Les bases de la conformité PCI pour les PME

Qui écrit les règles et qui les applique

Le PCI SSC maintient la norme PCI DSS et les questionnaires. Sa FAQ pour commerçants dit que chaque marque de paiement fondatrice (American Express, Discover, JCB International, Mastercard et Visa) a son propre programme de conformité, et que les entités devraient communiquer avec les marques au sujet de ces programmes. En janvier 2025, le PCI SSC l'a dit clairement : il ne définit pas les exigences de conformité pour une organisation quelconque ni ne fixe les responsabilités de validation; celles-ci sont fixées par les marques, les acquéreurs, les facilitateurs de paiement et d'autres entités d'application de la conformité. Les règles fondamentales de Visa (18 avril 2026) montrent comment cela vous atteint. Les membres doivent s'assurer que les commerçants ayant accès aux données de compte se conforment à la norme PCI DSS, doivent faire en sorte que les contrats des commerçants énoncent les responsabilités et les responsabilités en matière de sécurité, et doivent rapporter et vérifier le statut de conformité PCI DSS de leurs commerçants à Visa au moins tous les six mois. Les règles précisent que les critères pour chaque niveau de commerçant se trouvent dans le guide du programme de sécurité de l'information sur le compte de Visa.

Les petits commerçants ne sont pas exemptés

La FAQ du PCI SSC dit que la norme PCI DSS s'applique aux commerçants peu importe leur taille ou leur volume de transactions, et que les petits commerçants ont souvent des environnements plus simples, avec moins de données de titulaire de carte et moins de systèmes, ce qui peut réduire l'effort de conformité. La question de savoir si un petit commerçant doit valider formellement est décidée par les marques de paiement, alors la FAQ dit aux commerçants de demander à leur acquéreur ou à la marque. Votre fournisseur peut aussi facturer des frais si vous ne soumettez pas de validation; ces frais sont fixés par votre fournisseur, pas par le PCI SSC. Notre guide sur les frais de non-conformité PCI explique comment les gérer.

La portée est la partie que vous contrôlez

La mesure dans laquelle la norme PCI DSS s'applique dépend de l'endroit où circulent les données de carte. Les terminaux autonomes, les pages de paiement hébergées et les formulaires de paiement intégrés d'un fournisseur conforme à la norme PCI DSS gardent les données de carte hors de vos propres systèmes. La FAQ du PCI SSC dit que le chiffrement seul n'est généralement pas suffisant pour sortir les données de titulaire de carte de la portée, mais qu'une solution de chiffrement point à point (P2PE) listée par PCI peut réduire considérablement les exigences applicables, sans éliminer entièrement la norme PCI DSS. Les règles de Visa interdisent aussi aux commerçants de stocker des données sensibles comme le CVV2, les données complètes de la bande magnétique ou de la puce, ou les blocs de NIP après l'autorisation. Le questionnaire que vous utilisez découle de ces choix; notre guide sur les SAQ compare le SAQ A, le SAQ A-EP et le SAQ D.

Ce qui a changé avec la v4.0.1

Le PCI SSC a publié les SAQ pour la norme PCI DSS v4.0.1 en octobre 2024 et a dit que la v4.0 serait retirée le 31 décembre 2024. Certaines exigences de la v4 étaient des pratiques exemplaires jusqu'au 31 mars 2025. Pour les commerçants utilisant le SAQ A, le PCI SSC a annoncé en janvier 2025 que les exigences 6.4.3 et 11.6.1 sur les scripts de page de paiement, ainsi que l'analyse de risque connexe de 12.3.1, avaient été retirées du SAQ A. À leur place se trouve un nouveau critère d'admissibilité : le commerçant doit confirmer que son site n'est pas vulnérable aux attaques par scripts qui pourraient affecter ses systèmes de commerce en ligne. Le PCI SSC a souligné que le changement ne retire pas les exigences sous-jacentes de la norme PCI DSS. Si votre site Web intègre un formulaire de paiement, demandez à votre fournisseur comment sa solution répond à cela.

