إن معرفة من يجب أن يمتثل لنظام NCA ECC أمر أساسي للمؤسسات العاملة في المملكة العربية السعودية. ويعتمد الجواب على الملكية والانتماء الحكومي ومسؤوليات البنية التحتية والعقود المعمول بها.
ينطبق نظام NCA ECC-2:2024 مباشرةً على الجهات الحكومية، وشركاتها والكيانات التابعة لها داخل المملكة العربية السعودية وخارجها، والكيانات في القطاع الخاص التي تمتلك أو تشغّل أو تستضيف البنية التحتية الوطنية الحيوية (CNI). أما المؤسسات الأخرى فيُشجَّع على تبنّي هذه الضوابط. وقد يواجه الموردون والمقاولون أيضًا التزامات مرتبطة بنظام ECC من خلال المتطلبات التعاقدية أو القواعد القطاعية المعمول بها.
غير أن ليس كل شركة خاصة تخضع تلقائيًا للنطاق الإلزامي نفسه. وفهم هذا التمييز يساعد المؤسسات على التخطيط لمتطلبات الامتثال للأمن السيبراني في المملكة العربية السعودية.
إذا كانت مؤسستك بحاجة إلى إرشادات منظمة للتنفيذ، ففكّر في دورة NCA ECC (المملكة العربية السعودية).
ما هو نظام NCA ECC-2:2024؟
يرمز NCA ECC إلى الضوابط الأساسية للأمن السيبراني، وهي نظام صادر عن الهيئة الوطنية للأمن السيبراني في المملكة العربية السعودية. ويضع هذا النظام متطلبات أساسية للأمن السيبراني للجهات التي تقع ضمن نطاقه.
حلّ نظام ECC-2:2024 محل الإصدار السابق ECC-1:2018. وقد أعاد تنظيم الضوابط ووضّح جوانب متعلقة بالنطاق. لذلك، ينبغي على المؤسسات التي تقارن بين الإصدارين مراجعة المتطلبات المحدّثة بدلًا من افتراض أن ترتيباتها الحالية لا تزال كافية.
يتضمن النظام:
-
أربعة نطاقات رئيسية
-
28 نطاقًا فرعيًا
-
108 ضوابط رئيسية
-
92 ضابطًا فرعيًا
وتتناول هذه المتطلبات حوكمة الأمن السيبراني والدفاع السيبراني والمرونة والممارسات التنظيمية ذات الصلة.
يوفر صفحة NCA ECC التنظيمية الرسمية إمكانية الوصول إلى النظام. ويمكنك أيضًا الرجوع إلى ملف ECC-2:2024 الرسمي باللغة الإنجليزية ودليل تنفيذ ECC.
يجب أن تكون هذه الوثائق نقطة البداية لتفسير نظام NCA ECC. وفي حال وجود أي غموض في الترجمة الإنجليزية، يجب التأكد من الصياغة المعمول بها بالرجوع إلى النسخة العربية الرسمية.
من يجب أن يمتثل لنظام NCA ECC-2:2024؟
يحدد نطاق نظام NCA ECC-2:2024 ثلاث فئات رئيسية. ويجب على المؤسسات تقييم وضعها القانوني وملكيتها ومسؤولياتها المتعلقة بالبنية التحتية قبل تحديد ما إذا كان النظام ينطبق عليها.
1. الجهات الحكومية في المملكة العربية السعودية
تقع الجهات الحكومية ضمن النطاق المباشر لنظام ECC-2:2024. ويشمل ذلك الوزارات والهيئات والمؤسسات العاملة داخل المملكة.
وبالتالي، يجب على الجهات الحكومية تقييم ترتيباتها للأمن السيبراني وفقًا للضوابط المعمول بها. وقد تشمل المسؤوليات الحوكمة وإدارة المخاطر وضبط الوصول والاستجابة للحوادث واستمرارية الأعمال.
وينبغي أن يشمل التقييم القيادة وفرق الأمن السيبراني وتقنية المعلومات والمشتريات والوظائف الأخرى ذات الصلة. ويساعد ذلك على ضمان عمل الضوابط في جميع أنحاء المؤسسة بدلًا من بقائها محصورة في قسم تقنية المعلومات.
بالنسبة للجهات الحكومية، يُعد الامتثال لنظام NCA ECC مسؤولية مستمرة. فشراء برمجيات أمنية أو تقديم جلسة تدريبية واحدة لا يثبت أن كل متطلب معمول به قد تم تنفيذه.
