PCI DSS et pénalités des réseaux de cartes

La norme PCI DSS est le référentiel de sécurité des données de cartes de paiement, élaboré par un conseil fondé en 2006 par les grands réseaux de cartes. Elle s'impose, par voie contractuelle et non légale, à tout commerçant, prestataire ou établissement qui stocke, traite ou transmet des données de carte. Sa version 4.0, publiée en 2022, a rendu obligatoires à partir du 31 mars 2025 plusieurs exigences nouvelles, dont une authentification multifacteur étendue. Lorsqu'une compromission de données de carte survient chez un commerçant non conforme, les réseaux imposent à sa banque acquéreuse, qui les répercute sur lui, des pénalités et des indemnisations au titre de la fraude et du remplacement des cartes. Ces sommes ne sont pas des amendes administratives mais des obligations contractuelles, ce qui les rend assurables là où une amende ne l'est souvent pas. D'où une garantie distincte dans les polices cyber, qui couvre les pénalités et évaluations de l'industrie des cartes, les frais d'enquête imposés et parfois la mise en conformité. Pour le souscripteur, le niveau de conformité et le volume de transactions sont des variables de tarification directes.