Klijent ti kaže "trebamo PCI compliant hosting" ili "ne smijemo van EU za podatke". Ako ne znaš što to znači u praksi, izgubit ćeš posao ili — gore — pristat na obvezu koju ne možeš ispunit. Ovo je vodič za web agencije: koje compliance standardi postoje, što stvarno znače za hosting, i kako pristupit.

Glavni compliance frameworks

GDPR (General Data Protection Regulation)

EU regulativa, primjenjuje se ako bilo koji EU rezident koristi sajt. Obavezno za sve.

Što traži za hosting: data residency (preference EU), DPA (Data Processing Agreement) s hosting providerom, pravo na brisanje, breach notification 72h.

PCI DSS (Payment Card Industry Data Security Standard)

Obavezan ako sajt prima credit card podatke direktno. 4 razine ovisno o broju transakcija.

Što traži za hosting: dedicated environment (ne shared), enkripcija u tranzitu i mirovanju, network segmentation, intrusion detection, quarterly vulnerability scans, annual penetration tests.

HIPAA (Health Insurance Portability and Accountability Act)

US regulativa za zdravstvene podatke. Primjenjuje se ako tvoj klijent radi s US health data ili US patients.

Što traži: BAA (Business Associate Agreement) s hosting providerom, audit logs, access controls, encryption.

SOC 2 (Service Organization Control 2)

US audit framework za SaaS providers koji handlaju klijent data. Type I (point-in-time) ili Type II (over 6+ months).

Što znači za hosting: SOC 2 audit certificira da imaš security controls (access, change management, monitoring, incident response).

Tvoj klijent treba SOC 2 ako prodaje enterprise SaaS koji druge kompanije koriste za svoje critical data.

ISO 27001 (Information Security Management)

International standard za information security management. Sličan SOC 2, više rigorous, EU-preferred.

Što znači: certified ISMS (Information Security Management System), formal risk assessment, dokumentirani policy + procedure, periodic audits.

NIS2 (Network and Information Security Directive 2)

EU directive za critical infrastructure (utilities, healthcare, finance, digital providers). Hosting providere koji opslužuju essential services trebaju compliance od 2024.

Što traži: risk management, incident reporting (24h), supply chain security, business continuity plan.

DORA (Digital Operational Resilience Act)

EU regulativa specifična za financial sector. Primjenjuje se od 17. siječnja 2025.

Što znači za hosting: ako tvoj klijent je bank ili fintech, hosting provider mora ispunjavati DORA criteria — ICT risk management, third-party oversight, incident reporting.

Što tvoja agencija stvarno može ispunit

Lako

• GDPR compliance — proper privacy policy, DPA s hosting providerom, cookie consent.
• SSL/TLS, encryption at rest (default na većini modernih VPS-ova).
• 2FA za admin access.
• Backup strategija.

Srednje (treba planirat)

• PCI DSS SAQ A (jednostavna razina — koristiš external payment processor tipa Stripe koji handla kartice).
• NIS2 za digital service providers ako klijent fall-a u scope.
• HIPAA basic compliance (s pravim hosting providerom koji daje BAA).

Teško / ne preporučuje se za male agencije

• PCI DSS Level 1 (1M+ transakcija/god, full audit).
• SOC 2 Type II (6+ mjeseci kontrola, ~30-50k USD external audit).
• ISO 27001 certifikacija (12-18 mjeseci priprema, ~20-50k EUR audit).
• DORA full compliance za financial services.

Za ove razine, partneriraj s specijaliziranim hosting providerom umjesto da sami ispunjavaš.

PCI DSS — najčešća stvarna potreba

Razine

• Level 4: <20k transakcija/god. SAQ A ili A-EP. Najjednostavnije.
• Level 3: 20k-1M. SAQ A-EP ili D. Više controls.
• Level 2: 1M-6M. SAQ D + scan. Treba QSA (Qualified Security Assessor).
• Level 1: 6M+. Full ROC (Report on Compliance). Annual audit by QSA.

SAQ A — najlakša razina

Ako kupac unosi kartične podatke DIREKTNO u Stripe/PayPal-ovo hosted form (ne na tvojem sajtu), ti si SAQ A. Tvoj sajt nikad ne dira kartične podatke.

Što treba:

• HTTPS na svim payment stranicama.
• Iframe ili redirect ka payment processor (ne POST kartice na tvoj server).
• Annual self-assessment questionnaire.
• Quarterly ASV (Approved Scanning Vendor) vulnerability scan ako koristiš direct payment processor (varira).

Trošak: ~500-2000 EUR/god za scanning service. Sam audit je self-assessment.

SAQ A-EP — ako kartice prolaze kroz tvoj server (čak i prolazno)

Više controls — change management, secure development practices, vulnerability management. ~5000-15000 EUR/god overhead.

Što izbjeć — full PCI scope

NIKAD ne spremaj kartične podatke u svoju bazu. Token-only pattern (Stripe customer ID + payment_method ID) → SAQ A scope.

