktposition zu festigen.

Behalten Sie diese Grundsätze im Hinterkopf, wenn Sie den zweiten Schritt machen: Compliance sollte Ihre Business-Prozesse weder ausbremsen noch unterbinden, sondern unterstützen. Sehen Sie sich deshalb die jeweiligen Compliance-Vorgaben an und wägen Sie sie gegen die Anforderungen Ihres Geschäfts ab.

Eine Compliance-Maßnahme sollte Ihnen dabei helfen, Ihr Geschäft aufrecht zu erhalten. Tatsächlich ist es sogar möglich, die Produktivität und den Umsatz Ihres Unternehmens zu erhöhen.

(ID:2010637)