Loading…
٠٠ · الزبدة باختصار
أي نظام يلمس بيانات شخصية — لا تقول الحساسة — جوّه المملكة يشغّل في نفس اللحظة نظام حماية البيانات (SDAIA/PDPL)، وتصنيف NDMO، وضوابط الأمن السيبراني (NCA)، وتسجيل فئة الحوسبة السحابية عند CST. والتصميم الأقل مخاطرة هو إنك تستضيف جوّه المملكة، بدون نقل عابر للحدود، عند مزوّد مسجّل في CST. هذي الصفحة هي الخريطة والاختصارات وأداة تحوّل تفاصيلك إلى قائمة تحقّق.
جهات تنظيمية تُفعّل معًا: SDAIA · NDMO · NCA · CST
لإبلاغ هيئة البيانات بأي خرق — دون حدّ للأهمية
أعلى غرامة عامة (تتضاعف إلى ١٠ م عند التكرار)
انتهت فترة السماح في ١٤ سبتمبر ٢٠٢٤. ما عاد نظام حماية البيانات الشخصية التزامًا «نجهّز له بعدين» — هيئة البيانات تصدر قرارات الحين.[S1]
وش يصير فعليًا
أغلب المخالفات لين الحين ترجع للأساسيات: معالجة بدون أساس نظامي صحيح، وإفصاح غير مصرّح، وغياب الضمانات التقنية والتنظيمية، وتسويق بدون موافقة.[S2]
مخاطر الإنفاذ ترفع أهمية «وين» تعيش البيانات و«كيف» يصير النقل. لين الحين هيئة البيانات ما نشرت قائمة دول «كافية»، فالنقل العابر للحدود يمشي على بنود تعاقدية معيارية أو قواعد ملزمة مع تقييم مخاطر النقل — مو على اختصار «هالدولة معتمدة».[S3]
تجمّع النظام على مراحل: ضوابط البيانات، ثم مناطق داخل المملكة، ثم إنفاذ PDPL، والآن أرضية أمن سيبراني للقطاع الخاص. وبقيت مراسٍ قليلة منتظرة.
تصنيف بيانات من ٤ مستويات و٤٧ ضابطًا فرعيًا للجهات الحكومية ومشغّلي البنية التحتية الوطنية الحرجة.
أول منطقة لمزوّد كبير داخل المملكة؛ وتضيف لاحقًا Sovereign Controls by CNTXT على بنية الفئة C.
انتهاء المرحلة الانتقالية ومدتها سنة؛ ويصبح نظام حماية البيانات الشخصية واجب النفاذ بالكامل.
تصبح البنود التعاقدية المعيارية ضمانًا أساسيًا للنقل العابر للحدود في غياب قائمة الكفاية.
مُحدَّث إلى ٤ مجالات و~١١٠ ضوابط؛ ويجب شغل جميع أدوار الأمن السيبراني بكوادر سعودية مؤهلة.
تغييرات مقترحة على قواعد مسؤول حماية البيانات وواجب الرد على هيئة البيانات خلال ١٠ أيام عمل. لم تؤكَّد سريانها بعد.
ثلاث مناطق توفّر حول الرياض؛ باستثمار نحو ٥٫٣ مليار دولار.
تمدّ NCA الأمن السيبراني الإلزامي ليشمل كل منشأة خاصة غير حرجة، متدرّجًا حسب الحجم (الفئة A ٦٥ ضابطًا).
تعلن هيئة البيانات ٤٨ قرار إنفاذ؛ غرامات تصل ٥ ملايين ريال، نافذة رد ٥ أيام، وصلاحية إيقاف المعالجة.
ثلاث مناطق توفّر مبنية في المنطقة الشرقية؛ التوفّر العام مؤكّد للربع الرابع ٢٠٢٦.
لين تُنشر (المادة ٣ من لائحة النقل)، يعتمد النقل العابر للحدود على البنود المعيارية/القواعد الملزمة مع تقييم مخاطر النقل.
