Der PCI Security Standards Council hat die Version 2.0 des Secure Software Standards und des dazugehörigen Programmleitfadens veröffentlicht und damit die wichtigste Überarbeitung seit der Einführung des Rahmenwerks im Jahr 2019 vorgenommen. Mit dieser Aktualisierung wird die Bewertung und Validierung von Zahlungssoftware grundlegend neu gestaltet. Es werden neue Begriffe, ein erweiterter Anwendungsbereich und gestraffte Prozesse eingeführt, die sich auf Anbieter, Prüfer und Kunden im gesamten Ökosystem des Zahlungsverkehrs auswirken.
Die vielleicht grundlegendste Änderung in Version 2.0 ist die vollständige Streichung des Begriffs "Zahlungssoftware" aus dem Standard. Die Zulassungskriterien konzentrieren sich nun vollständig auf das Konzept der Sensitive Assets - definiertals jedes Element des Softwareprodukts, dessen unbefugter Zugriff, Verwendung, Änderung oder Offenlegung die zahlungsbezogenen Funktionen oder Daten der Software gefährden kann.
Diese konzeptionelle Neuausrichtung wird von einem neuen obligatorischen Begleitdokument begleitet, dem Sensitive Asset Identification (SAID), das detaillierte Zusammenhänge und Beispiele für die Identifizierung sensibler Daten, Funktionen, Ressourcen und Betriebsarten liefert. Für EMVCo 3DS-bezogene Daten verweist der Standard nun auf das PCI 3DS Data Matrix Dokument.
Die praktische Auswirkung ist klar: Wenn Ihre Software sensible Daten im Sinne des Standards verarbeitet, fällt sie in den Anwendungsbereich - unabhängig davon, ob sie in die traditionellen Kategorien für Zahlungssoftware passt.
Die Version 2.0 führt bedeutende terminologische Aktualisierungen ein, die von Prüfern und Anbietern verinnerlicht werden müssen:
Darüber hinaus wurde das Glossar von einem externen SSF-Dokument in Anhang A des Standards selbst verlagert, wobei definierte Begriffe nun in allen Sicherheitsanforderungen zur leichteren Erkennung markiert sind. Ein neuer Begriff, "Starke Authentifizierung", wurde eingeführt, und der Standard stützt sich jetzt auf die Grundlage von "Starke Kryptographie" anstatt auf spezifische Parameter für die effektive Schlüsselstärke.
Die Norm v2.0 wurde vollständig um elf Sicherheitsziele im Kernbereich umstrukturiert, die für alle nach dem Rahmenwerk bewertete Software gelten:
Die Anforderungen wurden überarbeitet und konzentrieren sich nun ausschließlich auf PAN und SAD in Bezug auf PCI DSS, wobei zusätzlicher Kontext im SAID-Dokument bereitgestellt wird.
Dieses Modul wurde von "Anforderungen an die Terminalsoftware" umbenannt und erheblich gestrafft. Viele Anforderungen (B1.1, B1.2, B1.3, B3.x, B5.x) sind in den Kernanforderungen aufgegangen, und die SRED-Anforderungen wurden überarbeitet.
Umbenennung von "Web-Software-Anforderungen", um den Zweck besser zu erfassen. Die Klärung des Geltungsbereichs ist von Bedeutung: Dieses Modul befasst sich mit Software, die über öffentliche Netze zugänglich ist, in denen im Grunde jeder, der über einen Netzzugang verfügt, mit der Software interagieren kann. Wichtig ist, dass Software, die nicht öffentlich zugänglich ist, dennoch nach dem Ermessen des Anbieters nach diesem Modul bewertet werden kann, da die Anforderungen dazu beitragen, das Risiko für jede Implementierung zu verringern.
Dieses völlig neue Modul ermöglicht die Bewertung von SDKs, einschließlich EMVCo 3DS SDKs. Der Standard besagt ausdrücklich, dass v2.0 den separaten PCI 3DS SDK-Standard ersetzen wird und den Anbietern durch den objektiveren Charakter des Secure Software Standards mehr Flexibilität bietet.
Die früheren Änderungskategorien "Low Impact" und "High Impact" wurden durch eine Tier 1 und Tier 2 Delta Change Struktur ersetzt:
Die Versionierung von Platzhaltern wurde formell und mit klaren Regeln wieder eingeführt:
Diese Formalisierung ermöglicht es Anbietern, kleinere Versionen zu verwalten, ohne Änderungen an PCI SSC zu übermitteln, vorausgesetzt, die Verwendung von Platzhaltern wird während des Full Assessment validiert.
In der Version 2.0 wird explizit gemacht, was vorher implizit war:Die Bereitstellung von Quellcode ist obligatorisch. Im Programmleitfaden heißt es unmissverständlich:
"Vom Softwarehersteller wird erwartet, dass er den Quellcode für sein zu beurteilendes Softwareprodukt zur Verfügung stellt, sofern der Beurteiler, der die Beurteilung durchführt, dies für notwendig erachtet. Es ist nicht möglich, ein Softwareprodukt nach diesem Standard zu bewerten, ohne den entsprechenden Quellcode zur Verfügung zu stellen."
Die Testanforderungen wurden anhand von drei Methoden komplett neu geschrieben:
Der 3-Jahres-Lebenszyklus der Validierung bleibt intakt:
Wichtige Klarstellungen in v2.0:
Version 2.0 führt einen eigenenAbschnitt Abschnitt 8 für die Meldung von Sicherheitsmängeln ein, der die Anforderungen an die Zeitplanung für die Meldung formalisiert:
PCI Secure Software Standard v2.0 stellt eine Weiterentwicklung des Rahmenwerks dar und geht von präskriptiven Zahlungssoftwarekategorien zu einem prinzipienbasierten Ansatz über, bei dem der Schutz sensibler Vermögenswerte im Mittelpunkt steht. Die Einbeziehung von SDK-Bewertungsfunktionen, die formalisierte Wildcard-Versionierung und das abgestufte Delta-Änderungssystem weisen auf ein flexibleres, nachhaltiges Validierungsprogramm hin.
Für Unternehmen, die derzeit Validierungen nach v1.x durchführen oder neue Bewertungen planen, ist es jetzt an der Zeit, sich mit qualifizierten SSF-Bewertungsunternehmen in Verbindung zu setzen, um den Übergangspfad zu verstehen und die verbesserte Flexibilität zu nutzen, die diese wichtige Revision bietet.
Der PCI Secure Software Standard v2.0 und der Program Guide v2.0 sind ab Januar 2026 gültig. Organisationen sollten die offizielle PCI SSC-Dokumentation und qualifizierte Prüfer für spezifische Compliance-Anleitungen konsultieren.