PCI-compliancechecklist: zo voldoe je aan alle eisen van PCI DSS (2027)

PCI DSS-compliance, kort voor Payment Card Industry Data Security Standard-compliance, betekent dat een bedrijf dat creditcardgegevens opslaat, verwerkt of verzendt, voldoet aan de beveiligingseisen van de Payment Card Industry Security Standards Council (PCI SSC). Die eisen zijn er om kaarthoudergegevens te beschermen.

Online winkelen is inmiddels de normaalste zaak van de wereld. Nederlanders gaven in 2025 €35,7 miljard online uit, verdeeld over 347 miljoen aankopen, volgens Thuiswinkel.org en NielsenIQ. Shopify, dat miljoenen ondernemers in meer dan 175 landen ondersteunt en tijdens de drukste uitverkopen en evenementen van het jaar een beschikbaarheid van 99,9% haalt, heeft PCI-compliance rechtstreeks in zijn platform ingebouwd. Merken op Shopify zijn daardoor standaard gedekt.

Hoe meer klanten online kopen, hoe meer persoonlijke en financiële gegevens ze delen met merken die ze vertrouwen. Helaas trekt dat ook hackers aan die die gegevens willen stelen. Verwerkt je bedrijf online betalingen, dan sta je op hun lijstje.

Accountovername is daarbij een van de grootste dreigingen. Volgens de Digital Trust Index van Sift (Q1 2026) kreeg 21% van de consumenten in 2025 te maken met een overgenomen account. Ook grote Nederlandse webshops ontspringen de dans niet. In augustus 2026 waarschuwden BOL en de Bijenkorf hun klanten nadat logistieke partner CEVA Logistics was gehackt en mogelijk namen, adressen en telefoonnummers waren buitgemaakt.

Klanten kopen alleen bij je als ze de beveiliging van je site vertrouwen. Dat vertrouwen is fragiel: volgens Baymard Institute verlaat gemiddeld 70,22% van de shoppers de winkelwagen zonder te betalen en twijfel over de veiligheid van betaalgegevens is een van de redenen die shoppers daarvoor noemen.

Wat kun je doen om datalekken te voorkomen en het vertrouwen van je klanten te winnen? Voldoen aan de PCI Data Security Standard (DSS). In deze PCI-compliancechecklist lees je hoe.

Wat is PCI DSS?

PCI DSS staat voor Payment Card Industry Data Security Standard. Het is een standaard voor informatiebeveiliging, opgesteld door de PCI Security Standards Council, die bestaande processen en controles voor de bescherming van kaarthoudergegevens verbetert.

De standaard geldt voor elke organisatie die kaartgegevens van merken als Visa, Mastercard, Discover, American Express en JCB opslaat, verwerkt of verzendt. Dat geldt dus ook voor Nederlandse webshops: iDEAL is hier de populairste betaalmethode, maar zodra je creditcards, debitcards van Visa of Mastercard, of wallets zoals Apple Pay en Google Pay accepteert, krijg je met kaartgegevens te maken.

In december 2004 richtten de grote creditcardmerken de PCI SSC op, de organisatie achter PCI DSS. Sindsdien heeft de PCI SSC meerdere nieuwe versies uitgebracht. De meest recente versie, PCI DSS v4.0.1, verscheen in juni 2024 en is sinds 31 maart 2025 volledig van kracht.

Volgens de PCI SSC bevat PCI DSS v4.x onder meer deze wijzigingen:

• Betere afstemming op actuele dreigingen: uitgebreidere eisen voor multifactorauthenticatie en strengere wachtwoordeisen.
• Beveiliging als doorlopend proces: extra richtlijnen om beveiliging te implementeren en te onderhouden, zodat je cybercriminaliteit voorblijft.
• Meer flexibiliteit: organisaties die verschillende methoden gebruiken om innovatie in betaalapplicaties te ondersteunen, krijgen meer ruimte. Zo zijn groeps-, gedeelde en generieke accounts onder voorwaarden toegestaan.
• Betere validatie: verbeterde methoden en procedures voor validatie en rapportage, voor meer transparantie.

De PCI-standaarden zijn ontwikkeld om kaartuitgevers en kaarthouders te beschermen. Ze zorgen ervoor dat webshops voldoen aan wereldwijde technische, operationele en beveiligingseisen die alle betaalgegevens veilig houden.

