פורסם 26 בספטמבר 2026
תקן PCI DSS הוא אוסף דרישות אבטחה שחברות האשראי הבינלאומיות מחייבות כל גוף שמקבל, מעביר או שומר פרטי כרטיסי אשראי. זה לא חוק ישראלי אלא תנאי חוזי מול חברת הסליקה, ולכן הוא חל גם על חנות אונליין קטנה עם עשר עסקאות בחודש. לרוב העסקים הקטנים מדובר בשאלון הצהרה עצמית וסקאן תקופתי בעלות של כמה אלפי שקלים בשנה. לעסקים גדולים מדובר בביקורת חיצונית שמגיעה לעשרות אלפי שקלים ומעלה.
מה זה PCI DSS, בשלוש פסקאות
PCI DSS הוא קיצור של Payment Card Industry Data Security Standard. את התקן מנהל גוף משותף של חברות הכרטיסים הגדולות (ויזה, מאסטרקארד, אמריקן אקספרס ואחרות), והוא מגדיר מה צריך לקרות בכל נקודה שבה מספר כרטיס עובר, נשמר או מעובד: הצפנה, בקרת גישה, ניהול סיסמאות, תיעוד ובדיקות תקופתיות.
כדאי לקרוא גם: מערכת ניהול מלאי לעסק קטן: איך בוחרים, מה זה עולה ומה חובה · פודקאסט לעסקים בישראל: איך מתחילים וכמה עולה · תיקון 13 לחוק הגנת הפרטיות: מה חובה על עסקים לדעת
בניגוד למה שנדמה, התקן לא מחייב מערך אבטחה אחיד לכולם. הוא בנוי כך שהיקף הדרישות נגזר משני דברים: כמה עסקאות העסק מבצע בשנה, והאופן שבו הוא נוגע בנתוני הכרטיס. עסק שמפנה את הלקוח לעמוד סליקה של ספק חיצוני, ובעצם לא רואה את מספר הכרטיס בשום שלב, נמצא בקטגוריה הקלה ביותר. עסק שמקליד מספרי כרטיס במערכת שלו או שומר אותם בבסיס נתונים נמצא בקטגוריה הכבדה.
הגרסה הנוכחית של התקן היא משפחת 4.0, שהחמירה בעיקר בנושאי אימות רב-שלבי, ניטור סקריפטים בעמודי תשלום והוכחת ביצוע של בקרות באופן שוטף ולא פעם בשנה. המשמעות המעשית: גם עסקים שהיו רגילים למלא שאלון קצר מגלים שהשאלון התארך.
למי זה חובה (וגם למי שחושב שלא)
הכלל פשוט: כל מי שמקבל תשלום בכרטיס אשראי כפוף לתקן. אין רצפת פטור לפי מחזור. העסקים שבדרך כלל מופתעים לגלות שזה חל עליהם:
- חנויות אונליין קטנות שמשתמשות בתוסף סליקה או בעמוד תשלום חיצוני.
- עוסקים שמקבלים מספרי כרטיס בטלפון ורושמים אותם על פתק או בקובץ אקסל.
- נותני שירותים שמחייבים לקוחות באופן חודשי קבוע ושומרים פרטי כרטיס לחיוב חוזר.
- מרפאות, מכוני כושר ובתי ספר פרטיים שמעבירים טפסי הרשמה עם פרטי כרטיס במייל או בוואטסאפ.
- ספקי שירות שמחזיקים מערכות של לקוחות אחרים, גם אם הם עצמם לא סולקים דבר.
בפועל, הגוף שדורש את ההצהרה הוא חברת הסליקה או הבנק. ההתעוררות אצל רוב העסקים מגיעה בצורת מייל לאקוני: נדרשת הוכחת ציות ל-PCI DSS עד תאריך כלשהו, אחרת העמלה עולה או שההתקשרות מוקפאת.
ארבע רמות ציות: השוואה לפי נפח עסקאות
הטבלה שלהלן מתרגמת את התקן לשפה של נפח עסקאות, דרישות ועלות. חשוב להדגיש שהשאלון הנכון נקבע גם לפי אופן הטיפול בנתוני הכרטיס ולא רק לפי כמות, והטווחים הכספיים הם אומדנים שמשתנים בין ספקים ובין סוגי עסקים.
