جاري التحميل…
جاري التحميل…
00 · الزبدة باختصار
ابدأ بنوع البيانات، وهل أنت مزود سحابة أو عميل، والجهات التنظيمية التي تشمل منشأتك. نطاق PDPL وNDMO وNCA وCST يختلف. هالدليل، المراجع في 14 سبتمبر 2026، يساعدك تتحقق من مكان الاستضافة وتسجيل المزود ومتطلبات النقل قبل اختيار البنية.
أطر تنظيمية تتحقق من نطاقها: SDAIA · NDMO · NCA · CST
من العلم بالتسرب لإشعار سدايا عند تحقق شروط المادة 24
الحد الأعلى للغرامة الإدارية العامة؛ وقد تزيد عند التكرار
انتهت الفترة الانتقالية في 14 سبتمبر 2024. قرار الاستضافة يحتاج مراعاة النظام الحالي ولوائحه التنفيذية.[S1]
ما تقرره النصوص الحالية
لكل التزام وعقوبة شروط محددة. ارجع للنظام المعدل الحالي، ولا تعتمد على ملخص عقوبات مأخوذ من نص 2021 الأصلي.[S2]
الاستضافة المحلية قد تسهل تلبية شرط الإقامة، لكن قاعدة البيانات الرئيسية جزء من المسار. راجع النسخ الاحتياطية والسجلات وطلبات الذكاء الاصطناعي ووصول الدعم من الخارج. ووثق المسار النظامي للنقل وتقييم المخاطر المطلوب حسب الحالة.[S3]
قواعد وأدلة منشورة وإعلانات مزودين مختارة. تاريخ الإعلان أو المراجعة ليس بالضرورة تاريخ النفاذ.
منطقة me-central2 متاحة؛ توفر كل خدمة وضوابط السيادة يحتاج تحقق مستقل.
متطلبات معالجة البيانات الشخصية ونقلها ليست التزاما مؤجلا.
يحذف الملحق د ضابطين فرعيين للمزود ويحيل متطلبات التوطين إلى NDMO. لا يعني ذلك السماح الشامل بالاستضافة الخارجية.
يشمل النطاق المنشآت الخاصة الصغيرة والمتوسطة والكبيرة غير الحساسة التي تعمم عليها NCA. راجع الفئة والمهلة في التعميم.
الدليل GCCC-CSP-2:2026 المرتبط بصفحة NCA يساعد المزود على التطبيق وتجهيز أدلة الالتزام. ليس بديلا عن CCC-2:2024.
تدرجها AWS ضمن الخطط المستقبلية. أزيل من هالدليل الادعاء السابق بتشغيلها في يناير ورمز المنطقة غير المؤكد.
تقول Microsoft إن التشغيل المحلي يبدأ من الربع الرابع 2026. الموعد مستقبلي وقت المراجعة؛ أكد توفر الخدمة قبل الالتزام.
01 · الحقيقة التي لا يقولها أحد بصراحة
وصف البيانات بأنها حساسة في PDPL لا يجعلها تلقائيا مصنفة حكوميا، ولا يفرض الفئة C على كل حالة. تحقق بشكل مستقل من نطاق حوكمة البيانات وضوابط NCA وتسجيل المزود لدى CST وقيود القطاع. حذفت CCC-2:2024 ضابطين فرعيين لتوطين بيانات المزود وأحالت الجهات إلى NDMO؛ وهذا لا يسمح تلقائيا بكل استضافة خارجية.
وثق القاعدة التي تفرض موقعا أو موافقة لهذا النظام. اسم المنطقة السحابية وحده ما يثبت الامتثال.
02 · الجهات الأربع بلمحة
اربط التزاماتك بالجهة الصح قبل لا تصمّم أي شي.
| الجهة | تحكم | الأداة الأساسية | ما تطلبه منك |
|---|---|---|---|
| SDAIA (PDPL) | معالجة البيانات الشخصية ضمن نطاق النظام | النظام + اللائحة التنفيذية + لائحة النقل | مسوغ نظامي، إشعار خصوصية، سجلات وضوابط المعالج، مسؤول حماية عند اللزوم، إشعار التسرب بشروطه ونقل مشروع |
| NDMO | حوكمة البيانات الوطنية وتصنيفها ضمن نطاق السياسات | سياسات حوكمة البيانات + سياسة التصنيف | تحقق من شمول المنشأة أو البيانات بالسياسة، ثم طبق التصنيف وقواعد التعامل ذات الصلة |
| NCA | الأمن السيبراني للجهات الداخلة في نطاق كل وثيقة | ECC-2:2024 · NCNICC-1:2025 · CCC · DCC · NCS · CSCC | حدد خط الأساس وأي تعميم من الهيئة؛ استخدام السحابة وحده لا يجعل كل الضوابط إلزامية |
| CST | تقديم الخدمات السحابية وتسجيل مزوديها | تنظيمات تقديم خدمات الحوسبة السحابية | المزود يتحقق من متطلبات التسجيل؛ والعميل يتحقق من الجهة المسجلة وفئتها ونطاق الخدمة |
03 · الخطوة الأولى: صنّف
إذا كانت سياسة NDMO تنطبق، صنف البيانات حسب مستوياتها الأربعة. وحدد بشكل مستقل البيانات الشخصية والحساسة في PDPL؛ التصنيفان ما يحلان محل بعض.