Voorbeelden van datalekken

Ook in Nederland zijn de lekken groot. In februari 2026 maakte telecomaanbieder Odido bekend dat hackers persoonsgegevens van ongeveer zes miljoen klanten hadden buitgemaakt uit een systeem voor klantcontact, waaronder namen, adressen en telefoonnummers. Het is een van de grootste datalekken in de Nederlandse geschiedenis.

Dit zijn een paar recente voorbeelden uit de e-commerce:

Bol en de Bijenkorf via CEVA Logistics (2026)

Op 1 augustus 2026 hoorde bol van logistiek partner CEVA Logistics dat er mogelijk een datalek was na een cyberaanval op CEVA. Ook de Bijenkorf werd getroffen. Mogelijk zijn namen, adressen, postcodes en telefoonnummers van klanten ingezien. Bol meldde het incident op 3 augustus bij de Autoriteit Persoonsgegevens en mailde getroffen klanten op 5 augustus. Volgens beide bedrijven zijn er geen aanwijzingen dat betaalgegevens, wachtwoorden of inloggegevens zijn buitgemaakt. Het incident laat zien hoe belangrijk het is om ook de beveiliging van externe partners te bewaken.

Rituals (2026)

In april 2026 maakte cosmeticaketen Rituals bekend dat hackers klantgegevens hadden gestolen, waaronder namen, e-mailadressen en geboortedata. Hoeveel klanten zijn getroffen, is niet bekendgemaakt. Volgens Rituals zijn er geen wachtwoorden of betaalgegevens buitgemaakt.

Skimming in webshops (2026)

Bij een Magecart-aanval verstoppen criminelen kwaadaardige code in de checkout van een webshop, zodat kaartgegevens worden afgetapt terwijl de klant ze invoert. Volgens beveiligingsbedrijf Sansec werden in maart 2026 op het hoogtepunt van een campagne 471 webshops per uur getroffen. Juist tegen dit soort aanvallen zijn de nieuwste PCI DSS-eisen voor betaalpagina's bedoeld.

Moet mijn bedrijf PCI-compliant zijn?

Ja en nee. In Nederland en de EU verplicht geen wet je om aan PCI DSS te voldoen. Maar alle grote kaartmaatschappijen eisen het zodra je organisatie kaarthoudergegevens opslaat, verwerkt of verzendt, en je betaalprovider of acquirer legt die eis contractueel bij je neer.

Daarnaast geldt in Nederland wel wetgeving die erop lijkt. Volgens de AVG moet je passende technische en organisatorische maatregelen nemen om persoonsgegevens te beveiligen (artikel 32), en moet je een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens (artikel 33). En onder de Europese betaalrichtlijn PSD2 moeten online kaartbetalingen in de meeste gevallen met sterke klantauthenticatie worden bevestigd, zoals 3D Secure. Dit is algemene informatie en geen juridisch advies.

Voldoe je niet aan PCI DSS, dan kunnen kaartmaatschappijen en acquirers:

• Boetes opleggen (in de VS lopen schattingen uiteen van $5.000 tot $500.000 per maand)
• Je recht om kaartbetalingen te accepteren opschorten
• Je transactiekosten verhogen
• Een Common Point of Purchase (CPP)-melding uitgeven, waarmee je wordt aangewezen als mogelijke bron van fraude
• Je aansprakelijk stellen voor frauduleuze transacties

"Elk retailbedrijf dat transacties doet via de grote kaartmaatschappijen, is door die partijen verplicht om aan de PCI DSS-eisen te voldoen," zegt Mitangi Parekh, senior marketingmanager bij eSentire.

"Retailers hebben toegang tot creditcardgegevens, en die gegevens liggen niet alleen in een soort kluis bij de retailer. Ze worden verzonden en verwerkt, vaak samen met externe leveranciers waar de retailer mee werkt. Door aan PCI DSS te voldoen, bepalen retailers welke controles, beleidsregels en werkwijzen ze nodig hebben om hun specifieke cyberrisico's te beperken," aldus Parekh.

Voldoen aan de PCI-standaarden draait niet om het vermijden van boetes. Het gaat om het beschermen van je klanten en hun gegevens. Doe je er alles aan om de kans op een datalek te verkleinen, dan vergroot je de geloofwaardigheid van je bedrijf en het vertrouwen van je klanten.

