Saudi cybersecurity regulationsتنظيمات الأمن السيبراني في المملكة

The national cybersecurity baseline. Mandatory for government entities (including their companies inside and outside the Kingdom) and for private entities that own, operate or host Critical National Infrastructure.الحد الأدنى الوطني للأمن السيبراني. إلزامية للجهات الحكومية (بما فيها الشركات التابعة لها داخل المملكة وخارجها) وللجهات الخاصة التي تمتلك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة.

Applies to: | ينطبق على: Government entities, their affiliated companies, and CNI operators.الجهات الحكومية والشركات التابعة لها، والجهات المشغّلة للبنى التحتية الوطنية الحساسة.

Minimum cybersecurity requirements for private sector organizations that are not Critical National Infrastructure, derived from the ECC. Class A (large) entities apply all components; Class B (small and medium) entities apply the core defense controls.الحد الأدنى من متطلبات الأمن السيبراني لجهات القطاع الخاص غير المصنفة ضمن البنى التحتية الوطنية الحساسة، ومشتقة من الضوابط الأساسية. تطبّق جهات الفئة (أ) الكبيرة جميع المكونات، وتطبّق جهات الفئة (ب) الصغيرة والمتوسطة ضوابط تعزيز الأمن السيبراني الأساسية.

Applies to: | ينطبق على: Private sector entities outside CNI that NCA circulates the controls to (Class A: large, Class B: SMEs).جهات القطاع الخاص من غير ذات البنى التحتية الحساسة التي تعمّم عليها الهيئة (الفئة أ: الكبيرة، الفئة ب: الصغيرة والمتوسطة).

An extension of the ECC that sets additional minimum cybersecurity requirements for national critical systems, i.e. systems whose failure or compromise could harm the organization's services or cause national economic, financial, security or social impact.امتداد للضوابط الأساسية للأمن السيبراني يضع متطلبات إضافية بالحد الأدنى للأنظمة الحساسة، وهي الأنظمة التي قد يؤدي تعطلها أو الوصول غير المصرح به إليها إلى التأثير سلبًا على توافر خدمات الجهة أو إلى آثار اقتصادية أو مالية أو أمنية أو اجتماعية على المستوى الوطني.

Applies to: | ينطبق على: Organizations that own or operate systems identified as critical under the CSCC criteria: government organizations inside or outside the Kingdom (ministries, authorities, establishments, embassies), their subsidiaries and companies, and private sector organizations. Continuous ECC compliance is a prerequisite.الجهات المالكة أو المشغّلة لأنظمة حساسة وفقًا لمعايير التحديد الواردة في الضوابط، سواء كانت جهات حكومية داخل المملكة أو خارجها (وزارات وهيئات ومؤسسات وسفارات وغيرها)، أو جهات وشركات تابعة لها، أو جهات القطاع الخاص. ويُعد الالتزام المستمر بالضوابط الأساسية للأمن السيبراني متطلبًا مسبقًا.

Cloud-specific extension of the ECC that sets minimum cybersecurity requirements for Cloud Service Providers (CSPs) and Cloud Service Tenants (CSTs). Each control applies either to providers or to tenants, on top of the ECC.امتداد للضوابط الأساسية للأمن السيبراني ومكمّل لها، يحدد الحد الأدنى من متطلبات الأمن السيبراني للحوسبة السحابية لمقدمي الخدمات والمشتركين. كل ضابط فيها خاص إما بمقدمي الخدمات أو بالمشتركين، إضافةً إلى الضوابط الأساسية.

Applies to: | ينطبق على: CSTs: government entities inside or outside the Kingdom and their companies, and private entities that own, operate or host CNI, that use or plan to use cloud services. CSPs: any provider serving those tenants. Both must also comply with the ECC.المشتركون: الجهات الحكومية داخل المملكة وخارجها والجهات والشركات التابعة لها، وجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها، ممن يستخدمون أو يخططون لاستخدام خدمات الحوسبة السحابية. مقدمو الخدمات: كل مقدم خدمة يقدّم خدماته لهؤلاء المشتركين. ويلتزم الطرفان أيضًا بالضوابط الأساسية للأمن السيبراني.

