PCI DSS: qué es y cómo cumplirlo en tu tienda en línea

PCI DSS (Payment Card Industry Data Security Standard) es un estándar internacional obligatorio en México desde el 31 de marzo de 2024, que establece 12 requisitos de seguridad para cualquier empresa que maneje datos de tarjetas de crédito o débito. No es opcional. Si tienes una tienda en línea y aceptas pagos con tarjeta, aplica para ti.

En 2026, el panorama es más exigente: la versión 4.0.1 está vigente, y los 51 requisitos con "fecha futura" se volvieron obligatorios el 31 de marzo de 2025. Esto significa más controles técnicos, autenticación multifactor en todo acceso a datos sensibles, y monitoreo más estricto de infraestructura. El riesgo de incumplimiento es real: revocación de licencia de comerciante, aumento de comisiones, suspensión de relación bancaria y responsabilidad legal por brechas.

Esta guía te explica qué es PCI DSS, qué nivel aplica a tu negocio, qué requisitos técnicos debes cumplir y cómo validarte según tu volumen de transacciones. Todo lo que necesitas saber para operar legal y seguro en 2026.

¿Qué es PCI DSS y por qué aplica en México?

PCI DSS es un marco de seguridad creado por las redes de pago (Visa, Mastercard, American Express, Discover, JCB) para proteger datos de tarjetahabientes. No es una ley mexicana, pero es obligatorio de facto: tu banco adquirente y tu procesador de pagos te lo exigirán. En México, el estándar está respaldado por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), reformada en marzo de 2025, que establece la responsabilidad de proteger información sensible.

Cualquier empresa con un Entorno de Datos del Tarjetahabiente (CDE) activo debe cumplir:

• Bancos y procesadores de pago
• Pasarelas como Conekta o similares
• Retailers y e-commerce
• Aseguradoras y plataformas de cobro
• Proveedores de servicios de pago

Lo importante: A partir del 31 de marzo de 2025, PCI DSS 4.0 es el único estándar válido. La versión 3.2.1 fue retirada. Las auditorías y autoevaluaciones en 2026 se hacen contra v4.0.1.

¿Cuál es tu nivel de cumplimiento según el volumen de transacciones?

Tu nivel PCI DSS está determinado por tu volumen anual de transacciones procesadas. Esto define qué tipo de validación necesitas, cuánto cuesta y qué tan exhaustiva es.

Niveles y requisitos de auditoría

Nivel 1: Más de 6 millones de transacciones/año

• Requiere auditoría in-situ por QSA (Qualified Security Assessor) acreditado
• Documento entregable: Report on Compliance (ROC)
• Escaneos externos trimestrales de vulnerabilidades por ASV
• Auditoría anual obligatoria
• Válido 12 meses
• Costo aproximado: $15,000 – $50,000 MXN anuales (solo auditoría)

Nivel 2: Entre 1 y 6 millones de transacciones/año

• Auditoría in-situ por QSA acreditado
• Report on Compliance (ROC)
• Escaneos externos trimestrales
• Auditoría anual
• Válido 12 meses
• Costo aproximado: $10,000 – $30,000 MXN anuales

Nivel 3: Entre 20,000 y menos de 1 millón de transacciones/año

• Autoevaluación (SAQ) sin necesidad de auditor externo
• Documento entregable: Attestation of Compliance (AOC)
• Escaneos externos trimestrales por ASV
• Válido 12 meses
• Costo aproximado: $2,000 – $8,000 MXN anuales (principalmente escaneos)

Nivel 4: Menos de 20,000 transacciones/año

• Autoevaluación (SAQ) sin auditor externo
• Attestation of Compliance (AOC)
• Escaneos externos trimestrales por ASV (opcional si usas checkout hosted)
• Válido 12 meses
• Costo aproximado: $500 – $3,000 MXN anuales

Para la mayoría de tiendas en línea en México (menos de 1M transacciones/año), aplica SAQ autoevaluación.

¿Qué tipo de SAQ necesitas rellenar?

El cuestionario SAQ depende de cómo proceses pagos. Existen tres categorías principales en PCI DSS 4.0.1:

SAQ A (la más simple)

Aplica si

• Externalizas completamente el pago a un procesador de terceros
• Tu sitio NO almacena electrónicamente ningún dato de tarjeta
• Redirige al cliente completamente a la pasarela (full redirect)

Ejemplo: Tienda que envía al cliente directamente a Paypal o Mercado Pago, sin tocar datos de tarjeta.

Complejidad: ~24 preguntas Cambios en 4.0: Requisitos nuevos de auditoría de cambios en infraestructura, pero sigue siendo el más simple.

