Loading…
حتى 2026، كان أغلب الشركات الخاصة في السعودية تفترض أن ضوابط NCA «للبنية التحتية الحرجة، لا لنا». ولم يعد ذلك صحيحًا. فمع NCNICC-1:2025 (سارية من يناير 2026)، مدّت الهيئة الوطنية للأمن السيبراني أرضية إلزامية لتشمل كل منشأة في القطاع الخاص بالمملكة — لا البنية التحتية الوطنية الحرجة فقط.[S1]
في أي فئة أنت؟
لست متأكدًا أيها ينطبق عليك؟ ← جرّب فحص «هل أنا ممتثل؟» في دقيقتين.
إذا صنّفت جهة تنظيمية أنظمتك كبنية تحتية حرجة (طاقة، مال، صحة، اتصالات، أو قريبة من القطاع الحكومي)، فأنت تحت حزمة NCA الكاملة — ECC-2:2024 (4 مجالات، ~110 ضوابط)، وCCC-2:2024 للسحابة، وDCC-1:2022 للبيانات.[S2]
يصنّف NCNICC-1:2025 منشآت القطاع الخاص غير الحرجة إلى الفئة A (كبيرة: 250+ موظف أو إيراد يتجاوز 200 م ر.س) والفئة B (صغيرة/متوسطة: 6–249 موظف أو إيراد 3–200 م ر.س). تطبّق الفئة A مجموعة الـ65 ضابطًا كاملة؛ والفئة B ملفًّا أخفّ. وكلاهما إلزامي.[S1]
يُنظَّم NCNICC في ثلاثة مكوّنات — الحوكمة، والدفاع السيبراني، والأمن السيبراني للطرف الثالث والحوسبة السحابية — بمتطلبات عملية مثل تقييمات المخاطر الدورية، وحماية الأجهزة الطرفية، وتصنيف البيانات، وإدارة النسخ الاحتياطي، وإجراءات الاستجابة للحوادث، وتوعية الموظفين.[S3]
ضوابط NCA ونظام PDPL التزامان منفصلان ومتوازيان. تحكم NCA الأمن السيبراني؛ ويحكم PDPL (هيئة البيانات) البيانات الشخصية. والشركة المعتادة التي تقدّم خدمات SaaS وتعالج بيانات شخصية سعودية تخضع للاثنين معًا الآن — NCNICC للوضع الأمني، وPDPL لمعالجة البيانات والنقل العابر للحدود. ولا يُعفي أحدهما من الآخر.