الأمن السيبراني في السعودية: الالتزامات القانونية التي تحمي شركتك من المساءل
23 يوليو
8 دقيقة قراءة
تاريخ التحديث: 29 يوليو
كثير من الشركات في السعودية تتعامل مع الأمن السيبراني بوصفه شأنًا تقنيًا بحتًا يخص قسم تقنية المعلومات، بينما يحمل في جوهره التزامات قانونية مباشرة على المنشأة نفسها. حين تحتفظ شركتك ببيانات عملائها أو موظفيها، فإنها تصبح طرفًا مسؤولًا أمام أكثر من جهة تنظيمية، وأي تقصير في الحماية قد يفتح الباب أمام غرامات إدارية أو مساءلة جزائية إذا استُغل هذا التقصير في ارتكاب جريمة معلوماتية. في هذا المقال نوضح ما يعنيه الأمن السيبراني قانونيًا للشركات، والجهات المنظمة له، والتزامات المنشأة تجاه بيانات من تتعامل معهم، وما يجب فعله عند وقوع اختراق فعلي.
الأمن السيبراني بالنسبة للشركات في السعودية ليس مجرد إجراء تقني، بل التزام قانوني ينظمه أكثر من إطار: ضوابط الهيئة الوطنية للأمن السيبراني الموجهة للجهات الحكومية والبنية التحتية الحساسة، ونظام حماية البيانات الشخصية الذي يفرض على كل شركة تعالج بيانات أفراد التزامات إشعار وحماية وقد يوقع عليها غرامة تصل إلى خمسة ملايين ريال عند المخالفة، إلى جانب مسؤولية جزائية محتملة إذا أدى ضعف الحماية إلى وقوع جريمة معلوماتية.
ما المقصود بالأمن السيبراني من الناحية القانونية؟
يُقصد بالأمن السيبراني مجموعة الإجراءات والضوابط التي تحمي الأنظمة والشبكات والبيانات من الوصول أو الاستخدام أو التعديل أو التعطيل غير المصرح به. من الناحية القانونية، لا يوجد نظام سعودي واحد يحمل هذا الاسم بالتحديد، بل تتوزع الالتزامات المرتبطة به على عدة أطر: ضوابط تنظيمية تصدرها الهيئة الوطنية للأمن السيبراني، والتزامات وقائية ينص عليها نظام حماية البيانات الشخصية، وتجريم للاعتداءات الفعلية على الأنظمة والبيانات ينص عليه نظام مكافحة الجرائم المعلوماتية.
هذا التوزع يعني أن الشركة قد تكون مخالفة لالتزام تنظيمي دون أن يقع عليها اعتداء إلكتروني فعلي، كما قد تكون ضحية لجريمة معلوماتية رغم التزامها التنظيمي الكامل. فهم هذا الفرق ضروري لتحديد المسار القانوني الصحيح عند التعامل مع أي واقعة.
الجهات المنظمة للأمن السيبراني في السعودية
تتوزع مسؤولية تنظيم الأمن السيبراني بين جهتين رئيسيتين، لكل منهما اختصاص مختلف يهم الشركات بدرجات متفاوتة بحسب طبيعة نشاطها.
الهيئة الوطنية للأمن السيبراني (NCA)
أُنشئت الهيئة الوطنية للأمن السيبراني بأمر ملكي عام 1439هـ لتكون الجهة المرجعية في شؤون الأمن السيبراني بالمملكة. أصدرت الهيئة عدة وثائق ضوابط من أبرزها الضوابط الأساسية للأمن السيبراني، إلى جانب ضوابط متخصصة لقطاعات وأنشطة معينة كالتقنية التشغيلية وحسابات التواصل الاجتماعي المؤسسية. هذه الضوابط موجهة بصورة أساسية للجهات الحكومية ومؤسسات البنية التحتية الوطنية الحساسة، لكنها أصبحت مرجعًا معتمدًا يُقاس عليه مستوى الحماية المعقول حتى لدى الشركات غير المشمولة إلزاميًا بها.
الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)
تختص سدايا بالإشراف على تطبيق نظام حماية البيانات الشخصية، وهو النظام الأكثر ارتباطًا المباشر بالشركات من القطاع الخاص، لأنه يفرض التزامات على أي جهة تعالج بيانات شخصية بغض النظر عن نشاطها. وتتولى سدايا استقبال الشكاوى والإخطارات المتعلقة بحوادث تسرب البيانات، وإصدار القرارات بشأن المخالفات وفرض العقوبات المقررة نظامًا.
الضوابط الأساسية للأمن السيبراني وعلى من تنطبق
تمثل الضوابط الأساسية للأمن السيبراني الحد الأدنى من المتطلبات التي ألزمت بها الهيئة الوطنية للأمن السيبراني الجهات الحكومية ومؤسسات البنية التحتية الوطنية الحيوية، وتغطي جوانب مثل حوكمة الأمن السيبراني، وحماية الأصول المعلوماتية، وإدارة الهوية والصلاحيات، والتعامل مع الحوادث السيبرانية. صدرت نسخة محدثة من هذه الضوابط لمواكبة التهديدات الناشئة ومواءمتها مع معايير دولية معروفة.
الشركات من القطاع الخاص غير المصنفة ضمن البنية التحتية الحساسة ليست مخاطبة إلزاميًا بهذه الضوابط في الغالب، إلا أن هذا لا يعفيها من المسؤولية، لأن أي شركة تتعاقد مع جهة حكومية أو تعمل ضمن سلسلة توريد لقطاع حيوي قد تُلزَم تعاقديًا بالامتثال لهذه الضوابط كشرط من شروط التعاقد.
تنبيه: بعض الشركات تفترض أن عدم خضوعها المباشر لضوابط الهيئة الوطنية للأمن السيبراني يعني عدم وجود التزام قانوني عليها في هذا الشأن. هذا افتراض غير دقيق، لأن نظام حماية البيانات الشخصية يفرض التزامات مستقلة تسري على كل شركة تعالج بيانات شخصية، بصرف النظر عن قطاعها أو حجمها.
التزامات الشركات بموجب نظام حماية البيانات الشخصية
يفرض نظام حماية البيانات الشخصية على كل جهة تحكم في معالجة بيانات شخصية، ومنها الشركات، جملة من الالتزامات تمس مباشرة الأمن السيبراني من الناحية العملية. الجدول التالي يلخص أبرز هذه الالتزامات ومصدرها في النظام.
الالتزام | ما يعنيه عمليًا |
اعتماد سياسة خصوصية بيانات | توثيق كيفية جمع بيانات العملاء والموظفين واستخدامها وتخزينها بصورة واضحة ومتاحة |
اتخاذ وسائل تقنية وتنظيمية للحماية | تطبيق ضوابط وصول وتشفير ومراقبة تتناسب مع حساسية البيانات المعالجة |
الإشعار بحوادث تسرب البيانات | إشعار الهيئة المختصة (سدايا) خلال مهلة محددة نظامًا، وإشعار صاحب البيانات إذا كان التسرب مرجحًا للإضرار به |
تقويم الأثر على الخصوصية | تقييم المخاطر المترتبة على معالجة البيانات لأي منتج أو خدمة تُقدَّم للعموم |
الاستجابة لطلبات أصحاب البيانات | الرد على طلبات الوصول أو التصحيح أو الحذف خلال مدة محددة تبينها اللوائح |
تشير القرارات الصادرة عن لجان النظر في مخالفات النظام إلى أن من أبرز المخالفات الفعلية المسجلة على الشركات معالجة البيانات لأغراض التسويق المباشر دون موافقة صريحة، وعدم إشعار الهيئة بحوادث التسرب خلال المهلة النظامية المحددة بـ72 ساعة من العلم بالحادثة، وعدم تبني وسائل تقنية وتنظيمية كافية للاستجابة لطلبات أصحاب البيانات.
