Ödeme terminalleri, POS ve kiosk donanımı

• Directive 2014/53/EU — Radio Equipment
• Directive 2014/35/EU — Low Voltage
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2016/679 — GDPR
• Directive (EU) 2015/2366 — PSD2 for the payment service itself

Kimin ataması gerekir

Birlik dışındaki üreticiler, ödeme terminalleri, kendinize hizmet kioskları veya kart okuyucuları AB pazarına sunan. Donanım yükümlülükleri üreticiye aittir; ödeme hizmeti yükümlülükleri ise ayrı bir düzenlenmiş varlık olan ödeme kurumuna aittir ve satıcılar genellikle ikisini karıştırır.

Eşikler ve muafiyetler

Donanım için hiçbir eşik yoktur. PSD2 yetkilendirmesi, terminal üreticisine değil, ödeme hizmeti sağlayıcısına uygulanır, satıcı ayrıca fon veya hesap erişimi sağlıyorsa.

Etikette ne bulunmalı

CE işareti, üretici ve AB temsilcisi bilgileri, model ve seri numarası, kablosuz ise radyo parametreleri ve Aralık 2027'den itibaren CRA destek süresi ve zayıflık iletişim noktası.

Pazar yeri alanları

Alıcılar ve ödeme şemaları, PCI PIN İşlem Güvenliği onayını ticari bir ön koşul olarak dayatır; bu, bir şema gerekliliğidir ve AB yasası değil ama pratikte belirleyicidir: onaylanmamış bir terminal, CE işareti olsa bile kullanıma sunulamaz.

Saklamanız gereken belgeler

AB uygunluk beyanı, teknik dosya, radyo ve güvenlik test raporları, EN 18031 kapsamında siber güvenlik belgeleri ve 2026'dan itibaren CRA zayıflık yönetim süreci ve SBOM. Satıcı bir yönetim bulutu işletiyorsa, Madde 30 kaydı, Madde 27 ataması ve transfer mekanizması.

Standartlar ve testler

Güvenlik için EN IEC 62368-1, geçerli radyo standartları, EMC için EN 55032 ve EN 55035, RED siber güvenlik gereklilikleri için EN 18031 ve ayrıca PIN giriş cihazı için PCI PTS değerlendirmesi.

Dil gereklilikleri

Her bir üye devletin dağıtım dilinde talimatlar ve satıcıya yönelik belgeler.

Ne zamandan itibaren

Pazar sunmadan önce donanım belgeleri. CRA zayıflık raporlaması 11 Eylül 2026'dan itibaren ve tam rejim 11 Aralık 2027'den itibaren, bu da uzun dağıtım yaşam döngülerine sahip terminaller için destek süresinin şimdi planlanması gerektiği anlamına gelir.

Belgeler ne kadar saklanır

Teknik belgeler için on yıl veya daha uzun olan CRA destek süresi, bu da ödeme donanımı için genellikle tam dağıtım ömrüdür.

Uymazsanız ne olur

Donanım için geri çekme ve gümrük reddi. CRA kapsamında, 15 milyon €'ya kadar veya cironun %2.5'i. Ayrıca, dağıtımda olan terminallerdeki bir zayıflık, genellikle düzenleyici maliyeti aşan alıcılarla birlikte bir itibar ve sözleşmesel olaydır.

Kim denetler

Pazar gözetim otoriteleri ve radyo düzenleyicileri, CRA raporlaması için CSIRT'ler, kişisel verilerin işlendiği durumlarda veri koruma otoriteleri ve ödeme hizmeti tarafı için ulusal yetkili otoriteler.

Sınır nerede

CE işareti ve PCI onayı almak, satıcıyı bir ödeme kurumu yapmaz; tersine, bir PSD2 lisansına sahip olmak, donanımı ürün uygunluğundan muaf tutmaz. Uzun dağıtım döngüleri, CRA destek süresini bu kategorideki en zor taahhüt haline getirir, çünkü terminaller on yıl boyunca sahada kalır.

Bize sorulan sorular

PCI onayı AB'de yasal bir gereklilik midir?

Hayır, bu, kart ağları ve alıcılar tarafından dayatılan bir şema gerekliliğidir. Ticari olarak belirleyicidir ama CE işareti veya CRA yükümlülüklerinin yerini almaz.

Dağıtımda olan terminallerdeki bir zayıflığı kim raporlar?

Üretici, Eylül 2026'dan itibaren Madde 14 CRA kapsamında, istismar edildiğini öğrendiği andan itibaren 24 saat içinde.