PCI DSS.
Afgræns betalingsdata og afhængigheder, afklar driftsansvaret, og aftal passende dokumentation med den ansvarlige instans.
- PCI DSS v4.0.1 · PCI SSC
- Af Jonathan Bezdek
- Status: 22.10.2026
- Læsetid: 7 min.
Kort svar.
PCI DSS er branchestandarden for beskyttelse af betalingskortdata. Den vedrører forhandlere, tjenesteudbydere og systemer, der behandler sådanne data eller påvirker deres sikkerhed. Den aktuelle udgave er PCI DSS v4.0.1. Betalingsmiljø og rolle bestemmer omfanget; dokumentationsvejen aftales med indløseren eller kortmærket, eksempelvis via SAQ eller ROC.
PCI DSS 4.0 og den aktuelle udgave.
PCI DSS forbinder tekniske og driftsmæssige sikkerhedskrav til betalingsdata. PCI Security Standards Council, forkortet PCI SSC, udvikler standarden og dens understøttende værktøjer. Hvordan overholdelsen dokumenteres i et konkret betalingsprogram, bestemmes derimod af de ansvarlige accepterende instanser, typisk indløsere og kortmærker; PCI SSC FAQ 1473 forklarer denne rollefordeling.
PCI DSS v4.0.1 er den udgave, der fremgår af den officielle Document Library. Ifølge PCI SSC’s publikation om revisionen blev v4.0 trukket tilbage den 31. december 2024. Den allerede fastsatte dato for de nye v4-krav, 31. marts 2025, var uændret. På denne sides statusdato ligger datoen i fortiden; den er ikke en kommende indførelsesfrist.
Afsluttet dokumentation erstatter ikke den løbende beskyttelse. I den praktiske organisering bør ændringer i betalingsveje, applikationer og leverandører udløse en ny vurdering af det aftalte omfang. En ny checkout-integration kan skabe andre afhængigheder end den tidligere vurderede løsning, selv om samme virksomhed fortsat modtager betalinger.
Hvem PCI DSS gælder for.
Ifølge PCI SSC’s oversigt henvender PCI DSS sig ikke kun til organisationer, som opbevarer, behandler eller overfører kortdata. Mulig påvirkning af sikkerheden i kortholderdatamiljøet, Cardholder Data Environment eller CDE, indgår også i vurderingen. Forhandlere og tjenesteudbydere bør derfor først beskrive deres konkrete rolle og de faktisk leverede ydelser.
Outsourcet betalingsbehandling medfører ikke automatisk fritagelse. PCI SSC FAQ 1092 skelner mellem et eventuelt mindre direkte kravomfang og det fortsatte ansvar for egnede leverandører, aftalt ansvar og krævet dokumentation. Afklar også ved hosted checkout med den ansvarlige instans, hvilke betingelser den valgte tekniske integration skal opfylde.
Grænsen dokumenteres gennem effektive foranstaltninger og ikke alene med et navn i arkitekturdiagrammet. PCI SSC FAQ 1115 forklarer, at forbundne systemer og segmenteringens faktiske effektivitet skal undersøges. Udelades administrationsadgange, understøttende tjenester eller grænseflader for hurtigt, kan revisionsomfanget blive ufuldstændigt.
Strukturer PCI DSS-kravene i driften.
Implementeringen forbinder beskyttelse af betalingsmiljøet med sporbare driftsprocedurer. Følgende seks arbejdsområder er redaktionel orientering til planlægning og gengiver ikke de tolv officielle krav eller enkelte kontrolpunkter; deres konkrete anvendelighed undersøges ud fra det bekræftede omfang.
Gør betalingsstrømme og omfang forståelige.
Følg i praksis, hvor betalingsoplysninger opstår, hvilke komponenter der indgår, og hvilke personer eller udbydere der kan påvirke dem. Dokumenter den bekræftede grænse sammen med dens antagelser. En forståelig beskrivelse hjælper udvikling, drift og den accepterende instans med at tale om samme betalingsvej.
Driv systemer og ændringer sikkert.
Tilknyt klare ansvarlige til de involverede applikationer og infrastrukturkomponenter. Forbind ændringer med spørgsmålet om, hvorvidt nye forbindelser, funktioner eller afhængigheder ændrer det bekræftede omfang. I hverdagen er et sporbart ændringsforløb mere nyttigt end et øjebliksbillede, der kun samles til revisionstidspunktet.
Begræns dataanvendelse og overførsel.
Undersøg som praktisk udgangspunkt, hvilke betalingsdata der faktisk kræves i det valgte forløb, og hvor kopier kan opstå. Medregn eksport, logfiler og understøttende processer. Den mere indgående sikkerhedsplanlægning skal passe til datatyper og formål; en generel fortrolighedsmærkning forklarer endnu ikke disse beslutninger.
Organiser adgang sporbart.
Forbind fagligt ansvar med de faktisk tildelte tekniske muligheder. Betragt ud over medarbejdere også tjenestekonti, administrative adgange og leverandører. I arbejdsorganiseringen anbefales et klart svar på, hvem der godkender en adgang, hvem der behandler ændringer, og hvordan rettidig fjernelse af en adgang kan konstateres.
Kontroller driften og behandl indsigter.
Planlæg passende registreringer og kontroller med betalingsmiljøets ansvarlige. En enkelt scanning eller penetrationstest beskriver kun sit eget objekt. Dokumenter ved fund, hvilken ændring der følger, og hvordan virkningen kontrolleres, frem for at sidestille et testresultat med hele PCI DSS-dokumentationen.
Inddrag leverandører og hændelser.