An extension of the ECC that sets the minimum cybersecurity requirements for protecting data throughout its lifecycle (create, store, share, use, dispose). Requirements scale with the data classification level: Public, Restricted, Secret and Top Secret.امتداد للضوابط الأساسية للأمن السيبراني يضع الحد الأدنى من متطلبات الأمن السيبراني لحماية البيانات خلال جميع مراحل دورة حياتها (الإنشاء، التخزين، المشاركة، الاستخدام، الإتلاف). وتتدرج المتطلبات بحسب مستوى تصنيف البيانات: عام، مقيد، سري، سري للغاية.

Applies to: | ينطبق على: Government organizations (ministries, authorities, establishments and others) and their companies and entities, plus private sector organizations that own, operate or host Critical National Infrastructure; covers all physical and digital data. Continuous ECC compliance is a prerequisite.الجهات الحكومية (الوزارات والهيئات والمؤسسات وغيرها) والجهات والشركات التابعة لها، وجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تقوم بتشغيلها أو استضافتها، وتشمل جميع أشكال البيانات المادية والرقمية. ويُعد الالتزام المستمر بالضوابط الأساسية للأمن السيبراني متطلبًا مسبقًا.

Extension of the ECC that sets minimum cybersecurity requirements for Industrial Control Systems (OT/ICS) in critical facilities. Controls apply according to the facility level (L1 high, L2 moderate, L3 low criticality) assigned with NCA's Facility Level Identification Tool.امتداد للضوابط الأساسية للأمن السيبراني يحدد الحد الأدنى من متطلبات الأمن السيبراني لأنظمة التحكم الصناعي (‪OT/ICS‬) في المرافق الحساسة. تُطبَّق الضوابط وفق مستوى المرفق (المستوى الأول ‪L1‬ عالي الحساسية، والثاني ‪L2‬ متوسط، والثالث ‪L3‬ منخفض) الذي يُحدَّد بأداة تحديد مستوى المرافق الصادرة عن الهيئة.

Applies to: | ينطبق على: Government organizations and private entities owning, operating or hosting Critical National Infrastructure that own or operate ICS in critical facilities, inside or outside the Kingdom; ECC compliance is a prerequisite.الجهات الحكومية وجهات القطاع الخاص التي تمتلك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة، والتي تمتلك أو تشغّل أنظمة تحكم صناعي في مرافق حساسة داخل المملكة أو خارجها؛ ويُعد الالتزام بالضوابط الأساسية للأمن السيبراني متطلبًا مسبقًا.

Minimum cybersecurity requirements that let national organizations run telework (remote work) securely, issued as an extension of the ECC. Every in-scope organization that allows telework must apply all controls relevant to it.الحد الأدنى من متطلبات الأمن السيبراني التي تمكّن الجهات الوطنية من أداء العمل عن بعد بشكل آمن، وهي امتداد للضوابط الأساسية للأمن السيبراني. يجب على كل جهة ضمن النطاق تسمح بالعمل عن بعد الالتزام بجميع الضوابط المنطبقة عليها.

Applies to: | ينطبق على: Government organizations (ministries, authorities, establishments and their companies) and private entities that own, operate or host Critical National Infrastructure, whenever they allow telework.الجهات الحكومية (الوزارات والهيئات والمؤسسات والشركات التابعة لها) وجهات القطاع الخاص التي تمتلك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة، متى سمحت بالعمل عن بعد.

