Casi todos los propietarios de restaurantes se encuentran con el cumplimiento de la normativa PCI de la misma manera: una partida en el extracto del comerciante denominada «cuota por incumplimiento», de 30 dólares al mes, que aparece sin explicación alguna. Alguien llama a la entidad procesadora, le dicen que rellene un cuestionario, abre un PDF de 300 preguntas elaborado para bancos y lo vuelve a cerrar. La tasa sigue llegando. Esa es la situación de la normativa PCI en el sector de la hostelería: una obligación anual que la mayoría de los operadores ignoran o simulan cumplir, hasta que se produce una filtración de datos de tarjetas y se convierte en el único tema del que todo el mundo quiere hablar. No tiene por qué ser tan complicado. Para la mayoría de los restaurantes, la respuesta honesta es un cuestionario con unas 30 preguntas, unos pocos ajustes de red y una configuración de pagos que, para empezar, mantenga los datos de las tarjetas fuera de tu local. Si el procesamiento de pagos de tu restaurante se cifra dentro del terminal, ya has hecho la parte más difícil sin darte cuenta.
Esta guía explica qué exige realmente la norma, qué cuestionario se aplica a tu configuración, cómo reducir tus responsabilidades, qué preguntar a tus proveedores y cuánto cuesta realmente el incumplimiento cuando algo sale mal. El factor más importante es de carácter arquitectónico, más que procedimental: la forma en que el sistema de punto de venta y las terminales de tu restaurante gestionan los datos de las tarjetas determina si el cumplimiento es un simple formulario anual o un auténtico proyecto.
Qué es la norma PCI DSS y quién se encarga de hacerla cumplir
PCI DSS son las siglas de «Payment Card Industry Data Security Standard» (Norma de Seguridad de Datos de la Industria de Tarjetas de Pago). Se trata de un conjunto de requisitos técnicos y operativos para cualquier persona que acepte, procese, almacene o transmita datos de tarjetas de pago. La versión actual es la 4.0.1, y los requisitos que se introdujeron gradualmente en la versión 4 pasaron a ser obligatorios el 31 de marzo de 2025, por lo que ya no hay ningún periodo de gracia al que recurrir.
Aquí está la parte que confunde a la gente: el PCI no es una ley y ningún organismo gubernamental se encarga de hacerla cumplir. Se trata de una norma contractual creada por las marcas de tarjetas, Visa, Mastercard, American Express, Discover y JCB, y te afecta a través del contrato de comerciante que has firmado con tu banco adquirente o tu procesador de pagos. Ese contrato es la razón por la que el cumplimiento no es opcional, aunque nunca vaya a llamar a tu puerta ningún inspector. Tu entidad adquirente puede multarte, subirte las tarifas o impedir que aceptes tarjetas.
Varios países han añadido legislación propia a esta norma. En la UE y el Reino Unido, una filtración de datos de tarjetas también constituye una violación de datos personales según el RGPD, con la obligación de notificarla en un plazo de 72 horas y sanciones de una magnitud totalmente diferente. En EE. UU., la mayoría de los estados cuentan con leyes de notificación de violaciones de datos, y algunos incorporan directamente la normativa PCI a su legislación. Por lo tanto, en la práctica, la normativa PCI es de carácter contractual, pero sus consecuencias suelen ser de carácter legal.
Tu nivel de comerciante determina cómo debes demostrar el cumplimiento. El nivel 4, con menos de unas 20 000 transacciones de comercio electrónico o menos de un millón de transacciones con tarjeta al año, abarca a la inmensa mayoría de restaurantes independientes y pequeños grupos, y supone rellenar un cuestionario de autoevaluación anual firmado por ti. El nivel 1, con más de 6 millones de transacciones al año, implica una auditoría in situ realizada por un evaluador de seguridad cualificado. Si gestionas menos de una docena de locales, es casi seguro que te encuentras en el nivel 4, y esto supone más un trámite administrativo y de configuración que una auditoría.
Por qué los restaurantes se ven más afectados que la mayoría
El sector de la hostelería lleva dos décadas situándose entre los primeros puestos de las estadísticas de fraude con tarjetas, y las razones son de carácter estructural más que por descuido.
Se procesa un volumen muy elevado de transacciones con tarjeta presente de importes reducidos, lo que resulta atractivo para los delincuentes que recopilan números de tarjetas a gran escala. Se gestiona una red que debe dar servicio a varias funciones a la vez: cajas registradoras, pantallas de cocina, administración, reservas, música, cámaras y wifi para clientes, a menudo a través de un único router configurado por quien instaló la conexión a Internet. La rotación de personal es elevada, por lo que el número de personas que han tenido acceso físico a tus terminales en los últimos cinco años es considerable. Tu equipo se encuentra en una sala pública, desatendido durante parte del día. Y la mayoría de los restaurantes carecen por completo de un departamento de TI, lo que significa que nadie se hace responsable del firmware del router, del sistema operativo de la caja registradora ni de quién sigue teniendo la contraseña.