HIPAA — za US healthcare klijente

Ako klijent je US healthcare provider ili business associate (ti, ako handlaš njihove patient podatke):

• BAA s hosting providerom obavezan. AWS, GCP, Azure imaju BAA. Većina cPanel shared hostova NE.
• Encryption at rest + in transit.
• Audit log svih pristupa PHI (Protected Health Information).
• Breach notification 60 dana.
• Access controls (RBAC).

HIPAA compliant hosting je više nišan — fokus na specijaliziranim providerima (Atlantic.Net, Liquid Web HIPAA, AWS s BAA).

SOC 2 — kad klijent traži

SOC 2 nije zakonska obveza, ali enterprise SaaS klijenti to očekuju u procurement process-u.

Type I = audit tvojih controls u jednom trenutku.
Type II = audit tijekom 6+ mjeseci da pokažeš da controls stvarno rade.

Trust Services Criteria: Security (obavezno) + opcionalno Availability, Confidentiality, Processing Integrity, Privacy.

Trošak: 30-50k USD za Type II audit + 1-2 godine pripreme + interno security tim.

Alat za pripremu: Vanta, Drata, Tugboat Logic — automatiziraju 70% evidence collection.

ISO 27001 — EU equivalent

Sličan SOC 2 ali fokus na ISMS framework. Više dokumentacije, manje technical specific.

Stages:

1. Risk assessment.
2. Define ISMS scope.
3. Implement Annex A controls (114 controls).
4. Internal audit.
5. External certification audit (Stage 1 + Stage 2).

Trošak: 20-50k EUR za audit + interno priprema. Re-audit every 3 years.

NIS2 — EU broader scope od 2024

Primjenjuje se na essential entities (energy, banking, healthcare, transport) i important entities (digital providers, postal, manufacturing).

Hosting providers tipa WMD koji opslužuju essential entities trebaju:

• Risk analysis + ISMS.
• Incident reporting 24h za major incidents.
• Supply chain security.
• Business continuity i disaster recovery plan.
• Vulnerability management.

Praktičan pristup za web agenciju

Mali klijent (lokalni shop, blog)

GDPR-compliant. Standard SSL, backup, password policy. Bez formal certification.

Mid klijent (B2C ecommerce, SaaS)

GDPR + PCI SAQ A (kroz Stripe). DPA s svim sub-processorima. Privacy by design.

Enterprise klijent (B2B SaaS, healthcare, fintech)

Partner s certified hosting providerom. Klijent može dobit copy njihovog SOC 2 / ISO 27001 reporta. Ti i dalje moraš imat svoje controls (access, audit log, change management).

Critical (banka, government)

Mora se cijela agencija prilagodit — ne samo hosting. Treba CISO, formal ISMS, regular pen tests. Vjerojatno outside scope za većinu web agencija.

Honest disclosure

Ako klijent traži compliance koje ne možeš ispunit, kaži direktno. "Mi nismo SOC 2 certified, ali možemo te postavit na hosting koji jest, plus implementiramo tvoje app-level controls." Bolje izgubit tu šansu nego pristat na obvezu koju ne ispunjavaš → litigation kasnije.

WMD i compliance support

WMD nudi GDPR-compliant hosting iz EU data centra (mandatory za sve klijente). Za PCI SAQ A klijente (Stripe/Mollie integracija) postavljamo HTTPS-everywhere, audit logging, quarterly vulnerability scan kroz partner ASV. NIS2 risk assessment za klijente u scope-u. Za HIPAA/SOC 2/ISO 27001 zahtjeve koji prevazilaze WMD capacitet, savjetujemo i partneriramo sa specijaliziranim provider-ima (AWS s BAA, Microsoft 365 s HIPAA, certified EU hosters s ISO 27001). Honest assessment — kažemo "ovo možemo, ovo ne" prije nego klijent potpiše ugovor.

FAQ

Trebam li PCI compliance ako koristim PayPal/Stripe? Da, SAQ A razina. Stripe ti pomaže s self-assessment.

Mogu li biti GDPR compliant na US hostingu? Tehnički da (s SCCs - Standard Contractual Clauses), ali komplikacija. EU hosting jednostavnije.

Što ako klijent traži HIPAA a ja sam u EU? Možeš ako koristiš HIPAA-eligible cloud (AWS s BAA u US East regiji). Compliance se odnosi na podatke, ne na lokaciju agencije.

SOC 2 Type II za malu agenciju vrijedi? Tipično ne. Ako enterprise klijent traži, partneriraj s SOC 2 certified hosting providerom + vlastiti controls (access, audit). Sam audit je preskup za large agency na 5 osoba.

NIS2 — am I in scope? Ako je tvoja agencija "important entity" (digital service provider s >50 zaposlenih ili >10M EUR revenue) — da. Inače ne.

Trebaš compliance audit ili setup za klijenta? WMD radi compliance assessment + hosting odluka. Javi se preko kontakt forme.