Stranka vam reče: »Potrebujemo gostovanje, ki je skladno s PCI standardom« ali »podatkov ne moremo prenesti izven EU«. Če ne veste, kaj to pomeni v praksi, boste izgubili službo ali – še huje – sprejeli obveznost, ki je ne morete izpolniti. To je vodnik za spletne agencije: kateri standardi skladnosti obstajajo, kaj v resnici pomenijo za gostovanje in kako se jim lotiti.

Glavni okviri skladnosti

GDPR (Splošna uredba o varstvu podatkov)

Če spletno mesto uporablja kateri koli prebivalec EU, veljajo predpisi EU. Obvezno za vse.

Kaj išče pri gostovanju: prebivališče podatkov (preferenca EU), DPA (sporazum o obdelavi podatkov) s ponudnikom gostovanja, pravica do izbrisa, obveščanje o kršitvi v 72 urah.

PCI DSS (standard varnosti podatkov v industriji plačilnih kartic)

Zahtevano, če spletno mesto neposredno prejema podatke o kreditnih karticah. 4 ravni, odvisno od števila transakcij.

Na kaj morate biti pozorni pri gostovanju: namensko okolje (ne deljeno), šifriranje med prenosom in v mirovanju, segmentacija omrežja, zaznavanje vdorov, četrtletno skeniranje ranljivosti, letni testi penetracije.

HIPAA (Zakon o prenosljivosti in odgovornosti zdravstvenega zavarovanja)

Predpisi ZDA o zdravstvenih podatkih. Veljajo, če vaša stranka dela z zdravstvenimi podatki ZDA ali pacienti iz ZDA.

Kaj išče: BAA (pogodba o poslovnem sodelovanju) s ponudnikom gostovanja, dnevniki revizije, nadzor dostopa, šifriranje.

SOC 2 (Nadzor storitvene organizacije 2)

Ameriški revizijski okvir za ponudnike SaaS, ki obdelujejo podatke strank. Tip I (ob določenem trenutku) ali tip II (več kot 6 mesecev).

Kaj to pomeni za gostovanje: Revizija SOC 2 potrjuje, da imate varnostne kontrole (dostop, upravljanje sprememb, spremljanje, odzivanje na incidente).

Vaša stranka potrebuje SOC 2, če prodaja podjetniško SaaS, ki ga druga podjetja uporabljajo za svoje kritične podatke.

ISO 27001 (Upravljanje informacijske varnosti)

Mednarodni standard za upravljanje informacijske varnosti. Podoben SOC 2, strožji, priporočen s strani EU.

Kaj to pomeni: certificiran SUIV (sistem upravljanja informacijske varnosti), formalna ocena tveganja, dokumentirana politika + postopek, redni pregledi.

NIS2 (Direktiva o varnosti omrežij in informacij 2)

Direktiva EU za kritično infrastrukturo (komunalne storitve, zdravstvo, finance, ponudniki digitalnih storitev). Ponudniki gostovanja, ki zagotavljajo bistvene storitve, bodo morali izpolnjevati zahteve od leta 2024.

Kaj išče: upravljanje tveganj, poročanje o incidentih (24 ur na dan), varnost dobavne verige, načrt neprekinjenega poslovanja.

DORA (Zakon o digitalni operativni odpornosti)

Uredba EU, specifična za finančni sektor. Uporablja se od 17. januarja 2025.

Kaj to pomeni za gostovanje: če je vaša stranka banka ali fintech, mora ponudnik gostovanja izpolnjevati merila DORA – upravljanje tveganj IKT, nadzor tretjih oseb, poročanje o incidentih.

Kaj lahko vaša agencija dejansko doseže?

Enostavno

• Skladnost z GDPR – ustrezna politika zasebnosti, DPA s ponudnikom gostovanja, soglasje za piškotke.
• SSL/TLS, šifriranje v mirovanju (privzeto na večini sodobnih VPS-jev).
• 2FA za skrbniški dostop.
• Strategija varnostnega kopiranja.

Srednje (potrebno je načrtovanje)

• PCI DSS SAQ A (preprosta raven – uporabljate zunanji plačilni procesor, kot je Stripe, ki obravnava kartice).
• NIS2 za ponudnike digitalnih storitev, če stranka spada na področje uporabe.
• Osnovna skladnost s HIPAA (s pravim ponudnikom gostovanja, ki zagotavlja BAA).