Las filtraciones que aparecen en las noticias suelen ser una de estas tres cosas. Malware en el punto de venta que extrae los datos de las tarjetas de la memoria antes de que se cifren, que es lo que les ha ocurrido a una larga lista de cadenas. Skimmers físicos o terminales sustituidos, instalados en cuestión de segundos por alguien que se hace pasar por técnico. O una herramienta de acceso remoto sin parches, a menudo la que utiliza tu proveedor de TPV para la asistencia técnica, que se ha dejado con una contraseña predeterminada o compartida.
Fíjate en que los tres atacan lo mismo: el momento en el que los datos legibles de las tarjetas se encuentran en algún lugar bajo tu control. Esa observación es la clave para que el cumplimiento de la norma PCI resulte manejable.
Los doce requisitos, en lenguaje sencillo
La norma PCI DSS tiene doce requisitos de nivel superior agrupados en seis objetivos. Traducidos del lenguaje de auditoría, dicen lo siguiente.
1. Instalar y mantener controles de seguridad de red. Disponer de un cortafuegos entre Internet y los dispositivos que manejan datos de tarjetas. La red wifi para clientes no debe estar en la misma red que tus cajas registradoras.
2. Aplica configuraciones seguras. Cambia todas las contraseñas y ajustes predeterminados de los routers, los terminales y el propio punto de venta. Las credenciales predeterminadas siguen siendo una de las causas más comunes de las filtraciones.
3. Proteger los datos de las cuentas almacenados. No almacenes números de tarjetas. Si realmente es imprescindible hacerlo, deben estar cifrados, y el código de seguridad del reverso nunca debe almacenarse tras la autorización, ni siquiera durante un minuto, ni siquiera en una nota.
4. Cifra los datos en tránsito. Los datos de las tarjetas que atraviesen cualquier red abierta deben cifrarse con los protocolos actuales.
5. Protégete contra el software malicioso. Instala un programa antimalware en cualquier ordenador de uso general del entorno de pago y manténlo actualizado.
6. Desarrolla y mantén sistemas seguros. Instala parches de seguridad. Si gestionas una página de pedidos en línea, la versión 4 añadió obligaciones específicas en torno a la gestión y supervisión de los scripts que se ejecutan en tus páginas de pago.
7. Restringe el acceso según la necesidad de conocer la información por motivos de trabajo. El lavaplatos no necesita el menú de administrador de la caja registradora.
8. Identificar a los usuarios y autenticar el acceso. Inicios de sesión individuales, sin cuentas compartidas, y autenticación multifactorial para cualquier acceso remoto o administrativo. La contraseña única del gerente pegada con cinta adhesiva dentro del cajón incumple este requisito de forma rotunda.
9. Restringe el acceso físico. Controla quién puede tocar los terminales e inspecciona si han sido manipulados.
10. Registra y supervisa el acceso. Mantén registros de quién ha realizado qué acciones en los sistemas que gestionan datos de tarjetas.
11. Realizar pruebas de seguridad periódicamente. Escaneos trimestrales de vulnerabilidades realizados por terceros si se dispone de sistemas conectados a Internet dentro del ámbito de aplicación.
12. Mantener una política de seguridad de la información. Redactarla por escrito, formar al personal anualmente y disponer de un plan de respuesta ante incidentes.
Leído como una lista, parece un programa de TI corporativo. En un restaurante que haya mantenido los datos de las tarjetas fuera de sus propios sistemas, la mayoría de estos requisitos ya quedan cubiertos por el equipo que ya has adquirido, y tu trabajo consiste en confirmarlo y documentarlo, más que en crear nada nuevo.
¿Qué cuestionario te corresponde?
El cuestionario de autoevaluación, o SAQ, está disponible en varias versiones, y elegir la adecuada supone los diez minutos más valiosos de todo este proceso. La diferencia entre el más corto y el más largo es de aproximadamente 30 preguntas frente a más de 300.
El SAQ P2PE es la mejor opción. Se aplica si aceptas pagos únicamente a través de terminales físicas que formen parte de una solución de cifrado punto a punto validada e incluida en la lista del Consejo PCI. Consta de unas 33 preguntas. Los datos de las tarjetas se cifran dentro del lector antes de que tus sistemas los vean, por lo que casi nada en tu restaurante entra dentro del ámbito de aplicación.
