PCI atitikties reikalavimai yra suskirstyti į keturis lygius, o įmonės lygį nustato metinis apdorojamų mokėjimo kortelių operacijų skaičius. Lygiai grindžiami įmonės metinių apdorojamų mokėjimo kortelių operacijų apimtimi: 1 lygis: Įmonės, kurios per metus apdoroja daugiau nei 6 mln. mokėjimo kortelių operacijų arba kurias mokėjimo kortelių gamintojai yra įvardiję kaip didelį rizikos lygį turinčias įmones. 2 lygis: Įmonės, kurios per metus apdoroja nuo 1 iki 6 mln. mokėjimo kortelių operacijų. 3 lygis: Įmonės, kurios per metus apdoroja nuo 20 000 iki 1 mln. mokėjimo kortelių operacijų. 4 lygis: Įmonės, kurios per metus apdoroja mažiau nei 20 000 mokėjimo kortelių operacijų. Kuo aukštesnis lygis, tuo griežtesni PCI atitikties reikalavimai ir griežtesnis auditavimo procesas. Pavyzdžiui, 1 lygio įmonės kasmet privalo atlikti vidinį auditą, atliekamą kvalifikuoto saugumo vertintojo (QSA), tuo tarpu 4 lygio įmonės gali patys vertinti savo atitiktį naudodamos PCI DSS savitikros klausimyną (SAQ).