PCI-compliancechecklist voor webshops (2027)

Het goede nieuws: bouw je je webshop op een SaaS-platform zoals Shopify, dan is je winkel direct PCI-compliant. Je hoeft dan niet elk jaar zelf strikte stappen te doorlopen om aan PCI DSS te voldoen.

"Het beste advies voor een nieuwe e-commerceondernemer is een platform te kiezen dat al PCI-compliant is, zodat je standaard gedekt bent. PCI-compliance is behoorlijk duur. Grotere, gevestigde retailers kunnen daarin investeren, maar voor kleine bedrijven is dat niet praktisch," zegt Parekh.

Kies je voor een commerciële PCI-oplossing of een opensourceplatform, dan moet je IT-team deze 12 stappen volgen. Dit is een beknopt overzicht; raadpleeg voor de details altijd de officiële PCI DSS-eisen.

1. Installeer en onderhoud netwerkbeveiligingscontroles

Met netwerkbeveiligingscontroles (NSC's), zoals netwerkbeleid en firewalls, bescherm je kaarthoudergegevens. Je laat alleen vertrouwd verkeer toe tot je cardholder data environment (CDE), configureert en onderhoudt je NSC's goed en richt een zwaar beveiligde zone in voor de opslag van kaartgegevens.

2. Pas veilige configuraties toe op alle systeemonderdelen

Hackers proberen vaak binnen te komen via standaardinstellingen. Standaardconfiguraties, zoals standaardwachtwoorden, zijn makkelijk te achterhalen via openbare informatie. Pas daarom veilige configuraties toe op alle systeemonderdelen en vervang standaardwachtwoorden door sterke wachtwoorden.

3. Bescherm opgeslagen accountgegevens

Sla je creditcardgegevens of andere gevoelige data op, gebruik dan beschermingsmethoden zoals encryptie, truncatie, maskering en hashing. Beperk het risico zoveel mogelijk: sla geen onnodige gegevens op, kort kaarthoudergegevens in en verstuur gevoelige informatie nooit via e-mail of chat.

4. Bescherm kaarthoudergegevens met sterke cryptografie

Gebruik sterke cryptografie om gegevens te beschermen, vooral tijdens verzending over netwerken die kwetsbaar zijn voor aanvallen, zoals openbare netwerken.

5. Bescherm alle systemen en netwerken tegen malware

Tot malware horen onder meer trojans, spyware, virussen, wormen, ransomware, rootkits en kwaadaardige links. Hackers gebruiken ze om een systeem binnen te dringen. Bescherm je kaarthouders met anti-malware- en antivirusoplossingen.

6. Ontwikkel en onderhoud veilige systemen en software

Voorkom hacks met beveiligingspatches van leveranciers, door de levenscyclus van je software te bewaken en met veilige programmeertechnieken. Zorg dat alle systeemonderdelen de patches hebben die beschermen tegen inbraak en malware. Sinds PCI DSS v4.0.1 hoort hier ook het beheer van alle scripts op je betaalpagina bij: je moet weten welke scripts er draaien, waarom ze er staan en of ze niet ongemerkt zijn gewijzigd (eis 6.4.3).

7. Beperk de toegang tot kaarthoudergegevens tot wie ze echt nodig heeft

Zorg dat kritieke gegevens alleen toegankelijk zijn voor geautoriseerde systemen en mensen, op basis van need-to-know. Stel regels op om de IT-medewerkers alleen de toegang en rechten te geven die ze voor hun taken nodig hebben.

8. Identificeer gebruikers en verifieer toegang tot systeemonderdelen

Stel de identiteit van gebruikers vast en richt een verificatieproces in. Voer daarnaast multifactorauthenticatie (MFA) in voor alle toegang tot de CDE om misbruik te voorkomen.

9. Beperk fysieke toegang tot kaarthoudergegevens

Voorkom dat kaarthoudergegevens wegvloeien door de fysieke toegang te beperken. Verwijder papieren kopieën en andere documenten of apparaten met gevoelige informatie. Deze eis geldt vooral voor ondernemers die hun betaalinfrastructuur volledig zelf beheren.

