Sinds 1 januari 2015 gelden nieuwe richtlijnen voor creditcardtransacties. Uit onderzoek van applicatiebeheerder Basefarm blijkt dat ruim 95 procent van de webwinkels hier niet van op de hoogte is.
Webwinkels lopen riciso op boetes tot 100.000 dollar per maand als hun veiligheid tekortschiet. Stichting WebwinkelKeur vindt dat boetes uitdelen een uiterste maatregel zou moeten zijn.
Tekst: Ton Verheijen
Creditcardmaatschappijen kunnen zware boetes opleggen aan webwinkels die creditcards gebruiken voor financiële transacties maar zich niet conformeren aan de nieuwe richtlijnen die de industrie per 1 januari 2015 heeft afgekondigd. De vijf grootste maatschappijen (Visa, MasterCard, American Express, JCB en Discover) hebben veiligheidsregels opgesteld waar bedrijven zich aan moeten houden. De vijf hebben daarvoor de PCI opgericht: Payment Card Industry Security Standards Council.
De nieuwste versie van de richtlijnen is de DSS 3.0 (Data Security Standard). Eind 2013 werd de DSS 3.0 al aangekondigd. Webwinkels werd ruim een jaar de tijd gegund om hun computersystemen aan te passen en klantgegevens te beveiligen. Ondernemers die hun zaakjes niet op orde hebben, lopen volgens de PCI kans op boetes van 5.000 tot 100.000 dollar per maand. De PCI adviseert bedrijven bij hun bank of systeembeheerder na te gaan of alle betaalsystemen aan de nieuwe eisen voldoen.
150 bedrijven gebeld
Onderzoek door ‘high end applicatiebeheerder’ Basefarm laat zien dat webwinkels in Nederland niet of nauwelijks op de hoogte zijn van de nieuwe regels en dus ook niet van de kans op een flinke boete. Basefarm belde eind 2014 met 150 bedrijven met de vraag of zij op de hoogte zijn van DSS 3.0 en of ze al maatregelen hebben genomen. ‘Het resultaat was ook voor onszelf tamelijk schokkend’, aldus Marcel Ravenhorst, country manager Basefarm Nederland. ‘Bij het merendeel van de bedrijven was het onmogelijk om iemand te vinden die verantwoordelijk was voor implementatie van deze beveiligingsmaatregelen. Men had meestal geen idee waarover we belden en vaak trouwens ook geen enkele interesse. Voor Nederlandse vestigingen van buitenlandse bedrijven was de uitvlucht dat het zou vallen onder verantwoordelijkheid van het hoofdkantoor in het buitenland. Slechts vijf bedrijven begrepen waar we over belden en zeiden dat het al was geregeld.’
Aflevergarantie
De creditcardmaatschappijen prediken ondertussen veiligheid. Op zich geen vreemde gedachte. Uit een onderzoek van marktleider ICS (International Card Services) eind 2014 bleek dat maar liefst 40 procent van de online shoppers wel eens tegen problemen is aangelopen, zoals late levering of zelfs non-levering omdat een webwinkel nep bleek te zijn.
Frederike Versloot, manager communicatie van ICS: ‘Er gaat bij online shoppen nog vaak iets mis. Zo bouwen fraudeurs complete webwinkels na die niet van echt te onderscheiden zijn. Dat is niet alleen kwalijk, maar ook spijtig. Online shoppen is immers een ideale manier om eenvoudig producten en diensten aan te schaffen en het is vervelend dat fraudeurs de kans krijgen de consument te ontmoedigen. Bij ICS doen we er dus alles aan om fraudeurs geen kans te geven. Een consument kan er bovendien van uitgaan dat als hij kan betalen met Visa of MasterCard, de webshop vooraf uitgebreid is gescreend. Mocht hij onverhoopt toch zijn aankopen niet ontvangen, dan kan hij zich beroepen op de aflevergarantie: bij een niet-geleverde bestelling wordt het aankoopbedrag teruggestort.’
Creditcard in de ban
Een belangrijk gegeven voor creditcardmaatschappijen is dat 40 procent van de kaarthouders in Nederland de creditcard juist niet bij online winkelen gebruikt omdat hij als onveilig wordt ervaren. Het is voor de maatschappijen essentieel om de consument te overtuigen van de veiligheid van de creditcard én van de elektronische betaalsystemen die webwinkels gebruiken voor het afhandelen van transacties. Daar komt bij dat creditcardmaatschappijen een verzekering kennen voor internetfraude.
Als webwinkels voldoen aan de nieuwe veiligheidsstandaard van de PCI, kan de klant met een gerust hart gebruikmaken van hun diensten. Dat betekent: een veilig netwerk met goede bescherming van klantgegevens en continu testen van deze veiligheid door het monitoren van aanvallen op het systeem en continu updaten van de beveiliging. Immers: kwaadwillenden zijn soms erg creatief en bedenken steeds nieuwe trucs om beveiligingssystemen te omzeilen.
En webwinkels die er een zooitje van maken? Boetes zijn vooralsnog niet uitgedeeld, meldt Wencke Fassbender, pr-adviseur van Basefarm. Wanneer dat gaat gebeuren is de vraag. Maar marktleider ICS is niet bereid verdere informatie te verstrekken.
Marcel Landeweerd van stichting WebwinkelKeur wil dat wel, met name om de ruim tweeduizend leden van zijn organisatie te attenderen op de nieuwe regels. Landeweerd: ‘Ik denk dat het helemaal klopt dat er weinig weet is van deze nieuwe regels. Veel webwinkels accepteren in Nederland helemaal geen creditcards. Of ze doen dit wel, werken met een PSP en denken dat dat toereikend is. In de nieuwe standaard is ook een verantwoordelijkheid neergelegd bij webwinkels, ook als zij creditcardbetalingen accepteren via een PSP. Webwinkels moeten beveiligingsmaatregelen nemen en organisatieprocessen veilig inrichten.’
Uiterste maatregel
Landeweerd vindt beboeten niet zo gek, maar daar nu al mee dreigen is wel erg voorbarig. Landeweerd: ‘Creditcardmaatschappijen en webwinkels hebben een gemeenschappelijk doel: de consument veilig en vertrouwd online laten winkelen. Creditcardmaatschappijen en PSP’s zouden webwinkels eerst goed moeten informeren over hun verantwoordelijkheden. Nu is het aanvragen van een creditcardcontract een formaliteit waarbij webwinkels onvoldoende worden geïnformeerd over hun plichten. Mijn voorstel? Als ze ook na een waarschuwing in gebreke blijven, zou een boete een uiterste maatregel moeten zijn. Meteen beboeten werkt averechts. Ik kan me voorstellen dat het voor sommige webwinkels reden is om geen creditcardbetalingen aan te bieden. En dat lijkt me nu ook weer niet de bedoeling.’
Dit artikel verscheen eerder in Twinkel 4-2015.
Kleine opmerking, de nieuwe regels gelden sinds 1 januari 2014, dus niet sinds 1 januari 2015.
@Marcel Landeweerd: op de site van de PCI Security Standards Council staat toch echt dat versie 3.0 op 1 januari 2015 van kracht is geworden.