PCI-DSS para tiendas online explicado sin jerga
Si vendes online y procesas pagos con tarjeta, esta norma te afecta lo sepas o no. Aquí va la versión que realmente necesitas entender.
Qué es el PCI-DSS
PCI-DSS (Payment Card Industry Data Security Standard) es un estándar de seguridad creado por las principales marcas de tarjetas (Visa, Mastercard, entre otras) que establece requisitos técnicos y organizativos para cualquier negocio que almacene, procese o transmita datos de tarjetas de pago. No es una ley española, pero su cumplimiento suele ser exigido contractualmente por los proveedores de pago, bancos adquirentes y pasarelas.
Los niveles de cumplimiento según tu volumen
El nivel de exigencia de PCI-DSS varía según cuántas transacciones con tarjeta procesa tu negocio al año. La inmensa mayoría de pymes y tiendas online pequeñas o medianas se sitúan en los niveles con requisitos más ligeros (cuestionarios de autoevaluación), mientras que solo los grandes volúmenes de transacción requieren auditorías externas certificadas más exhaustivas.
La buena noticia para la mayoría de pymes: si usas una pasarela de pago externa certificada (Stripe, Redsys, PayPal, etc.) y nunca llegas a ver ni almacenar el número completo de la tarjeta en tu propio servidor, tu nivel de responsabilidad y complejidad de cumplimiento se reduce drásticamente.
Qué exige en la práctica (versión resumida)
- No almacenar datos sensibles de tarjeta (CVV nunca, número completo solo si es estrictamente necesario y cifrado).
- Mantener sistemas y software actualizados frente a vulnerabilidades conocidas.
- Cifrado de datos en tránsito (SSL/TLS) en todo el proceso de pago.
- Control de accesos: solo quien lo necesita puede acceder a sistemas relacionados con pagos.
- Monitorización y registro (logs) de accesos a los sistemas de pago.
- Pruebas de seguridad periódicas — ver pentesting vs auditoría de vulnerabilidades.
Qué pasa si no cumples
El incumplimiento no suele generar sanciones directas de la Administración española (a diferencia del RGPD), pero sí puede implicar penalizaciones económicas de tu banco adquirente o proveedor de pagos, e incluso la suspensión de tu capacidad de procesar pagos con tarjeta si hay una brecha de datos vinculada a un incumplimiento constatado. A eso hay que sumar el propio riesgo de seguridad y, si hay filtración de datos personales, las obligaciones RGPD adicionales.
¿Sabes en qué nivel de PCI-DSS está tu tienda?
Revisamos tu configuración de pagos y te decimos exactamente qué falta.
