PCI DSS.
Avgränsa betalningsdata och beroenden, klargör driftsansvar och kom överens om lämpliga underlag med behörig part.
- PCI DSS v4.0.1 · PCI SSC
- Av Jonathan Bezdek
- Aktuellt per: 2026-10-22
- Lästid: 6 min.
Kort svar.
PCI DSS är branschstandarden för skydd av betalkortsuppgifter. Den gäller handlare, tjänsteleverantörer och system som behandlar sådana uppgifter eller påverkar deras säkerhet. Aktuell version är PCI DSS v4.0.1. Betalningsmiljö och roll avgör omfattningen. Valideringsförfarandet stäms av med inlösare eller kortvarumärke, exempelvis genom SAQ eller ROC.
PCI DSS 4.0 och aktuell version.
PCI DSS förenar tekniska och operativa säkerhetskrav för betalningsdata. PCI Security Standards Council, PCI SSC, utvecklar standarden och dess stödverktyg. Hur efterlevnaden ska styrkas i ett konkret betalningsprogram bestäms däremot av behöriga accepterande parter, vanligen inlösare och kortvarumärken. PCI SSC FAQ 1473 förklarar rollfördelningen.
PCI DSS v4.0.1 är den version som finns i den officiella Document Library. Enligt PCI SSC:s meddelande om revideringen drogs v4.0 tillbaka den 31 december 2024. Den redan planerade 31 mars 2025 för nya v4-krav ändrades inte. Vid denna sidas aktualitetsdatum har dagen passerat. Den är ingen kommande införandefrist.
En framgångsrikt avslutad validering ersätter inte det löpande skyddet. I den praktiska organiseringen bör ändringar av betalningsvägar, applikationer och leverantörer leda till omprövning av överenskommen omfattning. En ny kassaintegration kan skapa andra beroenden än den tidigare bedömda lösningen trots att samma företag fortsätter ta emot betalningar.
Vem PCI DSS gäller för.
Enligt PCI SSC:s översikt riktar sig PCI DSS inte enbart till organisationer som lagrar, behandlar eller överför kortuppgifter. Även möjlig påverkan på säkerheten i kortinnehavardatamiljön, Cardholder Data Environment eller CDE, ingår i bedömningen. Handlare och leverantörer bör därför först beskriva sin konkreta roll och faktiskt utförda tjänster.
Utlagd betalningshantering är inget automatiskt undantag. PCI SSC FAQ 1092 skiljer mellan möjligen mindre direkt kravomfattning och kvarstående ansvar för lämpliga leverantörer, avtalat ansvar och begärd validering. Klargör även vid en externt driftad kassa med behörig part vilka förutsättningar den tekniska integrationen måste uppfylla.
Gränsen styrks genom effektiva åtgärder, inte enbart genom ett namn i arkitekturdiagrammet. PCI SSC FAQ 1115 förklarar att anslutna system och segmenteringens faktiska effektivitet ska prövas. Den som förhastat undantar administratörsåtkomst, stödjande tjänster eller gränssnitt kan beskriva en ofullständig granskningsomfattning.
Ordna PCI DSS-kraven i driften.
Genomförandet kopplar skyddet av betalningsmiljön till spårbara driftsrutiner. Följande sex arbetsområden är en redaktionell planeringsorientering, ingen återgivning av de tolv officiella kraven eller enskilda kontrollpunkter. Deras konkreta tillämplighet prövas mot bekräftad omfattning.
Gör betalningsflöden och omfattning begripliga.
Följ praktiskt var betalningsinformation uppstår, vilka komponenter som medverkar och vilka personer eller leverantörer som kan påverka den. Dokumentera den bekräftade gränsen med dess antaganden. En begriplig beskrivning hjälper utveckling, drift och accepterande part att diskutera samma betalningsväg.
Driv system och förändringar säkert.
Tilldela medverkande applikationer och infrastrukturkomponenter tydliga ansvariga. Koppla förändringar till frågan om nya anslutningar, funktioner eller beroenden ändrar den bekräftade omfattningen. I vardagen är en spårbar ändringshistorik mer användbar än en ögonblicksbild som enbart sammanställts till granskningstillfället.
Begränsa dataanvändning och överföring.
Pröva som praktisk utgångsfråga vilka betalningsdata som faktiskt behövs för vald rutin och var kopior kan uppstå. Beakta exporter, loggar och stödjande processer. Den fördjupade säkerhetsplaneringen måste passa datatyper och användningssyfte. En allmän konfidentialitetsmärkning förklarar inte dessa beslut.
Organisera åtkomst spårbart.
Koppla verksamhetsansvar till faktiskt beviljade tekniska möjligheter. Beakta utöver anställda även tjänstekonton, administratörsåtkomst och leverantörer. För arbetsorganisationen rekommenderas ett tydligt svar på vem som godkänner åtkomst, vem som hanterar ändringar och hur indragen åtkomst i rätt tid kan visas.
Granska drift och hantera insikter.
Planera lämplig dokumentation och granskning tillsammans med betalningsmiljöns ansvariga. En enskild skanning eller ett penetrationstest beskriver endast sitt respektive objekt. Dokumentera vid iakttagelser vilken ändring som följer och hur effekten kontrolleras, i stället för att likställa ett testresultat med hela PCI DSS-valideringen.
Inkludera leverantörer och incidenter.