Minimum cybersecurity requirements for the secure use of official organizational social media accounts, reducing the risk of account takeover, misuse and impersonation. Issued as an extension of the ECC.الحد الأدنى من متطلبات الأمن السيبراني للاستخدام الآمن لحسابات التواصل الاجتماعي الرسمية للجهات، للحد من مخاطر سرقة الحسابات وإساءة استخدامها وانتحال هوية الجهة، وهي امتداد للضوابط الأساسية للأمن السيبراني.

Applies to: | ينطبق على: Government organizations (ministries, authorities, establishments and their companies) and private entities that own, operate or host Critical National Infrastructure, when they use social media accounts.الجهات الحكومية (الوزارات والهيئات والمؤسسات والجهات والشركات التابعة لها) وجهات القطاع الخاص التي تمتلك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة، عند استخدامها لحسابات التواصل الاجتماعي.

The national minimum requirements for using cryptography to protect data, systems and networks for civilian and commercial purposes. It lists the accepted algorithms, key lengths, modes, protocols, certificate rules and key lifecycle management practices at two strength levels (MODERATE and ADVANCED). Other NCA controls, such as the ECC cryptography subdomain, require compliance with it.الحد الأدنى الوطني من متطلبات استخدام التشفير لحماية البيانات والأنظمة والشبكات للأغراض المدنية والتجارية. تحدد الخوارزميات وأطوال المفاتيح وطرق التشغيل والبروتوكولات المقبولة وقواعد الشهادات وإدارة دورة المفاتيح وفق مستويين من القوة (الأساسي والمتقدم)، وتُلزم بها ضوابط أخرى للهيئة مثل المكون الفرعي للتشفير في الضوابط الأساسية للأمن السيبراني.

Applies to: | ينطبق على: National entities that use cryptography to protect data (in use, at rest and in transit), systems and networks for civilian or commercial purposes; each entity selects the MODERATE or ADVANCED level according to data sensitivity or as mandated by other NCA regulations.الجهات الوطنية التي تستخدم التشفير لحماية البيانات (عند تخزينها أو معالجتها أو نقلها) والأنظمة والشبكات للأغراض المدنية أو التجارية؛ وتختار كل جهة المستوى الأساسي أو المتقدم حسب حساسية البيانات أو وفق ما تحدده وثائق الهيئة الأخرى.

Protects the personal data of individuals in the Kingdom. Requires a legal basis and consent rules, privacy notices, data subject rights within 30 days, minimization, retention limits, processor controls, records of processing, DPO appointment and impact assessments where required, security measures, breach notification to SDAIA within 72 hours, and controls on transfers outside the Kingdom. Violations can reach SAR 5 million.يحمي البيانات الشخصية للأفراد في المملكة. يتطلب أساسًا نظاميًا وضوابط للموافقة، وسياسة خصوصية وإشعارًا عند الجمع، والاستجابة لحقوق أصحاب البيانات خلال 30 يومًا، والحد الأدنى من البيانات، ومدد احتفاظ محددة، وضوابط لجهات المعالجة، وسجلات لأنشطة المعالجة، وتعيين مسؤول لحماية البيانات وتقويم الأثر عند الاقتضاء، وتدابير أمنية، والإشعار عن التسرب إلى سدايا خلال 72 ساعة، وضوابط النقل خارج المملكة. قد تصل الغرامات إلى 5 ملايين ريال.

Applies to: | ينطبق على: Any entity processing personal data of individuals in the Kingdom, including entities outside the Kingdom that process data of residents; personal or family use is excluded.كل جهة تعالج البيانات الشخصية للأفراد في المملكة، بما في ذلك الجهات خارج المملكة التي تعالج بيانات المقيمين فيها؛ ويُستثنى الاستخدام الشخصي أو العائلي.

