ضوابط الأمن السيبراني الأساسية (NCA ECC): شرح عملي للمؤسسات الأوروبية العاملة في السعودية

بالنسبة للمؤسسات الأوروبية التي تتقدّم لمناقصات القطاع العام السعودي أو تعمل شريكًا للبنوك والاتصالات وشركات الطاقة في المملكة، لم يعد السؤال هو «هل نلتزم بضوابط NCA ECC؟»، بل: كيف نُحقّق الامتثال دون إعادة بناء نظام إدارة أمن المعلومات (ISMS) من الصفر؟

هذا الدليل العملي يضع بين يدي قيادات الأمن السيبراني (CISO) ومديري الامتثال خارطة طريق تربط بين الإطار السعودي والمعايير الأوروبية المعروفة، مع تحديد الفجوات الفعلية التي تحتاج تنفيذًا إضافيًا.

ما هي ضوابط NCA ECC ومن يُصدرها؟

صدرت ECC لأول مرة عام 2018، والنسخة المرجعية هنا هي ECC-2:2024 — الوثيقة الرسمية، الصفحة 7. تتناول الوثيقة أربعة مجالات، وتُراجع معها الضوابط المتخصصة بحسب النطاق: CSCC للأنظمة الحساسة، وCCC للحوسبة السحابية، وOTCC للتقنيات التشغيلية.

تنطبق ECC-2:2024 على الجهات الحكومية والجهات الخاصة التي تملك أو تشغّل بنى تحتية وطنية حساسة. تُراجع التزامات المورّدين بحسب نطاق الخدمة والعقد والأطر القطاعية؛ ولا يعني وجود عميل سعودي انطباق جميع الضوابط تلقائياً.

المجالات الأربعة الرئيسية في ECC-2:2024

تضم الوثيقة 28 مجالاً فرعياً و108 ضوابط رئيسية و92 ضابطاً فرعياً؛ وهذه أعداد مختلفة لا يجوز جمعها أو وصفها جميعاً بأنها ضوابط فرعية.

1) حوكمة الأمن السيبراني

تشمل الاستراتيجية والسياسات والأدوار وإدارة المخاطر والامتثال والتدقيق والتوعية. اربط كل ضابط بمالك ودليل اعتماد وتاريخ مراجعة.

2) تعزيز الأمن السيبراني

تشمل إدارة الأصول والهوية وحماية الأنظمة والشبكات والبيانات والتشفير وإدارة الثغرات واختبار الاختراق والحوادث والسجلات. تُراجع تفاصيل كل ضابط بحسب الأنظمة المشمولة.

3) صمود الأمن السيبراني

يتناول استمرارية الأعمال من منظور الأمن السيبراني. وثّق متطلبات الاستعادة والاختبارات ونتائجها وفق نطاق المؤسسة.

4) الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية

يتناول مخاطر الموردين والاستعانة بالخدمات الخارجية والحوسبة السحابية. تُراجع الالتزامات والعقود ومواقع البيانات ومسؤوليات الطرفين.

أين تُراجع متطلبات الأنظمة التشغيلية؟

الأنظمة التشغيلية ليست مجالاً خامساً في ECC-2:2024. تُراجع ضوابط OTCC المتخصصة عند انطباقها، بدلاً من استخدام تقسيم ECC-1:2018 بوصفه النسخة الحالية.

الربط مع ISO 27001 وBSI IT-Grundschutz وNIS2

يمكن أن تساعد سياسات ISO/IEC 27001 وسجلات المخاطر وبيان قابلية التطبيق وأدلة BSI في مراجعة الفجوات، لكن لا توجد نسبة موحّدة لإعادة الاستخدام دون خريطة ضوابط موثّقة.

• لكل ضابط ECC منطبق: حدّد الدليل القائم، وحدود تغطيته، والفجوة، والمالك، وموعد التحقق.
• لا تعني شهادة ISO 27001 أو الالتزام بـGDPR أو NIS2 تحقيق الامتثال السعودي تلقائياً.
• تُراجع حماية البيانات الشخصية بالتوازي مع نظام حماية البيانات الشخصية السعودي ومتطلبات القطاع.

