Fintechs, pasarelas de pago, comercios electrónicos y proveedores de software financiero se encuentran tarde o temprano con PCI DSS. Y muchos ya tienen, o les piden, ISO 27001. Esta guía explica qué es cada uno, en qué se diferencian, dónde se superponen y cómo encararlos juntos sin duplicar el trabajo.

Resumen rápido

PCI DSS: estándar del PCI Security Standards Council, obligatorio por contrato para quien maneja datos de tarjetas. Versión vigente: 4.0.1.
ISO 27001: norma internacional voluntaria para gestionar la seguridad de toda la información.
Alcance: PCI DSS cubre el entorno de datos de tarjetas; ISO 27001, el alcance que defina la organización.
Enfoque: PCI DSS es prescriptivo (dice qué hacer y con qué frecuencia); ISO 27001 se basa en riesgos.
No se reemplazan: un certificado ISO 27001 no acredita cumplir PCI DSS, pero buena parte de los controles sirven para los dos.

Qué es PCI DSS

PCI DSS (Payment Card Industry Data Security Standard) es el estándar que publica el PCI Security Standards Council, una organización fundada por las principales marcas de tarjetas. Se aplica a comercios, procesadores, pasarelas, bancos y proveedores de servicios que almacenan, procesan o transmiten datos de tarjetas, o que pueden afectar su seguridad.

No es una ley: su cumplimiento se exige por contrato, a través del banco adquirente o del procesador con el que trabaja cada empresa. Quien no cumple puede enfrentar multas trasladadas por el adquirente, costos más altos o la pérdida de la posibilidad de aceptar tarjetas.

Los 12 requisitos de PCI DSS

Objetivo	Requisitos, en pocas palabras
Redes y sistemas seguros	1. Controles de seguridad de red · 2. Configuraciones seguras
Proteger los datos de cuentas	3. Proteger los datos almacenados · 4. Cifrar los datos en tránsito
Gestionar vulnerabilidades	5. Protección contra malware · 6. Sistemas y software seguros
Controlar el acceso	7. Acceso según necesidad · 8. Identificación y autenticación · 9. Acceso físico
Monitorear y probar	10. Registro y monitoreo · 11. Pruebas de seguridad periódicas
Política de seguridad	12. Políticas y programas de seguridad de la información

Resumen con palabras propias de PCI DSS v4.0.1. Los requisitos que en la versión 4.0 eran opcionales pasaron a ser obligatorios el 31 de marzo de 2025.

Cómo se valida

Depende del volumen de transacciones y del tipo de entidad, según los niveles que define cada marca. Las organizaciones de mayor volumen necesitan un informe de cumplimiento (ROC) elaborado por un evaluador calificado (QSA); el resto suele completar un cuestionario de autoevaluación (SAQ). En ambos casos se emite una declaración de cumplimiento (AOC) que se renueva cada año.

Argentina: los proveedores de servicios de pago, bajo los requisitos de seguridad del BCRA

En febrero de 2026, el Banco Central de la República Argentina incorporó a los proveedores de servicios de pago (PSP) inscriptos en su registro como sujetos obligados de los Requisitos Mínimos para la Gestión y Control de los Riesgos de Tecnología y Seguridad de la Información, que hasta entonces aplicaban a las entidades financieras (Comunicación "A" 8398, con texto actualizado por la "A" 8401). El plazo de adecuación fue de 180 días, por lo que la exigencia rige desde agosto de 2026.

Estas normas no exigen PCI DSS ni ISO 27001 de forma explícita, pero piden gobierno de la seguridad, gestión de riesgos tecnológicos, control de terceros y servicios en la nube, continuidad y respuesta a incidentes. Para una fintech, una billetera o un agregador que además maneja datos de tarjetas, tener PCI DSS y un SGSI con ISO 27001 es una forma ordenada de reunir la evidencia que va a pedir el regulador.

Referencia general, no asesoramiento legal. Conviene revisar el texto ordenado vigente en el sitio del BCRA y cómo aplica a cada tipo de proveedor.

