En juin 2026, le Conseil des normes de sécurité PCI a lancé une demande de commentaires (RFC) officielle concernant le PCI DSS v4.0.1. Pour les organisations qui viennent d’intégrer les changements de la version 4, la question naturelle est de savoir si une autre mise à jour majeure est à venir. Cet article explique ce que le Conseil a réellement annoncé, ce qu’il n’a pas annoncé, et comment interpréter ce signal.
Ce qui a été annoncé
Le Conseil a annoncé la RFC le 03/06/2026. La période de commentaires s’est étendue du 03/06/2026 au 20/07/2026, soit environ six semaines. Selon l’annonce, l’objectif était de recueillir les retours des parties prenantes sur la norme actuelle, PCI DSS v4.0.1, afin d’orienter son évolution future.
Le Conseil a déclaré vouloir connaître les points forts de la norme actuelle et les défis de sa mise en œuvre. Il a également souligné son intérêt pour les « opportunités d’évolution pouvant soutenir les futures technologies et l’innovation en matière d’IA ».
Qui pouvait participer
Les RFC ne sont pas des consultations publiques ouvertes. La participation était limitée aux parties prenantes éligibles du PCI SSC, et les participants devaient accepter un accord de non-divulgation pour accéder aux documents. Les commentaires ne pouvaient être soumis que via le portail du PCI SSC pendant la période définie, comme indiqué dans les instructions de la RFC. Le Conseil décrit comment les RFC s’intègrent dans le développement de ses normes sur sa page de processus RFC.
Ce qui n’a pas été annoncé
Il est tout aussi important de clarifier ce que cette RFC n’est pas :
- Ce n’est pas une nouvelle version du PCI DSS. Le Conseil n’a pas publié de nouvelle norme et n’a pas annoncé de numéro de version ni de date de sortie.
- Cela ne modifie pas les obligations actuelles. Le PCI DSS v4.0.1 reste la version sur laquelle les évaluations sont effectuées, y compris toutes les exigences devenues obligatoires le 31/03/2025.
- Cela ne fixe pas de calendrier de transition. Aucune date de retrait pour la v4.0.1 n’a été annoncée.
Vous pourriez voir des commentaires en ligne spéculant sur le contenu ou le calendrier d’une prochaine version. Tant que le Conseil ne publie rien, considérez cela comme de la spéculation.
Comment interpréter le signal
Une RFC sur la norme actuelle nous indique plusieurs choses avec une confiance raisonnable :
- La norme est en phase d’écoute. Le Conseil recueille des preuves sur la manière dont la v4.0.1 fonctionne en pratique, maintenant que les organisations ont eu le temps de mettre en œuvre les exigences à venir.
- Les défis de mise en œuvre sont sur la table. Le fait de les interroger suggère que le Conseil est ouvert à clarifier les exigences qui se sont avérées difficiles à appliquer.
- Le changement technologique est à l’ordre du jour. La mention explicite de l’IA et des technologies futures suggère que le Conseil examine comment la norme s’applique aux nouvelles architectures et outils.
L’histoire aide aussi. Après la publication du PCI DSS v4.0, le Conseil a publié une révision limitée, la v4.0.1, pour répondre aux retours qu’il avait reçus. Les normes évoluent progressivement, et les organisations ont généralement le temps de planifier.
Ce que cela signifie pour votre entreprise
- Continuez avec la v4.0.1. Ne suspendez pas la remédiation ni ne retardez une évaluation en attendant une nouvelle version.
- Investissez dans les fondamentaux. Une portée précise, la segmentation, les inventaires d’actifs, l’AMF et une bonne analyse des risques resteront pertinents quelle que soit la forme de la prochaine version.
- Documentez vos points faibles. Si une exigence est difficile à appliquer dans votre environnement, prenez des notes sur les raisons. Cette information aide votre évaluateur aujourd’hui et vous prépare aux changements futurs.
- Suivez les sources officielles. Le blog et la bibliothèque de documents du PCI SSC sont les lieux faisant autorité pour les annonces.
- Planifiez des budgets avec flexibilité. Gardez une certaine marge de manœuvre dans les plans de sécurité pluriannuels pour des ajustements une fois que le Conseil aura publié ses prochaines étapes.
Notre point de vue
Une RFC est une partie normale de la manière dont le PCI SSC maintient ses normes. C’est un bon signe que l’expérience pratique des commerçants, des fournisseurs de services et des évaluateurs alimentera les prochaines étapes. Pour l’instant, rien ne change dans ce que vous devez faire cette année.
Pour un rappel sur la norme actuelle, lisez notre aperçu du PCI DSS. Ubitrak continue d’effectuer des évaluations PCI DSS v4.0.1, et le portail Accel PCI maintient les commerçants auto-évaluateurs alignés sur les SAQ actuels. Contactez-nous si vous avez des questions sur la planification à venir.
Sources
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite