Betalsidor, POS-nät och kärnbanksystem lyder under krav som vanlig kontors-IT slipper. eBuilder Security kör MDR dygnet runt byggd kring transaktionsintegritet, PCI DSS-omfattning och DORAs rapporteringsklocka, för handlare och finansbolag som inte kan bemanna den vakten själva.
Se kartläggningen mot DORA och PCI DSSAnlitade av 100+ svenska kommuner, regioner och
EU-reglerade företag sedan 2002
Finansbolag styrs främst av DORA, i kraft sedan 17 januari 2025. DORA går före NIS2 som sektorsspecifik lag och Finansinspektionen har tillsynen i Sverige. Handeln ligger oftast utanför NIS2 om man inte driver en marknadsplats online, så PCI DSS v4.0.1 och GDPR utgör den bindande grunden i stället.
Blanda inte ihop dem till ett gemensamt handelskrav. En handlares kassasida och en banks kärnsystem svarar mot olika tillsyn, olika tidsfrister och olika sanktioner.
Inventera och godkänn varje script på betalsidan, upptäck manipulation och kräv MFA i hela kortdatamiljön, inte bara för administratörskonton.
De flesta handlare ligger utanför NIS2 om de inte driver en marknadsplats online. PCI DSS och GDPR är den bindande grunden för alla som hanterar kortdata.
IKT-riskhantering, klassificering och rapportering av incidenter, motståndstester inklusive hotbaserade penetrationstester, tillsyn av tredje part och informationsdelning.
För finansiella entiteter går DORA före NIS2 som lex specialis. Finansinspektionen tar emot rapporteringen via sin FIDAC-portal i Sverige.
Handelns exponering sitter i kassan och på betalsidan: kortdata, kundernas inloggningar och POS-leverantörer. Finansbolagens exponering är bedrägeri, kapade konton och driftstabilitet under tillsyn. Båda utsätts för riktade angrepp redan nu, inte i teorin.
En svensk livsmedelskedja stängde nästan 800 butiker i juli 2021 efter ett ransomware-angrepp i leverantörskedjan mot dess POS-leverantör, som slog ut kassasystemen i hela landet. Bara fem butiker klarade sig. Källa: The Record (Recorded Future News), 2021.
Nordea drabbades av sin största DDoS-kampanj någonsin i slutet av 2024, ungefär 360 separata angrepp som störde onlinetjänster i Sverige, Norge, Danmark och Finland. Banken avvärjde omkring 90 % av trafiken. Källa: Computer Weekly, 2024.
Socialt manipulerade MFA-återställningar i helpdesk öppnade dörren för Scattered Spiders angrepp 2025 mot Marks & Spencer, Co-op och Harrods, klassat som en enda systemhändelse av brittiska Cyber Monitoring Centre. Källa: Cyber Monitoring Centre, 2025.
Kuppen mot Bangladesh Bank 2016 använde skräddarsydd malware mot SWIFT Alliance Access för 35 bedrägliga överföringar på totalt cirka 951 miljoner dollar, varav omkring 81 miljoner till slut gick förlorade. Angreppet tillskrivs Lazarus Group. Källa: BAE Systems / ISACA.
DORAs fem pelare styr finans. PCI DSS v4.0.1 styr alla som hanterar kortdata. Så här möter vi varje krav, så att styrelse och revisorer får ett tydligt svar oavsett vilket.
Ett styrelsegodkänt ramverk för IKT-risk som täcker produktion, betalning och kärnsystem, uppdaterat inför revision.
Detektering snabb nog att klara DORAs kedja på 4 timmar, 24 timmar, 72 timmar och en månad.
Årliga motståndstester plus hotbaserade penetrationstester enligt TIBER-EU för entiteter som Finansinspektionen pekar ut.
Informationsregister över varje IKT-leverantör och avtal med kritiska leverantörer, aktuellt och redo för revision.
Frivillig delning av threat intelligence inbakad i löpande SOC-rapportering i stället för som en separat process.
Varje script på betalsidan godkänt, inventerat och kontrollerat mot manipulation, det direkta svaret på skimning av Magecart-typ.