SAQ A-EP (e-commerce con control de presentación)

Aplica si

• Externalizas el procesamiento a terceros, pero tu web controla cómo se carga el formulario
• Usas iframe o JavaScript para embeber formulario de pago en tu página
• NO almacenas datos de tarjeta en tus servidores

Ejemplo: Tienda en Shopify con Stripe integrado mediante iframe.

Complejidad: ~150 preguntas Cambios en 4.0: Requisito nuevo 6.4.3 (inventariar y monitorear scripts de pago en tus páginas), Requisito 11.6.1 (detectar cambios no autorizados). Esto es nuevo y obligatorio desde marzo 2025.

SAQ D (la más compleja)

Aplica si

• Almacenas electrónicamente datos de tarjeta
• Aceptas múltiples canales de pago (web, móvil, punto de venta)
• No encajas en SAQ A o SAQ A-EP
• Tu procesador no te permite externalizar completamente

Complejidad: ~330 preguntas (cubre todos 12 requisitos PCI DSS) Cambios en 4.0: Más requisitos sobre segmentación de red, cifrado de datos en reposo, y autenticación multifactor.

Consejo práctico: Si eres e-commerce y permites que tu procesador de pagos (como T1 Pagos con sus links de pago o checkout configurable) maneje datos sensibles sin almacenarlos en tu infraestructura, probablemente califies para SAQ A o SAQ A-EP. Esto simplifica enormemente tu cumplimiento.

¿Cuáles son los requisitos técnicos obligatorios en PCI DSS 4.0?

PCI DSS 4.0 reorganizó los 12 requisitos en 6 objetivos de seguridad. Los cambios más importantes desde marzo 2025 son:

Requisito 1 - 3: Protección de red y seguridad de datos

• Firewalls obligatorios en toda red con datos de tarjetas
• Encriptación TLS 1.2 como mínimo para transmisión de datos sensibles (HTTP/2 sin encriptación no aplica)
• Encriptación de datos en reposo si almacenas información de tarjetas
• Prohibido almacenar datos sensibles: números PIN completos, pista magnética completa, datos de autenticación

Requisito 4 - 6: Control de acceso y gestión de vulnerabilidades

NUEVO en 4.0 (obligatorio desde marzo 2025): Autenticación Multifactor (MFA) para TODO acceso al Entorno de Datos del Tarjetahabiente, no solo acceso remoto. Antes era solo para administradores remotos. Ahora incluye acceso local, cuentas de servicio, y cambios en configuración.

• Contraseñas mínimo 12 caracteres (antes era 8)
• Cambio de contraseña cada 90 días máximo
• Gestión de acceso basada en necesidad (principio de menor privilegio)
• Escaneos de vulnerabilidades trimestrales obligatorios realizados por ASV (Approved Scanning Vendor)
• Prueba de penetración al menos una vez al año

NUEVO en 4.0: Requisito 6.4.3 (gestión de scripts) — debes inventariar todos los scripts en tus páginas de pago y monitorear cambios no autorizados. Aplica incluso a SAQ A-EP.

Requisito 7 - 12: Monitoreo, políticas y respuesta a incidentes

• Logging y monitoreo de acceso 24/7 a sistemas con datos sensibles
• Revisión de logs al menos diariamente
• Retención de logs mínimo 12 meses (1 mes en línea inmediatamente disponible)
• Política de seguridad de la información documentada
• Capacitación en seguridad para personal con acceso a CDE (obligatoria, anual)
• Plan de respuesta a incidentes documentado y probado

NUEVO en 4.0: Enfoque "customizado" — permite demostrar cumplimiento equivalente si no puedes seguir una medida prescriptiva exactamente, pero debes documentar por qué y qué alternativa implementaste.

¿Cuánto cuesta cumplir PCI DSS?

El costo varía según tu nivel y cómo proceses pagos.

Desglose por rango de gastos

El factor de costo más importante: ¿Almacenas datos de tarjeta o los externalizar? Externalizar (SAQ A-EP) reduce costo de controles técnicos drásticamente.

Dato crítico: Si usas un procesador de pagos que maneje tokenización y encriptación (no almacenas datos sensibles), tu costo anual será $800 – $3,000 MXN para Nivel 4. Si almacenas datos de tarjeta, suma $10,000 – $50,000 en controles adicionales.

¿Cuáles son las sanciones por incumplimiento?

