نشرت الهيئة الوطنية للأمن السيبراني في 30 أكتوبر 2026 «جدول تصنيف مخالفات الأمن السيبراني وما يقابلها من العقوبات». يضم الجدول 26 مخالفة، منها 21 عالية الجسامة و5 متوسطة، ولكل حجم منشأة نطاق غرامة خاص به. كان المرسوم الملكي م/117 بتاريخ 21/6/1446هـ قد حدد سقف الغرامة بـ25 مليون ريال وترك المقادير لمجلس إدارة الهيئة، وأصبح بوسع المنشآت الآن معرفة كلفة كل مخالفة.
أبرز النقاط
- أعلى غرامة: من 5 إلى 25 مليون ريال للمنشأة الكبيرة التي تزاول نشاط أمن سيبراني من المستوى الأول دون ترخيص من الهيئة.
- الضوابط: تتراوح غرامة مخالفة ضوابط الهيئة بين 15 ألف ريال و5 ملايين ريال بحسب الحجم. ويشمل ذلك الضوابط الأساسية وضوابط القطاع الخاص وضوابط الحوسبة السحابية والبيانات والعمل عن بعد وحسابات التواصل الاجتماعي والأنظمة التشغيلية.
- الإبلاغ: تتراوح غرامة عدم الإبلاغ الفوري عن اختراق واقع أو محتمل عبر بوابة «حصين» بين 10 آلاف و500 ألف ريال.
- التكرار: تكرار المخالفة خلال سنتين يضيف 50% ثم 75% ثم 100% من آخر غرامة، وتطبَّق الغرامة القصوى في المرة الخامسة.
- التخفيف: الإبلاغ الذاتي يخفض الغرامة 20%، واتخاذ الإجراءات التصحيحية قبل الادعاء أمام اللجنة يخفضها 30%.
الغرامات بحسب حجم المنشأة
يتبع تصنيف الأحجام معايير «منشآت». المبالغ بالريال السعودي.
| المخالفة (رقم البند) | متناهية الصغر (أ) | صغيرة (ب) | متوسطة (ج) | كبيرة (د) |
|---|---|---|---|---|
| نشاط من المستوى الأول دون ترخيص (1) | 50 ألفًا إلى 500 ألف | 100 ألف إلى مليون | مليون إلى 5 ملايين | 5 إلى 25 مليونًا |
| نشاط من المستوى الثاني دون ترخيص (2) | 25 ألفًا إلى 100 ألف | 50 ألفًا إلى 500 ألف | 500 ألف إلى مليونين | مليونان إلى 10 ملايين |
| نشاط آخر دون ترخيص، مخالفة الضوابط، معلومات مضللة، عدم تنفيذ قرارات الهيئة وتنبيهاتها (3، 5 إلى 17، 19، 25) | 15 ألفًا إلى 60 ألفًا | 30 ألفًا إلى 100 ألف | 200 ألف إلى مليون | مليون إلى 5 ملايين |
| مخالفة شروط الترخيص، الامتناع عن تزويد الهيئة بالمعلومات، بيع عتاد غير مطابق، إعاقة المفتشين (4، 18، 20، 22) | 10 آلاف إلى 40 ألفًا | 20 ألفًا إلى 50 ألفًا | 50 ألفًا إلى 500 ألف | 100 ألف إلى مليون |
| عدم الإبلاغ الفوري عن اختراق أو تهديد (26) | 10 آلاف إلى 30 ألفًا | 15 ألفًا إلى 50 ألفًا | 50 ألفًا إلى 100 ألف | 100 ألف إلى 500 ألف |
| حيازة عتاد غير مطابق، عدم التعاون مع المفتشين، مخالفات أخرى (21، 23، 24) | 10 آلاف إلى 20 ألفًا | 20 ألفًا إلى 40 ألفًا | 30 ألفًا إلى 60 ألفًا | 50 ألفًا إلى 100 ألف |
وتقابل بعض المخالفات غرامات منفصلة للأفراد، من ألفي ريال إلى 25 ألف ريال. ومن العقوبات الأخرى الإنذار، وتعليق الترخيص مدة لا تتجاوز سنة، وإلغاء الترخيص، وإيقاف الخدمة أو النشاط. وتتعدد غرامات الترخيص بتعدد الأنشطة، وغرامات العتاد بتعدد فئاته.
