---
id: "conformite-021"
title: "PCI DSS v4.0 Krav 12.6: Styrk jeres indsats mod phishing og social engineering"
description: "Få styr på PCI DSS v4.0 krav 12.6 med målrettet awareness-træning mod phishing og social engineering. Se CISO-anbefalingerne til QSA-audits her."
canonical: https://startbrain.io/da/cybersikkerhed/pci-dss-v4-krav-12-6-phishing-awareness/
slug: "pci-dss-v4-krav-12-6-phishing-awareness"
date: "2026-08-11"
category: "conformite"
product: "superphisher"
lang: da
author: "Brain Security · F&U Cyber & Den Menneskelige Faktor"
frameworks: "CFCS · D-mærket · NIS 2 · DORA · Datatilsynet · ISO 27001"
---

# PCI DSS v4.0 (Krav 12.6): Opgrader jeres program mod phishing og social engineering

For enhver CISO, IT-sikkerhedsansvarlig eller compliance manager i danske virksomheder, der håndterer betalingskortdata, markerer overgangen til PCI DSS v4.0 et afgørende strategisk skifte. Sikkerhedstræning har alt for længe været betragtet som en triviel årlig compliance-øvelse, hvor medarbejderne blot klikkede sig igennem en standardvideo. Den tilgang holder ikke længere. QSA-auditorer (Qualified Security Assessor) gransker nu den reelle operationelle effekt af jeres menneskelige forsvar, fordi medarbejderne fortsat er den primære indgangsvinkel til kompromittering af kortdata-miljøer (Cardholder Data Environment - CDE).

Krav 12.6 i PCI DSS v4.0 cementerer dette paradigmeskift: Standarden påbyder et kontinuerligt, kontekstbaseret awareness-program, som skal revurderes mindst én gang årligt. I lyset af det skærpede trusselsbillede, som også Finanstilsynet, DORA og Center for Cybersikkerhed (CFCS) løbende advarer om, stiller standarden nu eksplicitte krav om praktisk træning mod phishing og social engineering. Hvordan moderniserer I jeres setup uden at belaste organisationen unødigt, samtidig med at I leverer den dokumentation, jeres QSA kræver? Her er overblikket over de nye krav.

---

## Hvad ændrer PCI DSS v4.0 (krav 12.6) for awareness og phishing?

> **Kort fortalt: PCI DSS v4.0 (krav 12.6) forvandler sikkerhedstræning til en kontinuerlig og målbar proces. Standarden indfører et obligatorisk årligt review af læringsindholdet og kræver målrettet praktisk træning mod phishing og social engineering for alt personale med berøring til kortdata.**

I version 3.2.1 var kravet begrænset til at gennemføre awareness ved ansættelsen samt mindst én gang om året. Version 4.0 hæver barren markant i krav 12.6 med specifikke delkrav:

- **Krav 12.6.1:** Det formelle program for sikkerhedsbevidsthed skal være aktivt forankret, udrullet til alle relevante medarbejdere og revurderes mindst én gang hver 12. måned for at adressere nye trusler.
- **Krav 12.6.2:** Træningsindholdet skal opdateres løbende for at afspejle de reelle risici, som virksomhedens konkrete IT- og forretningsmiljø står overfor.
- **Krav 12.6.3.1:** Programmet skal udtrykkeligt indeholde specifik træning i trusler fra phishing og social engineering med fokus på genkendelse af angreb og omgående rapportering.

Denne præcisering fjerner enhver tvivl ved revisionen. I skal over for jeres auditor kunne dokumentere, at medarbejderne reelt forstår at gennemskue falske e-mails, spoofing og psykologisk manipulation rettet mod at stjæle adgangskoder eller omgå adgangskontroller.

---

## Hvordan struktureres et årligt indholds-review, der tilfredsstiller en QSA?

For at efterleve krav 12.6.2 er det ikke tilstrækkeligt at fremvise simple systemlogs, der blot viser, at en medarbejder har været logget på en e-learning-portal. Jeres QSA vil undersøge, hvordan jeres læringsmateriale har tilpasset sig de seneste 12 måneders udvikling i trusselslandskabet.

### Dokumentation af opdaterede risikoscenarier
Jeres årlige gennemgang bør munde ud i en formel rapport. Denne opsummering dokumenterer analysen af nylige sikkerhedshændelser, nye angrebsmetoder observeret inden for e-handel og finansielle tjenester, samt hvordan disse observationer er omsat til praktiske øvelser for medarbejderne.

