PCI DSS za mala podjetja: kaj morate storiti in kje začeti
September 17, 2026
Da, PIN na zaslonu je uporaben za sprejem kartičnih plačil, vendar le, če rešitev temelji na verificiranem SPoC standardu in podpira zahteve EMV in SCA. Generična aplikacija, ki prikaže tipkovnico na zaslonu telefona, brez teh certifikatov ni skladna in izpostavlja trgovca tveganju. Ponudnik mora zagotoviti tehnično skladnost naprave, trgovec pa mora poskrbeti za posodobitve, zaščito naprave in pravilno usposobljenost osebja.
Na kratko:
- Rešitev PIN na zaslonu mora biti skladna s standardom SPoC, EMV in SCA za zagotovitev varnosti in skladnosti s predpisi v EU.
- Pred nakupom preverite certifikate SPoC, EMV in sistem upravljanja TMS, da zagotovite popolno varnost in skladnost naprave.
- Postopki osebja vključujejo prikrivanje PIN kode, preverjanje zneska skupaj s stranko in takojšnje brisanje začasnih zapisov po transakciji.
- Nenadzorovane naprave, kot so samopostrežni kioski, niso primerne za softPOS rešitve in zahtevajo namensko certificirano strojno opremo.
- Pri izbiri rešitve je pomembno, da rešitev izpolnjuje vse varnostne standarde, ne le videz ali marketinške obljube.
Pin na zaslonu pomeni, da kupec vnese svojo PIN kodo neposredno na zaslon prodajne naprave, na primer pametnega telefona ali tablice, namesto na ločeno fizično tipkovnico. Tehnologija spada v širšo kategorijo softPOS, kjer navadna mobilna naprava prevzame vlogo plačilnega terminala.
Tu je ključno razumeti razliko med dvema pojmoma, ki ju trgovci pogosto zamenjujejo. »PIN on Glass« je splošen izraz za vnos PIN kode na zaslon, ne glede na to, ali je rešitev varnostno preverjena. SPoC (Software‑based PIN Entry on COTS) pa je konkreten standard, ki ga potrjuje PCI SSC in določa, kako mora biti vnos PIN kode ločen od preostalega operacijskega sistema naprave, šifriran in nadzorovan iz zaledja.
Praktična uporaba take rešitve je smiselna pri:
Za samopostrežne kioske in nenadzorovane naprave taka rešitev ni primerna, ker SPoC standard zahteva prisotnost osebja ob transakciji.
Preden podpišete pogodbo s ponudnikom, preverite tri stvari: certifikat SPoC, potrdila EMV in skladnost s pragovi SCA. Brez teh treh elementov rešitev PIN na zaslonu ni zanesljiva, ne glede na to, kako dobro je aplikacija oblikovana.
SPoC certifikat ni le potrdilo, da aplikacija deluje na pametnem telefonu z operacijskim sistemom Android. Certifikat GMS (Google Mobile Services) potrjuje le, da je naprava skladna z Googlovimi standardi, ne pa, da je vnos PIN kode varno izoliran od preostalega sistema. Pravi SPoC standard zahteva kanonizirano tipkovnico, šifriranje na ravni aplikacije in stalno spremljanje naprave iz zaledja, kar imenujemo device attestation.
EMV certifikati ravni L1 in L2 potrjujejo, da naprava in aplikacija pravilno komunicirata s čipom kartice. Kadar rešitev uporablja zunanjo tipkovnico ali PIN vnašalno napravo, mora ta imeti tudi certifikat SCRP ali PED, ki potrjuje odpornost naprave na fizične in programske napade.
Regulativni prag, ki ga morate poznati: PSD2 in zahteve po močni avtentikaciji določajo, da mora terminal v EU zahtevati vnos PIN kode za transakcije nad brezstičnim pragom 50 EUR. Poleg tega velja kumulativna izjema: po petih zaporednih brezstičnih transakcijah ali po skupnem znesku 150 EUR mora terminal ponovno zahtevati vnos PIN kode.
Preverite tudi, kje se nahaja zaledni sistem za upravljanje terminalov (TMS). Lokacija strežnikov vpliva na skladnost z evropskimi zahtevami glede varstva podatkov, revizijske sledi pa morajo biti dostopne za vsak posamezen terminal.
Preden podpišete pogodbo, zahtevajte od ponudnika konkretna dokazila, ne le marketinških trditev o varnosti. Naslednji koraki vam pomagajo ločiti resno rešitev od poskusno certificirane aplikacije.
Strokovni nasvet: Vedno zahtevajte možnost oddaljenega onemogočanja naprave. Če ponudnik te funkcije ne omogoča, gre za resno pomanjkljivost, ki lahko podaljša odzivni čas ob kraji ali izgubi naprave.