MFA krävs i hela kortdatamiljön, inte bara för administratörskonton.
Ansvaret hos tredjepartsleverantörer dokumenterat och granskat löpande.
Ledningen får ett tydligt, personligt svar om ansvaret enligt DORA och PCI DSS, genom stöd i styrningen och dokumentation som håller för revision.
Kartläggningen ger orientering. Bekräfta slutlig omfattning mot aktuell vägledning från Finansinspektionen och PCI SSC för er typ av entitet.
Två regelverk, en checklista. Se var er organisation står mot DORAs pelare och PCI DSS v4.0.1, skriven för svensk handel och svenska finansbolag.
Klarspråk, skriven för svenska team inom handel och finans, tar ungefär 20 minuter att fylla i.
Styrelseklart underlag som speglar aktuell vägledning från Finansinspektionen och PCI SSC. Levereras direkt till din inkorg.
Ingen spam. EU-dataresidens. Avregistrera när du vill.
Handel och finans får övervakning formad efter hur de faktiskt angrips, inte ett generiskt paket utsträckt över båda.
Skilj signal från säsongsbrus
Handeln får anomalidetektering inställd på credential stuffing och bot-bedrägeri mitt i legitima säsongstoppar. Finans får detektering av kapade konton nära bedrägeriflödet och DDoS-skydd, byggt för att skilja ett verkligt angrepp från en hektisk handelsdag.
Bevaka kassan och huvudboken
För handeln bevakar vårt SOC i Sverige POS-nät och betalsidor, med extra täckning under underbemannade helger. För finans körs löpande transaktionsövervakning, byggd för att upptäcka snabbt nog att mata DORAs 4-timmarsklocka för allvarliga incidenter.
Testa där pengarna rör sig
Tester i handeln avgränsas efter PCI DSS-gränser och betalsidans integritet i e-handeln. I finans täcks kärnbanksystem och API-säkerhet, plus hotbaserade penetrationstester enligt TIBER-EU för entiteter utpekade under DORA.
Täpp till luckan i helpdesk
Social manipulation mot helpdesk var vägen in vid Scattered Spiders angrepp mot handeln, och phishing plus pretexting dominerar social engineering mot finans. Utbildningen tar båda, med realistiska simuleringar för butik, kontor och support.
Äg styrningen utan en heltidsrekrytering
Finanskunder får stöd med DORA-styrning, styrelsens ansvar och underhåll av informationsregistret. Handelskunder får ägarskap för PCI DSS-efterlevnad, GDPR-anpassning och bedömning av NIS2-omfattning när en marknadsplats online drivs.
GRATIS 30 MIN SÄKERHETSGENOMGÅNG
Boka 30 minuter. Vi går igenom ert nuläge och säger rakt ut vad som betyder mest.
Prata med en säkerhetsanalytikerVi leder med operativ disciplin: hur snabbt vi upptäcker, hur konsekvent vi rapporterar och var data fysiskt ligger. Inget av det är en marknadsföringsrad, det är vad vi går igenom med er styrelse eller era revisorer på begäran.
Se hela kartläggningen mot DORA & PCI DSSDetektering mätt i minuter, snabb nog att mata DORAs 4-timmarsklocka i stället för att ligga efter.
Varje signal bevakad dygnet runt, med loggar helt inom infrastruktur i Sverige.
MDR kan vara i drift inom 72 timmar när åtkomst och godkännanden är klara, POS och kärnsystem inkluderade.
En egen verksamhet inom eBuilder, ett svenskt teknikbolag verksamt sedan 2002.
Vårt SOC är oberoende granskat och certifierat mot informationssäkerhetsstandarden ISO 27001.
Tjänsterna stödjer IKT-riskhantering, incidentrapportering och tillsyn av tredje part enligt DORA.
Människodriven övervakning och infrastruktur i linje med kraven i GDPR och Schrems II.
Bläddra per ämne för att hitta svaret du söker.
De flesta handlare omfattas inte direkt av NIS2 om de inte driver en marknadsplats online, är en viktig entitet enligt bilaga II eller dras in via storlekströsklar eller krav på leverantörskedjan. Den bindande grunden för en handlare som tar kortbetalningar är PCI DSS v4.0.1, obligatorisk sedan 31 mars 2025, tillsammans med GDPR.