أبلغ الأثر على المصلحة الوطنية عند كشفه. أشد معالجة وأكثرها تقييدًا للإقامة.
أثر بالغ. طبق متطلبات التعامل والاستضافة الصادرة عن الجهة المختصة.
أثر محدود/داخلي. وصول مضبوط وتسجيل.
لا ضرر عند الإفصاح. الإقامة مرنة.
البيانات «الحساسة» في PDPL
04 · الخطوة الثانية: أين تُستضاف
هذي قائمة للتخطيط. وصف البيانات في PDPL وحده ما يحدد فئة تسجيل CST ولا يجيز نقل البيانات.
| البيانات | قرار الاستضافة | التحقق من المزود | النقل عبر الحدود |
|---|---|---|---|
| عامة / غير شخصية | راجع العقود وقواعد القطاع | تحقق من التسجيل ونطاق الخدمة | قواعد نقل PDPL تخص البيانات الشخصية |
| شخصية غير حساسة | محلية أو خارجية حسب المتطلبات المطبقة | راجع التزامات المزود بشكل مستقل | وثق المسار النظامي وتقييم المخاطر عند اللزوم |
| شخصية حساسة (صحية، حيوية…) | راجع القطاع؛ الحساسية وحدها ليست شرط توطين شامل | لا توجد قاعدة عامة للفئة C بسبب وصف PDPL وحده | ضمانات أعلى؛ وتقييم المادة 7 عند تحقق شروطه |
| مصنفة حكوميا | طبق تصنيف الجهة المختصة ومتطلبات الموقع | أكد فئة المزود المعتمدة والنظام المشمول | لا تنقل قبل التحقق من متطلبات الجهة المختصة |
تحقق من توفر كل خدمة وموقع النسخ الاحتياطية ووصول الدعم. المنطقة المعلن عنها ما تعتبر خيارا تشغيليا قائما. بيانات المزودين أدناه ليست شهادة امتثال لنظامك.
المناطق السحابية السعودية: المتاح والمعلن عنه
| المزوّد | الحالة | المنطقة | محقّق |
|---|---|---|---|
| AWS الشرق الأوسط (السعودية) | معلن عنها؛ غير مدرجة كمنطقة متاحة لدى AWS | السعودية؛ رمز المنطقة غير مؤكد | 2026-09-14 |
| Google Cloud الدمام | متاحة · الفئة C؛ الفوترة السعودية عبر CNTXT | me-central2 · الدمام | 2026-09-14 |
| Microsoft Azure السعودية الشرقية | معلن عن الإتاحة من الربع الرابع 2026؛ موعد مستقبلي | المنطقة الشرقية | 2026-09-14 |
تمت مراجعة بيانات المزودين في 14 سبتمبر 2026. أكد توفر الخدمة وتسجيل CST قبل التعاقد.
05 · إذا طلعت أي بيانات برّه المملكة
لا تفترض أن الوجهة معتمدة: لم تعثر هالمراجعة على قائمة كفاية منشورة من سدايا. تحقق من الوضع الحالي للوجهة المقصودة.
تحكم المادة 29 ولائحة النقل أغراض النقل والحد الأدنى من البيانات ومستوى الحماية. تتيح اللائحة مسارات للكفاية ولضمانات محددة بشروط واستثناءات محدودة. البنود المعيارية والقواعد المشتركة الملزمة والاعتماد ليست بدائل متاحة لكل نقل؛ حدد النص المناسب لحالتك.
تقييم مخاطر النقل (TRA)
قواعد النقل الحالية: مصدر سدايا. نسخة أغسطس 2024 هي النص المنشور الذي عثرت عليه هالمراجعة. مقترح الاستطلاع العام وحده لا يثبت نفاذ نص بديل.