٠١ · الحقيقة اللي ما أحد يقولها بصراحة
يبحث الكثيرون عن مادة واحدة تقول «البيانات الحساسة يجب أن تبقى داخل المملكة». لا توجد كبند واحد. الاستضافة داخل المملكة نتيجة مركّبة لأمرين: (أ) قواعد النقل العابر للحدود في PDPL مع ضمانات وموافقة هيئة البيانات، و(ب) ترخيص فئة الحوسبة السحابية لدى CST — حيث الفئة C وحدها يحق لها استضافة البيانات السرية / السرية للغاية. يحدّد NDMO التصنيف، وتحدّد NCA الضوابط الأمنية. ولم تنشر هيئة البيانات قائمة «كفاية» للدول، لذا يحتاج اليوم كل نقل عابر للحدود إلى بنود تعاقدية معيارية سعودية أو قواعد ملزمة أو اعتماد، إضافة إلى تقييم مخاطر النقل.
بطّل تدوّر على «نظام الإقامة» الواحد. مكان الاستضافة شي يطلع من قواعد النقل في PDPL + ترخيص الفئات عند CST.
٠٢ · الجهات الأربع بلمحة
اربط التزاماتك بالجهة الصح قبل لا تصمّم أي شي.
| الجهة | تحكم | الأداة الأساسية | ما تطلبه منك |
|---|---|---|---|
| SDAIA (PDPL) | البيانات الشخصية والحساسة | النظام + اللائحة التنفيذية + لائحة النقل | أساس نظامي، إشعار خصوصية، سجل المعالجة، اتفاقيات معالجة، مسؤول حماية (إن لزم)، إشعار خرق خلال ٧٢ ساعة، ضمانات النقل |
| NDMO | تصنيف البيانات وحوكمتها | سياسات حوكمة البيانات + سياسة التصنيف | تصنيف كل مجموعة بيانات إلى ٤ مستويات وتطبيق قواعد المعالجة |
| NCA | ضوابط الأمن السيبراني | ECC-2:2024 · NCNICC-1:2025 · CCC · DCC · NCS · CSCC | خط الأساس ECC-2 (حكومي/CNI) أو NCNICC-1:2025 (القطاع الخاص العام)؛ أضف CCC للسحابة وDCC لبيانات الحكومة/CNI وNCS للتشفير وCSCC للأنظمة الحساسة |
| CST | ترخيص مزوّدي الخدمات السحابية | لوائح تقديم خدمات الحوسبة السحابية | التسجيل/التأهيل حسب الفئة — الفئة C وحدها تستضيف السري |
٠٣ · الخطوة الأولى — صنّف
ما تقدر تحمي شي ما صنّفته. كل مجموعة بيانات تاخذ مستوى NDMO، والبيانات الشخصية تاخذ كمان وسم PDPL.
أبلغ الأثر على المصلحة الوطنية عند كشفه. أشد معالجة وأكثرها تقييدًا للإقامة.
أثر بالغ. نطاق الاستضافة داخل المملكة والفئة C.
أثر محدود/داخلي. وصول مضبوط وتسجيل.
لا ضرر عند الإفصاح. الإقامة مرنة.
البيانات «الحساسة» في PDPL
٠٤ · الخطوة الثانية — وين تُستضاف
هذي المصفوفة تركيب عملي لقواعد النقل في PDPL + ترخيص الفئات عند CST + مستويات NDMO. خذ عمود «داخل المملكة» على إنه الخيار المتحفّظ الافتراضي.
| البيانات | أين يمكن استضافتها | فئة CST اللازمة | النقل العابر للحدود |
|---|---|---|---|
| عامة / غير شخصية | مرنة (داخل أو خارج) | A أو B | مسموح عمومًا |
| شخصية (غير حساسة) | داخل المملكة مفضّل | A / B / C | مسموح بضمانات + تقييم مخاطر |
| شخصية حساسة (صحية، حيوية…) | داخل المملكة | C | تدقيق مشدّد + تقييم مخاطر إلزامي |
| سري / سري للغاية (مصنّفة) | داخل المملكة فقط | C فقط | ممنوع فعليًا |
خيارات داخل المملكة شائعة: AWS me-central-2، وGoogle Cloud الدمام (مع Sovereign Controls by CNTXT)، وOracle، والعروض السيادية. تأكد أن فئة تسجيل المزوّد لدى CST تغطي بياناتك قبل التوقيع — وراجع جدول الحالة المحقّقة تحت.
