Betalningar i företag: konton, kort och trygga rutiner

Konton och bankrelationer: bygg inte in sårbarhet

Ett vanligt sårbarhetsproblem är att allt hänger på en bank, ett konto eller en betaltjänst. Riksbanken och MSB råder hushåll att sprida sina betalningslösningar. Gör samma sak i företaget: kartlägg betalkonton, bedöm vilka som är kritiska och planera för driftstörning, cyberangrepp eller tillfällig avstängning. Finansinspektionen kallar betalningssystemet en samhällsviktig funktion; betalningsförmågan är ingen sidodetalj.

Målet är inte att sprida konton planlöst utan att fördela risker medvetet. Identifiera betalningar som måste gå igenom även vid störning: löner, leverantörsbetalningar, skatt och avgifter, inköp och kundåterbetalningar. Se till att minst två fungerande betalvägar finns för de mest kritiska flödena och dokumentera hur ni byter om en väg fallerar.

Det kan vara ett reservkonto i annan bank, en alternativ betaltjänst eller manuella förfaranden för betalning. Granska bankrelationerna regelbundet: avtal, behörigheter och vem som agerar när ordinarie kontaktperson inte är nåbar. Gå också igenom hur ni får information om störningar och incidenter från bank och betalleverantör. Upptäcker ni en störning tidigt kan ni snabbare informera kunder och medarbetare och starta reservrutinerna.

Fördelar och nackdelar med en enda betaltjänst eller kortnätverk

Kort i företaget: nätverk, behörigheter och pincoder

MSB och Riksbanken vill att hushåll har kort från flera kortnätverk, helst både Visa och Mastercard. För företag betyder det att inte låsa sig vid ett enda nätverk eller en enda kortutgivare. Om ett nätverk eller en terminal krånglar kan ett kort från ett annat nätverk avgöra om ni kan betala eller tvingas stå still. Kontrollera därför medarbetarnas kort, vilka nätverk de tillhör och om något kort fungerar när den vanligaste betalvägen ligger nere.

Kontaktlös betalning med kort och mobil är smidig men kräver att terminaler, mobiler och kort fungerar. Enligt Riksbanken och MSB bör hushåll ha koll på betalkort och pinkoder om kontaktlösa betalningar slutar fungera. Gör samma sak i företagets rutiner: varje medarbetare som hanterar betalningar ska ha rätt behörighet, kunna sin pinkod och veta hur kortet används om blipp inte går.

Kort för medarbetare bör ha tydliga behörigheter, beloppsgränser och attestregler. Bestäm vem som får beställa kort, vem som får höja gränser och hur kort som inte längre används spärras. Följ transaktionerna löpande och separera roller så att samma person inte både köper in och attesterar. Det minskar risken för misstag och missbruk och gör avvikelser lättare att upptäcka i tid.

Ta betalt: erbjud kunderna flera betalsätt

Riksbanken och MSB är tydliga: tillgång till olika betalsätt ökar möjligheten att både betala och ta betalt, även när en del av betalningssystemet inte fungerar. Kunden ska inte behöva lämna butiken eller avbryta köpet för att kortterminalen, Swish eller internetbanken krånglar. Erbjud därför flera vägar: kort, Swish, BankID-baserade betalningar och kontanter där det är praktiskt möjligt.

I Betalningsrapport 2025 konstaterar Riksbanken att svenska betalningar i stort är säkra, men att enskilda aktörer har utsatts för attacker och drabbats av störningar. Flera betalsätt kan öka kundnöjdheten och samtidigt säkra beredskapen, särskilt när ett betalsätt strular. Riksbanken betonar särskilt att företag som säljer livsnödvändiga varor måste kunna ta emot betalning även när den ordinarie betalvägen inte fungerar.

Sverige ligger i världstopp för digitala betalningar, och enligt en genomgång från Stripe sker bara omkring en tiondel av butiksköpen med kontanter. Kontanter är därför ett reservbetalsätt snarare än huvudregel för många företag – men just därför gäller det att inte låta kontanthanteringen försvinna. Riksbanken uppmanar hushåll att då och då använda kontanter för att hålla kontanthanteringen levande under normala förhållanden, så att den fungerar även i en kris.

För företag betyder det rutiner för mottagning, kontroll och växling av kontanter, och att personalen vet hur sedlar och mynt hanteras. Hålls kontanthanteringen levande blir det också lättare att känna igen äkta sedlar och mynt.

Alternativa betalsätt i företag – jämförelse av säkerhet och tillgänglighet

Trygga interna rutiner: attest, behörigheter och e-legitimation

Interna betalningsrutiner bör bygga på minsta möjliga behörighet och tydlig ansvarsfördelning. Medarbetare ska bara ha de rättigheter rollen kräver; sätt beloppsgränser och inför attestordning där den som skapar en betalning inte kan godkänna den på egen hand. Separera rollerna för inköp, betalning och avstämning. Rutinerna bör också täcka hur behörigheter ändras när någon slutar eller byter roll, och hur kvarvarande kort, dosor och inloggningar omhändertas.

Skyddet av BankID och säkerhetsdosa är centralt. För hushåll rekommenderar Riksbanken och MSB flera alternativa sätt att identifiera sig elektroniskt. Samma princip gäller företaget: låt inte allt godkännande hänga på en persons mobila BankID eller en enda dosa. Se till att flera behöriga personer och flera tekniska vägar finns, och att koder, kort och dosor förvaras säkert.