10. Registreer en monitor alle toegang tot systeemonderdelen en kaarthoudergegevens

Richt logmechanismen in en houd de activiteiten van gebruikers en systemen bij. Logs helpen je om bij een inbraak te achterhalen wat er is gebeurd, en om dat te analyseren.

11. Test de beveiliging van systemen en netwerken regelmatig

Hackers zitten niet stil, dus jij ook niet. Zet tools en processen in om je netwerken en beveiliging regelmatig te testen. Sinds v4.0.1 hoort daar ook een mechanisme bij dat ongeautoriseerde wijzigingen op je betaalpagina's detecteert en je waarschuwt (eis 11.6.1), precies om skimmingaanvallen zoals Magecart tegen te gaan.

12. Ondersteun informatiebeveiliging met beleid en programma's

Leg je beveiligings- en compliancebeleid vast en bouw een programma om het hele jaar compliant te blijven. Informeer al je medewerkers over het beleid en over de belangrijke rol die zij spelen bij het beschermen van klantgegevens. Maak ook afspraken met externe dienstverleners over hun verantwoordelijkheden, zoals het incident bij bol en CEVA laat zien.

Eisen en niveaus voor PCI-compliance in e-commerce

De complianceniveaus verschillen per type organisatie: webshop of dienstverlener. Voor webshops zijn er vier niveaus, die per kaartmaatschappij licht kunnen verschillen.

Je niveau hangt af van het aantal kaarttransacties dat je per jaar verwerkt via een kaartmerk. Hieronder zie je de niveaus zoals Visa, Discover en Mastercard ze grofweg hanteren.

Afkortingen: QSA = Qualified Security Assessor, ASV = Approved Scanning Vendor, SAQ = Self-Assessment Questionnaire (zelfbeoordelingsvragenlijst), AOC = Attestation of Compliance, ROC = Report on Compliance.

PCI-complianceniveau 1

Niveau 1 is het hoogste niveau. Het geldt voor webshops die jaarlijks meer dan zes miljoen transacties verwerken, en voor alle externe verwerkers (TPP's) met meer dan 300.000 transacties per jaar.

De validatie-eisen voor niveau 1:

• Een jaarlijkse beoordeling op locatie door een Qualified Security Assessor (QSA), die een Report on Compliance (ROC) opstelt.
• Driemaandelijkse kwetsbaarheidsscans van je netwerk door een Approved Scanning Vendor (ASV), die een scanattest oplevert.
• Jaarlijkse indiening van de AOC en ROC, waarmee je aantoont dat je voldoet aan alle 300+ eisen en subeisen van PCI DSS.

PCI-complianceniveau 2

Niveau 2 geldt voor webshops met één tot zes miljoen transacties per jaar en voor externe verwerkers met minder dan 300.000 transacties per jaar.

De validatie-eisen voor niveau 2:

• Een jaarlijkse zelfbeoordeling met de juiste SAQ, volgens de SAQ-instructies en -richtlijnen van de PCI SSC.
• Driemaandelijkse netwerkscans door een ASV.
• Jaarlijkse indiening van een AOC op basis van de SAQ, waarmee je aantoont dat je voldoet aan alle toepasselijke eisen.

PCI-complianceniveau 3

Niveau 3 geldt voor kleinere webshops met 20.000 tot één miljoen transacties per jaar. De validatie-eisen zijn gelijk aan die van niveau 2: een jaarlijkse SAQ, driemaandelijkse ASV-scans en een jaarlijkse AOC.

PCI-complianceniveau 4

Niveau 4 geldt voor webshops met minder dan 20.000 transacties per jaar. Ook hier gelden een jaarlijkse SAQ, driemaandelijkse ASV-scans en een jaarlijkse AOC.

Wat is er veranderd met PCI DSS v4.0.1?