El SAQ B-IP se aplica a terminales independientes, homologados como PTS, conectados a través de IP, sin que se almacenen datos de tarjetas de forma electrónica. Alrededor de 80 preguntas y muy habitual en pequeños establecimientos independientes.
El SAQ C se aplica cuando una aplicación de pago en un sistema conectado gestiona los datos de las tarjetas, el terminal se comunica a través de su TPV y no se almacena nada. Alrededor de 160 preguntas. Aquí es donde se encuadran muchos restaurantes por defecto.
El SAQ A se aplica únicamente a negocios sin presencia física de la tarjeta, en los que todas las funciones de pago están totalmente externalizadas a un tercero que cumple con la normativa. Si tu sistema de pedidos en línea redirige a una página de pago alojada en un servidor externo, esto cubre esa parte.
El SAQ A-EP se aplica al comercio electrónico en el que tu propio sitio web no recibe datos de tarjetas, pero sí influye en la página de pago, por ejemplo, mediante un iframe incrustado bajo tu control.
El SAQ D abarca todo lo demás, y es extenso. Si te indican que necesitas el SAQ D, tómatelo como una señal para cambiar tu configuración, en lugar de empezar a rellenar formularios.
La mayoría de los restaurantes aceptan pagos a través de más de un canal: terminales presenciales, pedidos en línea y reservas telefónicas en las que se solicita una tarjeta para garantizar la reserva. Cada canal se evalúa por separado, por lo que es posible que tengas que completar más de un cuestionario. El canal telefónico es el que los operadores suelen pasar por alto, y a menudo es el que presenta más problemas.
Reduzca el alcance antes de rellenar nada
La idea central de la normativa PCI moderna es que la norma se aplica a los sistemas que almacenan, procesan o transmiten datos de tarjetas. Si eliminas los datos de tarjetas de un sistema, ese sistema queda fuera del ámbito de aplicación. Hazlo a fondo y el ejercicio anual pasará de ser un proyecto a ser un simple formulario.
Cifrado punto a punto. Con una solución P2PE validada, el lector de tarjetas cifra los datos en el momento de pasar o insertar la tarjeta, utilizando claves que tus sistemas no almacenan. Lo que circula por tu red y tu TPV es texto cifrado ilegible. Su caja registradora, su router y su back office quedan fuera del ámbito de aplicación en lo que respecta a los datos en sí. Solicite específicamente una solución que figure como validada por el Consejo PCI, ya que muchos proveedores describen su cifrado como «de extremo a extremo» sin contar con esa certificación.
Tokenización. En lugar de un número de tarjeta, su sistema almacena un token sin significado que solo su procesador puede asociar al número original. Esto es lo que hace que las tarjetas guardadas de clientes habituales, las cuentas de bar, la protección contra impagos y las suscripciones sean seguras de gestionar. El número de tarjeta nunca se almacena en su base de datos.
EMV y sin contacto. Las transacciones con chip y sin contacto no pueden clonarse de la misma forma que los datos de la banda magnética. Más allá de la seguridad, el estándar EMV es importante desde el punto de vista comercial debido al cambio de responsabilidad: en caso de fraude con tarjeta presente, la parte que cuente con la tecnología menos segura asume la pérdida, por lo que un restaurante que siga pasando tarjetas por el lector de banda magnética está optando por asumir las devoluciones que podría haber evitado.
Segmentación de la red. Coloca los dispositivos de pago en su propio segmento de red, separado de la red wifi para clientes, las cámaras, la música y el ordenador de la oficina. Este simple cambio limita tanto tu ámbito de responsabilidad como el alcance de cualquier problema que surja en otro lugar.
Si se hacen bien estas cuatro cosas, un restaurante que se enfrentaba a un SAQ C o D a menudo puede completar en su lugar un SAQ P2PE o B-IP. Esa es la diferencia entre una tarde de trabajo y la factura de un consultor.
Qué preguntar a tu proveedor de TPV y a tu procesador
Los proveedores te dirán que su producto cumple con la normativa PCI. Esa frase no significa gran cosa por sí sola, ya que el cumplimiento es una característica de todo tu entorno, no de un simple dispositivo. Haz preguntas más específicas y obtén las respuestas por escrito.