كيف يتحدد المبلغ النهائي
تطبَّق في المخالفة الأولى الغرامة الدنيا لفئة المنشأة. وقد تنتهي المخالفة الأولى متوسطة الجسامة بإنذار إذا لم تترتب عليها آثار جوهرية. وتتضاعف الغرامة إذا حقق المخالف عائدًا ماليًا من المخالفة، وقد تزيد بما لا يتجاوز 30% إذا كانت الجهة تملك بنى تحتية وطنية حساسة أو تشغلها.
وللجنة أيضًا إعادة التصنيف. فإذا مست المخالفة الأمن الوطني أو البنى التحتية الحساسة أو الخدمات الحكومية، جاز لها مضاعفة الحد الأعلى ضمن سقف 25 مليون ريال. وفي المقابل يجوز لها خفض الجسامة، على ألا تقل الغرامة عن 50% من الحد الأدنى.
وبموجب المرسوم، تنظر في المخالفات لجنة لا يقل أعضاؤها عن ثلاثة. ولها أن تأمر بنشر القرار على نفقة المخالف وبتوريد ما حصّله من المخالفة إلى الخزينة العامة. ويكون التظلم أمام المحكمة الإدارية خلال 60 يومًا من تاريخ الإبلاغ. وفي الحالات العاجلة تستطيع الهيئة إيقاف النشاط فورًا، على أن تحيل القرار خلال 3 أيام عمل، وتفصل فيه اللجنة خلال 10 أيام عمل.
من يشمله هذا
تقسم ضوابط القطاع الخاص (NCNICC-1:2025) الجهات إلى فئتين:
- الفئة (أ)، الكبيرة: أكثر من 250 موظفًا بدوام كامل أو أكثر من 200 مليون ريال إيرادات سنوية، وعليها 65 ضابطًا.
- الفئة (ب)، الصغيرة والمتوسطة: من 6 إلى 249 موظفًا أو من 3 إلى 200 مليون ريال إيرادات، وعليها 26 ضابطًا.
وتلزم الفئتان الجهات «التي يتم التعميم عليها من قبل الهيئة». لذلك فالسؤال الأول لأي منشأة هو: هل وصلها هذا التعميم؟ ولاحظ أن الحروف تسير في اتجاهين متعاكسين: فالفئة (أ) تعني الكبيرة في الضوابط، بينما (أ) تعني متناهية الصغر في جدول العقوبات.
ما لا تذكره الوثائق
لا يذكر الجدول ولا إعلان الهيئة تاريخ بدء التطبيق أو مهلة انتقالية أو تاريخ اعتماد مجلس الإدارة. ويتضمن الجدول عمودًا للمنشآت متناهية الصغر عند مخالفة الضوابط، بينما تبدأ ضوابط NCNICC من 6 موظفين أو 3 ملايين ريال إيرادات. ولم نجد توضيحًا رسميًا لكيفية التوفيق بينهما، لذلك ينبغي للمنشأة متناهية الصغر أن تسأل الهيئة أو مستشارها القانوني مباشرة.
ما الذي ينبغي فعله الآن
- تحقق هل عممت الهيئة أي ضوابط على منشأتك، وما هي.
- حدد من يملك حساب «حصين» ومن يرفع البلاغ في أي ساعة من اليوم.
- اجعل في خطة الحوادث مهلتين. الهيئة تقول «فورًا». وإذا تسربت بيانات شخصية تنطبق أيضًا مهلة 72 ساعة في نظام حماية البيانات الشخصية تجاه سدايا. وتحسب أداة مهلة الإبلاغ عن تسريب البيانات مهلتي سدايا والاتحاد الأوروبي، لكنها لا تحسب مهلة الهيئة.
- إذا كنت تشتري خدمات أمن سيبراني، فاطلب من المزود ترخيص الهيئة حيثما كان مطلوبًا.
أما ضوابط الأمن السيبراني للذكاء الاصطناعي فوثيقة منفصلة، ويصلح دليلنا لتدقيق أمن الذكاء الاصطناعي في المنشآت الصغيرة نقطة بداية عملية لأنظمة الذكاء الاصطناعي. وإذا احتجت إلى ربط سجلاتك وتنبيهاتك بمسار إبلاغ يفي بهذه الالتزامات، تواصل معنا.
المصادر: إعلان الهيئة، الجدول (PDF)، الممكنات النظامية بالمرسوم م/117 (PDF)، NCNICC-1:2025، عكاظ