Which SAQ do we need?

It depends on how you accept cards. The SAQ helper asks about your payment channels, how card data reaches your provider and whether you store it, and suggests a questionnaire with its reasons. You confirm the choice, and your acquirer has the final say.

Does Complyanz validate our PCI DSS status?

No. Complyanz helps you prepare, but it does not assess, attest or sign anything. You validate with an SAQ you complete and sign, or with a ROC by a QSA, or by an ISA where your payment brand allows it, and your acquirer or payment brand decides what it accepts.

Do you run ASV scans or penetration tests?

No. An Approved Scanning Vendor runs the quarterly external scans and a qualified, organizationally independent tester runs the penetration tests (11.4.2 and 11.4.3). Complyanz schedules these activities and records each result with its evidence.

What changed in SAQ A in January 2025?

Revision 1 of SAQ A took out 6.4.3, 11.6.1 and 12.3.1 and asks an e-commerce merchant to confirm that its website is protected against script attacks, as PCI SSC FAQ 1588 explains.

Can we use compensating controls or the customized approach?

A compensating control needs a legitimate, documented constraint and a yearly review. The customized approach is available only in a ROC with a targeted risk analysis per requirement, and the two cannot be combined on the same requirement.

Is the official requirement text included?

No. PCI SSC licenses the text of the standard. Complyanz describes every requirement in its own words and cites only the requirement IDs and the names of the twelve principal requirements.

Atestação

PCI DSS

O PCI DSS v4.0.1 é a única versão ativa da norma de segurança para cartões de pagamento, e os requisitos com data futura são obrigatórios desde 31 de março de 2025. O Complyanz ajuda-o a preparar o seu Questionário de Autoavaliação (SAQ) ou Relatório de Conformidade (ROC): sugere o SAQ adequado à forma como aceita pagamentos com cartão, mostra que requisitos se aplicam e porquê, e mantém num só local o âmbito do ambiente de dados do titular do cartão (CDE), o calendário de testes, os controlos compensatórios e as análises de risco direcionadas.

Comece a preparar-se Agendar uma demonstração

O que recebe

Uma norma, preparada de ponta a ponta

280requisitos repartidos pelos doze requisitos principais e pelos Apêndices A1, A2 e A3, cada um descrito por palavras nossas sob o respetivo ID oficial

10Questionários de Autoavaliação que o assistente pode sugerir, do SAQ A ao SAQ D para prestadores de serviços, ou um ROC quando o seu nível o exigir

17atividades recorrentes no calendário de testes, das análises de vulnerabilidades trimestrais aos testes de intrusão anuais, com intervalos de seis meses onde os prestadores de serviços os exigem

4idiomas: inglês, português do Brasil, português europeu e espanhol

Os questionários

Que SAQ se aplica, e o que abrange

Cada SAQ abrange um conjunto fixo de requisitos. Depois de confirmar o seu, o Complyanz marca todos os restantes requisitos como não aplicáveis, com o motivo escrito ao lado, e nunca substitui uma decisão que tenha tomado manualmente.

Questionário	A quem se destina	Requisitos
SAQ A	Comerciantes com cartão não presente que entregam todo o tratamento de cartões a um prestador validado e mantêm, no máximo, registos em papel	27
SAQ A-EP (lista não verificada)	Comerciantes de comércio eletrónico que subcontratam o processamento, mas cujo próprio sítio Web fornece ou controla parte da página de pagamento	139
SAQ B (lista não verificada)	Comerciantes que utilizam apenas máquinas de impressão manual de cartões ou terminais autónomos de ligação telefónica, sem armazenamento eletrónico de cartões	27
SAQ B-IP	Comerciantes que utilizam apenas terminais autónomos aprovados pelo PTS, com ligação IP ao seu processador, separados dos restantes sistemas	50
SAQ C	Comerciantes cuja aplicação de pagamento ligada à Internet funciona num único local, segmentada dos restantes sistemas	123
SAQ C-VT	Comerciantes que introduzem os pagamentos um a um num terminal virtual alojado por um prestador, num computador isolado	52
SAQ P2PE	Comerciantes que aceitam cartões apenas através dos terminais de uma solução de cifragem ponto a ponto validada	19
SAQ SPoC	Comerciantes que recebem pagamentos com cartão presente através de uma solução SPoC validada, um leitor de cartões seguro associado a um telemóvel ou tablet	20
SAQ D para comerciantes	Qualquer comerciante que não se enquadre em nenhum dos anteriores, por exemplo, um que armazene dados de cartão eletronicamente	Requisitos 1 a 12 sem os itens exclusivos de prestadores de serviços, mais A2.1.1
SAQ D para prestadores de serviços	Prestadores de serviços que a respetiva marca de pagamento autoriza a autoavaliarem-se, uma vez que todos os outros SAQ se destinam apenas a comerciantes	Requisitos 1 a 12 com os Apêndices A1 e A2

