المعتمد بقرار مجلس إدارة الهيئة الوطنية للأمن السيبراني رقم (ع١٠ / ١ / ٢٦ت) وتاريخ ١٢ / ٣ / ١٤٤٨هـ
المادة الأولى
تم إعداد جدول تصنيف مخالفات الأمن السيبراني وما يقابلها من العقوبات (الجدول)؛ استنادا إلى الفقرة (٤) من البند (خامسا) من المكنات النظامية للهيئة الوطنية للأمن السيبراني، الصادرة بالمرسوم الملكي رقم (م / ١١٧) بتاريخ ٢١ / ٦ / ١٤٤٦هـ، والتي نصت على «تحدد العقوبات بحسب حجم كل مخالفة على حدة، ويراعى في ذلك طبيعة المخالفة المرتكبة وتكرارها، وخطورتها في كل حالة، والظروف المشددة والمخففة. ويصدر مجلس إدارة الهيئة الوطنية للأمن السيبراني جدولا يوضح تصنيف المخالفات وما يقابلها من العقوبات -المنصوص عليها في الفقرة (١) من هذا البند- ومقدارها ومدتها، يراعى فيها التدرج في العقوبة».
المادة الثانية
يكون تصنيف الجهات في هذا الجدول استنادا إلى معايير تصنيف المنشأة المعتمدة لدى الهيئة العامة للمنشآت الصغيرة والمتوسطة (منشآت)، وذلك على النحو الآتي:
– الجهات (أ): الجهات ذات التصنيف (متناهية الصغر).
– الجهات (ب): الجهات ذات التصنيف (صغيرة).
– الجهات (ج): الجهات ذات التصنيف (متوسطة).
– الجهات (د): الجهات ذات التصنيف (كبيرة).
المادة الثالثة
للجنة النظر في مخالفات الأمن السيبراني (اللجنة) عند النظر في المخالفات، الآتي:
١- رفع مستوى جسامة المخالفة من (متوسطة) إلى (عالية) وذلك بمضاعفة الحد الأعلى للغرامة على ألا يتجاوز الحد الأعلى المنصوص عليه في المكنات النظامية، متى ترتب على المخالفة أثر سلبي على المصالح الحيوية للدولة أو أمنها الوطني أو البنى التحتية الحساسة أو القطاعات ذات الأولوية أو الخدمات والأنشطة الحكومية.
٢- في حال كانت جسامة المخالفة (عالية) وترتب عليها أي من الآثار المشار إليها في الفقرة السابقة، فيجوز للجنة مضاعفة الحد الأعلى للغرامة على ألا يتجاوز الحد الأعلى المنصوص عليه في المكنات النظامية.
٣- خفض مستوى جسامة المخالفة إذا توافرت مبررات موضوعية معتبرة تتصل بطبيعة المخالفة المرتكبة وخطورتها، بما في ذلك على سبيل المثال لا الحصر (عدم تحقق ضرر فعلي من المخالفة، الشروع في استيفاء المتطلب دون استكماله)، على ألا تقل قيمة الغرامة عن (٥٠%) من الحد الأدنى المقرر للمخالفة الأساسية.
