السوق · المملكة العربية السعودية
تملك المملكة أكثر منظومات ضوابط الأمن السيبراني تطوراً في الخليج، وأشدّ القواعد صرامةً بشأن من يُسمح له بتقديم الخدمات فيها. والحقيقة الثانية هي التي تحدّد ما إذا كانت الأولى ذات نفع لكم.
undefined
التسجيل في بوابة «حصين» التابعة للهيئة الوطنية للأمن السيبراني إلزامي منذ أغسطس 2022 على كل جهة تقدّم حلول أو خدمات أو منتجات الأمن السيبراني داخل المملكة، ويأتي ترخيص مراكز العمليات المُدارة فوقه. كما أن مشروع إطار الترخيص الذي طُرح للاستشارة بين فبراير ومارس 2026 يذهب أبعد من ذلك بكثير: كيان قانوني سعودي، وملكية سعودية بنسبة 75%، ورأس مال عشرة ملايين ريال لخدمة الجهات الحكومية أو البنية التحتية الوطنية الحرجة، مع إقامة كاملة للبيانات داخل المملكة ومنع الوصول من خارجها. وحالة سنّه غير مؤكدة. ننشر هذا السجل لأنه مفيد؛ ولا نَعِد بتقديم خدمات داخل المملكة قبل استقرار هذا الوضع، وحيثما وجب أداء العمل داخل المملكة عبر مزوّد مرخّص سنقول ذلك ونرشدكم إلى واحد.
السعودية هي السوق الخليجي الوحيد الذي تتراكب فيه الضوابط فعلياً بدل أن تتوازى — إذ تقع ضوابط الهيئة الأساسية تحت كل ما عداها. والأرقام المرجعية كما نشرتها الجهة المصدِرة.
الأساس الذي تُبنى عليه كل مجموعات ضوابط الهيئة الأخرى. تُلزِم الجهات الحكومية ومتعاقديها، ومالكي ومشغّلي البنية التحتية الوطنية الحرجة في القطاع الخاص. وقد أعلنت الهيئة التزامها بإجراء أكثر من سبعة آلاف تقييم للأمن السيبراني على الجهات الوطنية، تُدار عبر بوابة حصين.
تسري ضوابط السحابة على المزوّدين والمستفيدين معاً، وتعكس مراجعة 2024 متطلبات توطين البيانات. أما ضوابط الأنظمة الحساسة فتضم 32 ضابطاً رئيسياً و73 ضابطاً فرعياً عبر الحوكمة والتحصين والصمود والأطراف الخارجية. وتأتي مجموعة التقنيات التشغيلية بملحق منهجي خاص وأداة تقييم جدولية، وهو أمر عملي على نحو غير معتاد في مجموعة ضوابط وطنية.
أهم تطور حديث لأعمال القطاع الخاص السعودي الاعتيادية. تواجه المنشآت الكبيرة — أكثر من 250 موظفاً أو إيرادات تتجاوز 200 مليون ريال — اثنين وعشرين مكوّناً فرعياً وخمسة وستين ضابطاً أساسياً، من بينها وظيفة أمن سيبراني مستقلة ذات مراجعة دورية وإشراف على الامتثال. أما المنشآت الأصغر فتواجه ثلاثة عشر مكوّناً فرعياً وستة وعشرين ضابطاً، بعضها موصى به لا إلزامي. ولم يُنشر موعد نهائي للامتثال.
نافذ بالكامل منذ سبتمبر 2024، والإنفاذ هنا واقعي لا نظري: أُعلن عن ثمانية وأربعين قراراً إنفاذياً حتى منتصف يناير 2026. تبلغ الغرامات خمسة ملايين ريال، وتتضاعف عند التكرار، مع نشر العقوبات النهائية. ويُسجَّل المسؤولون عن البيانات في المنصة الوطنية لحوكمة البيانات. ويكون تعيين مسؤول حماية بيانات إلزامياً على الجهات العامة، وفي حالات المراقبة المنهجية واسعة النطاق، ومعالجة الفئات الخاصة على نطاق واسع.