O SAQ A segue a sua revisão de janeiro de 2025, que removeu 6.4.3, 11.6.1 e 12.3.1 e acrescentou uma verificação de elegibilidade de que o seu sítio Web está protegido contra ataques de scripts (FAQ 1588 do PCI SSC). As listas do SAQ A-EP e do SAQ B seguem os questionários da v4.0, porque as edições v4.0.1 não puderam ser verificadas, e o Complyanz sinaliza-as como não verificadas. Os níveis de comerciante e de prestador de serviços são definidos pelas marcas de pagamento e pelo seu adquirente; confirme com eles que validação esperam.

Na plataforma

Tudo o que a sua avaliação vai perguntar

Assistente de SAQ e aplicabilidadeResponda a um conjunto curto de perguntas sobre os seus canais de pagamento e a forma como aceita cartões e receba um SAQ sugerido, com os motivos e as ressalvas. Confirma a escolha, e o Complyanz marca cada requisito como aplicável ou não, com um motivo por escrito, sem nunca substituir uma decisão que tenha tomado.

Catálogo de requisitosTodos os 280 requisitos da v4.0.1, descritos por palavras nossas, cada um com o seu ID oficial, a frequência com que se repete e se se aplica apenas a prestadores de serviços. Tenha à mão a sua cópia licenciada da norma para consultar o texto oficial.

Registo de âmbito do CDEEnumere os sistemas, redes, aplicações, pessoas, processos, registos em papel e terceiros abrangidos, classifique-os em CDE, ligados ao CDE, com impacto na segurança e fora do âmbito, e associe-os ao seu inventário de ativos. Confirme o âmbito todos os anos, ou de seis em seis meses se for prestador de serviços, e mantenha o histórico.

Calendário de testesAcompanhe revisões de regras, revisões de acessos, verificações de redes sem fios, análises de vulnerabilidades internas e externas, testes de intrusão e de segmentação e as revisões anuais, cada um com prazo, responsável e evidências. Registe cada execução e o seu resultado; uma execução reprovada mantém a atividade pendente até ser registada uma execução aprovada ou corrigida.

Controlos compensatórios e análises de riscoRedija cada ficha de trabalho de controlo compensatório para um requisito, com a respetiva restrição, objetivos, risco adicional, validação e manutenção, e uma data de revisão anual. Registe as análises de risco direcionadas que definem a frequência dos requisitos flexíveis, que depois orientam o calendário, ou que fundamentam uma abordagem personalizada num ROC.

Documentos e riscos12 modelos de documento, da política de segurança da informação ao plano de resposta a incidentes, e 25 cenários de risco de cartões de pagamento, como e-skimming, falha de segmentação e adulteração de terminais, em inglês, português e espanhol. Uma correspondência não oficial com a ISO/IEC 27001:2022 mostra onde o seu trabalho de ISO se relaciona.

Âmbito

O que está no âmbito, e o que não está

Apenas a versão 4.0.1A versão 4.0.1, publicada em junho de 2024, é a única versão ativa. Os 51 requisitos que tinham data futura passaram a ser obrigatórios em 31 de março de 2025, de modo que o catálogo trata todos eles como em vigor.

Apêndice A3, a pedidoA validação complementar para entidades designadas só se aplica quando uma marca de pagamento ou um adquirente o designe. Ative-a no seu perfil; os IDs seguem a numeração da v4.0 e estão assinalados como não verificados.

Fora do âmbitoPCI PIN, PCI 3DS, a própria norma P2PE, as normas Secure Software e PTS e os cálculos de nível das marcas de cartões. O assistente de SAQ abrange apenas a elegibilidade para P2PE e SPoC.

Não somos avaliadoresO Complyanz não é um Avaliador de Segurança Qualificado (QSA) nem um Fornecedor de Análise de Vulnerabilidades Aprovado (ASV). Não executa análises de vulnerabilidades nem testes de intrusão, e não preenche nem assina os formulários oficiais de SAQ, ROC ou AOC, que são modelos do PCI SSC. O Complyanz não é afiliado nem apoiado pelo PCI Security Standards Council.