المادة الرابعة
جدول تصنيف مخالفات الأمن السيبراني وما يقابلها من العقوبات
| الأساس النظامي للمخالفة | المخالفة | الجسامة | العقوبة | |||||||||||
| فرد | الأشخاص الاعتباريون ومن في حكمهم (مثل مقدمي الخدمات والشركات والمؤسسات وغيرها) | |||||||||||||
| تصنيف حجم المنشأة | عقوبات أخرى | الوحدة | ||||||||||||
| حد أدنى بالريال | حد أعلى بالريال | (أ) | (ب) | (ج) | (د) | |||||||||
| حد أدنى بالريال | حد أعلى بالريال | حد أدنى بالريال | حد أعلى بالريال | حد أدنى بالريال | حد أعلى بالريال | حد أدنى بالريال | حد أعلى بالريال | |||||||
| الفقرة (١) من البند (أولا) من المكنات النظامية. | ١- مزاولة نشاط أمن سيبراني مستوى أول دون الحصول على ترخيص من الهيئة الوطنية للأمن السيبراني. | عال | لا ينطبق | لا ينطبق | ٥٠ ألفا | ٥٠٠ ألف | ١٠٠ ألف | مليون | مليون | ٥ ملايين | ٥ ملايين | ٢٥ مليونا | و / أو إيقاف الخدمة أو النشاط | مبلغ الغرامة للنشاط الواحد، ويتعدد بتعدد الأنشطة. |
| ٢- مزاولة نشاط أمن سيبراني مستوى ثان دون الحصول على ترخيص من الهيئة الوطنية للأمن السيبراني. | عال | لا ينطبق | لا ينطبق | ٢٥ ألفا | ١٠٠ ألف | ٥٠ ألفا | ٥٠٠ ألف | ٥٠٠ ألف | مليونان | مليونان | ١٠ ملايين | |||
| ٣- مزاولة أي من الأنشطة أو العمليات الأخرى المتعلقة بالأمن السيبراني التي يشترط لمزاولتها الحصول على ترخيص من الهيئة الوطنية للأمن السيبراني دون الحصول على الترخيص. | عال | ٥ آلاف | ٢٥ ألفا | ١٥ ألفا | ٦٠ ألفا | ٣٠ ألفا | ١٠٠ ألف | ٢٠٠ ألف | مليون | مليون | ٥ ملايين | و / أو إيقاف الخدمة أو النشاط | ||
| ٤- مخالفة أي من شروط الترخيص. | متوسط | ٣ آلاف | ١٠ آلاف | ١٠ آلاف | ٤٠ ألفا | ٢٠ ألفا | ٥٠ ألفا | ٥٠ ألفا | ٥٠٠ ألف | ١٠٠ ألف | مليون | و / أو: ١- الإنذار في حال ارتكبت المخالفة للمرة الأولى ولم يترتب عليها آثار جوهرية وفقا لما تقرره اللجنة (للمخالفات متوسطة الجسامة). ٢- تعليق الترخيص وفق مدة تحددها اللجنة على ألا تتجاوز السنة. ٣- إلغاء الترخيص. ٤- إيقاف الخدمة أو النشاط. | ||
| الفقرة (٢) من البند (أولا) من المكنات النظامية. | ٥- عدم الالتزام بضوابط الأمن السيبراني لجهات القطاع الخاص من غير ذوات البنى التحتية الحساسة الصادرة عن الهيئة الوطنية للأمن السيبراني. | عال | لا ينطبق | لا ينطبق | ١٥ ألفا | ٦٠ ألفا | ٣٠ ألفا | ١٠٠ ألف | ٢٠٠ ألف | مليون | مليون | ٥ ملايين | و / أو: ١- الإنذار في حال ارتكبت المخالفة للمرة الأولى ولم يترتب عليها آثار جوهرية وفقا لما تقرره اللجنة (للمخالفات متوسطة الجسامة). ٢- تعليق الترخيص وفق مدة تحددها اللجنة على ألا تتجاوز السنة -كيفما انطبق-. ٣- إلغاء الترخيص -كيفما انطبق-. ٤- إيقاف الخدمة أو النشاط -كيفما انطبق-. | |
| ٦- عدم الالتزام بالضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني. | ||||||||||||||
| ٧- عدم الالتزام بضوابط الأمن السيبراني للبيانات الصادرة عن الهيئة الوطنية للأمن السيبراني. | ||||||||||||||
| ٨- عدم الالتزام بضوابط الأمن السيبراني للأنظمة الحساسة الصادرة عن الهيئة الوطنية للأمن السيبراني. | ||||||||||||||