المسؤولية القانونية عند وقوع اختراق أو تسرب بيانات
عند وقوع اختراق فعلي أو تسرب بيانات، تواجه الشركة مستويين من المسؤولية المحتملة. الأول إداري وتنظيمي، ويتمثل في مساءلتها أمام سدايا إذا ثبت تقصيرها في الحماية أو تأخرها في الإشعار، وقد يصل الجزاء إلى الإنذار أو غرامة مالية تحددها اللجنة المختصة بحسب جسامة المخالفة. أما المستوى الثاني فمدني، ويتمثل في احتمال مطالبة العملاء أو الموظفين المتضررين بالتعويض عن الأضرار الناتجة عن تسريب بياناتهم، خاصة إذا ترتب عليه ضرر مالي أو معنوي مباشر.
في المقابل، إذا كان الاختراق ناتجًا عن فعل جنائي من طرف ثالث كقرصنة إلكترونية أو اختراق مقصود، تصبح الشركة نفسها ضحية يحق لها تقديم بلاغ جزائي بموجب نظام مكافحة الجرائم المعلوماتية بحق الفاعل، بشكل مستقل عن أي مساءلة تنظيمية قد تواجهها إذا ثبت تقصيرها في الحماية أصلًا.
العلاقة بين ضعف الأمن السيبراني والجرائم المعلوماتية
يظهر الترابط بين الأمن السيبراني والجرائم المعلوماتية بوضوح حين يُستغل ضعف الحماية لارتكاب فعل مجرَّم، كاختراق نظام الشركة للوصول إلى بيانات بنكية أو تخريب قاعدة بيانات أو تعطيل متجرها الإلكتروني. في هذه الحالات، لا تتعارض مسارات المساءلة بل تتكامل: الجهة المهاجمة تُلاحَق جزائيًا بموجب نظام مكافحة الجرائم المعلوماتية، بينما تُقيَّم الشركة نفسها من زاوية ما إذا كانت قد اتخذت إجراءات حماية معقولة قبل وقوع الحادثة.
الأمن السيبراني يتوزع قانونيًا بين ضوابط تنظيمية (NCA) والتزامات وقائية (PDPL) وتجريم للاعتداءات (نظام مكافحة الجرائم المعلوماتية).
كل شركة تعالج بيانات شخصية ملزمة بنظام حماية البيانات الشخصية بصرف النظر عن قطاعها.
مهلة الإشعار عن تسرب البيانات للهيئة المختصة محددة بـ72 ساعة من العلم بالحادثة.
الشركة قد تكون ضحية جريمة معلوماتية ومسؤولة تنظيميًا في الوقت نفسه عن ضعف حمايتها.
التوثيق الداخلي لسياسات الحماية عامل حاسم عند مواجهة أي مساءلة لاحقة.
خطوات عملية لبناء امتثال سيبراني قانوني سليم
حصر أنواع البيانات التي تعالجها الشركة وتحديد درجة حساسيتها (بيانات عملاء، موظفين، مالية، ائتمانية).
صياغة سياسة خصوصية بيانات واضحة ونشرها بصورة يسهل على العملاء والموظفين الاطلاع عليها.
تحديد صلاحيات الوصول إلى الأنظمة الحساسة بحسب طبيعة كل وظيفة، ومراجعتها دوريًا.
إعداد إجراء داخلي موثق للتعامل مع حوادث تسرب البيانات، يشمل من يُخطر وخلال أي مهلة.
تضمين بنود حماية البيانات والسرية في العقود مع الموظفين والموردين ومقدمي الخدمات التقنية.
مراجعة مدى التزام الشركة تعاقديًا بأي ضوابط أمن سيبراني تفرضها جهة حكومية متعاقدة معها.
