PCI DSS

PCI DSS (Payment Card Industry Data Security Standard) is de internationale beveiligingsstandaard voor elk bedrijf dat betaalkaartgegevens verwerkt, opslaat of doorstuurt. De huidige versie is PCI DSS v4.0.1. Verkoop je via Shopify Checkout, dan neemt Shopify het zwaarste deel op zich: Shopify is gecertificeerd als Level 1 PCI DSS compliant. In onze gids over Shopify betalingen zie je hoe dat past in je volledige betaalsetup.

In het kort

PCI DSS is de standaard van de kaartmerken om kaartgegevens te beschermen; de huidige versie is v4.0.1.

Shopify is Level 1 PCI DSS compliant en dekt hosting en checkout voor elke winkel.

Jij blijft verantwoordelijk voor wat je zelf toevoegt: toegang tot je admin, apps, headless-code en hoe je met kaartgegevens buiten de checkout omgaat.

Wat is PCI DSS precies?

PCI DSS wordt beheerd door de PCI Security Standards Council, opgericht door de grote kaartmerken. De eisen vallen in zes domeinen: netwerk, bescherming van kaartgegevens, kwetsbaarheden, toegang, monitoring en beleid.

Versie 3.2.1 verdween op 31 maart 2024. Sinds 31 maart 2025 zijn ook de nieuwere eisen van versie 4 verplicht, waaronder 6.4.3 en 11.6.1: die gaan over het bewaken van scripts op betaalpagina's, tegen digitale skimming.

PCI DSS op Shopify: wat regelt Shopify?

Shopify laat zich elk jaar ter plaatse auditen en is gecertificeerd als Level 1, het hoogste niveau. Die certificering dekt de hosting en de checkout van elke winkel op het platform. Kaartgegevens komen dus nooit op jouw eigen servers terecht.

In de checkout draait alleen goedgekeurde code. Aanpassingen via Checkout Extensibility lopen in een afgeschermde sandbox. Volgens Shopify vraagt PCI DSS v4 daardoor geen extra werk van merchants voor de checkout zelf. Gebruik je een externe payment gateway, dan moet die provider zelf PCI-gecertificeerd zijn; Shopify laat alleen zulke partijen kaartbetalingen bouwen.

Wat moet je als merchant nog zelf doen?

Self-assessment op vraag. Je acquirer of betaalprovider kan vragen om een Self-Assessment Questionnaire (SAQ). Is de kaartverwerking volledig uitbesteed, dan is dat meestal SAQ A, de kortste vragenlijst. Sinds 2025 bevat SAQ A een criterium dat je site niet vatbaar is voor scriptaanvallen; een bevestiging van je PCI-compliant provider kan daarvoor volstaan.

Geen kaartnummers buiten de checkout. Noteer nooit kaartgegevens in e-mails, ordernotities of spreadsheets. Telefonische bestellingen voer je in via de beveiligde Shopify-flow.

Toegang beperken. Geef elk teamlid een eigen personeelsaccount met tweestapsverificatie en enkel de rechten die het nodig heeft.

Headless met zorg. Bouw je een eigen storefront, laat de betaling dan via Shopify Checkout lopen. Een eigen betaalformulier haalt de PCI-verantwoordelijkheid terug naar jou.

Voorbeeld in Shopify-context

Een Belgische modewebshop verkoopt via Shopify Payments met kaarten, Bancontact en Apple Pay. De kaartgegevens blijven in de Shopify-checkout, beveiligd met 3D Secure waar de bank dat vraagt. Het team zorgt zelf voor persoonlijke accounts met tweestapsverificatie en houdt kaartnummers uit de klantenservice-inbox.

Veelgestelde vragen

Waar staat PCI DSS voor?

PCI DSS staat voor Payment Card Industry Data Security Standard. Het is de beveiligingsstandaard die de kaartmerken opleggen aan iedereen die betaalkaartgegevens verwerkt, opslaat of doorstuurt.

Is Shopify PCI DSS compliant?

Ja. Shopify is gecertificeerd als Level 1 PCI DSS compliant en laat zich daarvoor jaarlijks auditen. Die certificering geldt voor de hosting en de checkout van elke Shopify-winkel.

Moet ik als Shopify-merchant zelf iets invullen voor PCI?

Soms. Je bank of betaalprovider kan een self-assessment vragen. Omdat Shopify de kaartverwerking volledig afhandelt, is dat meestal de korte SAQ A. Vraag bij twijfel aan je provider welk formulier van toepassing is.

Wat is het verschil tussen PCI DSS en PSD2?

PCI DSS is een standaard van de kaartmerken over het beveiligen van kaartgegevens. PSD2 is Europese wetgeving over betaaldiensten, met onder meer sterke klantauthenticatie bij online betalingen.

Met Shopify Payments ligt de kaartverwerking bij Shopify; wat dat per betaling kost, lees je in Shopify Payments kosten en tarieven. De regels voor sterke klantauthenticatie staan in onze uitleg over PSD2.