Visa・Mastercard・American Express・Discover・JCBという主要カードブランドが設立した独立団体PCI Security Standards Council（PCI SSC）の公式サイトによると、PCI DSS（Payment Card Industry Data Security Standard）は『カード会員データ（CHD）や機密認証データ（SAD）を保管・処理・伝送する、またはカード会員データ環境（CDE）のセキュリティに影響を与えうる全ての事業体』に適用されるとされ、その対象には『加盟店、決済処理業者、アクワイアラー、イシュアー、サービスプロバイダーを含む全ての事業体』が含まれると明記されています。決済ゲートウェイはカード情報を仲介するサービスプロバイダーとしてこの対象に含まれ、継続的なセキュリティ基準の遵守が求められます。なお、このページ自体には『決済ゲートウェイ』という語は明示的には登場しませんが、決済処理に関わるサービスプロバイダー全般への適用を定めた規定として確認できます。