إقامة البيانات داخل المملكة (Data Residency) ومركز عمليات الأمن

لا تُستنتج قاعدة استضافة موحدة من اسم ECC وحده. تُراجع متطلبات مواقع البيانات والسجلات والنسخ الاحتياطية والوصول الإداري وفق الضوابط المنطبقة وتصنيف البيانات والقطاع والعقود.

حدّد نطاق المراقبة والاحتفاظ بالسجلات وإجراء تقييم الحوادث والإبلاغ عنها، ثم تحقّق من خدمات المزوّد ومناطق الاستضافة المتاحة فعلياً قبل التعاقد.

خارطة جاهزية عملية للمؤسسات الأوروبية: 90 يومًا

خطة التسعين يوماً التالية مثال تخطيطي لتنظيم العمل، وليست مهلة نظامية أو نتيجة مضمونة. تُحدَّد المدة بعد تحليل الفجوات والأصول والموارد واعتماد نطاق العمل.

1. الأسبوع 1–2: تشكيل فريق امتثال ECC مع قيادة من CISO، وتعيين شريك تقييم مؤهل وفق متطلبات الجهة والعقد.
2. الأسبوع 2–4: تنفيذ تحليل فجوات تفصيلي بين ضوابط ISO 27001 SoA الحالية وضوابط ECC-2:2024 المنطبقة.
3. الأسبوع 4–6: ترجمة السياسات والإجراءات الجوهرية إلى العربية، واعتمادها رسميًا من الإدارة العليا.
4. الأسبوع 5–7: مراجعة مواقع الاستضافة والسجلات والنسخ الاحتياطية وتنفيذ التغييرات المطلوبة بحسب النطاق.
5. الأسبوع 6–9: تحديد وتشغيل نطاق المراقبة والاستجابة للحوادث المتفق عليه وأدلة فاعليته.
6. الأسبوع 8–10: تنفيذ تقييم مخاطر للموردين (TPRM) وتعديل العقود لتشمل بنود الامتثال للـ ECC.
7. الأسبوع 9–11: اختبار اختراق مستقل (Pen Test) مع جهة مؤهلة وفق نطاق الاختبار، وإغلاق الفجوات الحرجة.
8. الأسبوع 10–12: تدقيق داخلي شامل، إعداد ملف الأدلة (Evidence Package)، وتحديد متطلبات التقييم مع الجهة المعنية.

الأثر التجاري: ECC كبوابة لمناقصات الحكومة وVision 2030

تُراجع متطلبات التأهيل وإثبات الامتثال في وثائق كل مناقصة وعقد. لا يثبت هذا الدليل وجود شهادة ECC عامة أو قاعدة استبعاد تلقائي لكل مورّد؛ حدّد المطلوب والدليل والجهة التي تقبله قبل تقديم العرض.

لماذا Evolvice شريك الجاهزية للسوق السعودي

تساعد Evolvice المؤسسات على تقييم الفجوات التقنية والتنظيمية وتجهيز أدلة التنفيذ ضمن نطاق متفق عليه. تُراجع التفسيرات النظامية واعتمادات الجهات بواسطة المختصين المعنيين؛ ولا يَعِد هذا الدليل بقبول تنظيمي أو فوز بمناقصة.

• تقييم جاهزية NCA ECC وتحليل الفجوات ضمن جدول متفق عليه.
• مراجعة السياسات والوثائق وإعداد النسخ المطلوبة بحسب نطاق التقييم.
• تشغيل مركز عمليات أمن مُدار (Managed SOC) وفق نطاق المراقبة ومواقع المعالجة والقدرات المتفق عليها.
• دعم ملف العطاءات للمناقصات الحكومية بأدلّة امتثال جاهزة للتقديم.
• تدريب الفرق الأوروبية على متطلبات السوق السعودي بالعربية والإنجليزية والألمانية.

المصدر وحدود الدليل

المراجعة التحريرية: 13 أكتوبر 2026. ECC-2:2024 — الوثيقة الرسمية العربية للهيئة الوطنية للأمن السيبراني، الصفحة 7. الدليل إرشادي ولا يثبت اعتماداً تنظيمياً أو مراجعة قانونية للمؤسسة.

هل تستعد للدخول إلى السوق السعودي أو لتجديد عقد مع جهة حكومية؟

👉 احجز جلسة استشارية مع فريق Evolvice في الرياض لمراجعة وضعك التنظيمي وبناء خارطة جاهزية ECC مخصصة.