クレジット代行会社側のルールかと思いますので、
フォレンジック調査を行ったという事を証明する必要があるのではないでしょうか？
（サイトが安全な状態かどうか？という事が重要なのですよね？）

＞また、クレジット導入にはこのようなリスクがあるのでしょうか。
全くリスクが無い(100%安全)という事はないと思います。

＞メイクショップなどのASPタイプだと、メイクショップ側の責任になりフォレンジック調査などはメイクショップが行うとも聞いたのですが、EC-Cubeだと導入した企業が行わないと行けないのでしょうか。
EC-CUBEはオープンソースのシステムの為、導入した企業が責任を負う必要があると思います。
株式会社イーシーキューブでEC-CUBEセキュリティ診断サービスを展開されていますので、
こちらのサービスの利用も検討されてみては如何でしょうか？
https://www.ec-cube.net/products/detail.php?product_id=1319

----------------
株式会社シロハチ
■ECCUBE2系、3系構築カスタマイズご相談ください。
■EC-CUBE3マニュアル
■blog