PCI DSS v4.0 introduceerde ruim zestig nieuwe eisen. Een deel gold direct vanaf maart 2024; de rest was tot 31 maart 2025 een aanbeveling en is sindsdien verplicht. Alle eisen van v4.0.1 gelden dus nu volledig. De belangrijkste veranderingen voor webshops:

• Rollen en verantwoordelijkheden vastleggen: een groot deel van de eisen (zoals 2.1.2, 3.1.2 en verder tot en met 11.1.2) draait om "wie doet wat" binnen je IT- en beveiligingsteams. Je wijst expliciet mensen aan die verantwoordelijk zijn voor de verschillende onderdelen van PCI-compliance en incidentrespons.
• Rollen van derden vastleggen: volgens eis 12.9.2 moeten externe dienstverleners, zoals betaalproviders of managed service providers, duidelijk omschrijven welke rol ze spelen in jouw CDE, en op verzoek hun PCI DSS-status delen.
• De CDE en de scope bepalen: je legt vast welke systemen, processen en mensen binnen de scope van PCI DSS vallen en toetst dat regelmatig.
• Beveiliging van betaalpagina's: eis 6.4.3 (beheer van scripts op de betaalpagina) en eis 11.6.1 (detectie van wijzigingen) moeten skimming voorkomen. Voor webshops die de betaalpagina volledig uitbesteden en de SAQ A invullen, heeft de PCI SSC in januari 2025 deze twee eisen uit de SAQ A gehaald. In plaats daarvan moet je bevestigen dat je site niet kwetsbaar is voor aanvallen met scripts die de betaalpagina kunnen beïnvloeden. In augustus 2026 heeft de PCI SSC bovendien verduidelijkt dat organisaties die een ROC opstellen, deze eisen niet meer alleen in overleg met hun QSA als niet van toepassing mogen markeren, maar dat moeten afstemmen met hun acquirer of de kaartmaatschappijen.
• Aangepaste benadering: v4.0 introduceerde een "customized approach", waarmee je bepaalde eisen op een eigen manier mag invullen. Dat is handig voor organisaties die ook aan andere regels moeten voldoen, zoals de AVG. Voor zo'n aangepaste aanpak heb je wel goedkeuring nodig en moet je jaarlijks een gedocumenteerde risicoanalyse kunnen laten zien.

Wie deze stappen goed heeft ingericht, is niet alleen compliant, maar biedt klanten ook een veiligere en betrouwbaardere winkelomgeving.

Soorten platforms voor PCI-compliance in e-commerce

De vraag is niet of je PCI-compliant moet zijn. Dat moet je. De vraag is welk soort platform je gebruikt om dat te worden.

Net zoals er verschillende manieren zijn om een website te hosten (zelf, op een dedicated server of via gedeelde hosting), zijn er verschillende softwareopties die je webshop helpen PCI-compliant te worden. Wat je kiest, hangt af van de omvang van je winkel, je kennis, je budget, je IT-team en je doelen.

De drie belangrijkste soorten platforms:

1. Commerciële software
2. Opensourcesoftware
3. Gehoste software as a service (SaaS)

Gecertificeerde commerciële PCI-software

Gecertificeerde commerciële PCI-software kopen is te vergelijken met dedicated hosting voor een website. In plaats van een hostingbedrijf te betalen om je te helpen met alle ins en outs van PCI-compliance, koop en onderhoud je je eigen hardware en een commerciële softwarelicentie. Je bent dan zelf volledig verantwoordelijk voor de certificering van je webshop, al maakt commerciële PCI-software dat makkelijker.

Deze oplossingen zijn meestal bedoeld voor zeer grote, bekende webshops met:

• PCI-complianceniveau 1
• Ruim meer dan zes miljoen transacties per jaar
• Een sterke IT-afdeling
• Grote budgetten om de webshop en de PCI-eisen te installeren, aan te passen en te onderhouden. De vraag is niet of je PCI-compliant moet zijn. Dat moet je. De vraag is welk soort platform je gebruikt om dat te worden.

Kortom: bouw je een nieuwe webshop op, heb je geen miljoenen transacties of verdiep je je voor het eerst in PCI-compliance, dan is deze optie overkill.

Opensourcesoftware

Opensourcesoftware, zoals WooCommerce, geeft je toegang tot de broncode, zodat je zelf aanpassingen kunt doen om de beveiliging te verbeteren. Je betaalt voor je hardware of hosting, maar niet voor een softwarelicentie.

Opensource is een goede oplossing voor grote webshops met eigen ontwikkel- en complianceteams die hun eigen code schrijven en optimaal gebruikmaken van de flexibiliteit. Je technische en PCI-deskundige medewerkers dragen dan wel de volledige verantwoordelijkheid voor het bouwen en onderhouden van alle benodigde beveiligingsmaatregelen.