Nekateri ponudniki v vmesnem obdobju uporabljajo t. i. waiver programe, dokler rešitev ne pridobi polnega certifikata. Take rešitve niso prepovedane, vendar naj bodo izjema, ne pravilo, in trgovec naj vedno zahteva rok, do katerega bo dobavitelj pridobil dokončno SPoC potrditev.
Certificirana tehnologija je le polovica zgodbe. Druga polovica je disciplina osebja pri vsakodnevni uporabi naprave.
Pri vsaki transakciji naj osebje:
Naprava sama potrebuje enako pozornost kot postopek plačila. Zaklepanje zaslona z geslom ali biometrijo, omejene pravice nameščanja aplikacij in redne posodobitve programske opreme so osnova, ne dodatek. Naprava brez posodobljene protivirusne zaščite postane šibka točka celotnega plačilnega sistema, ne glede na to, kako dober je SPoC certifikat aplikacije.
Osebje naj bo usposobljeno za prepoznavanje sumljivega vedenja, na primer ponavljajočih se neuspelih poskusov vnosa PIN kode ali poskusov, da bi stranka od zaposlenega izsilila vpogled v kodo. Ob sumu kompromitirane naprave mora obstajati jasen postopek: takojšnja prekinitev uporabe naprave, obvestilo ponudniku in, kjer je mogoče, oddaljeni izklop. Podrobnejši pregled ukrepov za zaščito plačilnih podatkov najdete v pregledu varnosti kartičnih plačil za mala podjetja.
Nekatera okolja preprosto niso primerna za softPOS rešitve z vnosom PIN kode na zaslonu, ne glede na to, kako dober je certifikat aplikacije.
SPoC standard izrecno ne velja za nenadzorovane naprave. Samopostrežni kiosk, avtomat za vstopnice ali parkoma potrebuje namensko certificirano strojno opremo, ne aplikacijo na tablici brez nadzora osebja. Enako previdnost je treba upoštevati pri poslovanju z redno visokimi zneski transakcij, kjer je smiselnejša naložba v namenski terminal z lastno certificirano tipkovnico.
Kot alternativo za takšne primere lahko izbirate med:
Za trgovce, ki poslujejo sezonsko ali potrebujejo hitro prilagodljivost, je pregled rešitev za sezonsko poslovanje dober naslednji korak pri izbiri prave kategorije naprave.
Pri izbiri plačilne opreme za lastno podjetje bi vsak trgovec moral postaviti vprašanje, ki si ga zastavljamo tudi mi: ali rešitev dejansko izpolnjuje standarde, ali le izgleda dovolj prepričljivo na predstavitvi. Kot uradni prodajalec terminalov myPOS v Sloveniji in po Evropi ponujamo opremo s konkurenčnimi transakcijskimi provizijami, takojšnjim izplačilom in brez mesečnih stroškov, kar je za manjše podjetje pogosto pomembnejše od dodatnih funkcij, ki jih nikoli ne uporabijo.
V praksi vidimo, da mobilni prodajalci, gostinci in sezonski ponudniki potrebujejo napravo, ki deluje takoj, ne zahteva dolgotrajne nastavitve in ostane zanesljiva tudi ob slabšem signalu, zato vsi naši terminali vključujejo evropsko SIM kartico za prenos podatkov. Kdor išče konkretne modele in tehnične specifikacije, najde pregled v naši ponudbi naprav.
— PosSlo
Izbira certificirane rešitve ni le vprašanje skladnosti, ampak tudi vprašanje, kako hitro lahko podjetje začne sprejemati plačila brez skrbi glede varnosti. Ponudniki na trgu ponujajo softPOS rešitve, klasične POS terminale in samopostrežne naprave, pri čemer je običajno na voljo dokumentacija o certifikatih in podpora pri postavitvi.
Za sezonske prodajalce, ki potrebujejo mobilno rešitev za kratek čas ali celotno sezono, je smiseln prvi korak pregled ponudbe za sezonsko poslovanje. Gostinci, ki iščejo plačevanje neposredno pri mizi, najdejo konkretne primere v vodniku za terminale v restavraciji. Kdor želi preveriti, kako naprave delujejo brez dodatnih naročnin, si lahko ogleda pregled POS terminalov brez naročnine.
Ne glede na to, ali gre za prvo napravo v podjetju ali menjavo obstoječega ponudnika, lahko oddate povpraševanje in preverite, katera konfiguracija ustreza vašemu obsegu poslovanja, prek naše trgovine s terminali.
