تعميم ساما الجديد بشأن الحوسبة الكمية: ما الذي يجب على البنوك وشركات الدفع السعودية فعله قبل 31 ديسمبر 2026

هذا المقال مُعدّ لأغراض المعرفة العامة والتثقيف فقط، ولا يُعدّ استشارة قانونية أو تنظيمية أو مهنية. يجب على المؤسسات الرجوع إلى نص التعميم الرسمي الصادر عن البنك المركزي السعودي (ساما) واستشارة مستشاريها القانونيين ومسؤولي الامتثال لديها قبل اتخاذ أي إجراء. معهد الامتثال السعودي غير تابع لمؤسسة النقد العربي السعودي (ساما) أو الهيئة الوطنية للأمن السيبراني أو أي جهة حكومية سعودية أخرى.

لماذا يُعدّ هذا التعميم مهمًا الآن

في 27 أغسطس 2026، أصدر البنك المركزي السعودي (ساما) التعميم رقم 482021280 بعنوان “تعزيز المرونة التشغيلية لمواجهة مخاطر الحوسبة الكمية”. ويُعدّ هذا التعميم من أوائل الحالات التي يضع فيها جهاز تنظيمي مالي خليجي متطلبات محددة بتواريخ ثابتة للاستعداد لمخاطر الحوسبة الكمية، بدلًا من الاكتفاء بإرشادات عامة غير ملزمة.

التعميم لا يطلب من المؤسسات نشر تشفير جديد غدًا. بل يطلب أمرًا أضيق نطاقًا، وأصعب من نواحٍ معينة: حصرًا كاملًا ودقيقًا لمواضع اعتماد المؤسسة الحالي على التشفير، وخطة موثّقة لما سيحدث لهذا التشفير مع نضج تقنية الحوسبة الكمية. وبالنسبة لقطاع أمضى عقدين من الزمن يتعامل مع خوارزميات التشفير كتفصيلة تقنية مدفونة داخل أنظمة الموردين، يمثّل هذا تحوّلًا جوهريًا في الامتثال - والموعد النهائي الأول بات على بُعد أقل من أحد عشر أسبوعًا.

المصدر: PostQuantum.com — “SAMA Quantum Circular: Crypto Inventory by December 31”؛ تم التحقق منه عبر Codegic وWultra.

الجهات المشمولة بالتعميم

ينطبق تعميم ساما رقم 482021280 على كل جهة مرخّصة من ساما لمزاولة أعمال مصرفية أو أعمال دفع، وتحديدًا:

• البنوك العاملة في المملكة

• شركات خدمات الدفع (بما فيها شركات التقنية المالية المرخّصة بموجب أنظمة الدفع الصادرة عن ساما)

• شركات التمويل

• شركات المعلومات الائتمانية

• جهات دعم التمويل المرخّصة من ساما

المصدر: Codegic — “SAMA's Cryptographic Inventory Deadline Is December 2026”.

والجدير بالذكر أن التعميم لا يحدد أسماء خوارزميات تشفير بعينها، ولا يُلزم المؤسسات برفع نتائج الحصر مباشرة إلى ساما. فالمعايير التقنية على مستوى الخوارزميات تبقى من اختصاص الهيئة الوطنية للأمن السيبراني (NCA). ويمكن للقراء الاطلاع على دليلنا حول ما هو إطار NCA ECC وما الذي يتطلبه وشرحنا التفصيلي لـضوابط NCA ECC-1 للجهات الخاصة.

المتطلبان المحدّدان بتاريخ

المصدر: PostQuantum؛ تأكدت التواريخ بشكل مستقل عبر Wultra.

لم يحدد التعميم موعدًا نهائيًا واحدًا لإتمام عملية الترحيل نفسها. فخطط العلاج والترحيل الخاصة بـ“الأصول ذات الأولوية” لدى المؤسسة من المتوقع أن تنبثق مباشرة من حصر ديسمبر، وأن تُغذّي خطط العمل الواردة في تقييم مخاطر مارس 2027.