Finansiella entiteter ska följa DORA, som går före NIS2 som sektorsspecifik rättsakt, lex specialis, enligt artikel 1(2) i DORA och artikel 4(1) i NIS2. Cybersäkerhetslagen gäller i stället för icke-finansiella sektorer.
51 framtidsdaterade krav blev obligatoriska 31 mars 2025 utan övergångstid. De två som byggts mot skimning av Magecart-typ är 6.4.3, som kräver att varje script på betalsidan är godkänt, integritetssäkrat och inventerat, och 11.6.1, som kräver detektering av manipulation och ändringar på betalsidor. Krav 8.4.2 kräver nu MFA för all åtkomst till kortdatamiljön, inte bara för administratörer.
IKT-riskhantering; hantering, klassificering och rapportering av IKT-relaterade incidenter; test av digital operativ motståndskraft, inklusive hotbaserade penetrationstester enligt TIBER-EU; hantering av IKT-tredjepartsrisk, inklusive tillsyn av kritiska leverantörer; och informationsdelning.
Betalsystem ligger i en PCI DSS-kortdatamiljö som kräver tokenisering, kryptering, MFA för all åtkomst, transaktionsövervakning i realtid och integritetskontroll av script på betalsidan. Vanlig kontors-IT bär inga av de kraven, och därför räcker inte generisk övervakning.
Operativt kan betalningarna stanna helt. Ett ransomware-angrepp i leverantörskedjan 2021 mot en svensk livsmedelskedjas kassaleverantör tvingade nästan 800 butiker att stänga. Ekonomiskt kostar nya kort 5 till 15 euro per kort, och finansbolag möter dessutom kännbara sanktionsavgifter och tappade kunder.
Vårt SOC övervakar POS-nät och betalsidor, kör anomalidetektering nära bedrägeriflödet och är byggt för att upptäcka snabbt nog att mata DORAs 4-timmarsanmälan för allvarliga incidenter. Det märks mest under helgperioder, då en stor majoritet av angripna organisationer träffas på en helg eller helgdag.
Cybersäkerhetslagen kräver rapportering inom 24 och 72 timmar, med sanktionsavgifter upp till 10 miljoner euro eller 2 % av omsättningen. DORA kräver första anmälan inom 4 timmar från att en incident klassats som allvarlig, senast 24 timmar efter upptäckt, en delrapport inom 72 timmar och en slutrapport inom en månad. Kritiska IKT-tredjepartsleverantörer kan möta sanktioner på upp till 1 % av daglig global omsättning i upp till sex månader. Bristande PCI DSS-efterlevnad riskerar avgifter från kortnätverken och förlorad rätt att hantera kortbetalningar.
Finansinspektionen är behörig myndighet för DORA-tillsyn och tar emot incidentrapporter via sin FIDAC-portal, medan Riksbanken ansvarar för hotbaserade penetrationstester. Digital operativ motståndskraft är en prioriterad tillsynsfråga för FI både 2025 och 2026.
Prissättningen följer vår endpoint-baserade MDR-modell, med en förutsägbar månadsavgift som täcker incidenthantering, eskalering till analytiker och larmhantering. Penetrationstester, CISO as a Service och säkerhetsutbildning ligger utanför MDR och offereras separat utifrån ert behov.
Större plattformar är byggda för generisk global täckning, inte för nordisk regelkunskap. eBuilder Security kan DORA, Finansinspektionen och Cybersäkerhetslagen inifrån, håller data inom infrastruktur i Sverige och svarar samma arbetsdag, med fokus på att skydda kortdata, transaktionsintegritet och revisionsberedskap snarare än generisk plattformstäckning.
Prata 30 minuter med en analytiker i Sverige, utan kostnad och utan förpliktelser. Vi går igenom ert läge inom PCI DSS eller DORA, pekar ut vad som behöver åtgärdas först och visar vårt SOC live.
Hämta beredskapschecklistan för DORA & PCI DSS