Fastlæg driftskontaktpersoner og fremgangsmåden ved afvigelser. For outsourcede ydelser bør egne opgaver forblive forståelige ved siden af udbyderens tilsagn. PCI SSC FAQ 1576 forklarer, at leverandørdokumentation skal dække de anvendte ydelser; et vilkårligt virksomhedsdokument er ikke automatisk tilstrækkeligt.
Implementer PCI DSS som en løbende opgave.
Afstem rolle og dokumentationsvej.
Afklar som praktisk begyndelse Deres rolle, den forventede dokumentation og den ansvarlige kontaktperson med indløser eller kortmærke, før De vælger en formular.
Registrer en betalingsvej.
Beskriv de involverede data, applikationer, systemer og leverandører fra betalingens start til de resterende driftsregistreringer.
Bekræft omfanget.
Undersøg relevante forbindelser og komponenter, som påvirker sikkerheden, og få afgrænsningen, inklusive mulig segmentering, fagligt vurderet.
Forankr opgaver i driften.
Tilknyt beskyttelsesforanstaltninger og fælles ansvar til konkrete personer, og forbind implementeringen med passende registreringer.
Forbered dokumentation konsekvent.
Undersøg, om de krævede dokumenter beskriver samme tjeneste, rolle og omfang, og om åbne beslutninger er behandlet sporbart.
Følg ændringer og opfølgende kontroller.
Aftal nødvendige dokumentationsintervaller, og undersøg ved ændringer, om omfang, leverandørdokumentation og driftsansvar stadig passer.
PCI-certificering og den faktiske dokumentationsform.
Anerkendt PCI DSS-dokumentation bruger de foreskrevne officielle dokumenter. En SAQ dokumenterer en tilladt selvevaluering, en ROC resultaterne af den relevante revisionsvej og en AOC den tilhørende bekræftelse. Efter PCI SSC FAQ 1220 erstatter vilkårlige dokumenter betegnet som compliancecertifikater ikke de officielle skabeloner.
Den accepterende instans bestemmer den krævede vej; ved en relevant revision kan en Qualified Security Assessor, forkortet QSA, medvirke. Efter PCI SSC FAQ 1473 skal omfang og anvendelighed vurderes korrekt. Valg af et SAQ-navn bekræfter derfor endnu ikke, at egnethedskriterierne er opfyldt, eller at alle relevante krav er gennemført.
Også den passende skabelon skal bruges i sin aktuelle udgave. PCI SSC ændrede SAQ A-reglerne den 31. marts 2025 og præciserede udtrykkeligt, at bortfald af enkelte kontrolpunkter i spørgeskemaet ikke ophæver de underliggende PCI DSS-krav. Aftal dokumentationstidspunkter og opfølgende pligter for Deres tilfælde frem for at antage en generel certifikatgyldighed.
Forstå andre rammeværker.
ISO 27001 behandler ledelse af informationssikkerhed inden for det fastlagte anvendelsesområde; PCI DSS-dokumentationen er en særskilt beslutning for betalingsmiljøet. CIS Controls understøtter generel prioritering af sikkerhedsarbejde, men fastlægger ikke en PCI-valideringsvej. GDPR vedrører behandling af personoplysninger og skal fortsat undersøges uafhængigt af betalingsdatadokumentationen.
I Secani.
Secani indeholder sit eget redaktionelle virksomhedskatalog til PCI DSS v4.0.1. Profilen registrerer blandt andet CDE-omfang, forhandler- eller tjenesteudbyderrolle og den aftalte SAQ-/ROC-vej. Arbejdsoplysningerne understøtter struktureret behandling; de erstatter hverken de officielle revisionsdokumenter, bekræftelse af berettigelse eller den ansvarlige instans’ vurdering.
Begynd med en konkret betalingsvej.
Vælg en faktisk anvendt betalingsvej, og angiv det faglige og tekniske ansvar. Dokumenter, hvilke ydelser De selv leverer, og hvilke en leverandør overtager. Afstem derefter den forventede dokumentation med den ansvarlige instans, før De planlægger indsatsen ud fra et tilsyneladende passende spørgeskema.
Kilder.
- PCI SSC – PCI DSS-oversigt og målgruppe
- PCI SSC – officiel Document Library
- PCI SSC – offentliggørelse af PCI DSS v4.0.1
- PCI SSC FAQ 1473 – ansvarlige instanser og dokumentationsvej
- PCI SSC FAQ 1092 – outsourcet betalingsbehandling
- PCI SSC FAQ 1576 – leverandørdokumentation
- PCI SSC FAQ 1220 – officielle dokumenter frem for compliancecertifikater
- PCI SSC FAQ 1115 – forbundne systemer og segmentering
- PCI SSC – ændringer i SAQ A pr. 31. marts 2025
- PCI SSC – SAQ-bulletin af 15. oktober 2024
Ofte stillede spørgsmål.
Nej, ikke automatisk. Outsourcing kan ændre det direkte omfang; ansvar for egnede leverandører, klart ansvar og krævet dokumentation skal fortsat betragtes særskilt.
Ikke alene efter den ønskede indsats. Egnethedskriterierne skal være opfyldt, og den krævede dokumentationsvej skal aftales med den accepterende instans.
Vilkårlige compliancecertifikater er ikke anerkendte erstatninger for officielle dokumenter. Den aftalte revisionsvej og de tilhørende officielle rapporter eller bekræftelser er afgørende.
Nej. Et ISMS-certifikat vedrører det angivne ledelsessystemomfang; kravene og dokumentationsvejen for betalingsmiljøet skal afklares særskilt.
Afgræns betalingsvejen.
Tal om, hvordan De kan arbejde med omfang, opgaver og dokumentation i Secani.
Denne side forklarer PCI DSS med egne ord og erstatter ikke de officielle PCI SSC-dokumenter eller en faglig revision. Krav i det enkelte betalingsprogram og afgørelser fra den ansvarlige instans skal fortsat overholdes særskilt.