ISO 27001 vs PCI DSS: comparación

	ISO 27001	PCI DSS
Quién lo define	ISO e IEC	PCI Security Standards Council
¿Obligatorio?	Voluntario; lo exigen clientes y licitaciones	Obligatorio por contrato para quien maneja datos de tarjetas
Qué protege	Toda la información dentro del alcance	Los datos de tarjetas y los sistemas que los tocan
Enfoque	Basado en riesgos: la organización elige los controles	Prescriptivo: requisitos y frecuencias definidos
Frecuencias	Las define la organización (intervalos planificados)	Fijadas en el estándar, por ejemplo escaneos trimestrales y pruebas de penetración anuales
Quién evalúa	Organismo certificador acreditado	Evaluador calificado (QSA) o autoevaluación (SAQ), según el nivel
Resultado	Certificado por 3 años, con seguimientos anuales	Declaración de cumplimiento anual

Dónde se superponen

Muchos requisitos de PCI DSS tienen un equivalente en los controles del Anexo A de ISO 27001. Una organización con un SGSI maduro ya tiene buena parte del camino hecho:

Tema	PCI DSS	ISO 27001 (Anexo A)
Control de accesos	Requisitos 7 y 8	5.15 a 5.18, 8.2 a 8.5
Malware, vulnerabilidades y desarrollo seguro	Requisitos 5, 6 y 11	8.7, 8.8, 8.25 a 8.29
Registros y monitoreo	Requisito 10	8.15, 8.16
Cifrado	Requisitos 3 y 4	8.24
Seguridad física	Requisito 9	7.1 a 7.14
Políticas, riesgos y personas	Requisito 12	5.1, 6.3 y cláusula 6

Correspondencia orientativa. La equivalencia no es exacta: PCI DSS suele pedir más detalle técnico y frecuencias fijas.

Las diferencias que más impactan

PCI DSS no se elige
Si la empresa maneja datos de tarjetas, tiene que cumplirlo. ISO 27001 es una decisión de negocio.
Menos margen de interpretación
PCI DSS fija cómo y cada cuánto hacer muchas cosas; ISO 27001 deja esas decisiones a la evaluación de riesgos.
Un alcance más estrecho
PCI DSS se concentra en el entorno de datos de tarjetas; reducirlo es una de las estrategias más efectivas para bajar el esfuerzo.
Pruebas técnicas obligatorias
Escaneos de vulnerabilidades por un proveedor aprobado y pruebas de penetración con frecuencia definida.

Cómo encarar las dos sin duplicar el trabajo

Reducir el alcance de PCI DSS. Tercerizar el procesamiento en un proveedor que cumpla PCI DSS, o usar tokenización, puede achicar mucho el entorno a evaluar.
Usar ISO 27001 como marco general. El SGSI gestiona los riesgos, las políticas y la mejora continua de toda la organización, incluido el entorno de tarjetas.
Mapear los controles una vez. Cada control se vincula con el requisito de PCI DSS y con el control del Anexo A que cubre.
Respetar las frecuencias de PCI DSS. Dentro del calendario del SGSI, las actividades del entorno de tarjetas siguen los plazos fijos del estándar.
Reunir la evidencia una sola vez. El mismo registro de accesos o de vulnerabilidades sirve para el evaluador de PCI DSS y para el auditor de ISO 27001.

Cómo ayuda Certenza con PCI DSS e ISO 27001

Para una empresa que procesa pagos, la carga más pesada es sostener dos marcos con requisitos parecidos pero no iguales. Certenza ayuda a trabajarlos sobre una misma base:

PCI DSS e ISO 27001 en la misma plataforma
Los dos frameworks se trabajan juntos: los controles se organizan una vez y se reutilizan entre ambos, en lugar de mantener planillas separadas.
Evidencia continua del entorno técnico
Las integraciones con la nube, la gestión de identidades y los repositorios reúnen registros que respaldan accesos, cambios y monitoreo.
Políticas que cubren los dos
La IA de Certenza ayuda a redactar políticas de seguridad que sirven de base para ISO 27001 y para el requisito 12 de PCI DSS.

PCI DSS ya está disponible como framework en Certenza, junto con ISO 27001 y el resto de los estándares de la plataforma. La validación de PCI DSS la realiza un evaluador calificado o la propia empresa según su nivel, y la certificación ISO 27001, un organismo acreditado; ambos se contratan por separado.

¿Tu empresa necesita PCI DSS?

Te mostramos cómo prepararte junto con ISO 27001.

Solicitar una demo

Seguí leyendo

← Ver todos los recursos sobre ISO 27001

ISO 27001 vs PCI DSS: diferencias clave y cómo combinarlas