تحل ECC-2:2024 محل ECC-1:2018؛ والإصدار الحالي المنشور لدى الهيئة مؤرخ في 31 يوليو 2025
آخر تحقق
2026-10-20
الضوابط الأساسية للأمن السيبراني (ECC) هي الحد الأدنى من متطلبات الأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني. وتحل ECC-2:2024 محل ECC-1:2018، والإصدار الحالي المنشور لدى الهيئة مؤرخ في 31 يوليو 2025.
النطاق: الجهات الحكومية والشركات والجهات التابعة لها (داخل المملكة وخارجها)، وجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. والالتزام واجب بموجب الفقرة (3) من المادة العاشرة من تنظيم الهيئة والأمر السامي رقم 57231 وتاريخ 10/11/1439هـ. وتشجع الهيئة سائر الجهات على الاستفادة من الضوابط.
الهيكل: 4 مجالات رئيسة و28 مجالًا فرعيًا. ويورد النص المستضاف 108 ضوابط رئيسة و92 ضابطًا فرعيًا. ونُقل المجال الخامس السابق (أنظمة التحكم الصناعي) إلى ضوابط الأمن السيبراني للتقنيات التشغيلية (OTCC).
التوطين: حُذف الضابط الفرعي 4-2-3-3 (استضافة المعلومات وتخزينها داخل المملكة)، وأُحيلت مسألة التوطين إلى مكتب إدارة البيانات الوطنية في سدايا. وقاعدة التوطين المتبقية هي 4-1-3-2: يجب أن تكون مراكز عمليات الأمن السيبراني المُدارة التي تستخدم الوصول عن بُعد موجودة بالكامل داخل المملكة.
الحوادث: تبلّغ الجهات الهيئةَ بحوادث الأمن السيبراني وتشاركها معلومات الحوادث (2-13-3-3 و2-13-3-4). ولا تحدد الضوابط مهلة بالساعات.
الالتزام والعقوبات: يُقيَّم الالتزام بالتقييم الذاتي وأداة الالتزام الخاصة بـ ECC-2:2024 والزيارات الميدانية. وتسري العقوبات المقررة في الممكنات النظامية للهيئة (المرسوم الملكي م/117) على الجهات غير الحكومية، وتُستثنى الجهات الحكومية.
دليل التطبيق: انظر دليل تطبيق الضوابط الأساسية للأمن السيبراني.
تعديل مقترح على نظام حماية البيانات الشخصية (حتى 20 أكتوبر 2026): تقترح مسودة سدايا لتعديل اللائحة التنفيذية لنظام حماية البيانات الشخصية، المطروحة لإبداء المرئيات حتى 5 نوفمبر 2026، إلزام جهات التحكم بتطبيق ضوابط الهيئة الوطنية للأمن السيبراني المنطبقة (المادة 23(1)(ب) من المسودة)، وبتخزين البيانات الشخصية داخل المملكة (المادة 23(2) من المسودة)، وبإشعار سدايا خلال 72 ساعة من أي تسرّب، دون الإخلال بالإبلاغ إلى الهيئة (المادة 24 من المسودة). ومع إحالة الضوابط الأساسية (ECC-2) وضوابط الحوسبة السحابية (CCC-2) مسألة التوطين إلى مكتب إدارة البيانات الوطنية، ستغدو المادة 23(2) من المسودة القاعدة العامة الرئيسة للتوطين.