> Källa: https://complior.se/how-to-determine-and-reduce-pci-dss-scope/

Guide 

# PCI DSS: förstå och avgränsa granskningsomfattningen 

Kartlägg betalflödet innan ni väljer skydd. En tydlig omfattning hjälper er att rikta säkerhetsarbetet rätt. 

Ursprungligen publicerad 27 juni 2022 Bearbetad 13 oktober 2026 

## Börja med kortdata och deras väg 

PCI DSS gäller skydd av betalkortsdata. Granskningsomfattningen beror på var kortdata lagras, behandlas eller överförs och vilka system som är anslutna till eller kan påverka säkerheten i den miljön. 

Rita flödet från insamling till betalning, lagring och radering. Ta med integrationer, administrativa anslutningar och relevanta loggar och säkerhetskopior. En karta över servrar räcker inte om människor och processer runt dem lämnas utanför. 

## Avgränsning behöver kunna visas 

Nätverkssegmentering och andra kontroller kan bidra till att avgränsa miljön. Det viktiga är hur separationen faktiskt fungerar och hur den verifieras. Dokumentera anslutningar, behörigheter och beroenden och pröva avgränsningen när lösningen förändras. 

## Tokenisering kan ändra dataflödet 

Tokenisering ersätter ett känsligt värde med en referens, en token. System som bara behöver referensen kan då slippa hantera det ursprungliga kortnumret. 

Omfattningen försvinner inte automatiskt. Tokeniseringstjänsten, möjligheten att återskapa eller hämta kortdata och anslutningar till betalningsmiljön behöver ingå i bedömningen. Validera lösningen med den kompetens och granskning som gäller för er verksamhet. 

## Leverantörens underlag är en del av bedömningen 

Outsourcing tar inte bort kundens alla skyldigheter. Klargör vilket ansvar leverantören tar och vilka kontroller ni behöver sköta själva. Begär aktuell Attestation of Compliance, AOC, när det är relevant och kontrollera att den omfattar den tjänst ni faktiskt använder. 

- Vilka data och system omfattas av vår lösning? 

- Vilka säkerhetskontroller levererar varje part? 

- Vilket aktuellt underlag styrker leverantörens omfattning? 

- Hur fångar vi upp ändringar som påverkar bedömningen? 

## Källor och vidare läsning 

Källorna genomgångna 13 oktober 2026. 

- [PCI Security Standards Council: PCI DSS ↗](https://www.pcisecuritystandards.org/standards/pci-dss/) 

- [PCI SSC: Ansvar när betalningshantering läggs ut ↗](https://www.pcisecuritystandards.org/faqs/does-pci-dss-apply-to-merchants-who-outsource-all-payment-processing-operations-and-never-store-process-or-transmit-cardholder-data/) 

Ta nästa steg. 

[Prata om er granskningsomfattning →](https://complior.se/contact/) [Alla resurser →](https://complior.se/resources/)