دليل · المملكة العربية السعودية · 1 أكتوبر 2026
يكتشف معظم المورّدين الأجانب القواعد السعودية بنداً تعاقدياً تلو الآخر. وهنا نعرضها بالترتيب الذي ستواجهونها به: التسجيل، والضوابط التي يجب على عميلكم نقلها إليكم، والجهة التي يجوز أن تذهب إليها البيانات.
على كل جهة تقدّم حلول أو خدمات أو منتجات الأمن السيبراني داخل المملكة أن تسجّل. ويأتي ترخيص مراكز العمليات المُدارة فوق ذلك، بعتبات ملكية سعودية واشتراط مقرّ إقليمي في الفئة الأولى. ويخلص التحليل القانوني إلى أن الشركات التي كانت تقدّم الخدمات المشمولة إلى المملكة من الخارج لم يعد ذلك مشروعاً لها.
طُرح للاستطلاع من 25 فبراير إلى 26 مارس 2026. ويغطي في صيغته المقترحة أكثر من مئة خدمة، منها الاستشارات والتقييمات صراحةً، ويشترط كياناً قانونياً سعودياً، وملكية سعودية بنسبة 75% ورأس مال قدره 10 ملايين ريال لخدمة الجهات الحكومية أو البنية التحتية الحرجة، مع إقامة كاملة للبيانات داخل المملكة. ولم يكن قد صدر عند مراجعتنا في 1 أكتوبر 2026.
بالنسبة إلى العملاء الملزَمين بالضوابط الأساسية، يشترط الضابط 4-1-3 أن تكون مراكز العمليات الأمنية المُدارة التي تستخدم الوصول عن بُعد موجودة بالكامل داخل المملكة. ولن تفي المراقبة عن بُعد من دبي أو لندن أو بنغالور بهذا الشرط، أياً كان ما ينص عليه العقد.
تنطبق ECC-2:2024 على الجهات الحكومية والشركات والجهات التابعة لها داخل المملكة وخارجها، وعلى جهات القطاع الخاص التي تملك بنية تحتية وطنية حساسة أو تشغّلها أو تستضيفها. ويُلزمها المكوّن الفرعي الخاص بالأطراف الثالثة (4-1) بتضمين حدّ أدنى من الشروط في عقدكم:
ويخضع مزوّدو الخدمات السحابية والاستضافة أيضاً إلى ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024)، التي تنطبق على المزوّدين والمستأجرين على حدّ سواء، وإلى ضوابط الاستضافة في الضوابط الأساسية (4-2): حماية بيانات العميل وفق تصنيفها، وإعادتها بصيغة قابلة للاستخدام عند انتهاء الخدمة، وفصل بيئته عن بيئات العملاء الآخرين. وعلى مزوّدي الخدمات السحابية العاملين في المملكة مراجعة دليل التسجيل الصادر عن هيئة الاتصالات والفضاء والتقنية (القرار 506/1445).
نظام حماية البيانات الشخصية نافذ بالكامل منذ 14 سبتمبر 2024، وتصل غراماته إلى 5 ملايين ريال، وتُضاعف عند التكرار. ويحتاج النقل خارج المملكة إلى أساس مشروع بموجب لائحة النقل المعدَّلة الصادرة عن سدايا (1 سبتمبر 2024): قرار ملاءمة، أو ضمانات مناسبة مثل البنود التعاقدية المعيارية الصادرة عن سدايا، أو القواعد المؤسسية الملزمة، أو شهادة اعتماد، مع تقييم لمخاطر النقل في بعض الحالات.
وقد حذفت ECC-2:2024 الضابط القديم الذي كان يشترط الاستضافة داخل المملكة، وأحالت موقع البيانات إلى قواعد مكتب إدارة البيانات الوطنية. وعملياً، تتوقع الجهات الحكومية بقاء بياناتها داخل المملكة؛ فاتفقوا على موقع الاستضافة كتابةً قبل تسعير العمل.
نقدّم للمورّدين تقييماً مستقلاً للجاهزية مقابل الضوابط التي سينقلها إليهم عميلهم السعودي، قبل أن يُجري العميل تقييمه. لا نُقيّم أبداً عملاً قدّمنا المشورة بشأنه، ولا نبيع أبداً الحلّ لأي شيء نقيّمه. وإن كانت الإجابة الصادقة أن العمل يجب أن يتولاه مزوّد مرخّص داخل المملكة، فستسمعونها في المكالمة.
ليس حالياً لغرض التسجيل: فالتسجيل في منصة «حصين» هو الشرط القائم لكل من يقدّم حلولاً أو خدمات أو منتجات للأمن السيبراني في المملكة. أما مسودة الإطار التنظيمي لترخيص خدمات الأمن السيبراني RFCS-1:2026 فتشترط كياناً قانونياً سعودياً، وملكية سعودية بنسبة 75% ورأس مال قدره 10 ملايين ريال لخدمة الجهات الحكومية أو البنية التحتية الحرجة، لكنها لم تكن قد صدرت عند مراجعتنا في 1 أكتوبر 2026.
لا، بالنسبة إلى العملاء الملزَمين بالضوابط الأساسية للأمن السيبراني. فالضابط 4-1-3 من ECC-2:2024 يشترط أن تكون مراكز العمليات الأمنية المُدارة التي تستخدم الوصول عن بُعد موجودة بالكامل داخل المملكة.
فقط على أساس مشروع بموجب نظام حماية البيانات الشخصية ولائحة النقل: قرار ملاءمة، أو ضمانات مناسبة مثل البنود التعاقدية المعيارية الصادرة عن سدايا، أو القواعد المؤسسية الملزمة، أو شهادة اعتماد، مع تقييم للمخاطر حين يلزم.
حذفت ECC-2:2024 الضابط القديم الخاص بالاستضافة داخل المملكة، وأحالت موقع البيانات إلى قواعد مكتب إدارة البيانات الوطنية. وفي الأعمال الحكومية، توقّعوا أن يشترط العميل الاستضافة داخل المملكة، واطلبوا تأكيد ذلك كتابةً.
روجع في 1 أكتوبر 2026. لا تنشر سدايا نسخاً يمكن الربط بها مباشرة لنظام حماية البيانات الشخصية ولائحة النقل على نطاقها؛ راجعوا سجل اللوائح لدينا. هذا الدليل ليس استشارة قانونية.
أخبرونا بما تبيعونه ومن هو العميل، وسنخبركم بالبوابات التي تنطبق قبل أن تلتزموا بسعر.