06 · الخطوة الثالثة: أمّن
تشمل ECC-2:2024 الجهات الحكومية والبنى التحتية الوطنية الحساسة. وتشمل NCNICC-1:2025 المنشآت الخاصة الصغيرة والمتوسطة والكبيرة غير المصنفة كبنية حساسة التي تعمم عليها NCA. تحقق من النطاق والفئة والمهلة. وتنشر الهيئة دليل GCCC-CSP لعام 2026 لتطبيق ضوابط مزودي السحابة؛ وهو يدعم CCC-2:2024 ولا يستبدلها.
| مجموعة الضوابط | تنطبق عندما | في سطر |
|---|---|---|
| ECC-2:2024 | الجهات الحكومية والبنى التحتية الحساسة المشمولة | الضوابط الأساسية للأمن السيبراني؛ تحقق من النطاق قبل اعتبارها خط الأساس |
| NCNICC-1:2025 | المنشآت الخاصة الصغيرة والمتوسطة والكبيرة غير الحساسة التي تعمم عليها NCA | الفئة أ: 65 ضابطا عبر 3 مجالات؛ الفئة ب: 26 ضابطا في مجال واحد. راجع تعميم الهيئة ومعايير الحجم الرسمية |
| CCC-2:2024 + دليل GCCC-CSP-2:2026 | مستفيدو السحابة الحكوميون والبنى الحساسة المشمولون ومزودوهم | واجبات مستقلة للمزود والمستفيد. دليل 2026 للتطبيق؛ ومتطلبات الموقع تحتاج مراجعة NDMO وPDPL والقطاع |
| DCC-1:2022 | الجهات الحكومية والبنى الحساسة المشمولة | ضوابط لحماية البيانات؛ اربط مصطلحات التصنيف الرسمية بسياسة بياناتك |
| NCS-1:2020 | عندما تتطلب الضوابط المطبقة استخدام التشفير | راجع النسخة المنشورة لدى NCA؛ وجود مسودة للاستطلاع لا يثبت نفاذ معيار بديل |
| CSCC-1:2019 | الأنظمة الحساسة الداخلة في النطاق | ضوابط إضافية للأنظمة الحساسة؛ النظام الحكومي ليس حساسا تلقائيا |
ما أنت متأكد إن NCA تنطبق عليك؟ ← هل تنطبق ضوابط NCA على شركتي؟
07 · إذا كنت مزوّد استضافة
تختلف واجبات عميل السحابة عن واجبات مزودها. يدرج عرض CST للفئات الأفراد والقطاعين الخاص وغير الربحي ضمن A وB وC، ويتوسع نطاق البيانات الحكومية بحسب الفئة. تحقّق من تسجيل المزود الحالي والمتطلبات الأخرى لبياناتك قبل التعاقد.
البيانات الحكومية العامة، إلى جانب خدمة الأفراد والقطاعين الخاص وغير الربحي.
تضيف البيانات الحكومية المسماة Confidential في عرض CST الإنجليزي إلى نطاق الفئة A.
تضيف البيانات الحكومية السرية والسرية للغاية إلى نطاق الفئة B. التسجيل وحده لا يجيز حمولة عمل بعينها.
بدأ نفاذ تنظيمات السحابة بالإصدار الرابع ودليل المزود بالإصدار الخامس في 10 أكتوبر 2023. وعلى مشغلي خدمات مراكز البيانات تقييم تنظيمات CST المستقلة لمراكز البيانات، النافذة منذ 1 يناير 2024. وصف البيانات بالحساسة وفق PDPL لا يحدد الفئة C تلقائيًا؛ أكّد التصنيف وشروط التسجيل والموافقات القطاعية المنطبقة.
08 · كلفة الخطأ
يفرق نظام حماية البيانات المعدل بين المخالفات الإدارية وجريمة محددة تخص البيانات الحساسة. عقوبة النقل القديمة (سنة ومليون ريال) ليست في المادة 35 الحالية، وحذفت من هالدليل.
أعلى غرامة إدارية عامة وفق المادة 36؛ مع إتاحة الإنذار
جريمة المادة 35: سجن و/أو غرامة مع تحقق القصد المحدد
إشعار التسرب من وقت العلم عند تحقق شروط المادة 24
عدّاد الخرق: 72 ساعة
ابدأ بتحديد نطاق كل جهة تنظيمية. يحكم PDPL معالجة البيانات الشخصية المشمولة، وقد يضيف القطاع متطلبات أخرى. يشمل NCNICC المنشآت الخاصة غير الحرجة التي تعمم عليها NCA وفق نطاق الوثيقة.
الجهات التنظيمية
أهم الالتزامات
ملاحظة الاستضافة
طبق متطلبات التعامل والسحابة حسب تصنيف البيانات الحكومية. تغطي الفئة C السري والسري للغاية؛ ولا تلزم تلقائيا لكل البيانات الحكومية.