Težko/ni priporočljivo za majhne agencije

• PCI DSS raven 1 (več kot 1 milijon transakcij/leto, popolna revizija).
• SOC 2 tip II (6+ mesecev nadzora, zunanja revizija v višini ~30–50 tisoč USD).
• Certifikat ISO 27001 (12–18 mesecev priprav, revizija v višini ~20–50 tisoč EUR).
• Popolna skladnost z DORA za finančne storitve.

Za te ravni se raje povežite s specializiranim ponudnikom gostovanja, namesto da to storite sami.

PCI DSS – najpogostejša resnična potreba

Ravni

• Raven 4 : <20 tisoč transakcij/leto. SAQ A ali A-EP. Najenostavnejši.
• Stopnja 3 : 20k-1M. SAQ A-EP ali D. Več kontrol.
• Stopnja 2 : 1M-6M. SAQ D + skeniranje. Potreben je QSA (kvalificirani varnostni ocenjevalec).
• 1. stopnja : 6 milijonov+. Popolno poročilo o skladnosti (ROC). Letna revizija s strani QSA.

SAQ A – najlažja raven

Če stranka vnese podatke o kartici NEPOSREDNO v obrazec, ki ga gosti Stripe/PayPal (ne na vašem spletnem mestu), ste SAQ A. Vaše spletno mesto se nikoli ne dotakne podatkov o kartici.

Kaj je potrebno:

• HTTPS na vseh plačilnih straneh.
• Vstavite v okvir ali preusmerite na plačilni sistem (ne POŠILJAJTE kartic na svoj strežnik).
• Letni vprašalnik za samoocenjevanje.
• Četrtletno skeniranje ranljivosti ASV (Approved Scanning Vendor), če uporabljate ponudnika neposrednih plačil (se razlikuje).

Stroški: ~500–2000 EUR/leto za storitev skeniranja. Sama revizija je samoocena.

SAQ A-EP – če kartice potujejo skozi vaš strežnik (tudi začasno)

Več kontrol – upravljanje sprememb, varne razvojne prakse, upravljanje ranljivosti. ~5000–15000 EUR/leto režijski stroški.

Čemu se je treba izogniti – celoten obseg PCI

NIKOLI ne shranjujte podatkov o kartici v svoji bazi podatkov. Vzorec samo za žetone (ID stranke Stripe + ID plačilne metode) → Obseg SAQ A.

HIPAA – za stranke zdravstvenega varstva v ZDA

Če je stranka ponudnik zdravstvenih storitev ali poslovni partner v ZDA (vi, če upravljate z njegovimi podatki o pacientih):

• Zahtevan je BAA s ponudnikom gostovanja. AWS, GCP in Azure imajo BAA. Večina ponudnikov gostovanja v skupni rabi cPanel GA NIMA.
• Šifriranje v mirovanju + med prenosom.
• Dnevnik revizije vseh dostopov do zaščitenih zdravstvenih podatkov (PHI).
• Obvestilo o kršitvi 60 dni.
• Nadzor dostopa (RBAC).

Gostovanje, ki je skladno s HIPAA, je bolj nišno – osredotočeno je na specializirane ponudnike (Atlantic.Net, Liquid Web HIPAA, AWS z BAA).

SOC 2 – ko stranka zahteva

SOC 2 ni zakonska zahteva, vendar ga odjemalci SaaS za podjetja pričakujejo v postopku javnega naročanja.

Tip I = revidirajte svoje kontrole v določenem trenutku.
Tip II = revizija, ki traja več kot 6 mesecev, da se pokaže, da kontrole dejansko delujejo.

Merila za storitve zaupanja: varnost (obvezno) + neobvezno razpoložljivost, zaupnost, integriteta obdelave, zasebnost.

Stroški: 30–50 tisoč USD za revizijo tipa II + 1–2 leti priprav + ekipa za notranjo varnost.

Orodja za pripravo: Vanta, Drata, Tugboat Logic – avtomatizirajo 70 % zbiranja dokazov.

ISO 27001 – enakovredno EU

Podobno kot SOC 2, vendar s poudarkom na ogrodje ISMS. Več dokumentacije, manj tehničnih specifikacij.

Faze:

1. Ocena tveganja.
2. Določite obseg ISMS.
3. Izvedite kontrole iz Priloge A (114 kontrol).
4. Notranja revizija.
5. Zunanja certifikacijska presoja (1. faza + 2. faza).