| ٩- عدم الالتزام بضوابط الأمن السيبراني لحسابات التواصل الاجتماعي للجهات الصادرة عن الهيئة الوطنية للأمن السيبراني. | ||||||||||||||
| ١٠- عدم الالتزام بضوابط الأمن السيبراني للعمل عن بعد الصادرة عن الهيئة الوطنية للأمن السيبراني. | ||||||||||||||
| ١١- عدم الالتزام بضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة الوطنية للأمن السيبراني. | ||||||||||||||
| ١٢- عدم الالتزام بضوابط الأمن السيبراني للأنظمة التشغيلية الصادرة عن الهيئة الوطنية للأمن السيبراني. | ||||||||||||||
| ١٣- عدم الالتزام بالسياسة الوطنية لمراكز عمليات الأمن السيبراني المدارة الصادرة عن الهيئة الوطنية للأمن السيبراني. | ||||||||||||||
| ١٤- عدم الالتزام بالإطار الوطني لإدارة مخاطر الأمن السيبراني الصادر عن الهيئة الوطنية للأمن السيبراني. | ||||||||||||||
| ١٥- عدم الالتزام بالإطار التنظيمي لترخيص تقديم خدمات مركز عمليات الأمن السيبراني المدار الصادر عن الهيئة الوطنية للأمن السيبراني. | ||||||||||||||
| ١٦- عدم الالتزام بأي من السياسات وآليات الحوكمة والأطر والمعايير والضوابط المتعلقة بالأمن السيبراني التي تضعها الهيئة الوطنية للأمن السيبراني. (بخلاف المخالفات الواردة في الفقرات من (٥) إلى (١٥)). | ||||||||||||||
| الفقرة (٣) من البند (أولا) من المكنات النظامية. | ١٧- تقديم بيانات مضللة للعموم أو للجهات العامة أو الخاصة، تتعلق بتقديم أنشطة أو عمليات أو خدمات ذات صلة بالأمن السيبراني. | عال | ٥ آلاف | ٢٥ ألفا | ١٥ ألفا | ٦٠ ألفا | ٣٠ ألفا | ١٠٠ ألف | ٢٠٠ ألف | مليون | مليون | ٥ ملايين | و / أو: ١- الإنذار في حال ارتكبت المخالفة للمرة الأولى ولم يترتب عليها آثار جوهرية وفقا لما تقرره اللجنة (للمخالفات متوسطة الجسامة). ٢- تعليق الترخيص وفق مدة تحددها اللجنة على ألا تتجاوز السنة -كيفما انطبق-. ٣- إيقاف الخدمة أو النشاط -كيفما انطبق-. ٤- إلغاء الترخيص -كيفما انطبق-. | |
| الفقرة (٤) من البند (أولا) من المكنات النظامية. | ١٨- الامتناع عن تزويد الهيئة الوطنية للأمن السيبراني بما تطلبه من المعلومات أو البيانات أو التقارير أو الوثائق اللازمة لقيامها باختصاصاتها ومهماتها وفق الآلية التي تحددها الهيئة. | عال | ٣ آلاف | ١٠ آلاف | ١٠ آلاف | ٤٠ ألفا | ٢٠ ألفا | ٥٠ ألفا | ٥٠ ألفا | ٥٠٠ ألف | ١٠٠ ألف | مليون | ||
| ١٩- تقديم أي من المعلومات أو البيانات أو التقارير أو الوثائق للهيئة الوطنية للأمن السيبراني بشكل مضلل. | عال | ٥ آلاف | ٢٥ ألفا | ١٥ ألفا | ٦٠ ألفا | ٣٠ ألفا | ١٠٠ ألف | ٢٠٠ ألف | مليون | مليون | ٥ ملايين | |||