2. الشركات والكيانات التابعة للجهات الحكومية
يشمل النظام أيضًا الشركات والكيانات التابعة للجهات الحكومية، سواء كانت تعمل داخل المملكة العربية السعودية أو خارجها.
وهذا التوضيح للنطاق مهم لمجموعات الشركات التي لديها فروع متعددة أو عمليات دولية أو كيانات قانونية منفصلة. ولا ينبغي للشركة أن تفترض أن عملها خارج المملكة يستبعدها تلقائيًا.
بدلًا من ذلك، ينبغي على المؤسسة تحديد طبيعة انتمائها الحكومي ومراجعة صياغة ECC المعمول بها. كما ينبغي عليها تحديد الكيانات القانونية والأنظمة والعمليات التجارية التي تقع ضمن النطاق ذي الصلة.
وبالنسبة للمجموعات متعددة الجنسيات، يمكن أن يساعد هذا التقييم في تحديد السياسات الأمنية التي تحتاج إلى التوافق مع نظام ECC-2:2024. ولا تزال القوانين المحلية والمتطلبات التنظيمية الأخرى يجب أخذها في الاعتبار بشكل منفصل.
3. الكيانات في القطاع الخاص المسؤولة عن البنية التحتية الوطنية الحيوية
يشمل نطاق القطاع الخاص في نظام NCA ECC الكيانات الخاصة التي تمتلك أو تشغّل أو تستضيف البنية التحتية الوطنية الحيوية.
ويمكن أن تشمل البنية التحتية الوطنية الحيوية (CNI) في المملكة العربية السعودية الخدمات الأساسية في مجالات مثل:
-
الطاقة والكهرباء
-
المياه والمرافق الأساسية
-
الاتصالات
-
النقل
-
الرعاية الصحية وغيرها من الخدمات الحيوية
هذه الأمثلة توضح القطاعات التي قد تكون ذات صلة. غير أنه لا ينبغي للمؤسسة تحديد نطاقها القانوني بناءً على قطاعها وحده، بل يجب أن تُؤخذ في الاعتبار دورها الفعلي ومتطلبات NCA المعمول بها.
ويعني امتلاك البنية التحتية تحمّل المسؤولية عن الأصول ذات الصلة. أما تشغيلها فيعني إدارة البنية التحتية أو وظائفها الأساسية أو الإشراف عليها.
وقد يشمل الاستضافة توفير المرافق أو البيئة التقنية التي تعمل فيها أنظمة أو خدمات البنية التحتية الحيوية. ولذلك ينبغي على مراكز البيانات ومزودي الخدمات السحابية تقييم مسؤولياتهم المحددة والضوابط المعمول بها من الهيئة الوطنية للأمن السيبراني.
ليس كل مورد يخدم شركة طاقة يصبح تلقائيًا كيانًا خاضعًا مباشرةً للوائح البنية التحتية الحيوية. ومع ذلك، يمكن للعقود وترتيبات الخدمة والالتزامات التنظيمية المنفصلة أن تفرض التزامات أمن سيبراني مهمة.
وينبغي للمؤسسات توثيق تقييم نطاقها والحصول على مشورة مؤهلة عندما تكون مسؤوليات الملكية أو الانتماء أو الاستضافة غير واضحة.
من لا يخضع مباشرةً للنظام، ولماذا قد ينطبق ECC عليه غالبًا؟
قد يكون لدى المؤسسة التي تقع خارج النطاق المباشر لنظام ECC التزامات متعلقة بالأمن السيبراني. وقد يكون السبب عقدًا أو نظامًا آخر صادرًا عن الهيئة الوطنية للأمن السيبراني أو المسؤوليات التنظيمية للعميل.
الموردون والمقاولون ومزودو الخدمات السحابية ومزودو الخدمات الأمنية المُدارة
لا يخضع الموردون والمقاولون تلقائيًا لكل ضوابط ECC لمجرد أنهم يخدمون جهة حكومية. لكن قد تتطلب اتفاقيات المشتريات منهم تنفيذ إجراءات أمنية محددة.
على سبيل المثال، قد تطلب جهة حكومية من الموردين إثبات ضوابط الوصول والإبلاغ عن الحوادث وإدارة الثغرات الأمنية والتعامل الآمن مع البيانات. وتعتمد الالتزامات الدقيقة على العقد والقواعد المعمول بها.
ويتطلب مزودو الخدمات السحابية اهتمامًا إضافيًا. إذ توسّع ضوابط الأمن السيبراني السحابي (CCC) الصادرة عن الهيئة الوطنية للأمن السيبراني متطلبات ECC وتتناول مزودي الخدمات السحابية والمستأجرين. وقد ينطبق نظام CCC على مزودين خارج النطاق المباشر لنظام ECC عندما يخدمون عملاء مشمولين بإطار الخدمات السحابية. إطار CCC الرسمي.