Une routine annuelle

Demandez à votre acquéreur quelle validation il exige de vous et pour quand. Listez chaque façon dont vous prenez des cartes : terminaux, site Web, commandes téléphoniques, factures et tout formulaire papier. Confirmez que chaque fournisseur qui traite des données de carte est conforme à la norme PCI DSS et demandez comment son produit affecte votre portée. Remplissez le questionnaire que votre acquéreur confirme, corrigez tout ce qui est marqué comme non en place, et conservez une copie. La page de ressources pour commerçants du PCI SSC nomme des risques courants comme les logiciels malveillants et l'hameçonnage, les contrôles d'accès à distance faibles, les mots de passe faibles, les logiciels désuets et les dispositifs de piratage de carte, et offre des guides gratuits, y compris le guide des paiements sécuritaires et les questions à poser à vos fournisseurs. Exemple illustratif seulement : un café avec deux terminaux de comptoir et une page de carte-cadeau en ligne hébergée par son fournisseur listerait les deux canaux, confirmerait avec l'acquéreur quel questionnaire les couvre, changerait les mots de passe par défaut sur son routeur, et fixerait un rappel de calendrier pour l'année suivante. Ceci est une information générale, pas un avis juridique (17 septembre 2026).

Le questionnaire d'autoévaluation, en termes simples

La plupart des petits commerçants prouvent leur conformité chaque année au moyen d'un questionnaire d'autoévaluation plutôt que d'un audit externe. Le questionnaire à remplir dépend de la façon dont les cartes vous parviennent. Une entreprise qui envoie tous ses paiements en ligne vers une page de paiement hébergée et ne touche jamais aux numéros de carte a un questionnaire beaucoup plus court qu'une entreprise qui conserve des données de carte ou exploite son propre formulaire de paiement. Les terminaux autonomes reliés à votre fournisseur, et ceux qui utilisent un chiffrement validé, le raccourcissent aussi. Demandez à votre fournisseur quel questionnaire s'applique à votre configuration et s'il peut vous aider à le remplir.

Les frais de non-conformité PCI

De nombreux fournisseurs ajoutent des frais mensuels ou annuels si votre questionnaire n'est pas au dossier. Dans la plupart des cas, il ne s'agit pas d'une amende des marques de cartes : ce sont les frais de votre fournisseur. Remplir le questionnaire les élimine habituellement. Si vous voyez des frais PCI et des frais de non-conformité PCI sur le même relevé, demandez pourquoi.

Des habitudes qui réduisent le risque plus que la paperasse

N'écrivez jamais de numéros de carte sur papier, dans un courriel, des notes ou des tableurs. Donnez à chaque employé un identifiant unique sur les systèmes de point de vente (PDV) et supprimez-le quand la personne part. Gardez vos terminaux et logiciels à jour, et inspectez les terminaux pour détecter toute altération. Pour les ventes en ligne, utilisez un paiement hébergé ou tokenisé afin que les données de carte ne touchent jamais votre serveur. Ces habitudes réduisent à la fois la portée de votre questionnaire et le risque d'une violation.

Demandez de l'aide pour le questionnaire

De nombreux fournisseurs offrent un portail qui vous guide dans le questionnaire avec des questions en langage clair. Demandez-le, et demandez quelles réponses dépendent de votre équipement.

Si une violation survient malgré tout

Si vous soupçonnez que des données de carte ont été exposées, communiquez immédiatement avec votre fournisseur, conservez les journaux et les appareils plutôt que de les effacer, et suivez les instructions du fournisseur. Les réseaux de cartes peuvent exiger une enquête judiciaire, et les coûts peuvent être importants; c'est pourquoi réduire les données de carte que vous conservez est la meilleure protection. Notre guide sur les mesures à prendre après une violation de données présente les premières étapes.