National standards for managing and governing government data and protecting personal data, organised in 15 domains from data governance to personal data protection. Entities audit their compliance at specification level every year and submit the report to NDMO in the third quarter; specifications are phased in by priority (P1 year 1, P2 year 2, P3 year 3).ضوابط ومواصفات وطنية لإدارة البيانات الحكومية وحوكمتها وحماية البيانات الشخصية، موزعة على 15 مجالًا من حوكمة البيانات إلى حماية البيانات الشخصية. تجري الجهات تدقيقًا سنويًا لامتثالها على مستوى كل مواصفة وترفع التقرير إلى مكتب إدارة البيانات الوطنية في الربع الثالث من كل عام، ويُطبَّق التنفيذ تدريجيًا حسب الأولوية (الأولوية 1 في السنة الأولى، و2 في الثانية، و3 في الثالثة).

Applies to: | ينطبق على: All public entities (government entities and their affiliates, and companies that run public utilities or national infrastructure or render related public services) and business partners handling government data.جميع الجهات العامة (الجهات الحكومية والجهات التابعة لها، والشركات التي تدير أو تشغّل مرافق عامة أو بنى تحتية وطنية أو تقدم خدمات عامة مرتبطة بها)، وشركاء الأعمال الذين يتعاملون مع البيانات الحكومية.

Sector framework for service providers licensed or registered by CST. Non-CNI providers implement the CRF controls at the compliance level CST assigns (CL1–CL3); CNI providers follow NCA ECC and share compliance reports and incidents with CST.إطار قطاعي لمقدمي الخدمات المرخصين أو المسجلين لدى الهيئة. يطبّق مقدمو الخدمات من غير البنى التحتية الحساسة ضوابط الإطار وفق مستوى الالتزام الذي تحدده الهيئة (‪CL1–CL3‬)، بينما يلتزم مقدمو الخدمات ذوو البنى التحتية الحساسة بالضوابط الأساسية ويشاركون تقارير الالتزام والحوادث مع الهيئة.

Applies to: | ينطبق على: Telecom, internet, postal and ICT service providers licensed or registered by CST.مقدمو خدمات الاتصالات والإنترنت والبريد وتقنية المعلومات المرخصون أو المسجلون لدى هيئة الاتصالات والفضاء والتقنية.

CST rules for cloud computing services in the Kingdom: CSP registration with CST, subscriber data classification and location, breach notification, subscriber data protection, unlawful content, minimum contract terms, liability, quality and continuity. It replaced the Cloud Computing Regulatory Framework v3 and applies together with the Guide for Cloud Computing Service Providers v5.تنظيمات الهيئة لخدمات الحوسبة السحابية في المملكة: تسجيل مقدمي الخدمة لدى الهيئة، وتصنيف بيانات المشترك وموقعها، والإشعار بالانتهاكات، وحماية بيانات المشترك، والمحتوى المخالف، والحد الأدنى لمحتوى العقود، والمسؤولية، والجودة، واستمرارية الخدمة. حلّت محل الإطار التنظيمي للحوسبة السحابية (الإصدار الثالث) وتُطبَّق مع دليل مقدمي خدمات الحوسبة السحابية (الإصدار الخامس).

Applies to: | ينطبق على: Cloud service providers serving subscribers resident or addressed in the Kingdom, and any CSP processing or storing subscriber content in Saudi data centers; CSPs controlling a data center or core cloud infrastructure in the Kingdom must register with CST. Cloud subscribers must classify their data, keep government data in the Kingdom with registered CSPs, and comply with NCA, NDMO and SAIP rules.مقدمو خدمات الحوسبة السحابية للمشتركين المقيمين أو الذين لديهم عنوان في المملكة، وأي مقدم خدمة يعالج أو يخزن محتوى المشتركين في مراكز بيانات داخل المملكة؛ ويجب التسجيل لدى الهيئة على من يتحكم في مركز بيانات أو بنية أساسية هامة للحوسبة السحابية في المملكة. ويلتزم مشتركو الحوسبة السحابية بتصنيف بياناتهم، وإبقاء بيانات الجهات الحكومية داخل المملكة لدى مقدمي خدمة مسجلين، والالتزام بأنظمة الهيئة الوطنية للأمن السيبراني ومكتب إدارة البيانات الوطنية والهيئة السعودية للملكية الفكرية.