وينبغي لمزودي الخدمات الأمنية المُدارة (MSSPs) كذلك تقييم التزامات العملاء وحدود الخدمة والمتطلبات المعمول بها. راجع الإرشادات ذات الصلة حول ضوابط أمن الطرف الثالث والخدمات السحابية عند تقييم الخدمات المُدارة خارجيًا.
كما يحتاج الموردون الأجانب إلى التمييز بين النطاق التنظيمي المباشر والالتزامات التعاقدية. فقد يُطلب من مورد مقره خارج المملكة تنفيذ إجراءات متوافقة مع ECC دون أن يصبح تلقائيًا خاضعًا مباشرةً لكل ضوابط ECC.
الشركات الخاصة التي ليست ضمن البنية التحتية الحيوية: مسار NCNICC-1:2025
يجب ألا تفترض الشركات الخاصة التي لا تمتلك أو تشغّل أو تستضيف البنية التحتية الوطنية الحيوية أن نظام ECC ينطبق عليها مباشرةً.
أصدرت الهيئة الوطنية للأمن السيبراني ضوابط الأمن السيبراني للكيانات الخاصة غير المشمولة بالبنية التحتية الوطنية الحيوية، NCNICC-1:2025، للجهات ذات الصلة في القطاع الخاص خارج نطاق ECC التقليدي. ويوفر هذا النظام مسارًا أكثر تحديدًا للمؤسسات خارج النطاق التقليدي لنظام ECC.
ينبغي للشركات الرجوع إلى الوثائق التنظيمية الرسمية للهيئة الوطنية للأمن السيبراني لمعرفة النظام المعمول به ومتطلباته الحالية. كما ينبغي عليها التحقق مما إذا كانت هناك قواعد قطاعية أخرى أو شروط تعاقدية تنطبق عليها.
المتبنّون الطوعيون
تشجع الهيئة الوطنية للأمن السيبراني بقوة المؤسسات الأخرى في المملكة على تبنّي نظام ECC كممارسة أفضل للأمن السيبراني. ويمكن للتبنّي الطوعي أن يساعد الشركات على إنشاء حوكمة متسقة وتحسين إدارة المخاطر.
غير أن تبنّي ECC طوعيًا لا يجعل المؤسسة خاضعة تلقائيًا لكل متطلباته قانونًا. كذلك، فإن وصف برنامج ما بأنه طوعي لا يلغي الالتزامات الناشئة عن اللوائح أو العقود الأخرى المعمول بها.
هل ينطبق نظام ECC عليك؟ فحص سريع للنطاق
استخدم هذه الأسئلة الأربعة كأداة فرز أولية. وهذا دليل عملي وليس بديلًا عن تقييم رسمي للنطاق.
|
السؤال |
إذا كانت الإجابة نعم |
إذا كانت الإجابة لا |
|
1. هل أنت جهة حكومية سعودية؟ |
ينطبق نظام ECC مباشرةً. |
انتقل إلى السؤال الثاني. |
|
2. هل أنت تابع لجهة حكومية؟ |
قيّم نطاق ECC، بما في ذلك الكيانات الخارجية. |
انتقل إلى السؤال الثالث. |
|
3. هل تمتلك أو تشغّل أو تستضيف البنية التحتية الوطنية الحيوية؟ |
ينطبق نظام ECC مباشرةً. |
انتقل إلى السؤال الرابع. |
|
4. هل تنطبق عقود أو أنظمة أخرى صادرة عن الهيئة الوطنية للأمن السيبراني؟ |
حدّد هذه الالتزامات وقيّمها. |
فكّر في التبنّي الطوعي لنظام ECC وتحقق من الالتزامات الأخرى. |
لاتخاذ قرار قابل للدفاع عنه، وثّق:
-
الكيان القانوني وهيكل الملكية.
-
الانتماء الحكومي، إن وُجد.
-
مسؤوليات ملكية البنية التحتية أو تشغيلها أو استضافتها.
-
عقود العملاء والأطر التنظيمية المعمول بها.
-
الضوابط التي تنطبق على الخدمات والتقنيات الفعلية للمؤسسة.