Indo além

Comece por qualquer referencial e acrescente os restantes mais tarde

O PCI DSS e a ISO 27001 sobrepõem-se em matéria de controlo de acessos, registo de eventos, gestão de vulnerabilidades e resposta a incidentes. O Complyanz mantém uma correspondência para cada grupo de requisitos, classificada como parcial ou relacionada, para que veja que controlos da ISO se relacionam com o trabalho que já fez. Os mapeamentos são a nossa leitura, não uma correspondência oficial.

Adicionar ISO 27001Grande parte do PCI DSS, do controlo de acessos ao registo de eventos e à resposta a incidentes, relaciona-se com os controlos do Anexo A da ISO 27001, pelo que um sistema de gestão de segurança da informação reaproveita o trabalho. Adicionar SOC 2Aos prestadores de serviços é muitas vezes pedido também um relatório SOC 2. Ativos, riscos e evidências são partilhados pelos dois programas num único espaço de trabalho.

Preços

Incluído no plano Completo ou como adicional

O módulo PCI DSS está incluído no plano Completo e pode ser acrescentado a qualquer outro plano, com preço em função do número de pessoas no âmbito, tal como os próprios planos.

Ver preços

Perguntas

Perguntas frequentes sobre PCI DSS

De que SAQ precisamos?

Depende da forma como aceita cartões. O assistente de SAQ pergunta pelos seus canais de pagamento, pela forma como os dados dos cartões chegam ao seu prestador e se os armazena, e sugere um questionário com os respetivos motivos. Se os seus canais apontarem para SAQ diferentes, sugere o SAQ D e recomenda que pergunte ao seu adquirente se são aceites questionários separados. Confirma a escolha, e a decisão final cabe ao seu adquirente.

O Complyanz valida a nossa situação face ao PCI DSS?

Não. O Complyanz ajuda-o a preparar-se, mas não avalia, não atesta nem assina nada. Valida com um SAQ que preenche e assina, ou com um ROC elaborado por um Avaliador de Segurança Qualificado, ou por um Avaliador de Segurança Interno quando a sua marca de pagamento o permite; qualquer um deles é acompanhado de uma Declaração de Conformidade, e o seu adquirente ou a marca de pagamento decide o que aceita.

Executam análises ASV ou testes de intrusão?

Não. As análises externas têm de ser executadas por um Fornecedor de Análise de Vulnerabilidades Aprovado (ASV) de três em três meses (11.3.2), e os testes de intrusão internos e externos por um profissional de testes qualificado e organizacionalmente independente, que pode pertencer à sua equipa ou ser de uma empresa externa (11.4.2 e 11.4.3). O Complyanz agenda estas atividades, regista cada resultado com as respetivas evidências e mantém uma execução reprovada pendente até ser registada uma execução aprovada ou corrigida.

O que mudou no SAQ A em janeiro de 2025?

A revisão 1 do SAQ A para a v4.0.1 retirou 6.4.3, 11.6.1 e 12.3.1. Em contrapartida, um comerciante de comércio eletrónico tem agora de confirmar que o seu sítio Web está protegido contra ataques de scripts que possam atingir o seu processo de pagamento. A FAQ 1588 do PCI SSC explica que pode demonstrá-lo com proteções que opera diretamente ou através de um terceiro, ou com uma confirmação escrita do seu prestador de pagamentos de que o formulário de pagamento incorporado as inclui quando configurado conforme as instruções.

Podemos usar controlos compensatórios ou a abordagem personalizada?

Um controlo compensatório exige uma restrição legítima e documentada, tem de cumprir a intenção do requisito original e ir além do que os restantes requisitos já exigem, e é revisto todos os anos. A abordagem personalizada só está disponível num ROC e exige uma análise de risco direcionada para cada requisito (12.3.2). As duas não podem ser combinadas no mesmo requisito, e o Complyanz recusa essa combinação.

O texto oficial dos requisitos está incluído?

Não. O PCI SSC licencia o texto da norma. O Complyanz descreve cada requisito por palavras próprias e cita apenas os IDs dos requisitos e os nomes dos doze requisitos principais. Tenha à mão a norma da biblioteca de documentos do PCI SSC para consultar o texto oficial.

Prepare-se para a sua avaliação do PCI DSS

Crie uma organização, indique ao assistente de SAQ a forma como aceita pagamentos com cartão e veja que requisitos se aplicam ao seu caso, e porquê.

Comece gratuitamente Agendar uma demonstração