صدر عن المركز الوطني للأمن السيبراني القرار رقم 2 لسنة 2026 بشأن الضوابط الوطنية الأساسية للأمن السيبراني، تفعيلًا للمرسوم رقم 37 لسنة 2022 بإنشاء المركز. القرار يضع حدًا أدنى وطنيًا موحدًا لحماية الأنظمة والبيانات لدى الجهات المعنية. في هذا المقال يشرح المحامي مشاري عبيد العنزي الضوابط وأبعادها القانونية على المنشآت.
بيانات القرار
- الجهة المصدرة: المركز الوطني للأمن السيبراني.
- الأساس: المرسوم رقم 37 لسنة 2022 بشأن إنشاء المركز الوطني للأمن السيبراني.
- الموضوع: الضوابط الوطنية الأساسية للأمن السيبراني.
- الغاية: وضع حد أدنى وطني موحّد من المتطلبات الأساسية لحماية الأنظمة والخدمات والبيانات والأصول التقنية.
- الإطار الأوسع: يتكامل مع الإطار الوطني لحوكمة الأمن السيبراني ومع لائحة تصنيف البيانات.
محاور الضوابط
القرار لا يعامل الأمن السيبراني كمسألة تقنية محدودة، بل كنظام مؤسسي متكامل يشمل:
- الحوكمة: سياسات معتمدة ومسؤوليات محددة وإشراف من الإدارة العليا.
- إدارة المخاطر: تقييم دوري للمخاطر ووضع آليات لمعالجتها.
- حماية الأصول: حصر الأصول التقنية وتصنيفها وتأمينها.
- إدارة الوصول: ضبط الصلاحيات ومبدأ الحد الأدنى من الامتيازات.
- الوعي والتدريب: رفع وعي العاملين باعتبارهم خط الدفاع الأول.
- الاستجابة للحوادث: خطط معتمدة للاكتشاف والاحتواء والإبلاغ.
- استمرارية الخدمة: خطط لضمان استمرار الأعمال بعد الحادث السيبراني.
البعد القانوني — لماذا يهم المحامي والمنشأة
- معيار العناية: وجود ضوابط وطنية يجعل الالتزام بها معيارًا لقياس عناية المنشأة عند وقوع حادث.
- المسؤولية المدنية: إهمال الضوابط قد يُقرأ خطأً موجبًا للتعويض عن الضرر الذي يصيب العملاء.
- العقود: صار من الضروري إدراج بنود الأمن السيبراني في عقود مزودي الخدمات التقنية.
- الإثبات: السجلات والأدلة الرقمية هي عصب أي نزاع لاحق، وضعف الضبط يضعف موقف المنشأة.
- التكامل مع التجارة الرقمية: المرسوم بقانون 10 لسنة 2026 ألزم مزودي الخدمات الرقمية بمعايير أمن سيبراني وبحفظ السجلات، فالمنظومتان تتقاطعان.
ما يجب أن تفعله المنشأة عمليًا
- احصر أصولك التقنية: لا يمكن حماية ما لا تعرف وجوده.
- صنّف بياناتك: فالبيانات الشخصية والمالية تتطلب حماية أعلى.
- اعتمد سياسة مكتوبة: السياسة غير المكتوبة لا تصلح دليلًا على بذل العناية.
- راجع عقود مزوديك: حدد المسؤولية عن الاختراق ومواعيد الإبلاغ والتعويض.
- درّب العاملين ووثّق التدريب: التوثيق هو ما يُستشهد به عند المساءلة.
- جهّز خطة استجابة: وحدد من يبلّغ ومن يقرر ومن يتحدث باسم المنشأة.
الجرائم السيبرانية والمسار الجزائي
- الاختراق والدخول غير المشروع: مجرَّم بموجب التشريعات المنظمة لجرائم تقنية المعلومات.
- الابتزاز الإلكتروني: من أكثر الجرائم عرضًا على النيابة، ويحتاج توثيقًا فوريًا للأدلة.
- سرقة البيانات: قد تجمع بين المسؤولية الجزائية للفاعل والمدنية للمنشأة المقصّرة.
- الإبلاغ الفوري: التأخر في الإبلاغ يضعف فرص التتبع ويعقّد الإثبات.
- لا تتفاوض منفردًا: التعامل مع المبتز دون مشورة قانونية غالبًا ما يزيد الضرر.
الأسئلة الشائعة
هل تسري هذه الضوابط على الشركات الخاصة؟
الضوابط وُضعت حدًا أدنى موحدًا للجهات المعنية بها، وتحديد نطاق الجهات الخاضعة يرجع إلى نص القرار والقرارات المنظمة لعمل المركز. حتى الشركة غير الخاضعة مباشرة تستفيد من تبنّيها، لأنها تصبح معيارًا يُقاس عليه سلوكها عند وقوع حادث.
تعرضت شركتي لاختراق وتسربت بيانات عملاء — ما مسؤوليتي؟
قد تُسأل المنشأة مدنيًا عن الضرر إذا ثبت تقصيرها في اتخاذ التدابير المعقولة لحماية البيانات. وجود سياسات موثقة وتدريب مسجل وخطة استجابة معتمدة هو ما يثبت بذل العناية ويخفف المسؤولية.
هل أبلّغ عن الحادث السيبراني أم أعالجه داخليًا؟
الإخفاء خيار خطر، لأنه يضيّع الأدلة ويضاعف المسؤولية إذا انكشف الأمر لاحقًا. المسار السليم هو الاحتواء الفوري ثم الإبلاغ وفق ما تقرره الجهات المختصة، مع توثيق كل خطوة بتاريخها.
ما علاقة هذه الضوابط بقانون التجارة الرقمية؟
المرسوم بقانون 10 لسنة 2026 ألزم مزودي خدمات التجارة الرقمية بتطبيق معايير الأمن السيبراني وبالاحتفاظ بالسجلات الإلكترونية مدة محددة. فالضوابط الوطنية تمثل الأساس الفني الذي يُقاس عليه هذا الالتزام القانوني.
إذا كنت تدير منشأة وتريد مراجعة التزاماتك أو تعرضت لحادث سيبراني، يمكنكم حجز موعد مع مكتب المحامي مشاري عبيد العنزي أو الاتصال على 22204490.
تنبيه: هذا المقال يقدم معلومات قانونية عامة ولا يُغني عن الاستشارة القانونية المتخصصة.
تحتاج استشارة قانونية؟
تواصل مع المحامي مشاري عبيد العنزي — خبرة أكثر من ١٠ سنوات في المحاكم الكويتية