تقوم منظومة البيانات والأمن السيبراني والحوكمة في المملكة العربية السعودية على بنية متدرجة. وأرقام المستويات أدناه هي المراتب نفسها المستخدمة في صفحات الأطر في Wadira؛ وتجد النموذج الكامل، مع مقابلاته البريطانية والأمريكية، في كيف تعمل المستويات.
المستوى 0 · الأساس الدستوري / الشريعة يقع في القاعدة: النظام الأساسي للحكم (المادتان 37 و40) ومبادئ الشريعة.
المستوى 1 · النظام الأساسي: يمثّل نظام حماية البيانات الشخصية (PDPL) الأساس الأفقي للبيانات الشخصية، إلى جانب أنظمة أساسية موازية مثل نظام مكافحة الجرائم المعلوماتية.
المستوى 2 · أدوات مجلس الوزراء: قرارات مجلس الوزراء التي تُنشئ الجهات التنظيمية نفسها (فالترتيبات التنظيمية لسدايا صدرت بقرار من المجلس).
المستوى 3 · اللوائح تنفّذ النظام (اللائحة التنفيذية؛ لائحة نقل البيانات).
المستوى 4 · القواعد والأدوات تضيف التفاصيل التشغيلية (السجل الوطني، قواعد مسؤول حماية البيانات، البنود التعاقدية النموذجية SCCs، القواعد المؤسسية الملزمة BCRs). ويُقترح إلغاء قواعد مسؤول حماية البيانات وقواعد السجل الوطني (مشروع أكتوبر 2026) ونقل أحكامهما إلى اللائحة التنفيذية.
المستوى 5 · الأدلة الإرشادية تقدّم توجيهات غير ملزمة.
وتضيف الجهات التنظيمية القطاعية، NCA وSAMA وCMA وCST ووزارة الصحة (MOH)، متطلباتها الخاصة فوق هذا الأساس، مع توارثها لنظام حماية البيانات الشخصية (PDPL) كأساس. وتغذّي معايير مكتب إدارة البيانات الوطنية (NDMO) المؤشر الوطني للبيانات (NDI). أما الذكاء الاصطناعي فيمثّل منظومة منفصلة تابعة للهيئة السعودية للبيانات والذكاء الاصطناعي (أخلاقيات الذكاء الاصطناعي، وإرشادات الذكاء الاصطناعي التوليدي والتبني).