PCI DSS no genera multas directas de autoridades mexicanas. No existe una "multa PCI" emitida por PROFECO o SAT. Sin embargo, las consecuencias son severas:

Sanciones de redes de pago y bancos

• Aumento de comisiones: Tu banco puede aumentar tasa de procesamiento de 2-3% a 5-10%
• Auditorías forzadas adicionales: Auditorías mensuales hasta demostrar cumplimiento nuevamente
• Revocación de licencia de comerciante: Tu banco puede cancelarte la relación, dejándote sin forma de procesar pagos
• Prohibición de mantener datos de tarjeta: Obligación de cambiar a tokenización inmediata

Sanciones de autoridades mexicanas (PROFECO, SABG)

Por incumplimiento de protección de datos personales (LFPDPPP reformada en marzo 2025):

• Multas de $380.44 hasta $12,782,949.06 pesos máximo por violaciones graves (Art. 133, LFPC)
• Medidas cautelares: suspensión de operaciones
• Responsabilidad civil por daño a consumidores si hay brecha de datos

Daño operativo inmediato

• Pérdida de confianza del cliente (daño reputacional)
• Costo de respuesta a brechas: notificaciones, monitoreo de crédito, abogados
• Litigios por violación de privacidad
• Pérdida de ingresos por suspensión de procesamiento de pagos

Lo más probable: Tu banco adquirente detecte incumplimiento en una auditoría PCI y te dé 30-90 días para regularizarte. Si no cumples, te desconectan de pagos.

Pasos prácticos para cumplir PCI DSS en 2026

Paso 1: Determina tu nivel y tipo de SAQ

1. Calcula transacciones procesadas en último año fiscal
2. Identifica tu nivel (1, 2, 3 o 4)
3. Define si usas SAQ A, A-EP o D según cómo proceses pagos
4. Descarga el SAQ correspondiente de https://www.pcisecuritystandards.org/

Paso 2: Realiza autoevaluación (SAQ)

• Si Nivel 3-4: Completa el SAQ tú mismo (puede tomar 40-80 horas)
• Responde cada pregunta honestamente; no inventes cumplimiento
• Documenta evidencia para cada "sí": configuraciones, logs, políticas, correos de capacitación
• Identifica gaps (incumplimientos). Estos requieren plan de remediación

Paso 3: Implementa controles técnicos faltantes

Prioritarios para e-commerce 2026:

• Firewall en red: Configura reglas que bloqueen acceso no autorizado a data sensible
• Encriptación TLS 1.2+: Verifica que página de checkout use HTTPS con TLS 1.2 mínimo (SSL 3.0 o TLS 1.0 son ilegales)
• MFA (nuevo): Implementa autenticación multifactor para acceso administrativo al panel de control
• Monitoreo de logs: Configura recolección centralizada de logs; revísalos diariamente
• Gestión de scripts (nuevo): Si usas SAQ A-EP, documenta qué scripts se cargan en tu página de pago; configura alertas si cambian

Paso 4: Implementa control de acceso

• Audita cuentas de usuario: elimina las que no se usan
• Asigna permisos solo por necesidad (quién realmente necesita acceso a datos de tarjeta)
• Cambia contraseñas a mínimo 12 caracteres
• Implementa MFA para admin, desarrolladores y finanzas
• Documenta quién tiene acceso a qué datos (matriz de acceso)

Paso 5: Contrata escaneos de vulnerabilidades externas (ASV)

• Para Nivel 3-4: Mínimo 4 escaneos al año (uno cada trimestre)
• Contacta a un Approved Scanning Vendor (ASV) — hay muchos en México
• Costo: $200-$500 MXN por escaneo típicamente
• Guardar reportes por 12 meses
• Remediar vulnerabilidades encontradas antes del próximo escaneo

Opción simplificada: Si tu procesador de pagos tiene certificación PCI y tú usas su checkout hosted (sin almacenar datos), muchos escaneos se reducen. Verifica con tu procesador.

Paso 6: Desarrolla política de seguridad

• Documenta estándar de seguridad de información (puede ser 5-10 páginas)
• Define clasificación de datos (qué es confidencial, sensible, público)
• Establece política de cambio de contraseña (cada 90 días mínimo)
• Crea guía de manejo de incidentes (quién reporta, a quién, en cuánto tiempo)
• Establece política de capacitación anual obligatoria en seguridad

Paso 7: Capacita a tu equipo

• Capacitación anual obligatoria para personal con acceso a datos sensibles
• Temas: cómo proteger datos, cómo reportar sospecha de brecha, phishing, contraseñas seguras
• Documentar asistencia (registro de capacitación)
• Costo: gratuito (puedes hacer internamente o contratar $500-$2,000)

Paso 8: Firma y envía Attestation of Compliance (AOC)

• Completa el AOC después de terminar SAQ
• Firma por un ejecutivo autorizado de tu empresa (CEO, CFO, compliance officer)
• Guarda copia por 12 meses
• Entrega a tu banco adquirente o procesador (algunos la solicitan; otros no)
• Válido 12 meses desde firma

Paso 9: Plan de remediación anual

• En mes de diciembre de cada año, revisa qué vencimiento tienen tus controles
• Recertifica SAQ en mes 12
• Ejecuta nuevos escaneos ASV antes de que expire el último
• Documenta cambios en infraestructura (nuevos servidores, cambios de procesador, etc.)