أخطاء شائعة تعرض الشركات للمساءلة
من أبرز الأخطاء المتكررة معالجة بيانات العملاء لأغراض تسويقية دون الحصول على موافقة صريحة ومسبقة، وهي من المخالفات التي صدرت بشأنها قرارات فعلية من لجان النظر في مخالفات نظام حماية البيانات الشخصية. كذلك يقع كثير من الشركات في خطأ الاكتفاء بحل المشكلة التقنية عند وقوع اختراق دون توثيق الحادثة أو إشعار الجهة المختصة خلال المهلة النظامية، وهو ما يحوّل حادثة تقنية عابرة إلى مخالفة نظامية مستقلة قائمة بذاتها.
خطأ آخر شائع هو الاعتماد على عقود عامة مع مزودي الخدمات التقنية دون تضمين بنود واضحة تحدد مسؤولية كل طرف عند وقوع اختراق ناتج عن تقصير في الأنظمة التي يديرها المزود نفسه.
التحديات القانونية عند التعامل مع حوادث الاختراق
يصعب أحيانًا تحديد اللحظة الدقيقة لوقوع الاختراق أو حجم البيانات المتأثرة، ما يعقّد الالتزام بمهلة الإشعار النظامية. كذلك تواجه الشركات تحديًا في تحديد المسؤولية حين يكون الاختراق ناتجًا عن ثغرة لدى مزود خدمة خارجي وليس داخل أنظمتها مباشرة، وهو ما يستدعي الرجوع إلى بنود العقد الموقع مع ذلك المزود لتحديد من يتحمل الالتزام النظامي تجاه أصحاب البيانات.
متى تحتاج شركتك إلى محامٍ متخصص في الأمن السيبراني؟
تحتاج الشركة إلى استشارة قانونية متخصصة عند صياغة سياسة الخصوصية الأولى لها لضمان توافقها مع نظام حماية البيانات الشخصية، وعند التعاقد مع جهة حكومية تشترط الامتثال لضوابط أمن سيبراني معينة، وعند وقوع حادثة اختراق فعلية تستوجب تقييم الموقف القانوني قبل تقديم أي إشعار رسمي، وعند الرغبة في تقديم بلاغ جزائي بحق فاعل خارجي استغل ثغرة في أنظمة الشركة.
يساعد فريق لزم للمحاماة الشركات في مواءمة سياساتها الداخلية مع متطلبات نظام حماية البيانات الشخصية، من خلال مراجعة طريقة معالجة البيانات وصياغة سياسات الخصوصية والبنود التعاقدية المرتبطة بحماية البيانات مع الموظفين والموردين. كما يقدّم الفريق الاستشارة اللازمة عند وقوع حادثة اختراق أو تسرب، لتقييم الالتزامات النظامية الواجبة والمساعدة في صياغة أي إشعار رسمي، إلى جانب تمثيل الشركة في تقديم بلاغ جزائي أمام الجهات المختصة إذا كانت الواقعة ناتجة عن فعل يرتقي إلى جريمة معلوماتية.
لا يقدّم الفريق أي ضمانات لنتيجة إجراء بعينه، إذ يبقى تقدير الوقائع منوطًا بالجهة المختصة، لكنه يوفر مرافقة قانونية دقيقة تقلل من فرص المساءلة وتزيد من فرص حماية حقوق الشركة عند وقوع أي حادثة.
الأمن السيبراني بالنسبة للشركات في السعودية التزام قانوني قبل أن يكون إجراءً تقنيًا. الشركة التي توثق سياساتها الداخلية، وتحدد صلاحيات الوصول لأنظمتها، وتضمّن بنود حماية البيانات في عقودها، تقلل بشكل ملموس من فرص المساءلة الإدارية والمدنية عند وقوع أي حادثة. وفي حال وقع اختراق فعلي، فإن التوثيق الفوري والإشعار ضمن المهلة النظامية يحددان إلى حد كبير قوة موقف الشركة، سواء كانت طرفًا مسؤولًا عن تقييم التزامه أو ضحية تسعى لملاحقة الفاعل جزائيًا.
