Соответствие PCI DSS — это выполнение требований стандарта безопасности данных платёжных карт, подтверждённое самооценкой SAQ или аудитом QSA с отчётом ROC. Gap-анализ и подготовка к SAQ стоят от 400 тыс. ₽, полный проект с внедрением мер и аудитом для процессинга — 2,5–10 млн ₽. Срок — от 3 до 12 месяцев, бюджет зависит от уровня организации и размера зоны карточных данных.
Кому подходит
Стандарт PCI DSS нужен всем, кто хранит, обрабатывает или передаёт данные платёжных карт: банкам, процессинговым центрам, платёжным агрегаторам, интернет-магазинам и сервис-провайдерам. Актуальная версия — 4.0.1: требования, которые раньше были рекомендательными, с весны 2025 года стали обязательными, поэтому многие компании проходят повторный gap-анализ. Требования PCI DSS — 12 разделов от сегментации сети и шифрования до управления уязвимостями, журналирования и обучения персонала.
Главный рычаг экономии — сужение зоны карточных данных (CDE). Опытный подрядчик сначала ищет, где карты реально не нужны: токенизация, платёжная страница провайдера, отказ от хранения PAN. Чем меньше систем в скоупе, тем дешевле внедрение и ежегодный аудит. Дальше закрываются технические разрывы, запускаются ежеквартальные ASV-сканы и пентесты, готовятся политики и доказательства. На вопрос «PCI DSS как получить» короткий ответ: определить свой уровень, выбрать формат подтверждения и пройти оценку — самостоятельно или у аккредитованного QSA.
Стоимость
Мерчант с небольшим скоупом, которому достаточно самооценки
от 400 000 ₽
до 900 000 ₽ за проект · 1–2 месяца
Агрегатор или сервис-провайдер перед первым аудитом QSA
от 900 000 ₽
до 3 млн ₽ за проект · 3–6 месяцев
Процессинг и банки уровня 1 с большим объёмом транзакций
от 3 млн ₽
до 10 млн ₽ за проект · 6–12 месяцев
| Фактор | Влияние на бюджет |
|---|---|
| Размер зоны карточных данных | Основной фактор стоимости внедрения и аудита |
| Формат подтверждения: SAQ или ROC | Аудит QSA ×2–4 к бюджету |
| Хранение PAN в собственных системах | +30–60% к объёму работ |
| Покупка средств защиты (SIEM, WAF, FIM) | Отдельный бюджет на лицензии |
| Число площадок и ЦОД в скоупе | +15–30% за каждую дополнительную площадку |
Для сравнения — рыночные диапазоны по разделу «Информационная безопасность». Рядом часто лежит услуга, которая решает ту же задачу дешевле или быстрее.
| Услуга | Стоимость | Срок |
|---|---|---|
| Защита персональных данных по 152-ФЗ | 80 000 ₽ — 5 млн ₽ | от 2 недель до 6 месяцев |
| WAF — защита веб-приложений | 100 000 ₽ — 12 млн ₽ | от 1 до 12 недель |
| SOC — мониторинг ИБ на аутсорсе | 150 000 ₽ — 3 млн ₽ в месяц | подключение за 1–3 месяца |
| Категорирование и защита КИИ (187-ФЗ) | 200 000 ₽ — 15 млн ₽ | от 1 до 12 месяцев |
| Пентест (тестирование на проникновение) | 250 000 ₽ — 3 млн ₽ | от 2 до 8 недель |
| Внедрение DLP-системы | 250 000 ₽ — 15 млн ₽ | от 1 до 6 месяцев |
| Bug Bounty программа | 350 000 ₽ — 6 млн ₽ | 1–3 месяца на запуск |
| Соответствие PCI DSS эта страница | 400 000 ₽ — 10 млн ₽ | от 3 до 12 месяцев |
| Соответствие ГОСТ 57580 | 400 000 ₽ — 8 млн ₽ | от 1 до 9 месяцев |
| Внедрение SIEM | 600 000 ₽ — 25 млн ₽ | от 2 до 9 месяцев |
Результат
Выясняем, нужна ли самооценка SAQ и какого типа или полноценный аудит с отчётом ROC.
Схема, где PAN появляется, хранится и передаётся, с границами зоны CDE.
Таблица соответствия по всем требованиям с приоритетами и оценкой трудозатрат.
Предложения по токенизации, сегментации сети и выводу систем из зоны карточных данных.
Документы по доступу, управлению изменениями, реагированию на инциденты и ролям.
Ежеквартальные ASV-сканы, внутренние сканы уязвимостей и пентест с проверкой сегментации.
Подготовка доказательств, участие в интервью с QSA и закрытие замечаний до выдачи AOC.
Как проходит работа
Выясняем роль компании (мерчант или сервис-провайдер), объём транзакций и требования партнёров.
Интервьюируем команды и сканируем системы, чтобы найти все места появления PAN.
Сравниваем текущее состояние с требованиями 4.0.1 и составляем план с приоритетами.
Сегментируем сеть, внедряем токенизацию, шифрование, журналирование и контроль доступа.
Проводим ASV-сканирование, внутренние сканы и пентест с проверкой сегментации.
Заполняем SAQ или проходим аудит QSA, закрываем замечания и получаем AOC.
Выбор исполнителя
Юрлицо и репутация
Проверяем компанию по ЕГРЮЛ, судебным делам и отзывам на независимых площадках.
Кейсы с цифрами
Смотрим реальные проекты в вашей нише: задачи, сроки, метрики, контакты заказчиков.
Прозрачная смета
Просим разбивку по этапам и часам — без «пакетов на всё» и скрытых доплат.
Договор напрямую
Вы работаете с исполнителем по его договору. Подбор для вас бесплатный.
Инструмент
Готовый текст
Бриф: Соответствие PCI DSS Задача: (опишите в двух-трёх предложениях, какой результат нужен) Что нужно сделать: — Определение уровня и формата оценки — Карта потоков карточных данных — Gap-анализ по PCI DSS 4.0.1 — Сокращение скоупа — Пакет политик и процедур — Технические проверки — Сопровождение аудита Исходные данные: — Размер зоны карточных данных: (уточнить) — Формат подтверждения: SAQ или ROC: (уточнить) — Хранение PAN в собственных системах: (уточнить) — Покупка средств защиты (SIEM, WAF, FIM): (уточнить) — Число площадок и ЦОД в скоупе: (уточнить) Прошу прислать: смету с разбивкой по этапам, сроки каждого этапа и примеры похожих проектов.
Исполнители
Бесплатный подбор
Ответьте на 3 вопроса — пришлём 2–3 предложения проверенных подрядчиков с ценами, сроками и кейсами в вашей нише.
Отзывы
Вопросы и ответы
Короткие ответы на вопросы, которые чаще всего задают перед заказом.
Gap-анализ с подготовкой SAQ стоит 400–900 тыс. ₽, внедрение мер и подготовка к первому аудиту — 0,9–3 млн ₽. Полный цикл с аудитом QSA и отчётом ROC для процессинга обходится в 3–10 млн ₽. Затем ежегодно нужны повторная оценка, ASV-сканы и пентест.
Сертификат как таковой не выдаётся: компания подтверждает соответствие документом AOC по итогам самооценки SAQ или аудита QSA. Формат зависит от уровня организации и требований банка-эквайера или платёжной системы. Подтверждение нужно обновлять каждый год.
Для небольшого мерчанта с SAQ — 1–2 месяца. Сервис-провайдеру перед первым аудитом обычно нужно 3–6 месяцев, процессингу с хранением карт — до года. Главный фактор срока — объём технических доработок.
Стандарт состоит из 12 требований: защита сети, безопасная конфигурация, защита хранимых данных, шифрование при передаче, антивирусная защита, безопасная разработка, контроль доступа, аутентификация, физическая безопасность, журналирование, регулярное тестирование и политика безопасности. В версии 4.0.1 усилены требования к MFA, паролям и защите платёжных страниц от внедрения скриптов.
Если карта вводится на странице провайдера и не проходит через ваши серверы, требования минимальны — обычно достаточно упрощённой самооценки. Но если ваш сайт управляет платёжной формой или скриптами на ней, объём проверок растёт. Точный тип SAQ определяют по схеме интеграции.
Версия 3.2.1 выведена из действия, а десятки новых требований 4.0 с весны 2025 года стали обязательными. Среди них — MFA для всех доступов в CDE, контроль скриптов на платёжных страницах, целевой анализ рисков и автоматический анализ журналов. Компаниям, прошедшим аудит по старой версии, нужен повторный gap-анализ.
Оставьте заявку с описанием роли компании, схемы приёма платежей и сроков, которые требует партнёр. Мы бесплатно подберём 2–3 проверенных исполнителя с опытом проектов PCI DSS и поможем сравнить КП. Для заказчика подбор бесплатный — платит подрядчик.
Материал подготовлен редакцией «Рекламного коктейля». Цены — рыночные диапазоны агентств и студий России на 2026 год по данным брифов и коммерческих предложений; точную стоимость называет исполнитель после брифа. Обновлено 2 октября 2026 г.. Как мы считаем цены.
Смотрите также
Выполнение требований 187-ФЗ: перечень и категорирование объектов КИИ, документы для ФСТЭК, построение системы безопасности.
Круглосуточный мониторинг событий ИБ внешним центром: сбор логов в SIEM, выявление атак, реагирование и отчётность.
Санкционированная проверка защищённости периметра, приложений и сети силами команды пентестеров с отчётом и планом устранения уязвимостей.
Межсетевой экран уровня веб-приложений: фильтрация атак на сайты и API, защита от ботов и DDoS, настройка правил без ложных блокировок.
IT-разработка, AI и блокчейн
Финтех-разработка