Fastställ operativa kontaktpersoner och förfarandet vid avvikelser. För utlagda tjänster bör egna uppgifter förbli begripliga vid sidan av leverantörens åtaganden. PCI SSC FAQ 1576 förklarar att leverantörsunderlag måste täcka använda tjänster. Ett godtyckligt företagsdokument räcker inte automatiskt.
Genomför PCI DSS som en löpande uppgift.
Stäm av roll och valideringsförfarande.
Börja praktiskt med att klargöra roll, förväntad validering och ansvarig kontaktperson med inlösare eller kortvarumärke innan ni väljer formulär.
Kartlägg en betalningsväg.
Beskriv medverkande data, applikationer, system och leverantörer från betalningens början till kvarvarande driftsdokumentation.
Bekräfta omfattningen.
Pröva relevanta anslutningar och säkerhetspåverkande komponenter och låt bedöma avgränsningen inklusive möjlig segmentering sakkunnigt.
Förankra uppgifter i driften.
Tilldela konkreta personer skyddsåtgärder och gemensamt ansvar och koppla genomförandet till lämplig dokumentation.
Förbered konsekventa underlag.
Kontrollera om begärda handlingar beskriver samma tjänst, roll och omfattning och om öppna beslut har hanterats spårbart.
Följ förändringar och uppföljningsgranskningar.
Kom överens om nödvändiga valideringsintervall och kontrollera vid förändringar om omfattning, leverantörsunderlag och driftsansvar fortfarande passar.
PCI-certifiering och den faktiska underlagsformen.
Erkänd PCI DSS-validering använder avsedda officiella handlingar. Ett SAQ dokumenterar tillåten självbedömning, ett ROC resultaten av motsvarande granskningsförfarande och en AOC den tillhörande bekräftelsen. Enligt PCI SSC FAQ 1220 ersätter godtyckliga dokument kallade efterlevnadscertifikat inte de officiella mallarna.
Den accepterande parten bestämmer begärt förfarande. Vid motsvarande granskning kan en Qualified Security Assessor, QSA, medverka. Enligt PCI SSC FAQ 1473 måste omfattning och tillämplighet bedömas korrekt. Valet av SAQ-namn bekräftar därför inte att dess lämplighetskriterier är uppfyllda eller att alla relevanta krav genomförts.
Även rätt mall måste användas i aktuell version. PCI SSC ändrade SAQ A-reglerna den 31 mars 2025 och klargjorde uttryckligen att borttagna enskilda kontrollpunkter i formuläret inte upphäver bakomliggande PCI DSS-krav. Kom överens om valideringstidpunkter och följdskyldigheter för ert fall i stället för att anta en generell certifikatstid.
Förhållandet till andra ramverk.
ISO 27001 behandlar ledning av informationssäkerhet inom fastställd omfattning. PCI DSS-valideringen är ett separat beslut för betalningsmiljön. CIS Controls stöder allmän prioritering av säkerhetsarbete men fastställer inget PCI-valideringsförfarande. GDPR gäller personuppgiftsbehandling och ska prövas oberoende av betalningsdataunderlaget.
I Secani.
Secani tillhandahåller en egen redaktionell företagskatalog för PCI DSS v4.0.1. Profilen omfattar bland annat CDE-omfattning, handlar- eller leverantörsroll och överenskommet SAQ-/ROC-förfarande. Arbetsuppgifterna stöder strukturerad hantering. De ersätter varken officiella granskningshandlingar, bekräftelse av behörighet eller behörig parts bedömning.
Börja med en konkret betalningsväg.
Välj en betalningsväg som faktiskt används och ange dess verksamhetsansvariga och tekniskt ansvariga. Dokumentera vilka tjänster ni utför själva och vilka en leverantör tar över. Stäm sedan av förväntad validering med behörig part innan ni planerar insatsen utifrån ett förmodat lämpligt frågeformulär.
Källor.
- PCI SSC – PCI DSS-översikt och målgrupp
- PCI SSC – officiell Document Library
- PCI SSC – publicering av PCI DSS v4.0.1
- PCI SSC FAQ 1473 – behöriga parter och valideringsförfarande
- PCI SSC FAQ 1092 – utlagd betalningshantering
- PCI SSC FAQ 1576 – leverantörsunderlag
- PCI SSC FAQ 1220 – officiella handlingar i stället för efterlevnadscertifikat
- PCI SSC FAQ 1115 – anslutna system och segmentering
- PCI SSC – ändringar av SAQ A den 31 mars 2025
- PCI SSC – SAQ-bulletin den 15 oktober 2024
Vanliga frågor.
Nej, inte automatiskt. Utläggning kan ändra den direkta omfattningen. Ansvar för lämpliga leverantörer, tydliga ansvarsområden och begärd validering ska fortsatt bedömas separat.
Inte enbart efter önskad arbetsinsats. Lämplighetskriterierna måste vara uppfyllda och begärt valideringsförfarande ska stämmas av med accepterande part.
Godtyckliga efterlevnadscertifikat är ingen erkänd ersättning för officiella handlingar. Avgörande är överenskommet granskningsförfarande och tillhörande officiella rapporter eller bekräftelser.
Nej. Ett ISMS-certifikat gäller sin angivna ledningssystemsomfattning. Betalningsmiljöns krav och valideringsförfarande ska klargöras separat.
Avgränsa betalningsvägen.
Diskutera hur ni kan arbeta med omfattning, uppgifter och underlag i Secani.
Denna sida beskriver PCI DSS med egna ord och ersätter inte officiella PCI SSC-dokument eller sakkunnig granskning. Respektive betalningsprograms krav och behörig parts beslut ska fortsatt beaktas separat.