منذ أن اعتمدت الهيئة الوطنية للأمن السيبراني ضوابط الأمن السيبراني لجهات القطاع الخاص من غير ذوات البنى التحتية الحساسة (NCNICC-1:2025) في ديسمبر 2025، صارت جهات كثيرة تسأل السؤال نفسه: أي الضوابط تنطبق علينا، ECC أم NCNICC؟ والإجابة تحدد خط الأساس الذي تُقاس عليه، وحجم الجهد الذي يجب أن تخطط له.

خطّا أساس لنوعين من الجهات #

الضوابط الأساسية للأمن السيبراني (ECC) هي خط الأساس الوطني للجهات الحكومية، بما فيها الوزارات والهيئات والجهات التابعة لها، وللجهات التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. ويتوزع إصدارها الحالي ECC-2:2024 على أربعة مجالات: الحوكمة، والتعزيز، والصمود، والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية.

أما ضوابط NCNICC فتضع الحد الأدنى من ضوابط الأمن السيبراني لجهات القطاع الخاص غير المصنّفة بنى تحتية وطنية حساسة، ولها ثلاثة مكونات (حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية)، مع مجموعة أخف للشركات الصغيرة والمتوسطة. وللتفاصيل، اطّلع على دليل NCNICC للشركات الخاصة.

باختصار: ضوابط ECC للقطاع العام ولمن يدير البنى التحتية التي تعتمد عليها البلاد، وضوابط NCNICC لبقية القطاع الخاص.

ثلاثة أسئلة لاتخاذ القرار #

أجب عنها بالترتيب.

  1. هل أنت جهة حكومية أو جهة تابعة لها؟ إن كانت الإجابة نعم فضوابط ECC هي التي تنطبق.
  2. هل تملك بنية تحتية وطنية حساسة أو تشغّلها أو تستضيفها؟ ويشمل ذلك القطاعات والخدمات التي قد يؤثر تعطلها تأثيرًا كبيرًا على الأمن الوطني أو الاقتصاد أو الخدمات الأساسية. إن كانت الإجابة نعم فضوابط ECC تنطبق، وقد تخضع أنظمة بعينها أيضًا لضوابط الأمن السيبراني للأنظمة الحساسة (CSCC) الأشد.
  3. هل أنت شركة خاصة لا ينطبق عليها أي مما سبق؟ فخط أساسك إذن ضوابط NCNICC.

وإذا لم تكن إجابة السؤال الثاني واضحة، كأن تقدّم خدمات لمشغّل بنية تحتية، فلا تخمّن. اكتب أسبابك، وتحقق منها مع جهتك التنظيمية القطاعية أو مع مقيّم يستطيع مراجعة عقودك ودورك.

ما الذي يتغير عمليًا #

يقوم خطا الأساس على الأفكار نفسها: ملكية واضحة، وحماية سليمة، وصمود، وضبط للأطراف الخارجية. والفرق في العمق ودرجة الرسمية.

فضوابط ECC مكتوبة للجهات الحكومية والبنى التحتية الحساسة، وهي أوسع وأكثر تفصيلًا في أربعة مجالات. أما ضوابط NCNICC فمكتوبة للشركات الخاصة من خارج البنى التحتية الحساسة، وهي حد أدنى: ثلاثة مكونات بـ 65 ضابطًا أساسيًا للجهات الكبيرة، ومجموعة أخف من 26 ضابطًا أساسيًا للصغيرة والمتوسطة. ومع ECC قد تنطبق أيضًا مجموعات ضوابط أخرى مثل CSCC وCCC وDCC وOTCC، أما مع NCNICC فتنطبق الضوابط الأخرى فقط حين تتطلبها أنشطتك.

ونادرًا ما يضيع جهد يُبذل لأحدهما. فالشركة التي تستعد جيدًا لضوابط NCNICC تبني عادات وسياسات وأدلة تسهّل عليها الانتقال لاحقًا إلى مستوى أعلى.

حالات تحتاج إلى نظرة أقرب #

  • كونك موردًا لبنية تحتية حساسة لا يجعلك بنية تحتية حساسة بحد ذاته، لكن عميلك قد يشترط تعاقديًا ضوابط بمستوى ECC لخدماتك.
  • إن كنت تستضيف أنظمة لغيرك فقد تنطبق ضوابط الأمن السيبراني للحوسبة السحابية (CCC) على خدمات الاستضافة لديك.
  • قد تضم المجموعة كيانًا يدير بنية تحتية وكيانات أخرى لا تفعل، فحدّد نطاق كل كيان على حدة.
  • إن كنت تحت إشراف البنك المركزي السعودي فإن إطار ساما للأمن السيبراني ينطبق عليك أيضًا.

