El PCI Security Standards Council ha publicado la versión 2.0 del Estándar de Software Seguro y la Guía del Programa que lo acompaña, lo que supone la revisión más importante desde la creación del marco en 2019. Esta actualización remodela fundamentalmente la forma en que se evalúa y valida el software de pago, introduciendo nueva terminología, un alcance ampliado y procesos simplificados que impactarán a proveedores, evaluadores y clientes en todo el ecosistema de pagos.
Quizá el cambio más fundamental de la versión 2.0 sea la eliminación completa del término "software de pago" de la norma. Los criterios de elegibilidad se centran ahora por completo en el concepto de Sensitive Assets, definidocomo cualquier elemento del producto de software cuyo acceso, uso, modificación o divulgación no autorizados puedan poner en peligro la funcionalidad o los datos relacionados con los pagos del software.
Este replanteamiento conceptual va acompañado de un nuevo documento complementario obligatorio, Sensitive Asset Identification (SAID), que proporciona un contexto detallado y ejemplos para identificar datos, funcionalidades, recursos y modos de operación sensibles. Para los datos relacionados con EMVCo 3DS, la norma hace ahora referencia al documento PCI 3DS Data Matrix.
La implicación práctica es clara: si su software maneja activos sensibles según la definición de la norma, entra dentro de su ámbito de aplicación, independientemente de si encaja o no en las categorías tradicionales de software de pago.
La versión 2.0 introduce importantes actualizaciones terminológicas que los evaluadores y proveedores deben interiorizar:
Además, el glosario se ha trasladado de un documento SSF externo a Apéndice A de la propia norma, con términos definidos ahora marcados a lo largo de los requisitos de seguridad para facilitar su reconocimiento. Se ha introducido un nuevo término, "Autenticación robusta", , y la norma se basa ahora en la línea de base de "Criptografía robusta" en lugar de parámetros específicos de fuerza de clave efectiva.
La norma v2.0 se ha reestructurado por completo en torno a once objetivos de seguridad en la sección principal, que se aplica a todo el software evaluado con arreglo al marco:
Los requisitos se han revisado para centrarse únicamente en PAN y SAD en relación con PCI DSS, con contexto adicional proporcionado en el documento SAID.
Renombrado de "Requisitos del software del terminal", este módulo se ha simplificado considerablemente. Muchos requisitos (B1.1, B1.2, B1.3, B3.x, B5.x) se han integrado en los requisitos básicos, y se han revisado los requisitos SRED.
Se ha cambiado el nombre de "Requisitos del software web" para reflejar mejor su objetivo. La aclaración del ámbito de aplicación es significativa: este módulo aborda el software accesible a través de redes públicas en las que básicamente cualquier persona con acceso a la red puede interactuar con el software. Es importante destacar que el software que es no accesible al público todavía puede ser evaluado para este módulo a discreción del proveedor, ya que los requisitos ayudan a reducir el riesgo de cualquier implementación.
Este módulo totalmente nuevo permite evaluar los SDK, incluido EMVCo 3DS SDKs. La norma establece explícitamente que la versión 2.0 sustituirá con el tiempo a la norma independiente PCI 3DS SDK, ofreciendo a los vendedores una mayor flexibilidad gracias a la naturaleza más objetiva de la norma de software seguro.
Las anteriores categorías de cambios de "bajo impacto" y "alto impacto" se han sustituido por una estructura decambios Delta denivel 1 y 2 :
Se ha reintroducido formalmente el uso de comodines con reglas claras:
Esta formalización permite a los proveedores gestionar versiones menores sin presentar cambios al PCI SSC, siempre que el uso de comodines se valide durante la Evaluación Completa.
La versión 2.0 hace explícito lo que antes estaba implícito:la disposición del código fuente de es obligatoria. La Guía del programa lo establece de forma inequívoca:
"Se espera que el proveedor de software proporcione el código fuente de su producto de software evaluado, si el evaluador que realiza la evaluación lo considera necesario. No es posible evaluar un producto de software conforme a esta norma sin proporcionar el código fuente pertinente".
Los requisitos de las pruebas se han reescrito completamente en torno a tres métodos:
El ciclo de vida de validación de 3 años permanece intacto:
Principales aclaraciones de la versión 2.0:
La versión 2.0 introduce una sección dedicada Sección 8 para la notificación de problemas de seguridad, formalizando:
PCI Secure Software Standard v2.0 representa una maduración del marco, pasando de categorías de software de pago prescriptivas a un enfoque basado en principios centrado en la protección de activos sensibles. La inclusión de funciones de evaluación de SDK, la formalización de versiones comodín y el sistema de cambios delta por niveles apuntan a un programa de validación más flexible y sostenible.
Para las organizaciones que actualmente cuentan con validaciones v1.x o están planificando nuevas evaluaciones, ahora es el momento de ponerse en contacto con empresas evaluadoras de SSF cualificadas para comprender la ruta de transición y aprovechar la mayor flexibilidad que ofrece esta importante revisión.
La norma PCI Secure Software Standard v2.0 y la Guía del Programa v2.0 entran en vigor en enero de 2026. Las organizaciones deben consultar la documentación oficial del PCI SSC y a los evaluadores cualificados para obtener orientación específica sobre el cumplimiento.