Tager I imod kortbetalinger gennem en ekstern leverandør, er jeres kontrol af leverandøren en del af jeres egen overholdelse af kortbranchens sikkerhedsstandard, PCI DSS. Det afgørende er, at I har bevis for de krav, leverandøren opfylder på jeres vegne, og en skriftlig fordeling af, hvem der gør hvad.
Artiklen bygger på det, PCI Security Standards Council skriver på sin blog og i sine svar på ofte stillede spørgsmål. Selve standardteksten er ikke læst til artiklen, og kravene gengives kun, som rådet selv gengiver dem.
Kundens pligter efter krav 12.8
PCI SSC kalder leverandøren en tredjepartstjenesteudbyder, forkortet TPSP. Ifølge rådets blog skal en kunde, der bruger sådanne udbydere, styre og overvåge dem efter krav 12.8. Det omfatter:
- En liste over de udbydere, kunden bruger.
- Skriftlige aftaler med dem.
- En undersøgelse af udbyderen, før aftalen indgås.
- Overvågning af udbyderens status efter PCI DSS mindst én gang hver 12. måned.
- En registrering af, hvilke krav udbyderen, kunden eller begge har ansvaret for.
Rådet beskriver krav 12.8 og 12.9 som to krav, der er lavet til at virke sammen. Kundens krav er det ene, leverandørens det andet.
Leverandørens pligter efter krav 12.9
Efter krav 12.9 vedkender udbyderen sig skriftligt sit ansvar over for kunderne og understøtter kundernes anmodninger om oplysninger. Efter krav 12.9.1 og 12.9.2 oplyser udbyderen, hvilke krav den selv har ansvaret for, og hvilke kunden har. Rådet nævner en ansvarsmatrix som ét værktøj til det.
Den skriftlige vedkendelse er det første dokument, auditten beder om. Uden den findes der ingen fælles forståelse af, hvem der bærer hvilket krav.
Bevis for de krav, leverandøren bærer for jer
I svaret på spørgsmål nr. 1312 skriver PCI SSC, at krav 12.8 ikke siger, at kundens udbydere skal overholde PCI DSS. Kravet er, at kunden overvåger deres status. Leverer udbyderen en tjeneste, der opfylder et krav på kundens vegne, og giver udbyderen ikke bevis for, at kravene er opfyldt, så er de krav ikke på plads ved kundens egen vurdering.
Det er den praktiske kerne. En leverandør uden dokumentation efterlader jer med krav, I ikke kan vise opfyldt. Om udbyderen selv skal gennem en PCI DSS-vurdering, afgøres efter samme svar af den, der styrer compliance-programmet, typisk indløseren eller kortselskabet.
Hvilket bevis I kan bede om
PCI SSC’s svar nr. 1576 beskriver beviset. Har udbyderen en Attestation of Compliance, forkortet AOC, forventes den udleveret til kunden på anmodning, og den skal dække de tjenester, kunden får. Kunden kan også bede om relevante afsnit af Report on Compliance eller af det selvevalueringsskema, der hedder SAQ D for tjenesteudbydere. Har udbyderen ingen vurdering, forventes den at levere specifikt bevis for de relevante krav.
Når attesten ligger hos jer, læses den som enhver anden erklæring:
- Dækker den de tjenester, I faktisk bruger, eller kun en anden del af leverandørens forretning?
- Hvornår er den udstedt, og er den stadig inden for den periode, I overvåger efter?
- Passer fordelingen af krav i ansvarsmatrixen med det, jeres egen opsætning gør?
Når leverandøren ingen attest har
En mindre leverandør har ikke altid gennemført en vurdering efter standarden. Rådet forventer så, at leverandøren leverer specifikt bevis for de krav, der er relevante for jeres tjenester. I praksis betyder det, at I får en kortere liste over krav og et bevis for hvert: en procedure, et udtræk, en konfiguration eller en rapport fra en test.
Det er mere arbejde at læse end en attest. Til gengæld ser I selve beviset. Notér for hvert krav, hvad I har modtaget, og hvornår, så den årlige overvågning kan gentages på samme grundlag.
Betalingsleverandøren kan også være databehandler
I sin tilsynsvejledning fra 2021 bruger Datatilsynet en webshop som tænkt eksempel. Betalingsløsningen registrerer kortoplysninger og sletter dem efter købet. Datatilsynet foreslår her koncept 2, en skriftlig bekræftelse fra databehandleren, hvert andet år.
Samme leverandør kan altså både indgå i ansvarsfordelingen efter PCI DSS og være databehandler efter databeskyttelsesreglerne. Det er to forskellige kontroller med hver sin målestok. De kan dog planlægges sammen, så leverandøren besvarer begge på én gang.
Hvad det kræver, og hvad det koster at lade være
Det kræver en ajourført liste over betalingsleverandører, en skriftlig aftale med hver, en årlig gennemgang af deres attest og en ansvarsfordeling, som både I og leverandøren har skrevet under på. Arbejdet er beskedent, når det er sat i system.
Mangler beviset, står de krav, leverandøren skulle opfylde for jer, som ikke opfyldt i jeres egen vurdering. Mangler ansvarsfordelingen, kan et krav falde mellem to stole, fordi hver part tror, den anden har det.
Det skal I lade være med
- At gå ud fra, at et kendt betalingsfirma dækker alt · attesten skal dække netop jeres tjenester.
- At arkivere attesten uden at læse ansvarsmatrixen · det er den, der viser jeres egne krav.
- At lade den årlige kontrol glide · overvågningen skal ske mindst hver 12. måned.
Det skal auditten kunne vise
- ☐ En liste over betalingsleverandører med skriftlig aftale for hver.
- ☐ Leverandørens skriftlige vedkendelse af sit ansvar.
- ☐ En gyldig attest eller specifikt bevis, der dækker de tjenester, I bruger.
- ☐ En ansvarsfordeling krav for krav, som begge parter kender.
- ☐ Dato for seneste kontrol af leverandørens status, højst 12 måneder gammel.
Kilder
- PCI Security Standards Council, blog: “PCI SSC Publishes New Guidance on Understanding PCI DSS Third-Party Service Providers”, dato ikke oplyst på siden, læst 12. november 2026.
- PCI SSC, FAQ nr. 1312, læst 12. november 2026.
- PCI SSC, FAQ nr. 1576, læst 12. november 2026.
- Datatilsynet, Vejledning om tilsyn med databehandlere, oktober 2021, koncept 2, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Bed hver betalingsleverandør om attesten og ansvarsmatrixen, og sammenhold dem med jeres egen opsætning.
Læs også: Komplementære brugerkontroller · Databehandlertilsyn og sikkerhedsaudit i ét forløb
→ Kontakt · Tlf. 70 13 63 23 · Leverandøraudit hos Nielco IT