يسري على الجهات العامة والخاصة. خمس مراحل تبدأ بتحديد السياق وتمرّ بتحديد المخاطر عبر سبع فئات، والتقييم على مصفوفة احتمالية وأثر رباعية، ثم المعالجة والمراقبة. وهو سيادي عن قصد: لا يشير إلى ISO/IEC 42001 ولا ISO/IEC 23894 ولا إطار المعهد الأمريكي ولا قانون الاتحاد الأوروبي للذكاء الاصطناعي. وتقف إلى جانبه مبادئ أخلاقيات الذكاء الاصطناعي وإرشادات الذكاء الاصطناعي التوليدي للجهات الحكومية، وكلها طوعية.
يُلزِم البنوك وشركات التأمين وإعادة التأمين وشركات التمويل ومكاتب المعلومات الائتمانية والبنى التحتية للسوق المالية. نموذج نضج من ستة مستويات يتعيّن على المنشآت الأعضاء بلوغ المستوى الثالث منه على الأقل، والبنك المركزي هو من يحدّد المستوى. وتقف المتطلبات الأساسية للمرونة السيبرانية الصادرة في يناير 2022 إلى جانبه بوصفها شرطاً عند مرحلة الترخيص لا بديلاً عنه.
يُلزِم الإطار التنظيمي للأمن السيبراني الجهات المرخّصة أو المسجّلة لدى الهيئة. وبشكل منفصل، يجب على مزوّدي الخدمات السحابية التسجيل لدى الهيئة والحصول على تصنيف فئة يحدّد تصنيفات البيانات والقطاعات التي يجوز لهم خدمتها — أي أن فئة مزوّدكم قيدٌ على معماريتكم، لا مجرد أوراق تخصّه.
يجب أن تبقى البيانات الحكومية داخل المملكة، ولا تُستثنى إلا استثناءات ضيّقة مستندة إلى النظام. وفي القطاع المالي، تتطلب الاستضافة خارج المملكة موافقة مسبقة من البنك المركزي، وعملياً يتّجه معظم المزوّدين إلى الاستضافة الكاملة داخل المملكة. وإذا أُضيفت لائحة نقل البيانات في نظام حماية البيانات الشخصية وفئات السحابة لدى هيئة الاتصالات، فإن سؤال المعمارية يحسم نفسه عادةً قبل أن يُطرح سؤال الامتثال أصلاً.
تُستقطع ضريبة الاستقطاع السعودية على الخدمات الفنية والاستشارية المقدَّمة من غير المقيمين عند المنبع بنسبة 5%، فتصبح فاتورة بمئة ألف ريال صافيها خمسة وتسعون ألفاً. أما ما يوصَف بأنه خدمات إدارية فتبلغ نسبته 20%. وقد تخفّض اتفاقية تجنّب الازدواج الضريبي بين المملكة المتحدة والسعودية هذه النسبة عند تقديم شهادة إقامة ضريبية، لكن الإعفاء يقوم على المطالبة وبطيء. احسبوها في السعر قبل تقديم العرض، وانتبهوا للتوصيف.
محدّدة النطاق بمجموعات ضوابط الهيئة الواردة في هذه الصفحة — وصريحة بشأن ما يجب أن ينفّذه مزوّد مرخَّص داخل المملكة.
أيّ مجموعة من ضوابط الهيئة تنطبق، وأيّ الضوابط تستوفونها فعلاً، وما تكلفة مسار واقعي للامتثال قبل الالتزام به.
تقييم ضوابط التقنية التشغيلية والأنظمة الحسّاسة دون المساس بشبكة العمليات — وهو القيد الذي يُفشل معظم العروض في المملكة.
قراءة إطار سدايا مقابل ISO/IEC 42001، والالتزامات التي لا يبلغها المعيار أصلاً.
أخبرونا بالجهة وبأي مجموعات ضوابط الهيئة الوطنية تُقاسون. وإن كانت الإجابة الصادقة أن العمل يجب أن يؤديه مزوّد مرخّص داخل المملكة، فستسمعونها في المكالمة.