变更日志
v0.2 中的内容、勘误表以及在 v1.0 过程中公开征求公众意见的要求。
这是“Draft v0.2 -> v1.0”徽章所指向的页面：它显示了已更改的内容以及仍在协商中的内容。
版本历史
从当前的 v0.2 草案到 v1.0 发布目标和第一个小补丁。 v1.0 和 v1.0.1 日期是计划目标，而不是保证。
v0.2
2026-05（当前草案）
v1.0
2026-12-01（目标）
v1.0.1
Q2 2027（目标）
v0.2
当前草案2026-05（当前草案）
PCI DSS 格式的第一个公开草案：二元评估方法、定制方法、明确的关键要求列表、扩展的 ROC 和 SAQ 模板。
此版本的变化
- 已更改
删除了 0.0–1.0 数字刻度；转移到二元评估：已落实/未落实/不适用/补偿控制。
- 已添加
引入了以 PCI DSS v4.0 为模型的定制方法，作为替代合规路径（关键要求除外）。
- 已更改
将每个 B.1–B.8 要求重写为具有检查/访谈/观察/跟踪步骤的既定方法测试程序。
- 已添加
为每个要求添加了内联适用性注释/目的/良好实践/示例块。
- 已更改
各级年度全面审核； 1 级别的两年周期被取消。
- 澄清C.2
段 C.2 围绕软件供应商范围/设备范围二分法重新构建。
- 已更改B.7.3
加强了 1 级别的只读监控 SLA (B.7.3)。
- 已更改B.8.5
人员地理分布 (B.8.5) 成为 2 及以上级别的强制要求。
- 已删除B.2
PCI DSS 要求 3.6.1 映射已移至不适用：CCSA 比熵基线更严格。
- 已添加D.2.5
现在明确定义了 8 关键要求（D.2.5 节），分为完全禁止的 CC 和受限的 CC。
- 已更改A3
ROC 模板（附件 3）通过详细的需求评估工作表和控制认可验证矩阵得到了大幅扩展。
- 已添加A4
SAQ-C1（附件4）获得完整的参考题库。
v1.0
计划中2026-12-01（目标）
发布目标。纳入公众咨询的结果；规范性文本被冻结。生效日期 2027-01-01。
此版本的变化
- 已更改
纳入了关于公开要求的公众咨询结果（如下）。
- 已更改
规范性文本被冻结；进一步的更改只能通过向后兼容的次要版本。
- 已添加A2.3
后量子密码学（PQC）包含在咨询模式中；仅从 v2.0 (2029) 开始，3 级别才强制执行。
v1.0.1
计划中Q2 2027（目标）
来自创始团队早期反馈的第一个小补丁；向后兼容，并维护勘误表寄存器。
此版本的变化
- 澄清
来自创始团队早期反馈的措辞澄清，不改变任何要求的含义。
- 勘误表
打开了公共勘误表登记处：已确认的拼写错误和歧义被记录并在版本之间进行更正。
公众咨询中的要求
理事会正在收集意见的开放问题将被冻结在规定的目标版本中。这些是开放性问题，不是已采纳的要求——措辞可能会改变。
| 要求 | 开放问题 | 目标版本 | 评论 |
|---|---|---|---|
| B.3.1 | 在什么条件下，移动级安全区域可以与 C.2 (B.3.1) 段中的 HSM / MPC 一起用于 CCM 存储，以及 2 级别的线路所在位置。 | v1.0 | 对此要求发表评论 |
| 0.8.3 | 是否在 2 和 3 级别保留对受限 CC 要求（B.2.1、B.3.1、B.4.1、B.8.1）的全面补偿控制禁令，或在理事会批准的情况下允许少数例外。 | v1.0 | 对此要求发表评论 |
| A2.3 | 3 级强制后量子加密的确切时间和范围：确认 v2.0 窗口（2029）和遗留方案的重叠期长度。 | v2.0 | 对此要求发表评论 |
| B.1.2 | 是否需要在双栈方法下进行CME分割（GOST CSP和国际算法并行），或者接受单个CME，并将决策记录在ROC（B.1.2）中。 | v1.0 | 对此要求发表评论 |
| B.8.5 | 确认2级别密钥持有者的地理分布阈值：司法管辖区的最小数量以及是否可以接受在单个国家/地区内的分布（B.8.5）。 | v1.0 | 对此要求发表评论 |
| 0.14.2 | 是否将建议的样本量（0.14.2 部分）固定为规范性最小值，或将其保留为首席审核员的信息指南。 | v1.0 | 对此要求发表评论 |
| 0.2.3 | 如何在 LVCS 注册表中为强制申请列表之外的实体应用“自愿管辖”标志（第 0.2.3 节）。 | v1.1 | 对此要求发表评论 |
勘误表
v0.2 尚无确认的勘误表。规范性文本中的错别字、矛盾和歧义将在此公布，并附有要求、说明和更正。要报告可能的错误，请使用要求旁边的“评论”链接。