Uw volgende fundingronde vraagt om bewijs van security-maturiteit.

Ja — maar uw scope is waarschijnlijk veel kleiner. Door gebruik te maken van een PCI-compliant payment processor als Stripe, Adyen of Mollie heeft u het grootste deel van de cardholder data-verwerking uitbesteed, wat doorgaans kwalificeert voor SAQ-A of SAQ-A-EP in plaats van een volledige Report on Compliance (ROC). U heeft nog steeds verplichtingen: de integratie beveiligen, toegangscontroles beheren, logs onderhouden en jaarlijks de juiste Self-Assessment Questionnaire invullen.

Wij bepalen uw werkelijke scope, stellen vast welke SAQ van toepassing is, implementeren de vereiste maatregelen en bereiden uw documentatie voor. Zelfs met een beperkte scope onder PCI DSS v4.0 zijn er substantiële beveiligingsvereisten die goed moeten worden ingevuld.

Ja, en vaak is dat juist efficiënter. PCI DSS en SOC 2 hebben significante overlap in maatregelen — access management, logging, encryptie, incident response en vulnerability management komen in beide voor. Wij brengen de maatregelen één keer in kaart en passen ze toe over de frameworks heen, zodat u geen dubbel werk en dubbele documentatie krijgt.

De belangrijkste afweging is timing. SOC 2 Type II vereist een observatieperiode van 6 tot 12 maanden waarin de maatregelen moeten draaien. Wij adviseren doorgaans om de implementatie direct te starten, het SOC 2-observatievenster te openen en het PCI DSS-assessment parallel te voltooien. Dit pakt beide certificeringen op de kortst mogelijke doorlooptijd op.

Due diligence van investeerders gaat bij FinTech-bedrijven dieper dan in de meeste sectoren. Ze willen doorgaans zien: gedocumenteerde security-policies (information security, acceptable use, incident response), bewijs dat maatregelen ook echt draaien (niet alleen op papier), een risicoregister waaruit blijkt dat u uw belangrijkste risico's heeft geïdentificeerd en behandelt, bewijs van compliance-certificeringen of een geloofwaardige roadmap daarnaartoe, en uw incident response-plan.

Het verschil tussen een bedrijf dat soepel door due diligence komt en een dat een fundingronde vertraagt, zit meestal in de documentatie. De maatregelen kunnen bestaan, maar zonder evidence-packs, policy-documenten en een helder security-stappenplan kunnen investeerders niet verifiëren wat u beweert. Wij bouwen en onderhouden dit alles zodat het paraat is wanneer u het nodig heeft.

Voor PCI DSS — doorgaans 60 tot 90 dagen om alle maatregelen te implementeren en de SAQ-documentatie voor te bereiden, afhankelijk van uw huidige situatie en scope. Voor ISO 27001 — 90 dagen om het ISMS en de maatregelen te implementeren, gevolgd door de planning van de certificerende instantie. Voor SOC 2 Type II — 90 dagen voor de implementatie van maatregelen, plus een observatieperiode van 6 tot 12 maanden voordat uw CPA-kantoor het rapport kan afgeven.

De snelste route begint met een Security Assessment om uw huidige situatie in kaart te brengen, gevolgd door de 90-Day Accelerator om alles te implementeren. Heeft u daarna doorlopend onderhoud en evidence-verzameling nodig, dan houdt The Compliance Engine™ u continu audit-klaar.