Kortom: bouw je een sterk aangepaste webshop met complexe eisen en heb je voldoende budget, middelen en interne kennis om aan alle 300+ eisen van PCI DSS te voldoen, dan kan opensource iets voor je zijn.

Gehoste software as a service (SaaS)

Een gehoste SaaS-oplossing gebruiken is te vergelijken met een site bouwen op gedeelde hosting. De meeste grote e-commerceplatforms, zoals Shopify, bieden dit als onderdeel van hun dienst. Je kunt dus een Shopify-winkel opzetten zonder je zorgen te maken over de beveiliging van je betalingen, omdat PCI-compliance in Shopify is ingebouwd.

"De meeste webshops hoeven niets specifieks te doen om PCI-compliant te worden, simpelweg omdat ze automatisch compliant zijn als de winkel op een platform als Shopify draait," zegt Parekh.

Onthoud wel: welke optie je ook kiest, ook bij een gehoste oplossing, je moet als webshop op niveau 2 tot en met 4 nog steeds een SAQ invullen. Op niveau 1 vul je de vragenlijst én een ROC in. De verantwoordelijkheid is dus gedeeld, maar een PCI-compliant platform zoals Shopify neemt de lastigste, meest arbeidsintensieve en duurste taken van je over.

Kortom: bouw je je webshop op een platform zoals Shopify, dan is dit de optie voor jou. Je hoeft niet te investeren in hardware, licenties of eigen engineering- en complianceteams, en je blijft met weinig moeite PCI-compliant.

Waarom PCI-compliance belangrijk is voor je bedrijf

Cybercriminelen worden steeds slimmer en de schade groeit. In Nederland ontving de Fraudehelpdesk in 2025 101.734 meldingen, 60% meer dan in 2024. Ruim 15.000 mensen leden financiële schade, samen goed voor meer dan €68 miljoen: een stijging van 30%. Ook wereldwijd loopt de schade op: het Internet Crime Complaint Center (IC3) van de FBI registreerde in 2025 meer dan een miljoen meldingen, met een gemelde schade van ruim $20,8 miljard, 26% meer dan het jaar ervoor.

Nu het internet blijft groeien en criminelen steeds beter worden in wat ze doen, is het voor webshops essentieel om hun beveiliging aan te scherpen. De manier om gevoelige gegevens te beveiligen en het vertrouwen van consumenten en betaalnetwerken te behouden, is het volgen van de PCI-standaarden.

"Door je aan de standaarden van de PCI SSC te houden, weet je zeker dat je de beste werkwijzen hebt ingevoerd om je te beschermen tegen cyberdreigingen en de risico's voor je organisatie te verkleinen," zegt Parekh. "Bovendien staan veel kaartmaatschappijen je niet toe om kaarttransacties te verzenden, op te slaan of zelfs maar te verwerken als je niet kunt aantonen dat je webshop PCI-compliant is."

Bovenal vraagt het laten groeien van een webshop om het vertrouwen van je klanten. En dat verdien je niet als hun gegevens bij jou niet veilig zijn.

Hoe Shopify je helpt PCI-compliant te blijven

Uiteindelijk ben jij verantwoordelijk voor de bescherming van de kaartgegevens en andere gevoelige gegevens van je klanten.

Tenzij je een zeer ervaren ontwikkelaar bent met verstand van compliance en van het volledig PCI-compliant beveiligen van webshops, bescherm je klantgegevens het best met een beetje hulp. Met andere woorden: vertrouw op een gehoste SaaS-oplossing (zoals Shopify) om de kaartgegevens van je klanten veilig te houden. Zet je je webshop op met Shopify, dan kun je erop rekenen dat die PCI-compliant is.

Kies een platform dat het zware werk doet

PCI DSS v4.0.1 is sinds maart 2025 volledig van kracht, met strengere eisen voor multifactorauthenticatie, scripts op betaalpagina's en de rol van externe partners. Doe je alles zelf, dan betekent dat een flinke investering in mensen, techniek en audits. Kies je een platform dat al PCI-compliant is, dan blijft je taak beperkt tot de juiste zelfbeoordelingsvragenlijst, goede afspraken met je partners en een helder beleid voor je eigen team. Combineer dat met de eisen uit de AVG en PSD2, en je beschermt niet alleen kaartgegevens, maar ook het vertrouwen van je klanten.

Illustratie: Melanie Peters