Qué es PCI DSS y a quién aplica
El Payment Card Industry Data Security Standard es el estándar de seguridad que exigen las marcas de tarjetas (Visa, Mastercard, American Express, Discover y JCB) a cualquier organización que almacene, procese o transmita datos de titulares de tarjeta. No es una ley, sino una obligación contractual: la impone el banco adquirente que te da el TPV o la pasarela de pago.
Se organiza en 12 requisitos agrupados en seis objetivos: redes seguras, protección de datos de cuenta, gestión de vulnerabilidades, control de acceso, monitorización y política de seguridad.
Calendario: dónde estamos
| Fecha | Hito |
|---|---|
| Marzo de 2022 | Publicación de PCI DSS v4.0 |
| 31 de marzo de 2024 | Retirada de la v3.2.1 |
| Junio de 2024 | Publicación de la v4.0.1 (revisión limitada, aclaraciones) |
| 31 de diciembre de 2024 | Retirada de la v4.0: solo es válida la v4.0.1 |
| 31 de marzo de 2025 | Los requisitos «con fecha futura» pasan a ser obligatorios |
Hoy, por tanto, cualquier evaluación se hace contra la v4.0.1 completa.
Los requisitos que más afectan a una tienda online
| Requisito | Qué pide | Cómo se aborda |
|---|---|---|
| 6.4.3 | Inventario de todos los scripts que se cargan en la página de pago, con autorización e integridad justificadas. | Inventario, Content Security Policy (CSP) y Subresource Integrity (SRI). |
| 11.6.1 | Mecanismo que detecte cambios no autorizados en cabeceras y contenido de la página de pago. | Monitorización del DOM y de cabeceras HTTP, al menos semanalmente o según análisis de riesgos. |
| 8.3.6 | Contraseñas de al menos 12 caracteres (8 si el sistema no lo permite), con letras y números. | Política de contraseñas y gestor corporativo. |
| 8.4.2 | MFA en todos los accesos al entorno de datos de titulares (CDE). | MFA en paneles de administración, VPN y consolas cloud. |
| 5.4.1 | Mecanismos contra el phishing. | Filtrado de correo, DMARC, formación. |
| 12.5.2 | Confirmar el alcance al menos una vez al año. | Diagrama de flujos de datos de tarjeta actualizado. |
SAQ A, A-EP o D: elige bien tu cuestionario
Los comercios pequeños validan su cumplimiento con un cuestionario de autoevaluación (SAQ). La arquitectura de pago decide cuál te toca:
- SAQ A: todo el pago está externalizado (redirección o iframe del proveedor de pagos). Es el más ligero.
- SAQ A-EP: tu web controla la página que envía los datos al proveedor (por ejemplo, con JavaScript propio). Tiene bastantes más requisitos.
- SAQ D: almacenas, procesas o transmites datos de tarjeta en tus sistemas. El más exigente.
En enero de 2025 el PCI SSC revisó el SAQ A: retiró los requisitos 6.4.3 y 11.6.1 del cuestionario y, a cambio, añadió un criterio de elegibilidad según el cual el comercio debe confirmar que su sitio no es susceptible a ataques mediante scripts que afecten a sus sistemas de comercio electrónico.
Nuestro consejo: aunque uses SAQ A, sigue controlando los scripts de tu web. Es la forma más sencilla de demostrar que cumples ese criterio de elegibilidad y te protege frente a ataques de tipo Magecart (skimming web).
Novedades de enfoque en la versión 4
- Enfoque personalizado: además del enfoque definido, permite cumplir un objetivo de seguridad con controles propios, siempre que se documenten y validen.
- Análisis de riesgos específicos (requisito 12.3.1) para justificar frecuencias, por ejemplo la de revisión de logs.
- Revisión automatizada de logs (10.4.1.1) y más exigencias sobre cifrado y gestión de cuentas.
Plan de acción en 5 pasos
- Dibuja cómo viajan los datos de tarjeta y reduce el alcance (página de pago alojada por el proveedor).
- Pide a tu proveedor de pagos su certificado de cumplimiento (AOC) y la matriz de responsabilidades (requisito 12.8).
- Elige el SAQ adecuado con tu banco adquirente.
- Aplica MFA y la nueva política de contraseñas en todo acceso administrativo.
- Programa los escaneos ASV trimestrales y el pentest cuando el SAQ lo exija.
Fuentes y lecturas recomendadas
Artículo divulgativo actualizado a octubre de 2026. La normativa cambia: comprueba siempre la versión vigente en las fuentes oficiales. No constituye asesoramiento jurídico.