Stroški: 20–50 tisoč EUR za revizijo + notranjo pripravo. Ponovna revizija vsaka 3 leta.

NIS2 – širši obseg EU od leta 2024

Uporablja se za bistvene subjekte (energetika, bančništvo, zdravstvo, promet) in pomembne subjekte (ponudniki digitalnih storitev, pošta, proizvodnja).

Ponudniki gostovanja tipa WMD, ki služijo bistvenim subjektom, bi morali:

• Analiza tveganja + ISMS.
• Poročanje o večjih incidentih 24 ur na dan.
• Varnost dobavne verige.
• Načrt za neprekinjeno poslovanje in obnovo po nesreči.
• Upravljanje ranljivosti.

Praktičen pristop za spletno agencijo

Majhna stranka (lokalna trgovina, blog)

Skladno z GDPR. Standardni SSL, varnostno kopiranje in politika gesel. Brez formalnega certifikata.

Srednji odjemalec (e-trgovina B2C, SaaS)

GDPR + PCI SAQ A (prek Stripe). DPA z vsemi podobdelovalci. Zasebnost že po zasnovi.

Poslovna stranka (B2B SaaS, zdravstvo, fintech)

Sodelujte s certificiranim ponudnikom gostovanja. Stranka lahko dobi kopijo svojega poročila SOC 2 / ISO 27001. Še vedno morate imeti lastne kontrole (dostop, dnevnik revizije, upravljanje sprememb).

Kritično (banka, vlada)

Prilagoditi se mora celotna agencija – ne le gostovanje. Potreben je CISO, formalni ISMS, redni preizkusi peresa. Verjetno izven dosega večine spletnih agencij.

Iskreno razkritje

Če stranka zahteva skladnost, ki je ne morete izpolniti, to neposredno povejte. »Nimamo certifikata SOC 2, vendar vam lahko zagotovimo gostovanje, poleg tega pa implementiramo kontrole na ravni aplikacije.« Bolje je, da to priložnost izgubite, kot pa da se strinjate z obveznostjo, ki je ne izpolnite → kasnejši sodni spor.

Podpora za orožje za množično uničevanje in skladnost z zakonom

WMD ponuja gostovanje, skladno z GDPR, iz podatkovnega centra EU (obvezno za vse stranke). Za stranke PCI SAQ A (integracija Stripe/Mollie) vzpostavimo HTTPS-everywhere, beleženje revizij, četrtletno skeniranje ranljivosti prek partnerskega ASV. Ocena tveganja NIS2 za stranke, ki so v obsegu. Za zahteve HIPAA/SOC 2/ISO 27001, ki presegajo zmogljivosti WMD, svetujemo in sodelujemo s specializiranimi ponudniki (AWS z BAA, Microsoft 365 s HIPAA, certificirani ponudniki gostovanja v EU z ISO 27001). Iskrena ocena – preden stranka podpiše pogodbo, rečemo »to zmoremo, ne zmoremo«.

Pogosta vprašanja

Ali potrebujem skladnost s PCI, če uporabljam PayPal/Stripe? Da, SAQ raven A. Stripe vam pomaga pri samooceni.

Ali lahko zagotovim skladnost z GDPR pri gostovanju v ZDA? Tehnično da (s standardnimi pogodbenimi klavzulami - SCC), vendar je to zaplet. Gostovanje v EU je enostavnejše.

Kaj pa, če stranka zahteva HIPAA, jaz pa sem v EU? Lahko, če uporabljate oblak, ki izpolnjuje pogoje HIPAA (AWS z BAA v vzhodni regiji ZDA). Skladnost se nanaša na podatke, ne na lokacijo agencije.

Ali se SOC 2 Type II splača za majhno agencijo? Običajno ne. Če ga išče velika stranka, se povežite s ponudnikom gostovanja s certifikatom SOC 2 + z lastnimi kontrolami (dostop, revizija). Sama revizija je za veliko agencijo s 5 zaposlenimi predraga.

NIS2 – ali sem vključen v področje uporabe? Če je vaša agencija »pomemben subjekt« (ponudnik digitalnih storitev z > 50 zaposlenimi ali > 10 milijoni EUR prihodkov) – da. Sicer ne.

Ali potrebujete revizijo skladnosti ali nastavitev za stranko? WMD izvaja oceno skladnosti + odločitve o gostovanju. Stopite v stik z nami prek kontaktnega obrazca .