PCI DSS: a quién aplica, qué exige y cómo cumplirlo sin complicarte
A quién aplica PCI DSS, qué exige y cómo reducir el alcance, con infografías y las referencias oficiales del PCI SSC, explicado sin tecnicismos.
PCI DSS aplica a cualquier organización que almacene, procese o transmita datos de tarjetahabiente o datos sensibles de autenticación, y a quien pueda afectar la seguridad de ese entorno, como proveedores de servicios. La versión vigente es la 4.0.1; los requisitos de fecha futura son obligatorios desde el 31 de marzo de 2025. Normalmente tu banco adquirente te asigna el nivel.
- Aplica a: comercios, procesadores, proveedores de servicios y quien afecte el entorno de tarjetas.
- Estructura: 12 requisitos en 6 objetivos.
- Validación: SAQ o ROC con un QSA, más escaneos externos con un ASV.
- Reduce el alcance con páginas de pago alojadas, tokenización y segmentación.
¿A quién aplica PCI DSS?
PCI DSS (Payment Card Industry Data Security Standard) es el estándar de seguridad para proteger los datos de las tarjetas de pago. Aplica a cualquier organización que almacene, procese o transmita datos de tarjetahabiente o datos sensibles de autenticación, y también a quien pueda afectar la seguridad de ese entorno, aunque no toque los datos.
Dicho sencillo: si cobras con tarjeta, procesas pagos para otros o das servicios a quien lo hace, probablemente te aplica. Cuánto te cuesta cumplirlo depende de cómo cobras y de quién procesa los pagos. La versión vigente es la 4.0.1 (PCI SSC).
¿Me aplica? Una guía de decisión en 4 preguntas
Responde en orden:
- 1¿Aceptas tarjetas?Si cobras con tarjeta en tienda, en línea o por teléfono, sigue.
- 2¿Procesas, guardas o transmites datos de tarjeta?Aunque sea de paso por tus sistemas o tu red.
- 3¿Das servicios a alguien que lo hace?Hosting, pasarelas, soporte o TI gestionada con acceso: eres proveedor de servicios.
- 4¿Todo está tercerizado en un proveedor validado?Entonces aplica, pero con un alcance muy reducido.
Guía editorial de Cyberkust. La respuesta final la confirma tu banco adquirente o tu QSA.
Los 12 requisitos en 6 objetivos
Esta es la estructura del estándar (contenido estable; confirma el detalle en la biblioteca oficial del PCI SSC):
Req. 1: controles de seguridad de red. Req. 2: configuraciones seguras.
Req. 3: proteger los datos almacenados. Req. 4: cifrar en redes abiertas y públicas.
Req. 5: proteger contra malware. Req. 6: sistemas y software seguros.
Req. 7: acceso por necesidad de negocio. Req. 8: identificar y autenticar. Req. 9: acceso físico.
Req. 10: registro y monitoreo. Req. 11: pruebas de seguridad.
Req. 12: políticas y programas, incluidos riesgos y proveedores.
Fuente: estructura del estándar PCI DSS v4.x. El PDF oficial no se pudo leer en nuestra revisión; verifica en la biblioteca de documentos del PCI SSC.
Niveles de comercio: quién te asigna el tuyo
El PCI SSC define el estándar, pero no asigna niveles ni lo hace cumplir: cada marca tiene su programa y tu banco adquirente te asigna el nivel. Como referencia, los criterios habituales de Visa (referencias secundarias, sin confirmar en fuente oficial) son:
| Nivel | Transacciones anuales de Visa (referencia) | Qué suele pedirse |
|---|---|---|
| 1 | Más de 6 millones | Informe de cumplimiento (ROC) con evaluación anual y escaneos trimestrales |
| 2 | De 1 a 6 millones | Cuestionario de autoevaluación (SAQ) y escaneos trimestrales |
| 3 | De 20,000 a 1 millón (e-commerce) | SAQ y escaneos trimestrales |
| 4 | Menos de 20,000 en e-commerce o hasta 1 millón en otros canales | SAQ y escaneos; el adquirente puede exigir más |
Un mismo comercio puede recibir niveles distintos por marca. Confirma siempre el tuyo con tu adquirente.
Cómo se valida el cumplimiento: SAQ, ROC, QSA y ASV
Cuatro siglas que conviene distinguir:
| Figura | Qué es | Quién puede hacerlo |
|---|---|---|
| SAQ | Cuestionario de autoevaluación; hay varios tipos según cómo cobras (A, A-EP, B, C, D, entre otros) | Tu organización, según lo que pida tu adquirente |
| ROC | Informe de cumplimiento con evaluación detallada | Un QSA aprobado por el PCI SSC, o un evaluador interno calificado si la marca lo permite |
| ASV | Escaneo externo trimestral de vulnerabilidades | Solo un proveedor aprobado (ASV) |
| Pruebas y escaneos internos | Escaneos internos trimestrales y pruebas de penetración periódicas (requisitos 11.3 y 11.4) | Tu organización o un tercero calificado |
El caso más sencillo: todo tercerizado y SAQ A
Si toda la función de cobro está tercerizada en proveedores validados, normalmente se llega al cuestionario más corto, el SAQ A. La versión del SAQ A publicada en enero de 2025, vigente desde el 31 de marzo de 2025, quitó algunos requisitos del cuestionario y añadió una condición: confirmar que tu sitio no es susceptible a ataques de scripts (PCI SSC).
Esto es lo que más reduce el alcance: no guardar datos de tarjeta, usar páginas de pago alojadas por un proveedor validado, tokenización y cifrado punto a punto, y segmentar la red. Qué cuestionario te corresponde lo confirma tu adquirente.
