سياسة الأمن السيبراني للشركات في السعودية: ما تطلبه الهيئة الوطنية للأمن السيبراني وفق ECC-2:2024 وNCNICC-1:2025
تلزم الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني الجهة بتوثيق سياسات وإجراءات الأمن السيبراني، واعتمادها من صاحب الصلاحية (رئيس الجهة أو من يفوضه)، وتعميمها على المعنيين، وتطبيقها، ودعمها بمعايير تقنية، ومراجعتها على فترات مخطط لها (الضوابط 1-3-1 إلى 1-3-4). وتوفر الهيئة ضمن أدوات الأمن السيبراني نموذجاً مجانياً للسياسة العامة للأمن السيبراني بالعربية والإنجليزية، لكنها تصفه بأنه مثال توضيحي يجب تكييفه. أما شركات القطاع الخاص غير المشغلة للبنى التحتية الحساسة فتخضع لضوابط NCNICC-1:2025 الصادرة في 28 ديسمبر 2025، وتنطبق فيها ضوابط السياسات كاملة على الجهات الكبيرة.
| المصطلح بالإنجليزية | Cybersecurity policy · Information security policy |
|---|---|
| الضوابط | المكون الفرعي 1-3 في ECC-2:2024، الضوابط 1-3-1 إلى 1-3-4 |
| جهة الاعتماد | صاحب الصلاحية: رئيس الجهة أو من يفوضه |
| المراجعة | على فترات مخطط لها وعند تغير الأنظمة (ECC)، ومرة سنوياً على الأقل (نموذج الهيئة) |
| استقلال الإدارة | إدارة للأمن السيبراني مستقلة عن تقنية المعلومات (الضابط 1-2-1) |
| النماذج المجانية | أدوات الأمن السيبراني: أكثر من 30 سياسة ومعايير وإجراءات بالعربية والإنجليزية |
| طبيعة النماذج | أمثلة توضيحية يجب تكييفها واعتمادها |
| القطاع الخاص | NCNICC-1:2025، صدرت في 28 ديسمبر 2025 (بالعربية فقط) |
| الكبيرة مقابل الصغيرة والمتوسطة | الكبيرة: أكثر من 250 موظفاً أو إيرادات تتجاوز 200 مليون ريال (عكاظ وBaker McKenzie) |
أي إطار من أطر الهيئة ينطبق على شركتك؟
| الجهة | الإطار الأساسي | ضوابط السياسات |
|---|---|---|
| جهة حكومية، أو شركة خاصة تملك بنية تحتية وطنية حساسة أو تشغلها أو تستضيفها | الضوابط الأساسية للأمن السيبراني ECC-2:2024 | إلزامية (المكون الفرعي 1-3) |
| شركة خاصة كبيرة خارج البنى التحتية الحساسة (أكثر من 250 موظفاً أو إيرادات تتجاوز 200 مليون ريال) | NCNICC-1:2025 | ضوابط الحوكمة ومنها السياسات إلزامية |
| شركة خاصة صغيرة أو متوسطة (6 إلى 249 موظفاً أو إيرادات من 3 إلى 200 مليون ريال) | NCNICC-1:2025 | قراءتنا للنص العربي أن ضوابط الحوكمة موصى بها لا ملزمة، فراجع النص الرسمي |
وتستند حدود الحجم إلى ملخصات عكاظ وBaker McKenzie لضوابط القطاع الخاص. وحتى حين تكون السياسة المكتوبة موصى بها فقط، فإن البنوك والعملاء الكبار والجهات الحكومية يطلبونها عادة في استبيانات الأمن السيبراني. ويشرح دليل ضوابط القطاع الخاص ودليل الضوابط الأساسية كل إطار بالتفصيل.