| שאלון / רמה | סוג עסק טיפוסי | נפח עסקאות שנתי משוער | דרישות עיקריות | טווח עלות שנתי משוער |
|---|---|---|---|---|
| SAQ A | חנות אונליין שמפנה לעמוד סליקה חיצוני או ל-iframe של הספק | עד כמה אלפי עסקאות | הצהרה עצמית, מדיניות סיסמאות, אי-שמירת נתוני כרטיס, בדיקת ספקים. בדרך כלל ללא סקאן פגיעויות | 0 עד 3,000 ש״ח |
| SAQ A-EP | חנות שמעבירה את הלקוח לסליקה אך האתר שלה משפיע על עמוד התשלום | אלפים עד עשרות אלפי עסקאות | סקאן פגיעויות רבעוני מול ספק מאושר (ASV), עדכוני אבטחה, הצפנה בתעבורה, ניטור סקריפטים | 3,000 עד 12,000 ש״ח |
| SAQ B / C | בית עסק פיזי עם מסופים או קופה ממוחשבת מחוברת לאינטרנט | עשרות אלפים עד מאות אלפי עסקאות | הפרדת רשת לסביבת התשלום, פיירוול מוגדר, אימות רב-שלבי לגישה מרחוק, סקאן תקופתי, תיעוד נהלים | 8,000 עד 25,000 ש״ח |
| SAQ D / רמה 1 | רשת, פלטפורמה או עסק שמעבד ושומר נתוני כרטיס אצלו | מאות אלפים ועד מעל מיליון עסקאות | כל 12 קבוצות הדרישות, הצפנת נתונים באחסון, ניהול מפתחות, בדיקות חדירה שנתיות, לוגים וניטור, ביקורת QSA חיצונית | עשרות אלפי ש״ח ועד מאות אלפים |
מה בעצם בודקים
מעבר לניסוח הפורמלי, שלוש דרישות חוזרות על עצמן בכל הרמות ושוות הבנה מראש. הראשונה היא הצפנה: נתוני כרטיס חייבים לעבור בתקשורת מוצפנת, ואם הם נשמרים, להיות מוצפנים גם באחסון. השנייה היא הפרדת רשת: הקופה או המסוף לא צריכים לשבת על אותה רשת שבה גולשים העובדים או מתחברים אורחים. השלישית היא סקאן פגיעויות: סריקה אוטומטית תקופתית של הכתובות הפומביות של העסק, שמוציאה דוח ממצאים שצריך לתקן.
נקודה שנוטים לפספס: היקף הבדיקה כולל כל מערכת שמחוברת לסביבת התשלום, גם אם אין בה מספרי כרטיס. מערכת CRM, שרת קבצים או מערכת ניהול מלאי שיושבת על אותה רשת כמו הקופה עשויה להיכנס לתחום הביקורת. צמצום ההיקף הוא הדרך הזולה ביותר להוזיל ציות.
כמה זה עולה בפועל
העלות מתחלקת לשלושה רכיבים. הראשון הוא עלות ההצהרה: שאלון עצמי הוא חינם, אבל ליווי יועץ למילוי נכון נע בדרך כלל בין 2,000 ל-8,000 ש״ח. השני הוא שירותי בדיקה: סקאן ASV רבעוני נע בין מאות שקלים לכמה אלפים בשנה, ובדיקת חדירה שנתית מתחילה בכמה אלפי שקלים ועולה לפי מורכבות. השלישי, ולרוב הגדול, הוא תיקון הפערים: החלפת מסופים, הפרדת רשת, רכישת מנהל סיסמאות או מערכת לוגים.
לעסק קטן שמשתמש בספק סליקה חיצוני, סך ההוצאה הסבירה היא כמה אלפי שקלים בשנה הראשונה ופחות מכך אחר כך. לעסק בינוני עם קופות ורשת משרדית, אומדן של 15,000 עד 40,000 ש״ח בשנה הראשונה הוא ריאלי. כל המספרים כאן הם טווחים משוערים בלבד ומשתנים לפי מצב נקודת הפתיחה.
צ'ק ליסט: תשעה צעדים לעסק קטן
- לברר מול חברת הסליקה לאיזו רמה ולאיזה שאלון העסק משויך, ומה תאריך היעד להצהרה.
- למפות את מסלול התשלום: מאיפה מגיע מספר הכרטיס, מי נוגע בו ואיפה הוא נעצר.
- להפסיק כל שמירה מקומית של מספרי כרטיס: למחוק קבצים, פתקים, הקלטות שיחה ושרשורי מייל.
- להעביר חיובים חוזרים לטוקניזציה אצל ספק הסליקה, כך שהעסק מחזיק מזהה ולא מספר כרטיס.
- להפעיל אימות רב-שלבי לכל גישה ניהולית: אתר, מערכת סליקה, אחסון ושירותי ענן.
- להפריד את רשת הקופות או המסופים מרשת העובדים ומרשת האורחים.
- לעדכן באופן שוטף את מערכת ההפעלה, התוספים והתבניות של האתר, ולמחוק תוספים לא בשימוש.
- להזמין סקאן פגיעויות מספק מאושר, לקרוא את הדוח ולטפל בממצאים הקריטיים לפני שמגישים הצהרה.