Riksbankens säkerhetsbedömning är att svenska betalningar i stort är säkra och att skyddet av känsliga autentiserings- och betalningsuppgifter är högt. Samtidigt framhåller Riksbanken att digitaliseringen ökar sårbarheten och att enskilda aktörer har utsatts för attacker. Interna rutiner för behörigheter, attest och skydd av e-legitimation är därför inte byråkrati utan en del av företagets motståndskraft.

Säkerhet i svenska betalningar – nyckeltal från Riksbanken 2025

Säkra onlinebetalningar: kryptering, tokenisering och stark kundautentisering

Säkra onlinebetalningar vilar på flera skyddslager. TLS-kryptering gör att känsliga uppgifter som kort- och betalningsnummer inte kan läsas om de fångas upp under överföringen. Tokenisering byter ut riktiga kortuppgifter mot en slumpmässig kod, en token, som inte går att spåra tillbaka till det riktiga kortnumret. En del företag använder dessutom inbäddade betalningsfält från betalleverantören, så att känsliga data aldrig når företagets egna servrar.

Enligt EU:s PSD2-regler använder onlinebaserade kortbetalningar i Sverige stark kundautentisering, SCA. Autentiseringsprotokollen omfattar 3D Secure, som med ett snabbt BankID eller en sms-kontroll bekräftar att köparen är kortets rätta innehavare. För företaget är det viktigt att betalningsflödet är byggt så att SCA kan genomföras smidigt och att kunden förstår varför den extra kontrollen sker.

Leverantörer och företag måste också uppfylla PCI DSS för hantering av kortuppgifter och följa GDPR för skydd av personuppgifter. Tillsammans gör dessa tekniska och juridiska skyddsåtgärder att kunderna kan betala tryggt. Enligt en genomgång av svenska onlinebetalningar från Stripe bygger företag som hanterar säkra transaktioner bättre kundrelationer och når högre konverteringsgrad. Säkerhet handlar därför inte bara om risk, utan också om att kunden vågar slutföra köpet.

Bedrägerier och cyberhot: så bygger företaget motståndskraft

Riksbanken beskriver risken för nya cyberattacker som betydande, och den förstärks av förhöjda geopolitiska risker. Under 2024 hade betalningssystemet få störningar, men enskilda aktörer utsattes för attacker och drabbades av störningar. Enligt Riksbanken bekräftar Svenska Bankföreningen att de senaste cyberangreppen har ökat i både styrka och omfattning. För företag innebär det att betalningsberedskap hör till den allmänna säkerheten, inte är en separat it-fråga.

Dora-förordningen började tillämpas i januari 2025 och ställer nya krav på it-riskhantering för företag i den finansiella sektorn. Finansinspektionen granskar sektorns digitala operativa motståndskraft via en fördjupad analys av 50 svenska finansiella företag, bland dem banker, försäkringsbolag, betalningsinstitut och handelsplattformar. Granskningen sker i tre etapper under 2025 med separata enkäter.

Linda Löfgren, chef för avdelningen Motståndskraft och beredskap på FI, säger: ”Den finansiella sektorn är inte bara i hög grad digitaliserad, utan även sammanlänkad och starkt beroende av ett högt förtroende, vilket är en sårbarhet som FI har identifierat.”

För det enskilda företaget, även utanför finanssektorn, handlar motståndskraft om att minska beroendet av en enda betalningsleverantör, följa upp leverantörernas incident- och kontinuitetsarbete och ha egna incidentrutiner. Bestäm i förväg vem som kontaktar bank och betalleverantör, hur kunderna informeras och hur betalningar kan tas emot med alternativa metoder om ordinarie system ligger nere. Dokumentera rutinerna och öva på dem innan de behövs.

Steg för att bygga motståndskraft i betalningsrutiner

Beredskapsplan för betalningar: när det inte fungerar

En praktisk beredskapsplan för betalningar kan utgå från Riksbankens och MSB:s rekommendationer men anpassas till företagets villkor. Börja med verksamhetens kritiska flöden och kontrollera att ni har svar på punkterna nedan.

• Säkerställ att ni kan ta emot betalningar på flera sätt: kort, Swish, BankID-baserade betalningar och kontanter där det är möjligt.

• Ha flera alternativ för internetuppkoppling, till exempel mobildata och bredband, så att betalterminaler och kassasystem inte slås ut av en trasig förbindelse.

• Ha flera sätt att identifiera er elektroniskt, exempelvis BankID och säkerhetsdosa till banken, och se till att mer än en person kan agera.

• Håll kontanter i mindre valörer och ha rutiner för mottagning, kontroll och växling. Anpassa beloppet efter verksamheten; för hushåll nämner Riksbanken och MSB kontanter som räcker för en veckas inköp.

• Använd kontanter då och då även i normala tider. Riksbanken uppmanar hushåll att göra det för att hålla kontanthanteringen levande, och för företag blir det lättare att känna igen äkta sedlar och mynt.

• Dokumentera och öva på rutinerna. Bestäm vem som gör vad när ett betalsätt slutar fungera, hur kunderna informeras och hur ni kommer åt reservkonton och alternativa tjänster. Då blir beredskapen en del av den vanliga driften.