¿Alguno y todos los proveedores de software que han almacenado información de tarjetas de crédito en sus bases de datos están sujetos a PCI-DSS o solo a algunos?

En primer lugar, PCI-DSS se aplica a ambientes , no a productos.
En otras palabras, se aplicaría a su sitio web, pero no al producto empaquetado que vende a sus clientes.
Por otro lado, podría aplicarse a sus clientes , quienes luego necesitarían que su producto se ajuste a su cumplimiento.

Con este fin, los becarios de PCI presentaron PA-DSS : esto se aplica a Productos, que se pueden instalar en entornos de clientes (que luego se requerirían para cumplir con PCI).

Ahora, con respecto a su producto específico: PA-DSS se aplicaría absolutamente, ya que almacena o procesa datos de la tarjeta (incluso sin procesar el pago).

De las Preguntas frecuentes de PA :

  

A los fines de las PA-DSS, una aplicación de pago elegible   para revisión y listado por el PCI SSC se define como una   aplicación que:
  a) almacena, procesa o transmite datos del titular de la tarjeta como parte de   autorización o liquidación;
  y
  b) se vende, distribuye o licencia a terceros

  

Es un proveedor de software comercial que vende software para su uso en el   Estados Unidos, sujeto a, o legalmente requerido para implementar PCI-DSS si   Su software incluye una característica que permitirá la recolección y   Almacenamiento de información de tarjeta de crédito, pero que no hace pago.   ¿Se procesa a sí mismo como parte de las características del software?

NO. No están legalmente obligados a implementar PCI-DSS. De hecho, NOBODY está "legalmente obligado" a implementar PCI-DSS. Eso implica que hay una ley que lo manda. No hay. PCI-DSS es un requisito CONTRACTUAL si tiene una cuenta de comerciante.

Los clientes que usan el software para tomar la información de la tarjeta de crédito deberán cumplir con la norma PCI. Y es posible que se les requiera usar solo software compatible con PA-DSS. Si tienen un carrito de compra propio, no es necesario que cumplan con las PA-DSS. Si utilizan una aplicación de terceros que se vende / distribuye (como la suya, presumiblemente) debe ser compatible con PA-DSS. "PA-DSS NO se aplica a las aplicaciones de pago ofrecidas por proveedores de aplicaciones o servicios solo como un servicio (a menos que dichas aplicaciones también se vendan, tengan licencia o se distribuyan a terceros." - enlace (debe leer este documento)

Pero ese es su problema, no el tuyo a menos que lo hagan tuyo al negarse a comprar tu software (lo cual es completamente posible).

Si no tiene una cuenta de comerciante y el contrato que la acompaña, PCI no es su problema. No, a menos que aceptes convertirlo en tu problema para un cliente.