| الفقرة (٥) من البند (أولا) من المكنات النظامية. | ٢٠- بيع أو استيراد أو تصدير أو تأجير أو إتاحة أو صنع أو إنتاج أو استخدام -بأي صورة كانت- أي جهاز أو عتاد أو أداة أو خدمة أو نظام أو برنامج أو نحوها ذات صلة بالأمن السيبراني بما لا يتوافق مع المعايير والاشتراطات التي تضعها الهيئة الوطنية للأمن السيبراني، أو دون الحصول على الترخيص اللازم من الهيئة، أو دون الالتزام بإجراء الفسح اللازم. | عال | ٣ آلاف | ١٠ آلاف | ١٠ آلاف | ٤٠ ألفا | ٢٠ ألفا | ٥٠ ألفا | ٥٠ ألفا | ٥٠٠ ألف | ١٠٠ ألف | مليون | و / أو: ١- الإنذار في حال ارتكبت المخالفة للمرة الأولى ولم يترتب عليها آثار جوهرية وفقا لما تقرره اللجنة (للمخالفات متوسطة الجسامة). ٢- تعليق الترخيص وفق مدة تحددها اللجنة على ألا تتجاوز السنة -كيفما انطبق-. ٣- إيقاف الخدمة أو النشاط -كيفما انطبق-. ٤- إلغاء الترخيص -كيفما انطبق-. | يتعدد مبلغ الغرامة بتعدد الفئات من (العتاد، الأجهزة، الأنظمة، الأدوات، الخدمات، البرامج، أو نحوها). |
| ٢١- حيازة و / أو تداول -بأي صورة كانت- أي جهاز أو عتاد أو أداة أو خدمة أو نظام أو برنامج أو نحوها ذات صلة بالأمن السيبراني بما لا يتوافق مع المعايير والاشتراطات التي تضعها الهيئة الوطنية للأمن السيبراني، أو دون الحصول على الترخيص اللازم من الهيئة، أو دون الالتزام بإجراء الفسح اللازم. | متوسط | ألفان | ٤ آلاف | ١٠ آلاف | ٢٠ ألفا | ٢٠ ألفا | ٤٠ ألفا | ٣٠ ألفا | ٦٠ ألفا | ٥٠ ألفا | ١٠٠ ألف | |||
| الفقرة (٦) من البند (أولا) من المكنات النظامية. | ٢٢- إعاقة المفتشين -بأي شكل من الأشكال- من أداء مهماتهم أو منعهم من ذلك. | عال | ٣ آلاف | ١٠ آلاف | ١٠ آلاف | ٤٠ ألفا | ٢٠ ألفا | ٥٠ ألفا | ٥٠ ألفا | ٥٠٠ ألف | ١٠٠ ألف | مليون | و / أو: ١- الإنذار في حال ارتكبت المخالفة للمرة الأولى ولم يترتب عليها آثار جوهرية وفقا لما تقرره اللجنة (للمخالفات متوسطة الجسامة). ٢- تعليق الترخيص وفق مدة تحددها اللجنة على ألا تتجاوز السنة -كيفما انطبق-. ٣- إلغاء الترخيص -كيفما انطبق-. ٤- إيقاف الخدمة أو النشاط -كيفما انطبق-. | |
| ٢٣- عدم التعاون مع المفتشين وتقديم التسهيلات لهم -بأي شكل من الأشكال-. | متوسط | ألفان | ٤ آلاف | ١٠ آلاف | ٢٠ ألفا | ٢٠ ألفا | ٤٠ ألفا | ٣٠ ألفا | ٦٠ ألفا | ٥٠ ألفا | ١٠٠ ألف | |||
| الفقرة (٧) من البند (أولا) من المكنات النظامية. | ٢٤- أي عمل آخر مخالف للوائح والقرارات المتعلقة بنشاط الأمن السيبراني الصادرة من الهيئة الوطنية للأمن السيبراني بناء على تنظيمها. | متوسط | ألفان | ٤ آلاف | ١٠ آلاف | ٢٠ ألفا | ٢٠ ألفا | ٤٠ ألفا | ٣٠ ألفا | ٦٠ ألفا | ٥٠ ألفا | ١٠٠ ألف | و / أو: ١- الإنذار في حال ارتكبت المخالفة للمرة الأولى ولم يترتب عليها آثار جوهرية وفقا لما تقرره اللجنة (للمخالفات متوسطة الجسامة). ٢- تعليق الترخيص وفق مدة تحددها اللجنة على ألا تتجاوز السنة -كيفما انطبق-. ٣- إلغاء الترخيص -كيفما انطبق-. ٤- إيقاف الخدمة أو النشاط -كيفما انطبق-. | |
| ٢٥- عدم تنفيذ قرارات الهيئة الوطنية للأمن السيبراني المتعلقة بالإجراءات والتدابير اللازمة والمتطلبات الأمنية السيبرانية الصادرة عن الهيئة بما في ذلك التنبيهات الأمنية، والثغرات السيبرانية، وقواعد رصد التهديدات ومؤشرات الاختراق، وأعمال الاستجابة للحوادث خلال المدد المحددة من قبل الهيئة عبر البوابة الوطنية لخدمات الأمن السيبراني (حصين)، أو أي وسيلة أخرى تحددها الهيئة. | عال | لا ينطبق | لا ينطبق | ١٥ ألفا | ٦٠ ألفا | ٣٠ ألفا | ١٠٠ ألف | ٢٠٠ ألف | مليون | مليون | ٥ ملايين | |||
