L'Autorité nationale de cybersécurité saoudienne (NCA) a publié le 30 octobre 2026 son barème des infractions de cybersécurité et des sanctions. Il compte 26 infractions, dont 21 de gravité élevée et 5 de gravité moyenne, avec une fourchette d'amende pour chaque taille d'entreprise. Le décret royal M/117 du 21/6/1446H plafonnait déjà les amendes à 25 millions de riyals et laissait les montants au conseil de la NCA. Les entreprises peuvent désormais lire le prix de chaque infraction.
Points clés
- Amende la plus lourde : de 5 à 25 millions SAR pour une grande entreprise exerçant une activité de cybersécurité de niveau 1 sans licence de la NCA.
- Contrôles : un manquement aux contrôles de la NCA coûte de 15 000 SAR à 5 millions SAR selon la taille. Cela couvre les contrôles essentiels, les contrôles du secteur privé, ainsi que ceux du cloud, des données, du télétravail, des réseaux sociaux et des technologies opérationnelles.
- Signalement : ne pas signaler immédiatement une intrusion réelle ou potentielle via le portail Haseen coûte de 10 000 à 500 000 SAR.
- Récidive : une infraction répétée dans les deux ans ajoute 50 %, 75 %, puis 100 % de la dernière amende. La cinquième fois entraîne le maximum.
- Réductions : l'autodéclaration retire 20 %, et les mesures correctives prises avant la saisine de la commission retirent 30 %.
Les amendes selon la taille
Les tailles suivent la classification de Monshaat. Les montants sont en riyals saoudiens.
| Infraction (numéro) | Micro (A) | Petite (B) | Moyenne (C) | Grande (D) |
|---|---|---|---|---|
| Activité de niveau 1 sans licence (1) | 50 000 à 500 000 | 100 000 à 1 M | 1 M à 5 M | 5 M à 25 M |
| Activité de niveau 2 sans licence (2) | 25 000 à 100 000 | 50 000 à 500 000 | 500 000 à 2 M | 2 M à 10 M |
| Autre activité sans licence, manquement aux contrôles, informations trompeuses, décisions et alertes de la NCA non appliquées (3, 5 à 17, 19, 25) | 15 000 à 60 000 | 30 000 à 100 000 | 200 000 à 1 M | 1 M à 5 M |
| Manquement aux conditions de licence, refus de fournir des informations, vente d'équipement non conforme, entrave aux inspecteurs (4, 18, 20, 22) | 10 000 à 40 000 | 20 000 à 50 000 | 50 000 à 500 000 | 100 000 à 1 M |
| Absence de signalement immédiat d'une intrusion ou d'une menace (26) | 10 000 à 30 000 | 15 000 à 50 000 | 50 000 à 100 000 | 100 000 à 500 000 |
| Détention d'équipement non conforme, défaut de coopération avec les inspecteurs, autres infractions (21, 23, 24) | 10 000 à 20 000 | 20 000 à 40 000 | 30 000 à 60 000 | 50 000 à 100 000 |
Certaines infractions entraînent aussi des amendes distinctes pour les personnes physiques, de 2 000 à 25 000 SAR. Les autres mesures comprennent l'avertissement, la suspension de la licence pour un an au plus, son retrait, et la suspension du service ou de l'activité. Les amendes de licence s'appliquent par activité, et celles sur l'équipement par catégorie d'équipement.
Comment le montant final est fixé
Une première infraction entraîne le minimum prévu pour la taille de l'entreprise. Une première infraction de gravité moyenne sans effet substantiel peut se limiter à un avertissement. L'amende double si le contrevenant a tiré un gain de l'infraction, et elle peut augmenter de 30 % au plus si l'entreprise possède ou exploite une infrastructure nationale critique.
La commission peut aussi reclasser l'infraction. Si celle-ci porte atteinte à la sécurité nationale, aux infrastructures critiques ou aux services publics, elle peut doubler le maximum, dans la limite de 25 millions SAR. À l'inverse, elle peut abaisser la gravité, sans descendre sous 50 % du minimum.
Selon le décret, une commission d'au moins trois membres examine les dossiers. Elle peut ordonner la publication de la décision aux frais du contrevenant et le versement des gains au Trésor. Le recours se forme devant le tribunal administratif dans les 60 jours suivant la notification. En cas d'urgence, la NCA peut suspendre immédiatement une activité. Elle doit transmettre cette décision sous 3 jours ouvrés, et la commission dispose ensuite de 10 jours ouvrés pour statuer.
Qui est concerné
Les contrôles du secteur privé (NCNICC-1:2025) répartissent les entreprises en deux groupes :
- Catégorie A, grandes : plus de 250 salariés à temps plein ou plus de 200 millions SAR de revenus annuels, avec 65 contrôles.
- Catégorie B, petites et moyennes : de 6 à 249 salariés ou de 3 à 200 millions SAR de revenus, avec 26 contrôles.
Les deux s'imposent aux entreprises « destinataires d'une circulaire de l'Autorité » (notre traduction). La première question pour une entreprise est donc de savoir si elle a reçu cette circulaire. Attention, les lettres vont en sens inverse : la catégorie A désigne les grandes entreprises dans les contrôles, alors que (A) désigne les micro-entreprises dans le barème.
Ce que les documents ne disent pas
Ni le barème ni l'annonce de la NCA n'indiquent de date d'entrée en vigueur, de période de grâce ou de date d'approbation par le conseil. Le barème prévoit une colonne micro-entreprises pour les manquements aux contrôles, alors que le NCNICC commence à six salariés ou 3 millions SAR de revenus. Nous n'avons pas trouvé d'explication officielle sur l'articulation des deux textes : une micro-entreprise doit donc interroger directement la NCA ou son conseil.
Que faire maintenant
- Vérifiez si la NCA a adressé des contrôles à votre entreprise, et lesquels.
- Désignez le responsable du compte Haseen et la personne qui signale, de jour comme de nuit.
- Prévoyez deux délais dans le plan d'incident. La NCA dit « immédiatement ». Si des données personnelles sont exposées, le délai de 72 heures de la PDPL s'applique aussi envers la SDAIA. Notre calculateur de notification de violation de données établit les délais SDAIA et UE, mais pas celui de la NCA.
- Si vous achetez des services de sécurité, demandez au prestataire sa licence NCA lorsqu'elle est requise.
Les directives de cybersécurité pour l'IA de la NCA forment un document distinct, et notre audit de sécurité IA pour les PME offre un point de départ pratique pour les systèmes d'IA. Si vous devez relier vos journaux et alertes à un processus de signalement capable de respecter ces obligations, contactez-nous.
Sources : annonce de la NCA, le barème (PDF), dispositions du décret royal M/117 (PDF), NCNICC-1:2025, Okaz