ما تطلبه الضوابط الأساسية ECC-2:2024 في سياسات الأمن السيبراني
تتكون الضوابط الأساسية في إصدارها الثاني من 4 مكونات أساسية و28 مكوناً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً. ويضم المكون الفرعي 1-3 الخاص بسياسات وإجراءات الأمن السيبراني أربعة ضوابط:
| الضابط | المتطلب |
|---|---|
| 1-3-1 | تحدد الإدارة المعنية بالأمن السيبراني سياسات وإجراءات الأمن السيبراني وتوثقها، بما فيها الضوابط والمتطلبات، وتعتمدها من صاحب الصلاحية، وتعممها على الأشخاص والأطراف المعنية |
| 1-3-2 | تضمن الإدارة المعنية تطبيق السياسات والإجراءات |
| 1-3-3 | تُدعم السياسات والإجراءات بمعايير تقنية أمنية، مثل معايير جدران الحماية وقواعد البيانات وأنظمة التشغيل |
| 1-3-4 | تُراجع السياسات وتُحدَّث على فترات مخطط لها أو عند تغير التشريعات، مع توثيق التغييرات واعتمادها |
وتحدد ضوابط أخرى من يملك السياسة، إذ يوجب الضابط 1-2-1 إنشاء إدارة للأمن السيبراني مستقلة عن إدارة تقنية المعلومات والاتصالات، ويُفضّل ارتباطها برئيس الجهة، ويوجب الضابط 1-2-3 تشكيل لجنة إشرافية للأمن السيبراني. وتوجب الضوابط 1-8-1 إلى 1-8-3 المراجعة الدورية من الإدارة المعنية والتدقيق المستقل من جهة أخرى، وتوجب الضوابط 1-10-1 إلى 1-10-5 برنامجاً معتمداً للتوعية.
ما تطلبه ضوابط القطاع الخاص NCNICC-1:2025
أصدرت الهيئة ضوابط الأمن السيبراني لجهات القطاع الخاص غير المشغلة للبنى التحتية الحساسة (NCNICC-1:2025) في 28 ديسمبر 2025، وتتكون من ثلاثة مكونات: حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، والأمن السيبراني المتعلق بالأطراف الخارجية. ويشمل مكون الحوكمة إدارة الأمن السيبراني، والسياسات والإجراءات، وإدارة المخاطر، والمراجعة والتدقيق الدوري من جهة مستقلة عن وحدة الأمن السيبراني، والتوعية والتدريب.
وللجهات الكبيرة، تذكر الملخصات الصحفية والقانونية 65 ضابطاً أساسياً، ووحدة للأمن السيبراني ترتبط برئيس الجهة وتستقل عن تقنية المعلومات ويقودها سعودي مؤهل متفرغ. وللمنشآت الصغيرة والمتوسطة تذكر 26 ضابطاً. والوثيقة الرسمية منشورة بالعربية فقط، فتحقق من الضوابط المنطبقة على فئتك من نص الهيئة نفسه.
ما الذي تتضمنه سياسة الأمن السيبراني؟
وفق بنية نموذج السياسة العامة للأمن السيبراني الصادر عن الهيئة، تغطي السياسة العامة عادة:
- الغرض والنطاق: الأصول والأشخاص والأطراف الخارجية المشمولة.
- بنود السياسة: التزامات الجهة في الاستراتيجية والأدوار وإدارة المخاطر والالتزام والتدقيق والموارد البشرية والتوعية وإدارة الأصول والصلاحيات والشبكات وحماية البيانات والحوادث والأطراف الخارجية واستمرارية الأعمال.
- الأدوار والمسؤوليات: صاحب الصلاحية، والإدارة المعنية بالأمن السيبراني، واللجنة الإشرافية، وجميع العاملين.
- السياسات الفرعية والمعايير المندرجة تحتها.
- الالتزام بالسياسة وعواقب مخالفتها.
- دورة المراجعة والتحديث ومالك الوثيقة.
والسياسة العامة رأس مجموعة وثائق، إذ يبحث المقيّم كذلك عن السياسات الفرعية (كإدارة الصلاحيات والاستخدام المقبول وتصنيف البيانات وإدارة الحوادث) والمعايير التقنية والإجراءات، والسجلات التي تثبت تطبيقها. وتكون خطة الاستجابة للحوادث عادة الوثيقة التالية التي يطلبها العملاء.