وتُعد بيان نطاق انطباق ECC مهمًا بشكل خاص. فالنظام ينص على أن الكيانات يجب أن تمتثل للضوابط المنطبقة عليها. وتعتمد بعض المتطلبات على الأنشطة التجارية أو استخدام التقنية. على سبيل المثال، تنطبق ضوابط الخدمات السحابية والاستضافة على الكيانات التي تستخدم هذه الخدمات أو تخطط لاستخدامها.
لا تتعامل مع فحص النطاق كإذن باستبعاد الضوابط دون أدلة. سجّل الأسباب وتحقق منها وفقًا للنظام الرسمي.
ECC مقابل CCC وOTCC وCSCC وDCC وNCNICC: كيف تتناسب أنظمة الهيئة الوطنية للأمن السيبراني معًا؟
يظهر مصطلح NCA ECC CCC كثيرًا في عمليات البحث لأن المؤسسات تحتاج إلى فهم كيفية تفاعل الأنظمة المختلفة. فهي مترابطة، لكنها لا تخدم الأغراض نفسها.
|
النظام |
الغرض الرئيسي |
مدى الصلة |
|
ECC-2:2024 |
الأساس الأساسي للأمن السيبراني |
الجهات الحكومية والكيانات التابعة والكيانات المشمولة بالبنية التحتية الحيوية ضمن النطاق |
|
CCC-2:2024 |
الأمن السيبراني السحابي |
مزودو الخدمات السحابية والمستأجرون المعمول بهم |
|
OTCC-1:2022 |
أمن التقنيات التشغيلية |
حماية أنظمة التحكم الصناعي وبيئات التقنيات التشغيلية |
|
CSCC-1:2019 |
أمن الأنظمة الحرجة |
ضوابط إضافية للأنظمة الحرجة |
|
DCC-1:2022 |
الأمن السيبراني للبيانات |
حماية البيانات طوال دورة حياتها |
|
NCNICC-1:2025 |
الأمن السيبراني للقطاع الخاص غير المشمول بالبنية التحتية الحيوية |
الكيانات ذات الصلة في القطاع الخاص خارج نطاق البنية التحتية الحيوية الأساسي |
تصف الهيئة الوطنية للأمن السيبراني أنظمة CCC وOTCC وCSCC وDCC بأنها أنظمة توسّع نظام ECC أو تكمله في مجالاتها الخاصة.
على سبيل المثال، قد تحتاج المؤسسة المشمولة بالنطاق والتي تستخدم الخدمات السحابية إلى تقييم كل من ECC وضوابط CCC المعمول بها. كما قد تحتاج المؤسسة التي تشغّل أنظمة صناعية إلى تقييم OTCC.
اقرأ NCA ECC مقابل OTCC لفهم الفرق بين متطلبات الأمن السيبراني الأساسية ومتطلبات التقنيات التشغيلية. وللمقارنة الأوسع، راجع NCA ECC مقابل ISO 27001.
يعتمد النظام الصحيح على نطاق المؤسسة وأنشطتها والمتطلبات المعمول بها. ولا يعني استخدام نظام واحد تلقائيًا استيفاء كل نظام آخر معمول به.
كيف يبدو الامتثال للجهات المشمولة بالنطاق؟
يعني الامتثال لنظام NCA ECC تنفيذ الضوابط المعمول بها والحفاظ على الأدلة ومراجعة فعاليتها. وهو ليس شهادة تُنجز مرة واحدة أو وثيقة سياسات تبقى دون تحديث بعد اعتمادها.
تقسّم ECC-2:2024 متطلباتها إلى أربعة نطاقات رئيسية:
-
حوكمة الأمن السيبراني: تحديد المسؤوليات والسياسات وإدارة المخاطر والإشراف.
-
الدفاع السيبراني: حماية الأنظمة والشبكات والتطبيقات وأصول المعلومات.
-
المرونة السيبرانية: الاستعداد للحوادث والتعافي واستمرارية الأعمال.
-
أمن الطرف الثالث والحوسبة السحابية: إدارة مخاطر الموردين والخدمات المُدارة خارجيًا والخدمات السحابية ذات الصلة.
يجب على المؤسسة تقييم كل ضابط معمول به مقابل بيئتها الفعلية. ويشمل ذلك تحديد الفجوات وتعيين المسؤولين وترتيب أولويات المعالجة والاحتفاظ بأدلة التنفيذ.
ويستحق متطلبان اهتمامًا خاصًا. فالضابط 1-2-1 يتطلب أن يكون الأمن السيبراني مستقلًا عن قسم تقنية المعلومات. أما الضابط 1-2-2 فيتناول شغل الوظائف الأمنية السيبرانية بمهنيين سعوديين مؤهلين بدوام كامل.