Principle-based cyber security framework of the Saudi Central Bank that sets the cyber security controls and maturity model for financial institutions regulated by SAMA. Member Organizations must operate at maturity level 3 or higher (level 4 for banks).دليل تنظيمي قائم على المبادئ يصدره البنك المركزي السعودي، يحدد ضوابط الأمن السيبراني ونموذج النضج للمؤسسات المالية الخاضعة لرقابته. يجب على المؤسسات المالية العمل عند مستوى النضج الثالث على الأقل (والمستوى الرابع للبنوك).

Applies to: | ينطبق على: All Member Organizations regulated by SAMA: banks, insurance and/or reinsurance companies, financing companies and credit bureaus operating in Saudi Arabia, and the financial market infrastructure; the Rulebook also applies it to payment systems and payment service providers and regulatory sandbox participants. All subdomains apply to banks; non-bank institutions are exempt from 3.2.3, 3.3.12 and 3.3.13 (with conditions).جميع المؤسسات المالية الخاضعة لرقابة البنك المركزي: البنوك، وشركات التأمين و/أو إعادة التأمين، وشركات التمويل، وشركات المعلومات الائتمانية العاملة في المملكة، والبنية التحتية للسوق المالية؛ ويطبّقه دليل القواعد أيضًا على نظم المدفوعات ومقدمي خدمات المدفوعات والبيئة التجريبية التشريعية. تنطبق جميع المجالات على البنوك، وتُستثنى المؤسسات الأخرى من المجالات الفرعية 3.2.3 و3.3.12 و3.3.13 (بشروط).

Saudi Central Bank requirements for initiating, implementing, maintaining, monitoring and improving business continuity and IT disaster recovery, based on ISO 22301, ISO 27001, BCI and DRII practices. Member Organizations must integrate the requirements formally into their BCM program.متطلبات البنك المركزي السعودي لبدء وتطبيق ومراقبة وتحسين والحفاظ على ضوابط استمرارية الأعمال والتعافي من كوارث تقنية المعلومات، استنادًا إلى معايير ‪ISO 22301‬ و‪ISO 27001‬ وممارسات معهد استمرارية الأعمال (‪BCI‬) والمعهد الدولي للتعافي من الكوارث (‪DRII‬). يجب على المؤسسات المالية الالتزام بهذه المتطلبات وإدراجها رسميًا ضمن برنامج إدارة استمرارية الأعمال لديها.

Applies to: | ينطبق على: All organizations affiliated with SAMA (Member Organizations), all banks operating in Saudi Arabia, banking subsidiaries of Saudi banks and subsidiaries of foreign banks in Saudi Arabia; the SAMA Rulebook lists its scope as the banking sector, finance sector, payment systems and payment service providers, and credit bureaus. It covers the full scope of the organization, including subsidiaries, staff, subcontractors, third parties and customers.كافة المؤسسات الخاضعة لإشراف البنك المركزي (المؤسسات المالية)، وكافة البنوك العاملة في المملكة، والشركات التابعة للبنوك السعودية، والشركات التابعة للبنوك الأجنبية في المملكة؛ ويحدد دليل القواعد نطاق تطبيقه في القطاع المصرفي وقطاع التمويل ونظم المدفوعات ومقدمي خدمات المدفوعات وشركات المعلومات الائتمانية. ويشمل النطاق الكامل للمؤسسة المالية بما في ذلك الشركات التابعة والموظفين والمقاولين والأطراف الثالثة والعملاء.

CMA cybersecurity controls for capital market institutions supervised by the Capital Market Authority, built on NCA controls, the SAMA framework, NIST and ISO. Implementation is subject to periodic self-assessment, review and audit under a mechanism set by CMA.ضوابط الأمن السيبراني لمؤسسات السوق المالية الخاضعة لإشراف هيئة السوق المالية، المبنية على ضوابط الهيئة الوطنية للأمن السيبراني وإطار البنك المركزي السعودي و‪NIST‬ و‪ISO‬. ويخضع تنفيذها لتقييم ذاتي دوري ومراجعة وتدقيق وفق الآلية التي تراها الهيئة.