إذا كانت منشأتك تحتاج إلى مراجعة سياسة الخصوصية وامتثالها لنظام حماية البيانات الشخصية، أو تعرضت لحادثة اختراق تستوجب تقييمًا قانونيًا فوريًا، يمكن لفريق شركة لزم للمحاماة دراسة الحالة ومراجعة المستندات وتوضيح الخيارات النظامية المناسبة قبل اتخاذ أي إجراء.
الأسئلة الشائعة حول الأمن السيبراني في السعودية
هل الضوابط الأساسية للأمن السيبراني إلزامية لكل الشركات؟
لا، هذه الضوابط موجهة أساسًا للجهات الحكومية ومؤسسات البنية التحتية الوطنية الحساسة. الشركات الخاصة غير المصنفة ضمن هذه الفئات لا تخضع لها إلزاميًا في الغالب، إلا إذا اشترطتها عليها جهة حكومية متعاقدة معها ضمن بنود العقد.
كم مهلة الإبلاغ عن تسرب البيانات الشخصية في السعودية؟
حددت اللوائح مهلة 72 ساعة من علم الجهة بحادثة التسرب لإشعار الهيئة المختصة (سدايا)، إلى جانب التزام إشعار صاحب البيانات نفسه إذا كان من شأن التسرب أن يرتب ضررًا على بياناته أو حقوقه.
ماذا يحدث قانونيًا إذا تعرضت شركتي لاختراق بيانات؟
تواجه الشركة مسارين محتملين: تقييم مدى التزامها بحماية البيانات قبل الحادثة، وقد يترتب عليه مساءلة إدارية إذا ثبت تقصيرها، إلى جانب حقها في تقديم بلاغ جزائي بحق الفاعل بموجب نظام مكافحة الجرائم المعلوماتية إذا كان الاختراق ناتجًا عن فعل خارجي متعمد.
ما الفرق بين نظام حماية البيانات الشخصية ونظام مكافحة الجرائم المعلوماتية؟
نظام حماية البيانات الشخصية يفرض التزامات وقائية على الشركة نفسها تجاه البيانات التي تعالجها، بينما يجرّم نظام مكافحة الجرائم المعلوماتية اعتداءات الغير على هذه البيانات أو الأنظمة. الشركة قد تخضع للنظام الأول كجهة مسؤولة، وتستفيد من الثاني كضحية في آن واحد.
هل تحتاج الشركات الصغيرة إلى الالتزام بمتطلبات الأمن السيبراني؟
نعم، إذا كانت الشركة تعالج بيانات شخصية لعملائها أو موظفيها، فهي مخاطبة بنظام حماية البيانات الشخصية بصرف النظر عن حجمها، وإن كان نطاق الالتزامات التقنية المطلوبة قد يتناسب مع حجم المخاطر الفعلية لنشاطها.
هل يمكن مساءلة مزود خدمة تقنية خارجي عن اختراق أنظمته؟
يعتمد ذلك على بنود العقد الموقع بين الشركة ومزود الخدمة؛ فإذا نص العقد بوضوح على التزامات المزود بالحماية ومسؤوليته عند التقصير، يمكن الرجوع عليه، وهو ما يجعل صياغة هذه البنود بدقة خطوة وقائية جوهرية.
ما العقوبات المقررة عند مخالفة نظام حماية البيانات الشخصية؟
تشمل العقوبات الإنذار أو الغرامة المالية التي قد تصل إلى خمسة ملايين ريال بحسب جسامة المخالفة، مع عدم الإخلال بأي عقوبة أشد قد ينص عليها نظام آخر إذا كان الفعل يرتقي إلى جريمة مستقلة.
متى يجب على الشركة الاستعانة بمحامٍ متخصص في الأمن السيبراني؟
يُنصح بذلك عند صياغة سياسة الخصوصية الأولى للشركة، أو عند التعاقد مع جهة تشترط ضوابط أمن سيبراني معينة، أو فور وقوع أي حادثة اختراق فعلية تستوجب تقييم الالتزامات النظامية قبل تقديم أي إشعار أو بلاغ رسمي