مناطق داخل المملكة — حالة محقّقة
| المزوّد | الحالة | المنطقة | محقّق |
|---|---|---|---|
| AWS الشرق الأوسط (السعودية) | فعّالة منذ يناير ٢٠٢٦ · ٣ مناطق توفّر · ٥٫٣ مليار $ | me-central-2 · الرياض | 2026-06-26 |
| Google Cloud الدمام | فعّالة · Sovereign Controls by CNTXT (بنية الفئة C) | me-central2 · الدمام | 2026-06-26 |
| Microsoft Azure السعودية الشرقية | التوفّر العام مؤكّد للربع الرابع ٢٠٢٦ · ٣ مناطق توفّر | المنطقة الشرقية | 2026-06-26 |
مناطق سحابية شائعة للاستضافة داخل المملكة. الحالة محقّقة في ٢٦ يونيو ٢٠٢٦ — تأكد أن فئة تسجيل المزوّد لدى CST تغطي بياناتك قبل التوقيع.
٠٥ · إذا طلعت أي بيانات برّه المملكة
هيئة البيانات ما نشرت قائمة بالدول «الكافية». ولين ما تسوّيها، تبني ضمان خاص لكل تدفّق.
لأي نقل للخارج تحتاج ضمانًا مناسبًا — بنودًا تعاقدية معيارية سعودية أو قواعد ملزمة للشركات أو اعتمادًا — إضافة إلى تقييم مخاطر النقل. ويجب ألا يضرّ النقل بالأمن الوطني أو المصالح الحيوية للمملكة، وأن يلتزم بتقليل البيانات إلى الحد الأدنى اللازم.
تقييم مخاطر النقل (TRA)
مقترح: تعديلات اللائحة التنفيذية للنظام — أُغلق الاستطلاع العام في ٢٧ مايو ٢٠٢٥. التعديلات المقترحة تلغي/تستبدل قواعد تعيين مسؤول حماية البيانات، وتضيف واجب الرد على استفسارات هيئة البيانات خلال ١٠ أيام عمل. اعتبرها مقترحة — تأكد من سريانها قبل الاستشهاد بها كنص ملزم.
٠٦ · الخطوة الثالثة — أمّن
تعتمد أرضيتك على هويتك التنظيمية: الجهات الحكومية والبنية التحتية الوطنية الحرجة تلتزم بـ ECC-2:2024، بينما صار للقطاع الخاص العام أرضية إلزامية خاصة هي NCNICC-1:2025. زِد الباقي حسب طبيعة نظامك.
| مجموعة الضوابط | تنطبق عندما | في سطر |
|---|---|---|
| ECC-2:2024 | دائمًا (خط الأساس) | الضوابط الأساسية للأمن السيبراني — أرضية أي جهة مشمولة |
| NCNICC-1:2025 | القطاع الخاص العام (غير CNI) | ضوابط الأمن السيبراني للبنية غير الحرجة — الأرضية الإلزامية الجديدة للشركات الخاصة. الفئة A (٢٥٠+ موظف أو إيراد > ٢٠٠ م ر.س): ٦٥ ضابطًا أساسيًا عبر الحوكمة والدفاع السيبراني والطرف الثالث والسحابة؛ الفئة B (منشأة صغيرة/متوسطة ٦–٢٤٩ موظف أو ٣–٢٠٠ م ر.س): مجموعة مخفّضة. |
| CCC (CCC-2:2024) | السحابة ضمن النطاق | ضوابط الأمن السيبراني للحوسبة السحابية — تقسيم المسؤوليات بين المزوّد والمستفيد |
| DCC-1:2022 | بيانات حكومية أو CNI | ضوابط الأمن السيبراني للبيانات — ٣ مجالات و٤٧ ضابطًا فرعيًا وتصنيف بيانات من ٤ مستويات (ملاحظة: يستخدم مستوى «سري/Confidential» حيث يقول NDMO في §٠٣ «مقيّد» — اربط التصنيفين صراحةً). |
| NCS-1:2020 | تستخدم التشفير | المعايير الوطنية للتشفير — خوارزميات معتمدة وإدارة مفاتيح. وNCS-2:2025 غير مؤكّد — تأكّد من سريانه قبل الاعتماد عليه. |
| CSCC-1:2019 | النظام «حساس» / حكومي | ضوابط الأنظمة الحساسة — الطبقة الأشد |
ما أنت متأكد إن NCA تنطبق عليك؟ ← هل تنطبق ضوابط NCA على شركتي؟
٠٧ · إذا كنت مزوّد استضافة
إذا أنت بس تستهلك السحابة، تختار مزوّد مسجّل وتُعتبر عميل. لكن إذا تقدّم خدمات سحابية/استضافة لغيرك، لازم تسجّل وتتأهّل عند CST حسب الفئة.