ما الذي يجب أن يغطيه الحصر التشفيري الملتزم

استنادًا إلى متطلبات التعميم كما وردت عبر عدة مصادر مستقلة، فإن الحصر التشفيري المستوفي لموعد 31 ديسمبر 2026 يجب أن:

1. يحدد كل أصل تشفيري قيد الاستخدام - مفاتيح التشفير والشهادات الرقمية وتطبيقات التجزئة والخوارزميات التي تقف خلفها - عبر أنظمة الإنتاج كافة.

2. يربط كل أصل بالبيانات والأنظمة والخدمات التي يحميها، بحيث يكون الأثر التجاري لأي أصل تشفيري قابلًا للتتبع.

3. يصنّف الأصول حسب الحساسية وأولوية الترحيل، مع التمييز بين تشفير بيانات العملاء طويلة الأجل (أولوية عالية) وبين رموز الجلسات قصيرة الأجل (أولوية أدنى).

4. يُقيّم المرونة التشفيرية للأصول ذات الأولوية تحديدًا - حكمًا على كل أصل على حدة.

5. يحدد القيود والتحديات والاعتماديات على أطراف ثالثة، بما في ذلك حالات تحكم مزوّد خارجي بالتنفيذ التشفيري.

المصدر: PostQuantum؛ تمت مقارنته مع Codegic.

وغالبًا ما يُطلق على هذا النوع من العمل اسم “قائمة المكونات التشفيرية” (CBOM) - سجل منظّم على مستوى الأصول لما تستخدمه الأنظمة فعليًا من تشفير.

الحوكمة: من يتحمل المسؤولية داخل المؤسسة

• اعتبار مخاطر الحوسبة الكمية بندًا دائمًا للمراجعة الدورية من قبل لجنة الإشراف على أمن المعلومات، ولجنة مخاطر مجلس الإدارة حيثما انطبق.

• رفع التحديات والتوصيات إلى مجلس الإدارة أو الجهة المعادلة له.

• عدم تحديد موعد ثابت لعملية الترحيل ذاتها - يترك التعميم وتيرة العلاج لتقدير كل مؤسسة القائم على المخاطر.

المصدر: Wultra؛ تأكد عبر PostQuantum.

ويحتفظ مفتشو ساما بحق طلب الحصر والتصنيفات في أي وقت. وهذا يعكس النهج الرقابي ذاته الذي تعرفه المؤسسات من إطار ساما للأمن السيبراني، ويتداخل مع دليلنا حول أطر حوكمة المخاطر والامتثال لأمن المعلومات.

ماذا يحدث إذا لم تكن المؤسسة مستعدة

لم تُشر المصادر التي تمت مراجعتها إلى أن ساما حددت عقوبات مالية مرتبطة بعدم الالتزام بأي من الموعدين - فالتعميم مبني على أساس الرقابة الإشرافية أكثر من جدول غرامات معلن. لكن هذا لا ينبغي أن يُقرأ على أنه أمر منخفض المخاطر، إذ يمكن أن يؤثر على تصنيف مخاطر المؤسسة ويستدعي فحوصات متابعة.

وهناك أيضًا خطر تقني أضيق نطاقًا: هجمات “احصد الآن، فك التشفير لاحقًا”، حيث تُخزَّن البيانات المشفّرة المعترَضة اليوم إلى حين توفر قدرة حوسبة كمية كافية، ثم تُفك شفرتها بأثر رجعي.

قائمة الاستعداد: من الصفر إلى حصر قابل للدفاع عنه

1. تعيين مالك تنفيذي - عادةً رئيس أمن المعلومات - مع خط تقرير مباشر إلى لجنة الإشراف على أمن المعلومات.

2. تحديد نطاق عملية الحصر كتابيًا، وتوثيق أي استثناء صريح.

3. سحب بيانات الإعدادات التشفيرية من أنظمة السجلات الفعلية، لا من توثيق قديم.

4. تصنيف كل أصل وفق الحساسية وأولوية الترحيل.

5. توثيق اعتماديات الأطراف الثالثة والموردين بشكل منفصل.

6. إطلاع لجنة الإشراف على أمن المعلومات ولجنة مخاطر مجلس الإدارة قبل 31 ديسمبر 2026.

7. بناء فريق عمل تقييم مخاطر الحوسبة الكمية الآن، لا بعد انقضاء موعد الحصر.