Applies to: | ينطبق على: All capital market institutions licensed and supervised by CMA (e.g. Authorised Persons); CMA may apply the guidelines to any entity under its supervision. NCA ECC also applies and is mandatory for institutions that fall within the ECC scope.جميع مؤسسات السوق المالية المرخص لها والخاضعة لإشراف هيئة السوق المالية (مثل الأشخاص المرخص لهم)، وللهيئة تطبيق الدليل على أي جهة خاضعة لإشرافها. وتنطبق أيضًا الضوابط الأساسية للأمن السيبراني (‪ECC‬) الصادرة عن الهيئة الوطنية للأمن السيبراني، وهي إلزامية للمؤسسات الداخلة في نطاقها.

Mandatory DGA controls for IT governance and for risk management and business continuity in digital government, plus the security-, hosting- and resilience-related Digital Transformation Basic Standards measured in the annual Qiyas assessment. DGA measures compliance; cybersecurity controls are left to NCA and data and privacy to SDAIA/NDMO.ضوابط إلزامية من هيئة الحكومة الرقمية لحوكمة تقنية المعلومات ولإدارة المخاطر واستمرارية الأعمال في الحكومة الرقمية، إضافة إلى المعايير الأساسية للتحول الرقمي المتعلقة بالأمن والاستضافة والاستمرارية التي تُقاس في مؤشر قياس السنوي. تقيس الهيئة الالتزام، بينما تُترك ضوابط الأمن السيبراني للهيئة الوطنية للأمن السيبراني، والبيانات والخصوصية للهيئة السعودية للبيانات والذكاء الاصطناعي ومكتب إدارة البيانات الوطنية.

Applies to: | ينطبق على: All government entities and operating entities that provide digital government services and products, regardless of type, size or nature (applied in proportion to their environment, complexity and locations).جميع الجهات الحكومية والجهات المشغّلة التي تقدم خدمات ومنتجات الحكومة الرقمية أيًا كان نوعها أو حجمها أو طبيعتها (بحسب بيئة عملها ودرجة تعقيدها وعدد مواقعها الجغرافية).

Privacy and security policies of the Saudi Health Information Exchange (SeHE): nine policies on purpose of use, information security, patient rights, identity management, authentication, consent and access control, audit, breach notification and secondary use of personal health information. Some technical values are dated (e.g. 3DES, TLS 1.0, ISO 27799:2008) and should be read together with current NCA controls.سياسات الخصوصية والأمن الخاصة بمنظومة تبادل المعلومات الصحية السعودية (‪SeHE‬)، وتضم تسع سياسات: أغراض الاستخدام، وأمن المعلومات، وحقوق متلقي الرعاية، وإدارة الهوية، والتحقق من الهوية، والموافقة والتحكم في الوصول، والتدقيق، والإشعار بالاختراق، والاستخدام الثانوي للمعلومات الصحية الشخصية. بعض القيم التقنية قديمة (مثل ‪3DES‬ و‪TLS 1.0‬ و‪ISO 27799:2008‬) وينبغي قراءتها مع ضوابط الهيئة الوطنية للأمن السيبراني الحالية.

Applies to: | ينطبق على: Participating Healthcare Subscribers (healthcare organizations connected to the SeHE), their business associates and subcontractors, and SeHE system service providers, for all personal health information provided to or retrieved from the exchange.المنشآت الصحية المشتركة في منظومة تبادل المعلومات الصحية، وشركاؤها في الأعمال ومقاولوهم من الباطن، ومزودو خدمات أنظمة التبادل، لكل المعلومات الصحية الشخصية المرسلة إلى المنظومة أو المسترجعة منها.