أعباء عمل أقل حساسية. أخف الالتزامات.
الوسط. استضافة أوسع للبيانات الشخصية.
الفئة الوحيدة المسموح لها باستضافة البيانات السرية / السرية للغاية.
سجّل عبر المنصة الوطنية (my.gov.sa) بموجب لوائح تقديم خدمات الحوسبة السحابية (سارية منذ ١٠ أكتوبر ٢٠٢٣). تحقّق من تعريفات الفئات الحالية مقابل وثيقة CCSPR الرسمية قبل الاعتماد على هذا التقسيم.
٠٨ · كلفة الخطأ
تطبيق PDPL فعّال — انتهت فترة السماح في ١٤ سبتمبر ٢٠٢٤، وأصدرت هيئة البيانات ٤٨ قرارًا، والغرامات العامة توصل ٥ م ر.س (وتتضاعف إلى ١٠ م عند التكرار).
المخالفات العامة — تتضاعف إلى ١٠ م عند التكرار
الإفصاح المتعمّد عن بيانات حساسة (سجن + غرامة)
النقل غير المشروع عبر الحدود (سجن + غرامة)
عدّاد الخرق: ٧٢ ساعة
٠٩ · الاختصار
اختر اللي يوصف نظامك. المرشد يرجّع لك وضع الإقامة، وفئة CST اللازمة (إن وُجدت)، وحزمة ضوابط NCA، واحتمال تحتاج مسؤول حماية بيانات، والطبقات القطاعية، وقائمة تحقّق مخصّصة تقدر تنسخها. متحفّظ بحكم التصميم — يميل للاستضافة جوّه المملكة و«راجع مستشارك».
الإجابات مأخوذة فقط من قاعدة المعرفة الموثّقة في هذه الصفحة وتستشهد بمصدرها [S#]. ويخبرك متى لا يوجد مصدر موثّق بدل التخمين.
جرّب سؤالًا:
ليست استشارة قانونية. أكّد مقابل وثائق الجهات التنظيمية الأولية (انظر قسم المصادر) ومستشار سعودي مؤهل قبل الإطلاق.
١٠ · اختصار التسعين يومًا
كل اللي فوق بصفحة وحدة، على مراحل. هذي نسخة «الاختصار» لكل اللي سبق.
الأيام ١–٣٠
الأيام ٣١–٦٠
الأيام ٦١–٩٠
هذه ليست استشارة قانونية. أكّد التفاصيل مقابل وثائق الجهات التنظيمية الأولية ومستشار سعودي مؤهل قبل الإطلاق.
١١ · أظهر عملك
كل اللي فوق يرجع لوثيقة رسمية على نطاق .gov.sa أو مصدر ثانوي موسوم. تحقّق قبل ما تعتمد.
محدّث حتى 25 يونيو 2026 · أعد التحقق من المصادر التنظيمية الأولية قبل الإطلاق.
١٢ · الأسئلة الشائعة
إجابات قصيرة وموثّقة عن أول الأسئلة اللي تسألها الفرق. كل إجابة ترتبط بمصدرها الأولي.