استخدام أدوات الأمن السيبراني المجانية من الهيئة
توفر الهيئة ضمن "أدوات الأمن السيبراني" نماذج مجانية بصيغ Word وPDF وExcel بالعربية والإنجليزية، تشمل وثائق الحوكمة (الهيكل التنظيمي، والأدوار والمسؤوليات، والوثيقة المنظمة للجنة الإشرافية، والاستراتيجية)، وأكثر من 30 سياسة، وأكثر من 30 معياراً، وإجراءات، ونموذج تعهد الالتزام بسياسات الأمن السيبراني، وبرنامجاً للتوعية. وحُدّثت الصفحة الإنجليزية آخر مرة في نوفمبر 2025.
والنماذج نقطة بداية جيدة، لكن الهيئة تنص على أنها طُورت "كمثال توضيحي يمكن استخدامه كدليل ومرجع للجهات"، لا كسياسة جاهزة. وقبل الاعتماد يجب استبدال الحقول، وحذف المربعات التوجيهية، وتكييف المحتوى مع أنظمتك وحجمك وقطاعك، والتأكد من أن الإدارات واللجان المذكورة موجودة فعلاً. والنموذج غير المكيّف من أسرع الملاحظات التي يسجلها المقيّم.
الاعتماد والتعميم وتعهد العاملين
- الاعتماد: ينص نموذج الهيئة على اعتماد السياسة من رئيس الجهة (صاحب الصلاحية) أو من يفوضه. احتفظ بالاعتماد الموقّع أو محضر المجلس.
- التعميم: عمّمها على العاملين والأطراف المعنية عبر قنوات رسمية كالبوابة الداخلية أو البريد الإلكتروني، واحتفظ بما يثبت ذلك.
- التعهد: يتيح نموذج تعهد الالتزام بسياسات الأمن السيبراني للعاملين الإقرار بالاطلاع. ولم نجد ضابطاً يشترط التوقيع، لكنه أبسط دليل على التعميم.
- المراجعة: تحدد الضوابط الأساسية فترات مخططاً لها، ويحدد نموذج الهيئة مرة سنوياً على الأقل أو عند حدوث تغييرات. وثّق كل مراجعة حتى لو لم يتغير شيء.
ما الذي يطلبه المقيّم؟
يشير دليل الهيئة لتطبيق الضوابط الأساسية إلى الأدلة التالية لضوابط السياسات:
| الضابط | الأدلة المعتادة |
|---|---|
| 1-3-1 | سياسات وإجراءات معتمدة، واعتماد وفق مصفوفة الصلاحيات، وما يثبت التعميم |
| 1-3-2 | خطة عمل للتطبيق وتقرير مراجعة التطبيق، وإقرارات العاملين |
| 1-3-4 | جدول مراجعة معتمد وسجلات اعتماد التحديثات |
| 1-2-1 | الهيكل التنظيمي وقرار إنشاء الإدارة المعنية بالأمن السيبراني |
| 1-8-2 | تقارير التدقيق الداخلي أو الخارجي |
أخطاء شائعة
- نشر نموذج الهيئة مع بقاء الحقول أو المربعات التوجيهية.
- اعتماد السياسة من مدير تقنية المعلومات بدلاً من رئيس الجهة أو مفوَّض رسمي.
- سياسة تذكر إدارة أو لجنة للأمن السيبراني لا وجود لها في الشركة.
- غياب ما يثبت أن العاملين تسلموا السياسة أو اطلعوا عليها.
- عدم وجود سجل مراجعة منذ كتابة السياسة لأول مرة.
- كتابتها بالإنجليزية فقط مع أن المقيّمين أو العاملين يعملون بالعربية.