### Mål engagement frem for passiv deltagelse
Et robust program baserer sig på konkrete målepunkter, som kan indgå direkte i jeres compliance-dokumentation:
- **Gennemførelsesgrad og kadence:** Fordeling af læringsaktiviteter hen over hele året for at påvise en vedvarende indsats frem for et skippertag.
- **Rapporteringsrate:** Andelen af medarbejdere, der proaktivt anmelder mistænkelige henvendelser, hvilket er den stærkeste indikator for en moden sikkerhedskultur.
- **Kompetenceudvikling over tid:** Udvikling i medarbejdernes modstandskraft over for scenarier med stigende sværhedsgrad.

---

## Hvorfor er løbende simulering af phishing uundværlig?

> **Kort fortalt: Cyberkriminelle går målrettet efter medarbejdernes adgange for at infiltrere betalingsnetværk. Praktisk simuleringstest stiller organisationen over for realistiske scenarier og omdanner teoretisk viden til automatiserede forsvarsreflekser ved svindelmails, falske fakturaer og identitetstyveri.**

Moderne angreb benytter ikke længere primitive skabeloner fyldt med sprogfejl. De udnytter specifik viden om jeres leverandørkæde, direktionssvindel (CEO fraud) eller kunstigt tidspres for at fremkalde fejlhandlinger. For at efterleve krav 12.6.3.1 i praksis er realistiske træningskampagner den mest effektive metode til at opbygge sunde vaner.

Med vores simuleringsværktøj til phishing-træning, [Super Phisher](/en-us/catalog/super-phisher/), kan sikkerhedsteams udsætte organisationen for virkelighedsnære og progressive scenarier. Værktøjet udrulles i tæt samarbejde med vores rådgivere og tester medarbejdernes årvågenhed på en konstruktiv måde, samtidig med at I indsamler de nødvendige data til jeres compliance-rapporter.

Målet er aldrig at udstille den enkelte medarbejder, der klikker, men at styrke anmeldekulturen. En medarbejder, der klikker på et link, men straks alarmerer jeres interne beredskab eller SOC, gør det muligt at isolere truslen på få minutter, før kritiske betalingskortdata kompromitteres.

---

## Gør compliance til en reel sikkerhedsgevinst

Krav 12.6 i PCI DSS v4.0 bør ikke reduceres til en compliance-byrde for IT-afdelingen. Det er en kærkommen anledning til at modernisere jeres metoder, droppe forældede klik-og-glem-kurser og opbygge en mærkbar forsvarslinje i organisationen. Ved at kombinere realistisk phishing-træning, engagerende mikro-læring og et veldokumenteret årligt review beskytter I jeres mest kritiske data, samtidig med at I opnår en gnidningsfri QSA-audit.

Vil I sikre, at jeres awareness-program lever op til kravene i PCI DSS v4.0, og vil I se vores træningsløsninger i praksis? [Book et møde med os](/en-us/book-a-demo/) for en dialog om jeres behov, så vi sammen kan sammensætte et program tilpasset jeres risikoprofil.

### Executive Synthesis of Guide Pillars: PCI DSS v4.0 Krav 12.6: Styrk jeres indsats mod phishing og social engineering

| Strategic Dimension | Detailed CISO Recommendation |
| --- | --- |
| **Krav 12.6.1** | Det formelle program for sikkerhedsbevidsthed skal være aktivt forankret, udrullet til alle relevante medarbejdere og revurderes mindst én gang hver… (Hvad ændrer PCI DSS v4.0 (krav 12.6) for awareness og phishing?) |
| **Gennemførelsesgrad og kadence** | Fordeling af læringsaktiviteter hen over hele året for at påvise en vedvarende indsats frem for et skippertag. (Hvordan struktureres et årligt indholds-review, der…) |
| **Krav 12.6.2** | Træningsindholdet skal opdateres løbende for at afspejle de reelle risici, som virksomhedens konkrete IT- og forretningsmiljø står overfor. (Hvad ændrer PCI DSS v4.0 (krav 12.6) for awareness og phishing?) |
| **Rapporteringsrate** | Andelen af medarbejdere, der proaktivt anmelder mistænkelige henvendelser, hvilket er den stærkeste indikator for en moden sikkerhedskultur. (Hvordan struktureres et årligt indholds-review, der…) |

