Unternehmen, die keine Kreditkartendaten selber (d. h. in den Händlereigenen Systemen) speichern, verarbeiten oder übermitteln, können eine umfangreiche Zertifizierung vermeiden, wenn sie für die Verarbeitung der Kreditkartendaten einen bereits PCI DSS zertifizierten Payment Service Provider wie S-Public Services nutzen. Sie sind trotzdem dazu verpflichtet, einen Nachweis gegenüber den Kreditkartenorganisationen über die Konformität mit dem PCI-Standard zu erbringen.