البيئة التجريبية التشريعية لساما: متطلبات الأمن السيبراني والمرونة السيبرانية لشركات التقنية المالية

فريق الامتثال في WaqiSec · آخر مراجعة: 2026-10-14

ما البيئة التجريبية التشريعية لساما؟

تتيح البيئة التجريبية التشريعية للشركات المحلية والدولية اختبار منتجات مالية رقمية جديدة مع عملاء حقيقيين في بيئة منضبطة، تمهيداً لإطلاقها في المملكة. ونشرت ساما إطارها في 2018، ثم تحولت في 2022 إلى استقبال الطلبات بشكل مستمر، وأطلقت في يونيو 2026 خدمة البيئة التجريبية المطوَّرة عبر بوابة الخدمات الإلكترونية.

ويحق التقدم لثلاث فئات: المؤسسات المرخصة من ساما، وشركات التقنية المالية والشركات الناشئة المحلية غير المرخصة، وشركات التقنية المالية الدولية غير المرخصة، سواء تقدمت مباشرة أو عبر شريك مرخص. وتقيّم ساما أربعة جوانب: الابتكار الحقيقي، والفائدة للمستهلك والسوق، ووجود منتج أولي وتقنية جاهزة للاختبار، وخطة الخروج. ولا تقبل النماذج التي تغطيها الأنظمة القائمة أو محاولات الالتفاف عليها.

المراحل والمدد

ولا يسمح خطاب الموافقة الأولي إلا بتأسيس الشركة أو تعديل نشاطها لدى وزارة التجارة كشركة تقنية مالية، ولا يجيز بدء التشغيل. ويحتاج التشغيل الفعلي إلى إذن لاحق من ساما بعد استيفاء متطلبات الجاهزية (يسميه الإطار خطاب القبول، وتشير المذكرة الإرشادية إلى خطاب عدم ممانعة). وقبل ذلك لا يُسمح بالاختبار إلا في بيئات التطوير وببيانات تجريبية.

ما الذي تفحصه ساما سيبرانياً عند الدخول؟

تعتمد المرحلة الثانية على معايير تقييم الجاهزية التشغيلية، وتذكر ساما أنها تراجعها وتحدّثها دورياً. وتشمل الجوانب المتعلقة بالأمن والبيانات حالياً:

• إدارة المخاطر التقنية والسيبرانية؛
• تقييم الثغرات واختبار الاختراق؛
• سياسة الأمن السيبراني ومعاييره وإجراءاته؛
• سيادة البيانات؛
• خطط الاستجابة السيبرانية واستمرارية الأعمال؛
• المراقبة الأمنية وإدارة الحوادث؛
• الالتزام بالمتطلبات التنظيمية للأمن السيبراني؛
• الالتزام بمتطلبات خصوصية البيانات.

ويطلب نموذج التقديم كذلك جداول للمخاطر والاحتيال تغطي المخاطر السيبرانية، وثلاثة أو أربعة سيناريوهات اختبار مع مؤشرات للمخاطر والأداء. وينص الإطار على أنه من غير المرجح التساهل في متطلبات حماية بيانات المستهلك والمرونة السيبرانية داخل البيئة التجريبية، فخطط لاستيفائها كاملة.

ما المتطلبات الأساسية للمرونة السيبرانية؟

المتطلبات الأساسية للمرونة السيبرانية (CRFR) حد أدنى أصدرته ساما، الإصدار 1.0 بتاريخ يناير 2022. وتسري على الجهات الراغبة في دخول البيئة التجريبية وعلى الجهات التي تسعى إلى الحصول على ترخيص للعمل في المملكة، وتقدمها ساما بوصفها الحد الأدنى من المرونة السيبرانية الذي يجب أن يثبته المنضم الجديد قبل الترخيص.

ولا تحل هذه المتطلبات محل الإطار التنظيمي للأمن السيبراني ولا إطار إدارة استمرارية الأعمال، إذ يرتبط كل ضابط فيها بأقسام من الإطارين. وتسمي الوثيقة ثلاثة مجالات: القيادة والحوكمة، والعمليات والتقنية، والمرونة، وتضم ما يزيد قليلاً على عشرين ضابطاً مرقماً. وتجري الجهة تقييماً ذاتياً عبر استبيان وترسل نسخة منه إلى ساما، ولساما أن تدقق في أي وقت، وأن ترفض التخرج أو الترخيص إذا لم يثبت الالتزام.