ويمكن أن تؤثر هذه المتطلبات في الهيكل التنظيمي والتوظيف والتخطيط المالي. لذلك ينبغي على المؤسسات مراجعة الصياغة الدقيقة للضوابط وتوقعات التنفيذ قبل اتخاذ قرارات الامتثال.
يقدم دليل تنفيذ ECC إرشادات عملية لتفسير الضوابط وتطبيقها. وللفرق التي تحتاج إلى تعلّم منظم، يمكن أن يدعم دورة NCA ECC (المملكة العربية السعودية) فهم النظام وتنفيذه.
يجب أن توضح بيان نطاق انطباق ECC الضوابط التي تنطبق وسبب ذلك. وعند اعتبار ضابط ما غير منطبق، يجب الاحتفاظ بمبرر واضح مدعوم بالنظام وظروف المؤسسة.
كيف تتحقق الهيئة الوطنية للأمن السيبراني من الامتثال وماذا يحدث في حال عدم الامتثال؟
قد تقيّم الهيئة الوطنية للأمن السيبراني الامتثال من خلال عدة طرق، بما في ذلك التقييمات الذاتية والتقارير الدورية المقدمة عبر أدوات الامتثال الخاصة بها والتدقيقات الميدانية. ويوضح عملية التقييم الذاتي الرسمية للهيئة الوطنية للأمن السيبراني كيفية تقييم الكيانات الوطنية لحالة امتثالها وتتبعها.
ينبغي للمؤسسات الاحتفاظ بأدلة محدّثة بدلًا من إعداد الوثائق عند اقتراب موعد التقييم فقط. ومن السجلات المفيدة السياسات المعتمدة وسجلات المخاطر ومراجعات الوصول وسجلات الحوادث وتقييمات الموردين وخطط المعالجة.
تشمل الصلاحيات القانونية للهيئة الوطنية للأمن السيبراني إجراءات تتعلق بمخالفات الأمن السيبراني. وقد تشمل العواقب، حسب القواعد والظروف المعمول بها، الإنذارات وتعليق الترخيص أو سحبه وتعليق الخدمة والغرامات المالية. وينص الإطار القانوني ذو الصلة على غرامات تصل إلى 25 مليون ريال سعودي في حالات محددة.
وتعتمد العواقب الفعلية على المخالفة والأحكام القانونية المعمول بها وعملية اتخاذ القرار. لذلك ينبغي على المؤسسات الرجوع إلى القوانين واللوائح الصادرة عن الهيئة الوطنية للأمن السيبراني بدلًا من افتراض أن كل مخالفة تستوجب العقوبة نفسها.
قائمة الخطوات التالية
استخدم قائمة التحقق هذه للبدء في تقييم وضع مؤسستك:
-
تأكيد ما إذا كان الكيان يقع ضمن النطاق المباشر لنظام ECC-2:2024.
-
مراجعة الانتماء الحكومي ومسؤوليات البنية التحتية الحيوية والعقود ذات الصلة.
-
تنزيل ملف ECC الرسمي ودليل التنفيذ.
-
ربط الضوابط المعمول بها بالسياسات والإجراءات التقنية الحالية.
-
تحديد فجوات الضوابط والمالكين المسؤولين ومواعيد المعالجة.
-
توثيق قرارات النطاق والأدلة الداعمة.
-
إنشاء مراجعات منتظمة ومراقبة مستمرة للامتثال.
ابدأ بالنطاق، ثم رتّب أولويات التنفيذ بناءً على المتطلبات المعمول بها والمخاطر المحددة.
الخلاصة: أكّد نطاق ECC لديك قبل تنفيذ الضوابط
يساعد فهم من يجب أن يمتثل لنظام NCA ECC المؤسسات على تجنب الافتراضات الخاطئة بشأن مسؤولياتها في الأمن السيبراني. ويعتمد الانطباق المباشر على الوضع الحكومي والانتماء ومسؤوليات البنية التحتية الحيوية. كما يمكن للعقود والأنظمة الأخرى الصادرة عن الهيئة الوطنية للأمن السيبراني أن تخلق التزامات إضافية.
ابدأ بتأكيد نطاق مؤسستك وفقًا لوثيقة ECC-2:2024 الرسمية. ثم قيّم الضوابط المعمول بها ووثّق القرارات وأنشئ عمليات امتثال مستمرة.
للحصول على إرشادات عملية لفهم النظام، فكّر في دورة NCA ECC (المملكة العربية السعودية) كجزء من خطة تعلّم فريقك وتنفيذه.
