Sí, es tan simple como eso.
No puedes conceder acceso a una subcategoría a menos que el grupo también tenga acceso a la categoría principal; esto protege contra el peligro que señalas muy bien.
No es tan malo: todavía puedes enlazar sin problemas, pero los bonitos Oneboxes no se generarán.
Desafortunadamente, de fábrica solo se integra con Stripe. De lo contrario, sería ideal para ti.