المطبّ
قد يشير مستوى «مقيّد» في NDMO و«سري/Confidential» في NCA/CCC إلى المستوى نفسه، فوفّق بين المصطلحين قبل ربط الضوابط.
الجهات التنظيمية
أهم الالتزامات
ملاحظة الاستضافة
قد تبسط الاستضافة المحلية تصميم النظام. حساسية البيانات في PDPL وحدها لا تثبت شرطا عاما للتوطين أو الفئة C؛ النقل يحتاج مسارا نظاميا ومراجعة القطاع.
المطبّ
الموافقة وضمانات النقل لا تتجاوز قيود القطاع ولا تلغي وجوب تقييد الوصول للبيانات الصحية.
الجهات التنظيمية
أهم الالتزامات
ملاحظة الاستضافة
ينص إطار ساما على استخدام سحابة داخل المملكة من حيث الأصل؛ واستخدامها خارج المملكة يحتاج موافقة صريحة من ساما.
المطبّ
يغطي القسم 3.4.3 السحابة العامة والهجينة للجهات المشمولة ويستثني السحابة الداخلية الخاصة. وجود بيانات مالية وحده لا يثبت انطباق ساما.
الجهات التنظيمية
أهم الالتزامات
ملاحظة الاستضافة
لا يفرض PDPL استضافة محلية عامة لبيانات العملاء. راجع شروط النقل ومتطلبات خدمات الدفع أو القطاع بشكل مستقل.
المطبّ
الشراء وحده لا يمنح موافقة على تسويق لا يرتبط به.
الجهات التنظيمية
أهم الالتزامات
ملاحظة الاستضافة
في بيانات الطلاب الشخصية يُفضّل داخل المملكة أو النقل وفق ضمانات؛ ووثّق المعالجين الذين يتعاملون مع بيانات القُصّر.
المطبّ
بيانات الأطفال لا تصبح حساسة في PDPL بسبب العمر وحده. تحقق من نوع البيانات ومتطلبات الأهلية معا.
الجهات التنظيمية
أهم الالتزامات
ملاحظة الاستضافة
اختر خدمة متاحة تحقق شروط الاستضافة والنقل المنطبقة. تحقق من تسجيل المزود وتوفر المنطقة؛ الفئة C ليست شرطا عاما للمنشآت الصغيرة والمتوسطة.
المطبّ
عدد الموظفين وحده لا يثبت إلزام NCNICC. راجع النطاق الرسمي وفئة منشآت وأي تعميم من NCA.
09 · الاختصار
تحدد إجاباتك مسائل تحتاج مراجعة: الإقامة وتسجيل المزود ونطاق NCA ومسؤول حماية البيانات ومتطلبات القطاع. الناتج أداة تخطيط؛ أربع إجابات ما تكفي لحسم كل التزاماتك النظامية.
الإجابات مأخوذة فقط من قاعدة المعرفة الموثّقة في هذه الصفحة وتستشهد بمصدرها [S#]. ويخبرك متى لا يوجد مصدر موثّق بدل التخمين.
جرّب سؤالًا:
ليست استشارة قانونية. أكّد مقابل وثائق الجهات التنظيمية الأولية (انظر قسم المصادر) ومستشار سعودي مؤهل قبل الإطلاق.
جاوب على 7 أسئلة لتعرف الأطر والفحوصات المرتبطة بنظامك. كل نتيجة مرتبطة بمصدرها.
10 · اختصار التسعين يومًا
كل ما سبق في صفحة واحدة، على مراحل. هذه نسخة «الاختصار» لكل ما تقدّم.
الأيام 1–30
الأيام 31–60
الأيام 61–90
هذه ليست استشارة قانونية. أكّد التفاصيل مقابل وثائق الجهات التنظيمية الأولية ومستشار سعودي مؤهل قبل الإطلاق.
11 · أظهر عملك
مصادر المراجعة التنظيمية وبيانات المزودين. اختلاف تاريخ المراجعة عن تاريخ الوثيقة لا يعني تغير النظام.
مراجعة الاستضافة وحماية البيانات: 14 سبتمبر 2026. صححت هالمراجعة ملخصات سابقة وأضافت دليل NCA التطبيقي لمزودي السحابة لعام 2026؛ ولا تعني صدور نظام جديد يفرض توطين كل البيانات.
12 · الأسئلة الشائعة
إجابات قصيرة وموثّقة عن أوّل الأسئلة التي تطرحها الفرق. كل إجابة ترتبط بمصدرها الأولي.