¿Figura su solución de pago en la lista de soluciones P2PE validadas por el Consejo PCI? ¿Puede enviarme la referencia de dicha lista? ¿Qué tipo de SAQ me permite completar la configuración que me recomienda? ¿Se tokenizan los números de tarjeta y dónde se almacena el almacén de tokens? ¿Pasan o se almacenan datos de tarjetas en el hardware de mi restaurante? ¿Cómo gestionáis el acceso de soporte remoto? ¿Se trata de un sistema multifactorial con cuentas individuales en lugar de una contraseña compartida? ¿Cómo se distribuyen los parches de software y del sistema operativo, y cuál es el calendario previsto? ¿Proporcionaréis una Declaración de Cumplimiento en vuestra calidad de proveedor de servicios? ¿Qué ocurre con los datos de pago almacenados si dejo de trabajar con vosotros?
Hay dos respuestas que deberían preocuparte. Un proveedor que no pueda indicar qué SAQ es compatible con su configuración no ha tenido en cuenta tus obligaciones. Y un proveedor que mantenga un túnel de acceso remoto permanente con credenciales compartidas está describiendo el vector de violación de seguridad más común del sector.
Pregunta por separado a tu procesador cuánto cobran por incumplimiento, si incluyen un portal de cumplimiento y análisis trimestrales, y si ofrecen cobertura de los costes derivados de una filtración. Muchos incluyen un proveedor de análisis sin coste adicional, y los operadores lo pagan dos veces simplemente porque nadie lo ha preguntado. También merece la pena informarse sobre cómo gestiona el proveedor la seguridad de los datos y el alojamiento en general, ya que las mismas prácticas que protegen los datos de las tarjetas protegen los datos de tus clientes y de tus ventas.
La red que nadie tiene en cuenta
En la mayoría de los restaurantes, el eslabón más débil es un router guardado en un armario detrás de cajas de servilletas, instalado hace años, que funciona con el firmware que venía de fábrica y cuya contraseña figura en una pegatina.
Soluciona lo más obvio. Cambia las credenciales de administrador predeterminadas del router, los puntos de acceso y todos los terminales. Actualiza el firmware y, a continuación, programa esta tarea trimestralmente. Coloca la red wifi para clientes en una red verdaderamente independiente, en lugar de utilizar una contraseña con un nombre diferente en la misma red, y nunca permitas que un dispositivo de pago se conecte a la red de clientes. Desactiva la administración remota desde Internet a menos que tengas una razón para ello. Mantén un inventario por escrito de todos los dispositivos que intervienen en los pagos, incluidas las tabletas y los dispositivos portátiles, porque no puedes proteger lo que nadie ha registrado.
Presta atención al ordenador de la oficina administrativa. Suele ser el equipo más antiguo del local, se utiliza para la programación, las facturas, el correo electrónico y la navegación personal, y con frecuencia se encuentra en la misma red plana que las cajas registradoras. Si un miembro del personal abre un archivo adjunto infectado en ese equipo y tus cajas registradoras están a un solo salto de distancia, la red no te habrá servido de nada. Segmenta la red o sustituye el ordenador.
Los sistemas operativos antiguos merecen una mención aparte. Los terminales de punto de venta que funcionan con versiones de Windows que dejaron de recibir actualizaciones de seguridad hace años siguen siendo muy comunes en el sector hostelero, y por muchos trámites que se realicen, no cumplen con la normativa. Si tu proveedor de TPV sigue suministrando un sistema operativo sin soporte técnico, eso es motivo para cambiar de proveedor, no para establecer un control compensatorio.
El personal, los skimmers y el problema de los pedidos por teléfono
El requisito 9 abarca la seguridad física y, en un restaurante, se traduce en una breve rutina que realmente funciona.
Mantén un inventario de dispositivos con la marca, el modelo y el número de serie, y compara las terminales con dicho inventario. Una revisión semanal en busca de números de serie que no coincidan, accesorios desconocidos, carcasas sueltas o cables nuevos lleva dos minutos y detecta la inmensa mayoría de los intentos de skimming. Forma al personal para que nadie toque, cambie ni realice el mantenimiento de un terminal sin una cita programada que un responsable haya verificado llamando al proveedor a un número conocido. Los atacantes disfrazados de técnicos son un método documentado y eficaz precisamente porque el personal del sector hostelero está formado para ser servicial.
El pago en la mesa también es importante en este sentido. Entregar al cliente un terminal inalámbrico en lugar de alejarse con su tarjeta elimina toda una categoría de riesgos, incluido el skimming por parte del personal, y los clientes lo interpretan como una muestra de profesionalidad en lugar de como algo sospechoso.