Preguntas frecuentes

¿SAQ A-EP vs SAQ A: cuál debo usar?

Si tu tienda incrusta formulario de pago con iframe o JavaScript en tus páginas (así el usuario no ve redirección a otro sitio), usas SAQ A-EP. Si redirige completamente al cliente a página de terceros (Mercado Pago, PayPal), usas SAQ A. SAQ A es más simple pero menos conversión. SAQ A-EP mejora UX pero requiere monitorear scripts nuevos desde marzo 2025.

¿Cuál es la diferencia entre ROC y AOC?

Report on Compliance (ROC): Documento extenso (50-100 páginas) generado por auditor QSA. Obligatorio para Nivel 1-2. Detalla cada requisito, evidencia y hallazgos. Attestation of Compliance (AOC): Documento corto (2-3 páginas) que resume cumplimiento. Generado por ti en SAQ (Nivel 3-4) o por QSA (Nivel 1-2). Es lo que típicamente pide tu banco.

¿Qué pasa si no cumples PCI DSS?

No hay multa directa del PCI SSC. Pero tu banco adquirente detectará incumplimiento en auditoría y te dará plazo para regularizarte (típicamente 30-90 días). Si no cumples, suspende tu relación, dejándote sin procesamiento de pagos. Si hay brecha de datos y resulta que no cumplía PCI DSS, PROFECO puede multar hasta $12.7M pesos por violación a LFPDPPP.

¿Puedo hacer la autoevaluación yo mismo o necesito auditor?

Nivel 3-4: SAQ autoevaluación. Puedes hacerlo tú, pero requiere honestidad. Si dices "sí" a un requisito que no cumples, estás falsificando documento. Nivel 1-2: Auditor QSA acreditado obligatoriamente. No hay alternativa.

¿Qué es MFA obligatoria desde marzo 2025?

Autenticación Multifactor: cuando accedes a sistema con datos de tarjeta, necesitas algo más que contraseña. Puede ser código SMS, app authenticator (Google Authenticator, Microsoft Authenticator), biometría o tarjeta de seguridad física. Aplica a: acceso al panel de control, cambios de configuración, acceso a datos sensibles. Antes era solo acceso remoto; ahora es todo acceso.

¿Mi procesador de pagos cumple PCI DSS, eso me exime?

No. Tu procesador está certificado PCI, pero tú tienes responsabilidad compartida. Si usas su checkout hosted y no almacenas datos de tarjeta, tu carga de cumplimiento es menor (SAQ A-EP). Pero aún necesitas SAQ, escaneos ASV trimestrales y controles de acceso. Verifica con tu procesador qué cubre él y qué cubres tú.

¿Necesito SAQ cada año?

Sí. Attestation of Compliance válido 12 meses. Debes recertificar anualmente antes de que venza. Si hay cambio significativo en infraestructura (nuevo servidor, nuevo procesador), debes hacer SAQ nueva antes de implementar cambio.

¿Qué ocurrirá con PCI DSS en 2027?

PCI DSS 4.0.1 seguirá vigente al menos hasta 2027. No hay versión 5.0 anunciada. Los 51 requisitos con fecha futura que se volvieron obligatorios el 31 de marzo de 2025 estarán vigentes indefinidamente. Es probable que en 2027-2028 haya actualizaciones menores, pero la estructura core de 12 requisitos seguirá igual.

---

Resumen: PCI DSS en 2026 no es complejo si externalizar el procesamiento de pagos a plataformas certificadas. Para la mayoría de e-commerce (menos de 1M transacciones/año), el costo anual es $800–$3,500 pesos y la autoevaluación toma 40-80 horas. El cambio más importante desde marzo 2025 es MFA obligatoria y gestión de scripts. Implementalo hoy; no esperes a que tu banco lo requiera por incumplimiento. Asegúrate también de implementar métodos de pago seguros y diversificados para que tus clientes tengan opciones confiables.