قائمة التحقق لسياسة الأمن السيبراني
- نعرف هل ينطبق علينا ECC-2:2024 أو NCNICC-1:2025، وفي أي فئة.
- سياستنا العامة مكيّفة لشركتنا وليست نموذجاً خاماً.
- اعتمدها رئيس الجهة أو مفوَّض رسمي.
- تندرج تحتها سياسات فرعية ومعايير تقنية.
- تسلّمها العاملون ولدينا إقراراتهم.
- تتولى الأمن السيبراني جهة مستقلة عن تقنية المعلومات حيث يلزم ذلك.
- نراجع السياسة مرة سنوياً على الأقل ونوثق كل مراجعة.
- لدينا الأدلة التي سيطلبها المقيّم.
الأسئلة الشائعة
هل يجب على كل شركة سعودية تطبيق الضوابط الأساسية للأمن السيبراني؟
لا. تسري الضوابط الأساسية على الجهات الحكومية والشركات التي تملك بنية تحتية وطنية حساسة أو تشغلها أو تستضيفها، أما بقية شركات القطاع الخاص فتخضع لضوابط NCNICC-1:2025 الصادرة في 28 ديسمبر 2025.
من يعتمد سياسة الأمن السيبراني؟
صاحب الصلاحية في الجهة، أي رئيسها أو من يفوضه، وفق الضابط 1-3-1 ونموذج السياسة الصادر عن الهيئة.
كم مرة تجب مراجعة سياسة الأمن السيبراني؟
تشترط الضوابط الأساسية المراجعة على فترات مخطط لها وعند تغير الأنظمة والتشريعات، ويحدد نموذج الهيئة مرة سنوياً على الأقل.
هل يكفي استخدام نموذج الهيئة المجاني؟
يمكنك البدء منه، لكن الهيئة تصفه بأنه مثال توضيحي، فيجب تكييفه لشركتك واعتماده من رئيس الجهة قبل أن يُعد سياستك.
هل يجب أن تكون إدارة الأمن السيبراني مستقلة عن تقنية المعلومات؟
نعم وفق الضابط 1-2-1 من الضوابط الأساسية. وفي ضوابط القطاع الخاص يلزم الجهات الكبيرة وجود وحدة مستقلة ترتبط برئيس الجهة، ويبدو أن ذلك موصى به للمنشآت الصغيرة والمتوسطة.
هل السياسة المكتوبة إلزامية للمنشآت الصغيرة والمتوسطة وفق NCNICC؟
قراءتنا للنص العربي أن ضوابط الحوكمة، ومنها السياسات، موصى بها للمنشآت الصغيرة والمتوسطة لا ملزمة. راجع النص الرسمي، وفي الواقع تطلبها البنوك والعملاء الكبار عادة.
أدلة ذات صلة
المصادر
- الهيئة الوطنية للأمن السيبراني — الضوابط الأساسية ECC-2:2024 (PDF)
- الهيئة الوطنية للأمن السيبراني — دليل تطبيق الضوابط الأساسية (PDF)
- الهيئة الوطنية للأمن السيبراني — أدوات الأمن السيبراني
- NCA — Cybersecurity Toolkits (English)
- الهيئة الوطنية للأمن السيبراني — نموذج السياسة العامة للأمن السيبراني (PDF)
- NCA — Corporate Cybersecurity Policy template (English, PDF)
- الهيئة الوطنية للأمن السيبراني — خبر إصدار ضوابط القطاع الخاص (ديسمبر 2025)
- الهيئة الوطنية للأمن السيبراني — صفحة ضوابط NCNICC-1:2025
- عكاظ — ضوابط الأمن السيبراني للقطاع الخاص
- Baker McKenzie — ضوابط الأمن السيبراني للجهات الخاصة
- Clyde & Co — الضوابط الأساسية للأمن السيبراني (2025)
هذا الدليل لأغراض إعلامية عامة ولا يُعد استشارة قانونية. تحقق دائماً من النص الرسمي لدى الجهة المختصة قبل اتخاذ أي قرار.