- לכתוב נוהל בן עמוד אחד: מי מורשה לגשת למה, מה עושים בחשד לדליפה ולמי מדווחים.
מי שעוד לא סידר את הבסיס, כדאי להתחיל מהמדריך המלא שלנו לאבטחת סייבר לעסק קטן בלי איש IT. חלק ניכר מדרישות התקן נופל שם בדרך.
מה קורה בהפרה: קנסות ואובדן יכולת סליקה
הסיכון המרכזי אינו רגולטורי אלא מסחרי. אם מתרחשת דליפת נתוני כרטיסים ומתברר שהעסק לא היה בציות, חברות הכרטיסים יכולות להטיל קנסות על חברת הסליקה, והיא מגלגלת אותם לעסק. בנוסף מגיעות עלויות חקירה פורנזית, החלפת כרטיסים ללקוחות שנפגעו, ולעיתים גם העלאת עמלת הסליקה לתקופה ממושכת.
הסנקציה החמורה ביותר היא הפסקת ההתקשרות: עסק שמאבד את הסדר הסליקה שלו מתקשה למצוא ספק חלופי, וחנות אונליין בלי סליקה פשוט מפסיקה למכור. לכך מתווספות חובות דיווח לפי תקנות הגנת הפרטיות בישראל בעת אירוע אבטחה חמור, וחשיפה לתביעות לקוחות. ההוצאה על ציות נראית אחרת כשמשווים אותה לתרחיש הזה.
שאלות נפוצות
האם PCI DSS הוא חוק בישראל?
לא. זה תקן של תעשיית הכרטיסים שנאכף דרך החוזה עם חברת הסליקה. במקביל חלות על העסק תקנות הגנת הפרטיות הישראליות, שהן כן חקיקה מחייבת ומתייחסות לאבטחת מידע אישי באופן רחב יותר.
אם הסליקה כולה אצל ספק חיצוני, יש פטור?
אין פטור, אבל יש הקלה משמעותית. במצב כזה העסק בדרך כלל ממלא את השאלון הקצר ביותר, ובלבד שאינו נוגע בפרטי הכרטיס בשום שלב. חשוב לוודא מול הספק שהוא עצמו מחזיק אישור ציות בתוקף.
כמה זמן לוקח להשיג ציות?
לעסק קטן עם סליקה חיצונית, בין שבועיים לחודש, כאשר רוב הזמן הולך על מחיקת נתונים ישנים והגדרת הרשאות. לעסק עם קופות ורשת פנימית, מדובר בדרך כלל בשלושה עד שישה חודשים, תלוי בקצב תיקון הממצאים.
אפשר לשמור מספרי כרטיס ללקוחות חוזרים?
אפשר מבחינה טכנית, אבל זה מעלה את העסק לרמת הציות הכבדה ביותר ומייקר אותה בעשרות אלפי שקלים. הפתרון הנכון הוא טוקניזציה: ספק הסליקה שומר את הכרטיס ומחזיר מזהה חסר ערך, שאיתו העסק מחייב שוב.
מי בודק את ההצהרה ולמי היא מוגשת?
בשאלון עצמי ההצהרה נחתמת על ידי מי שמוסמך בעסק ומוגשת לחברת הסליקה. ברמות הגבוהות נדרשת ביקורת של מבקר מוסמך (QSA) שמנפיק דוח ציות, ולעיתים גם אישור מהנדס רשת לממצאי הסקאן.
לסיכום
תקן PCI DSS לעסקים הוא פחות מפלצת רגולטורית ויותר מסמך דרישות שמידתו נגזרת מהדרך שבה העסק נוגע בכרטיס. מי שמפנה את הסליקה החוצה, לא שומר מספרי כרטיס ומפעיל אימות רב-שלבי, יסיים את הסיפור בעלות של כמה אלפי שקלים ובשאלון קצר. מי ששומר נתונים אצלו משלם על כך פי עשרה בציות, בלי קשר לסיכון שהוא לוקח. הצעד הראשון הוא טלפון לחברת הסליקה כדי לדעת באיזו רמה העסק נמצא, והצעד השני הוא פשוט למחוק את מה שאין סיבה להחזיק.
כותב טכנולוגיה ותעשייה
עידו רזניק כותב על טכנולוגיה מנקודת המבט של מי שצריך להשתמש בה, לא של מי שמוכר אותה. אחרי שנים בתפעול ובניהול פרויקטים בתעשייה, הוא עבר לכתיבה ומתמקד בחדשנות תעשייתית, אנרגיה, סייבר לעסקים קטנים וכלים דיגיטליים. מאמין שכל טכנולוגיה מסובכת אפשר להסביר בשלוש פסקאות.