| ٢٦- عدم إبلاغ الهيئة الوطنية للأمن السيبراني -بشكل فوري ومباشر- بأي خطر أو تهديد أو اختراق للأمن السيبراني واقع أو محتمل من خلال البوابة الوطنية لخدمات الأمن السيبراني (حصين)، أو أي وسيلة أخرى تحددها الهيئة. | متوسط | لا ينطبق | لا ينطبق | ١٠ آلاف | ٣٠ ألفا | ١٥ ألفا | ٥٠ ألفا | ٥٠ ألفا | ١٠٠ ألف | ١٠٠ ألف | ٥٠٠ ألف | |||
المادة الخامسة
معايير التشديد والتخفيف
١- تأخذ اللجنة بعين الاعتبار ما يحيط بالمخالفة من الظروف المشددة والمخففة للعقوبة لتحديد القيمة النهائية للغرامة، وفق المعايير الآتية:
| # | المعايير | نوع الظرف | عناصر المعيار | النسبة |
| ١ | عدد مرات تكرار المخالفة: يحتسب التكرار خلال سنتين من تاريخ ارتكاب ذات المخالفة | تشديد | في حال ارتكبت للمرة الثانية | (+٥٠%) من آخر غرامة تم إيقاعها على المخالف لذات المخالفة. |
| في حال ارتكبت للمرة الثالثة | (+٧٥%) من آخر غرامة تم إيقاعها على المخالف لذات المخالفة. | |||
| في حال ارتكبت للمرة الرابعة | (+١٠٠%) من آخر غرامة تم إيقاعها على المخالف لذات المخالفة. | |||
| في حال ارتكبت للمرة الخامسة فأكثر | تطبيق الحد الأعلى للمخالفة للمرة الخامسة، والمضاعفة للمرات التالية. | |||
| ٢ | البنى التحتية الحساسة | تشديد | في حال كانت الجهة المخالفة من الجهات التي تمتلك بنى تحتية وطنية حساسة أو تقوم بتشغيلها أو استضافتها. | بما لا يتجاوز (٣٠%) من قيمة الغرامة بعد احتساب التكرار -إن وجد-. |
| ٣ | العوائد المالية المتحققة من المخالفة | تشديد | في حال تحققت أي عوائد مالية من ارتكاب المخالفة. | مضاعفة الغرامة بعد احتساب الظروف المشددة المذكورة آنفا -إن وجدت-. |
| ٤ | الإبلاغ الذاتي عن المخالفة | تخفيف | مبادرة المخالف بالإبلاغ الذاتي عن المخالفة قبل اكتشافها من قبل الهيئة، مع تقديم المعلومات اللازمة بشأن وقائعها وملابساتها. | (-٢٠%) من إجمالي مبلغ الغرامة بعد احتساب الظروف المشددة -إن وجدت-. |
| ٥ | اتخاذ الإجراءات التصحيحية والعلاجية للمخالفة | تخفيف | قيام المخالف باتخاذ الإجراءات التصحيحية والعلاجية اللازمة قبل الادعاء أمام اللجنة. | (-٣٠%) من إجمالي مبلغ الغرامة بعد احتساب الظروف المشددة -إن وجدت-. |
٢- في حال ارتكبت المخالفة للمرة الأولى، وفي غير الحالات التي يطبق عليها الإنذار وفقا لأحكام هذا الجدول، يتم تطبيق الحد الأدنى من الغرامة للمخالفة بحسب فئة المخالفة.
٣- للجنة متى اقتضت ظروف المخالفة وبقرار مسبب، إيقاع الحد الأعلى المقرر للمخالفة في أي مرحلة من مراحل التكرار، وفي حال ارتكاب المخالفة بعد تطبيق الحد الأعلى، يجوز للجنة تجاوز الحد الأعلى المقرر للمخالفة بما لا يتجاوز الحد الأعلى المنصوص عليه في المكنات النظامية.
٤- للجنة إضافة أي معيار آخر ترى أهمية أخذه بالاعتبار، على ألا يتجاوز (٢٠%) من الحد الأدنى للمخالفة.
٥- في جميع الأحوال يجب ألا يتجاوز مبلغ الغرامة الحد الأعلى المنصوص عليه في المكنات النظامية.
نشر في عدد جريدة أم القرى رقم (٥١٩٢) الصادر في ٣٠ من أكتوبر ٢٠٢٦م.