Cómo reducir el alcance (y el costo)
- No guardes datos de tarjeta si no los necesitas (ni datos sensibles de autenticación).
- Usa páginas de pago alojadas por un proveedor validado, en lugar de capturar la tarjeta en tu sitio.
- Tokeniza para que tus sistemas guarden un código y no la tarjeta.
- Segmenta la red para que el entorno de datos de tarjeta quede separado del resto.
- Inventaría proveedores y pide su evidencia de cumplimiento.
Lo que una consultora sí puede y no puede hacer
Ser claros evita malentendidos con tu adquirente:
| Solo un QSA o un ASV | Una consultora como Cyberkust |
|---|---|
| Emitir el ROC válido para marcas y adquirentes (QSA) | Definir el alcance y reducirlo |
| Ejecutar los escaneos externos trimestrales aprobados (ASV) | Análisis de brechas contra el estándar |
| Pruebas de penetración, análisis de vulnerabilidades y segmentación | |
| Políticas, capacitación, respuesta a incidentes y acompañamiento en el SAQ |
Cyberkust no es QSA ni ASV: te preparamos y validamos tus defensas. Conoce nuestros servicios de pentesting, análisis de vulnerabilidades y cumplimiento.
PCI DSS vs. ISO 27001: no son lo mismo
PCI DSS aplica a quien maneja datos de tarjetas o puede afectar su seguridad, y se valida cada año; ISO 27001 es voluntaria, cubre toda la información y tiene un ciclo de tres años. Una certificación ISO 27001 no sustituye el cumplimiento de PCI DSS, aunque ayuda con muchos controles. Revisa nuestra guía de ISO 27001 en español claro.
Descubre qué tan preparada está tu empresa antes de que pase algo.
En una primera evaluación identificamos riesgos visibles, puntos críticos y los primeros pasos para proteger información, operación y clientes. Sin costo inicial.
Preguntas frecuentes
¿A quién aplica PCI DSS?
A todas las entidades que almacenan, procesan o transmiten datos de tarjetahabiente o datos sensibles de autenticación, y también a quienes pueden afectar la seguridad de esos datos aunque no los toquen, como proveedores de servicios, hosting, pasarelas de pago y TI gestionada con acceso al entorno.
¿Qué versión de PCI DSS está vigente?
La versión 4.0.1, publicada el 11 de junio de 2024. La 4.0 se retiró el 31 de diciembre de 2024. La 4.0.1 es una revisión limitada que aclara y corrige, sin agregar ni eliminar requisitos.
¿Desde cuándo son obligatorios los requisitos nuevos de la versión 4.x?
De los 64 requisitos nuevos de la 4.0, 51 eran de "fecha futura" (mejores prácticas hasta entonces) y son obligatorios desde el 31 de marzo de 2025.
¿Quién me exige cumplir PCI DSS en México?
El PCI SSC define el estándar pero no lo hace cumplir. Lo exigen las marcas de tarjeta a través de sus programas y, en la práctica, tu banco adquirente o agregador de pagos. Ellos asignan tu nivel y te piden la evidencia. Las consecuencias concretas y sanciones dependen de tu contrato y no se pueden generalizar.
Si uso una pasarela de pago, ¿aplica PCI DSS?
Sí, pero con un alcance menor. Si todo el procesamiento de pago está tercerizado en un proveedor validado, normalmente se valida con el cuestionario más corto (SAQ A, con la condición nueva de que el sitio no sea susceptible a ataques de scripts). Qué cuestionario te corresponde depende de tu integración y debe confirmarlo tu adquirente.
¿Qué es un SAQ, un ROC, un QSA y un ASV?
SAQ: cuestionario de autoevaluación. ROC: informe de cumplimiento que emite un QSA (evaluador de seguridad calificado) o un evaluador interno calificado. QSA: evaluador aprobado por el PCI SSC. ASV: proveedor aprobado que ejecuta los escaneos externos trimestrales. Un ROC válido lo emite un QSA (o un evaluador interno calificado, si la marca lo permite); los escaneos externos aprobados, solo un ASV.
¿Cada cuánto se hacen los escaneos y las pruebas de penetración?
Los escaneos de vulnerabilidades, internos y externos, al menos cada 3 meses (requisitos 11.3.1 y 11.3.2). Las pruebas de penetración, al menos una vez al año y después de cambios significativos (requisitos 11.4.2 y 11.4.3, para pruebas internas y externas); confirma el detalle con tu QSA.
¿Una consultora puede certificarme en PCI DSS?
No. El ROC lo emite un QSA aprobado (o un evaluador interno calificado, si la marca lo permite), y los escaneos externos aprobados debe hacerlos un ASV. Una consultora puede ayudarte con el alcance, el análisis de brechas, las pruebas de penetración, la segmentación y la preparación, pero no certifica. Cyberkust no es QSA ni ASV.
Fuentes y referencias
Consultadas el 8 y 9 de octubre de 2026. Cuando una cifra proviene de una nota que cita un informe original, lo indicamos. Las cifras pueden variar según la fuente y el método de conteo. Las secciones marcadas como criterio editorial reflejan la experiencia de Cyberkust y no una fuente externa.
- PCI SSC: PCI DSS v4.0.1 publicada (11 de junio de 2024)
- PCI SSC: requisitos con fecha futura obligatorios desde el 31 de marzo de 2025
- PCI SSC: SAQ para PCI DSS v4.0.1 (boletín)
- PCI SSC: actualizaciones para comercios que validan con SAQ A
- PCI SSC: biblioteca de documentos oficiales
- PCI SSC: preguntas frecuentes