الحسم المبكر يوفّر المال #

للاختيار الخاطئ كلفة في الاتجاهين. فالاستعداد لضوابط ECC كاملة بينما تنطبق عليك NCNICC قد يعني أشهرًا من العمل غير الضروري، والاستعداد لضوابط NCNICC فقط بينما تنطبق عليك ECC يترك فجوات ستجدها الجهة التنظيمية. ومراجعة قصيرة للانطباق في البداية، مكتوبة ومعتمدة، تمنع الأمرين.

ثلاثة أمثلة #

هذه نماذج مبسطة توضح كيف تعمل الأسئلة، وليست قرارات نظامية.

  • شركة برمجيات في الرياض تطوّر نظام موارد بشرية لعملاء من القطاع الخاص. ليست جهة حكومية ولا تدير بنية تحتية حساسة، فخط أساسها ضوابط NCNICC. وإن كانت تستضيف بيانات العملاء على منصتها السحابية فعليها أيضًا مراجعة ضوابط الحوسبة السحابية لهذا الدور.
  • مشغّل إقليمي لخدمات المياه يدير محطات ضخ وأنظمة تحكم. يشغّل بنية تحتية حساسة، فتنطبق عليه ضوابط ECC، وتقوده أنظمة التحكم الصناعي لديه إلى ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC).
  • مجموعة تجزئة عائلية لديها متاجر ومتجر إلكتروني وفريق تقنية صغير. خط أساسها ضوابط NCNICC، ولأنها تقبل الدفع بالبطاقات فمعيار PCI DSS يعنيها أيضًا، ولأنها تحتفظ ببيانات العملاء فنظام حماية البيانات الشخصية كذلك.

أسئلة قبل أن تلتزم #

قبل أن تحسم خط الأساس والميزانية، اطرح بعض الأسئلة على جهتك التنظيمية أو عملائك الكبار أو المقيّم:

  1. هل يشترط أي من عقودنا مجموعة ضوابط محددة من الهيئة؟
  2. هل يقع أي من نشاطنا ضمن قطاع تعدّه الجهة التنظيمية حساسًا؟
  3. هل نستضيف أنظمة أو بيانات لغيرنا قد تُدخل ضوابط الحوسبة السحابية في الصورة؟
  4. ما المتطلبات الأخرى التي تنطبق علينا في كل الأحوال، مثل نظام حماية البيانات الشخصية أو ساما أو PCI DSS؟
  5. هل يمكن أن تخدم أدلتنا أكثر من إطار، فنجمعها مرة واحدة؟

والإجابات المكتوبة تجعل قرارك سهل الدفاع عنه لاحقًا.

طريق معقول للمضي قدمًا #

  1. أجب عن الأسئلة الثلاثة ووثّق أسبابك في صفحة واحدة.
  2. أجرِ تقييم فجوة وفق خط الأساس المنطبق عليك.
  3. عالج الفجوات الأعلى خطورة أولًا: التحقق متعدد العوامل، والنسخ الاحتياطي المُختبر، والتحديثات، وتنظيف الصلاحيات، والتوعية بالتصيّد.
  4. خطّط للباقي في خارطة طريق بمُلّاك وتواريخ.

وإن لم تكن متأكدًا من موقعك، فمراجعة الانطباق خطوة أولى صغيرة. اقرأ المزيد عن ضوابط NCNICC وعن تقييم ضوابط ECC، أو اطلب منا مراجعة وضعك.

الأسئلة الشائعة #

هل يمكن أن تخضع شركة خاصة لضوابط ECC؟

نعم، إن كانت تملك بنية تحتية وطنية حساسة أو تشغّلها أو تستضيفها. أما الشركات الخاصة من خارج البنى التحتية الحساسة فتتبع ضوابط NCNICC.

هل ضوابط NCNICC أسهل من ECC؟

تضع حدًّا أدنى مناسبًا للقطاع الخاص، لذا تكون عادةً أقل اتساعًا، لكنها ما زالت تتطلب حوكمة وحماية وضبطًا حقيقيًا للأطراف الخارجية.

نحن موردون لمشغّل بنية تحتية حساسة، فأيهما ينطبق؟

كونك موردًا لا يجعلك بنية تحتية حساسة بحد ذاته، لكن عميلك قد يشترط تعاقديًا ضوابط بمستوى ECC لخدماتك. وثّق منطقك وتحقق منه.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.