أبرز الضوابط التي يجب التخطيط لها

ولا تحدد المتطلبات عدد ساعات للإبلاغ، بل تقول "فوراً"، كما لا تحدد دورية ثابتة للتقييم الذاتي.

الحوسبة السحابية وسيادة البيانات

لا يتناول نص المتطلبات الأساسية الاستضافة السحابية ولا توطين البيانات، ويقع ذلك للمنضمين إلى البيئة التجريبية ضمن جانب "سيادة البيانات" في معايير الجاهزية. وبعد الترخيص يسري الإطار التنظيمي الكامل: الأصل استخدام خدمات سحابية موجودة داخل المملكة، ويحتاج استخدام خدمات سحابية خارجها إلى موافقة صريحة من ساما، كما يلزم الحصول على موافقة ساما قبل استخدام الخدمات السحابية أصلاً (القسم 3.4.3، ولا يشمل السحابة الخاصة الداخلية). ويخضع نقل البيانات الشخصية إلى الخارج كذلك لنظام حماية البيانات الشخصية، وهو ما يشرحه دليلنا عن نقل البيانات خارج المملكة.

المقارنة مع الإطار التنظيمي الكامل للأمن السيبراني

ويشرح دليل إطار الأمن السيبراني لساما الإطار الكامل ومستويات النضج.

من البيئة التجريبية إلى الترخيص

يحدد إطار ساما ثلاثة مخارج: طلب ترخيص كامل أو تعديل ترخيص قائم، أو الخروج دون ترخيص عبر خطة خروج تحمي العملاء، أو تأكيد ساما بعدم الحاجة إلى ترخيص أو إشراف. وتشير الأسئلة الشائعة للبيئة التجريبية إلى بدء إجراءات الترخيص بعد ستة أشهر من الاختبار على الأقل وقبل نهاية الشهر التاسع. ومن الأمثلة الحديثة نقل ساما للمصرفية المفتوحة في مارس 2026 من البيئة التجريبية إلى نظام ترخيص يشترط إثبات الجاهزية السيبرانية والمرونة التشغيلية (بحسب Clyde & Co).

الوثائق المطلوب تجهيزها

1. سياسة الأمن السيبراني والمعايير الداعمة لها، معتمدة من الإدارة.
2. تقييم المخاطر السيبرانية وسجلها للمنتج محل الاختبار.
3. تقييم ذاتي للمتطلبات الأساسية مع أدلة لكل ضابط.
4. تقارير اختبار الاختراق وتقييم الثغرات مع متابعة المعالجة.
5. إجراء الاستجابة للحوادث متضمناً الإبلاغ الفوري لساما.
6. خطط استمرارية الأعمال والتعافي من الكوارث مع سجلات اختبارها.
7. بيان سيادة البيانات ومكان الاستضافة، وحزمة خصوصية متوافقة مع نظام حماية البيانات الشخصية لبيانات العملاء.

قائمة التحقق السيبرانية للبيئة التجريبية

• طابقنا منتجنا مع معايير البيئة التجريبية وأعددنا خطة الخروج.
• تغطي جداول المخاطر والاحتيال في الطلب المخاطر السيبرانية.
• أكملنا التقييم الذاتي للمتطلبات الأساسية مع الأدلة.
• اختبار الاختراق مجدول مرتين سنوياً على الأقل.
• إجراء الحوادث لدينا يبلغ ساما فوراً بالحوادث المتوسطة فأعلى.
• نحتفظ بسجلات الأحداث الأمنية سنة على الأقل.
• اختبرنا خطط الاستمرارية والتعافي والنسخ الاحتياطي.
• نعرف مكان استضافة البيانات وما يتطلبه من موافقة ساما.
• لدينا خطة للوصول إلى مستوى النضج 3 بعد الترخيص.

أدلة ذات صلة

هذا الدليل لأغراض إعلامية عامة ولا يُعد استشارة قانونية. تحقق دائماً من النص الرسمي لدى الجهة المختصة قبل اتخاذ أي قرار.