Luego está el problema del teléfono. Los restaurantes recogen números de tarjetas por teléfono constantemente, para reservas importantes, depósitos, catering y protección contra ausencias, y el número se anota en una hoja de reservas, se escribe en una nota de reserva o se repite en voz alta en una sala con una cámara. Anotar números de tarjetas en una agenda constituye una infracción de la normativa PCI y un auténtico riesgo. Está totalmente prohibido, sin excepción alguna, almacenar el código de seguridad de tres dígitos tras la autorización. Sustituye esta práctica: envía un enlace de pago seguro, utiliza una preautorización alojada en tu sistema de reservas o tokeniza la tarjeta en el momento en que se registra. Este único cambio elimina más riesgo real en la mayoría de los restaurantes que el resto de medidas de la lista.
La formación anual en concienciación sobre seguridad también es un requisito, y no tiene por qué ser muy elaborada. Quince minutos en una reunión de personal en los que se aborden los skimmers, se explique que nunca se deben compartir credenciales de acceso, que nunca se deben anotar números de tarjetas y a quién hay que informar inmediatamente si algo parece sospechoso, y luego una hoja de asistencia firmada, cumplen tanto con la norma como con el sentido común.
Cuánto cuesta realmente el incumplimiento
El coste visible es pequeño, y precisamente por eso se ignora. Los procesadores cobran una tasa por incumplimiento de entre 20 y 50 dólares al mes, por lo que un operador que nunca rellena el cuestionario paga quizá 400 dólares al año y lo considera una partida molesta en la contabilidad.
El coste tras una violación de seguridad es de una categoría totalmente diferente. Las sanciones impuestas por las marcas de tarjetas a través de su adquirente suelen oscilar entre 5.000 y 100.000 dólares, en función del volumen y de la duración de la exposición. A partir de ciertos umbrales, es obligatoria una investigación forense realizada por un investigador autorizado, que suele costar entre 10.000 y 50.000, a cargo suyo. A esto hay que añadir los costes de reemisión de tarjetas, que se facturan por cada tarjeta, las pérdidas por fraude y el coste operativo derivado de la restricción del uso de sus terminales mientras se resuelve el asunto. En la UE y el Reino Unido, hay que sumar la obligación de notificación prevista en el RGPD en un plazo de 72 horas y el riesgo regulatorio que ello conlleva.
Merece la pena contratar un seguro de responsabilidad civil cibernética y leer detenidamente su contenido. Muchas pólizas incluyen una cláusula que exige el cumplimiento de la norma PCI, lo que significa que una aseguradora puede rechazar una reclamación de un comerciante que haya firmado una declaración que no sea veraz. Una autoevaluación falsa es peor que no realizarla, ya que convierte un fallo técnico en una tergiversación documentada.
También hay un coste menos evidente. Una filtración en un restaurante de barrio es noticia local, y la confianza que se tardó años en forjar con los clientes habituales no sobrevive a una carta de su banco en la que se les explique que su tarjeta ha sido comprometida.
La rutina anual y qué hacer esta semana
Una vez que la configuración sea la adecuada, mantener el cumplimiento es un ciclo breve y recurrente. Anualmente: rellena el SAQ correcto, firma la Declaración de Cumplimiento, súbela al portal de tu procesador, revisa y actualiza tu política de seguridad, e imparte formación al personal. Cada trimestre: realiza análisis de vulnerabilidades externos a través de un proveedor de análisis homologado si tienes sistemas conectados a Internet dentro del ámbito de aplicación, comprueba el firmware y los parches, y revisa quién tiene acceso a qué. Cada semana: compara los terminales con tu inventario de dispositivos. Cada vez que un empleado abandone la empresa: elimina sus cuentas el mismo día; este es el control en el que fallan la mayoría de los restaurantes y el más fácil de solucionar.
Si empiezas desde cero, sigue este orden. Llama a tu procesador y pregúntale qué SAQ te han asignado y si tus terminales forman parte de una lista P2PE validada, ya que esa sola llamada podría echar por tierra todo el proceso. Elabora el inventario de dispositivos. Separa la red wifi para clientes de los dispositivos de pago. Cambia las contraseñas predeterminadas en todos los sistemas y asigna a cada persona su propio nombre de usuario. Deja de anotar números de tarjeta en papel y configura enlaces de pago o reservas tokenizadas en su lugar. A continuación, rellena el cuestionario con sinceridad y trata cualquier pregunta que no puedas responder con veracidad como una tarea que realizar, en lugar de como una casilla que marcar.
Si se hace en ese orden, supone una tarde de trabajo y un perfil de riesgo realmente menor, en lugar de un mero trámite burocrático que no protege a nadie. Los restaurantes que salen perjudicados rara vez son los que leen la norma y la encuentran difícil. Son los que firman el formulario sin leerlo.
Siguiente: cómo gestionar las devoluciones de cargos en restauranteslas comisiones por procesamiento de pagos y la transición a los pagos sin efectivo.