---

## Læs videre: relaterede artikler og løsninger fra Brain Security

### Relaterede artikler om dette emne

- **[NIS 2-direktivet: Krav til cybersikkerhedstræning for ledelse og medarbejdere](/da/cybersikkerhed/nis-2-krav-cybersikkerhedstraening-ledelse-medarbejdere/)** (Compliance (NIS 2, DORA, ISO)) : Få overblik over de præcise krav i NIS 2-direktivet til cybertræning for bestyrelse, direktion og medarbejdere. Styrk compliance med Brain Security.
- **[DORA-forordningen: Sadan opbygger I traening og krisetest i finanssektoren](/da/cybersikkerhed/dora-forordningen-it-sikkerhed-traening-test-finans/)** (Compliance (NIS 2, DORA, ISO)) : Bliv klar til DORA-kravene om cyber awareness og operationel modstandsdygtighed. Styrk bestyrelsen og medarbejderne med maalgare krisetest.
- **[Tilsyn fra Datatilsynet og GDPR: Hvorfor medarbejdertræning er et afgørende sikkerhedskrav](/da/cybersikkerhed/datatilsynet-gdpr-medarbejdertraening-sikkerhedskrav/)** (Compliance (NIS 2, DORA, ISO)) : Ved tilsyn fra Datatilsynet er GDPR-træning et centralt krav i artikel 32 og 39. Se hvordan jeres organisation dokumenterer jeres sikkerhedsindsats.
- **[Hvorfor HR er cyberkriminelles foretrukne phishingmaal (og hvordan I handler)](/da/cybersikkerhed/hr-phishing-sikkerhed-candidat-cv-angreb/)** (Phishing & Social Engineering) : Beskyt jeres rekruttering mod HR-phishing og skadelige CV'er. Realistisk traening og tekniske greb styrker cybersikkerheden og overholder NIS 2 og GDPR.

### Udforsk Brain Securitys løsninger på vores hjemmeside

- **Relateret løsning : [Super Phisher](/en-us/catalog/super-phisher/)** : Realistiske phishingsimuleringer (Super Phisher): træn medarbejdere i at opdage og rapportere social engineering.
- **[Se use cases efter sikkerhedsmål og branche](/en-us/use-cases/)**
- **[Sammenlign vores formater til cyber- og AI-bevidsthed](/en-us/compare/)**
- **[Udforsk hele det interaktive katalog fra Brain Security](/en-us/catalog/)**
- **[Tal med vores team om jeres behov (demo og opsætning)](/en-us/book-a-demo/)**

---

- https://startbrain.io/da/cybersikkerhed/pci-dss-v4-krav-12-6-phishing-awareness/
- [Français](https://startbrain.io/fr/cybersecurite/pci-dss-v4-exigence-12-6-formation-securite-anti-phishing/)
- [Deutsch](https://startbrain.io/de/cybersecurity/pci-dss-anforderung-12-6-phishing-awareness/)
- [English (UK)](https://startbrain.io/en-gb/cybersecurity/pci-dss-requirement-12-6-phishing-awareness/)
- [English (US)](https://startbrain.io/en-us/cybersecurity/pci-dss-v4-requirement-12-6-phishing-awareness/)
- [Español](https://startbrain.io/es/cyberseguridad/pci-dss-v4-requisito-12-6-concienciacion-phishing/)
- [Italiano](https://startbrain.io/it/sicurezza-informatica/pci-dss-v4-requisito-12-6-phishing-consapevolezza/)
- [Nederlands](https://startbrain.io/nl/cybersecurity/pci-dss-eis-12-6-phishing-awareness/)
- [Português](https://startbrain.io/pt/ciberseguranca/pci-dss-v4-requisito-12-6-sensibilizacao-phishing/)
- [日本語](https://startbrain.io/ja/cybersecurity/pci-dss-v4-requirement-12-6-phishing-awareness/)
- [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/pci-dss-wymog-12-6-szkolenia-phishing/)
- [Svenska](https://startbrain.io/sv/cybersakerhet/pci-dss-v4-krav-12-6-natfiske-utbildning/)
- [Suomi](https://startbrain.io/fi/kyberturvallisuus/pci-dss-vaatimus-tietoturvakoulutus-kalastelu/)
- [Norsk](https://startbrain.io/no/cybersikkerhet/pci-dss-v4-krav-12-6-phishing-opplaering/)
- [English (Canada)](https://startbrain.io/en-ca/cybersecurity/pci-dss-v4-requirement-12-6-phishing-awareness/)
- [llms.txt](https://startbrain.io/llms.txt)