أقرت الهيئة الوطنية للأمن السيبراني جدول تصنيف مخالفات الأمن السيبراني والعقوبات المقررة عليها، متضمنًا غرامات مالية تصل إلى 25 مليون ريال على بعض المخالفات، إلى جانب عقوبات أخرى تشمل الإنذار وتعليق التراخيص وإلغاءها وإيقاف الخدمات أو الأنشطة، وذلك وفقًا لطبيعة المخالفة ودرجة جسامتها وحجم المنشأة المخالفة ومدى تكرار ارتكابها. ويستهدف الجدول تنظيم العقوبات المترتبة على مخالفة المتطلبات والضوابط والسياسات والأطر التنظيمية المتعلقة ب الأمن السيبراني ، مع مراعاة التدرج في العقوبة، وتحديد قيم الغرامات ومددها بحسب حجم كل مخالفة وخطورتها والآثار المترتبة عليها، فضلًا عن الظروف المشددة والمخففة التي تحيط بها. وصنفت الهيئة الجهات الخاضعة للجدول إلى أربع فئات، استنادًا إلى معايير تصنيف المنشآت المعتمدة لدى الهيئة العامة للمنشآت الصغيرة والمتوسطة ”منشآت“، بحيث تشمل الفئة «أ» المنشآت متناهية الصغر، والفئة «ب» المنشآت الصغيرة، والفئة «ج» المنشآت المتوسطة، والفئة «د» المنشآت الكبيرة، ويترتب على هذا التصنيف اختلاف الحدين الأدنى والأعلى للغرامات المالية المقررة بحسب حجم المنشأة. غرامات تصل إلى 25 مليون ريال وبحسب الجدول، تصل الغرامة المقررة على المنشآت الكبيرة إلى 25 مليون ريال عند مزاولة نشاط أمن سيبراني من المستوى الأول دون الحصول على ترخيص من الهيئة، إذ تبدأ الغرامة من 5 ملايين ريال، فيما تتراوح الغرامة على المنشآت المتوسطة بين مليون و5 ملايين ريال، وعلى المنشآت الصغيرة بين 100 ألف ومليون ريال، وعلى المنشآت متناهية الصغر بين 50 ألفًا و500 ألف ريال. أما مزاولة نشاط أمن سيبراني من المستوى الثاني دون ترخيص، فتصل غرامتها إلى 10 ملايين ريال للمنشآت الكبيرة، و5 ملايين ريال للمنشآت المتوسطة، و500 ألف ريال للمنشآت الصغيرة، و100 ألف ريال للمنشآت متناهية الصغر، مع اختلاف الحدود الدنيا للغرامات بحسب تصنيف المنشأة. تضمن الجدول معاقبة مزاولة الأنشطة أو العمليات الأخرى المتعلقة بالأمن السيبراني، التي يشترط لممارستها الحصول على ترخيص من الهيئة، دون الحصول عليه، بغرامات تصل إلى 5 ملايين ريال للمنشآت الكبيرة، ومليون ريال للمنشآت المتوسطة، و100 ألف ريال للمنشآت الصغيرة، و60 ألف ريال للمنشآت متناهية الصغر، إضافة إلى غرامات على الأفراد تتراوح بين 5 آلاف و25 ألف ريال. وشملت المخالفات أيضًا عدم الالتزام بشروط الترخيص، إذ تتراوح الغرامات على الأفراد بين 3 آلاف و10 آلاف ريال، وعلى المنشآت متناهية الصغر بين 10 آلاف و40 ألف ريال، والصغيرة بين 20 ألفًا و50 ألف ريال، والمتوسطة بين 50 ألفًا و500 ألف ريال، والكبيرة بين 100 ألف ومليون ريال. مخالفات ضوابط الأمن السيبراني ورفع الجدول جسامة عدد من المخالفات المرتبطة بعدم الالتزام بالضوابط والسياسات الوطنية للأمن السيبراني إلى المستوى العالي، ومن أبرزها مخالفة الضوابط الأساسية للأمن السيبراني، وضوابط الأمن السيبراني للبيانات والأنظمة الحساسة، وحسابات التواصل الاجتماعي للجهات، والعمل عن بُعد، والحوسبة السحابية، والأنظمة التشغيلية. شملت المخالفات عدم الالتزام بالضوابط الخاصة بجهات القطاع الخاص التي لا تمتلك بنى تحتية حساسة، والسياسة الوطنية لمراكز عمليات الأمن السيبراني المُدارة، والإطار الوطني لإدارة مخاطر الأمن السيبراني، والإطار التنظيمي لترخيص تقديم خدمات مراكز عمليات الأمن السيبراني المُدارة، إضافة إلى مخالفة أي من السياسات وآليات الحوكمة والأطر والمعايير والضوابط المتعلقة بالأمن السيبراني التي تصدرها الهيئة. وتصل الغرامات المقررة لهذه المخالفات إلى 5 ملايين ريال للمنشآت الكبيرة، ومليون ريال للمنشآت المتوسطة، و100 ألف ريال للمنشآت الصغيرة، و60 ألف ريال للمنشآت متناهية الصغر، مع عدم انطباق الغرامة على الأفراد في هذه المجموعة من المخالفات. صنف الجدول تقديم بيانات مضللة للعموم أو للجهات العامة والخاصة بشأن تقديم أنشطة أو عمليات أو خدمات مرتبطة بالأمن السيبراني ضمن المخالفات عالية الجسامة، بغرامات تصل إلى 5 ملايين ريال للمنشآت الكبيرة، و100 ألف ريال للمنشآت الصغيرة، إضافة إلى معاقبة الأفراد بغرامات تتراوح بين 5 آلاف و25 ألف ريال. وشملت المخالفات الامتناع عن تزويد الهيئة بالمعلومات أو البيانات أو الوثائق أو التقارير التي تطلبها لأداء اختصاصاتها ومهماتها، وكذلك تقديم معلومات أو بيانات أو تقارير أو وثائق مضللة إليها، وتصل غرامة الامتناع عن تقديم المعلومات إلى مليون ريال للمنشآت الكبيرة، فيما تصل غرامة تقديم معلومات مضللة إلى 5 ملايين ريال. مخالفات تقديم المعلومات وعرقلة أعمال التفتيش وتضمنت المخالفات عالية الجسامة تقديم معلومات مضللة للهيئة، أو الامتناع عن تزويدها بالبيانات والوثائق والتقارير اللازمة، إضافة إلى بيع أو استيراد أو تصدير أو تأجير أو إتاحة أو تصنيع أو إنتاج أو استخدام الأجهزة والعتاد والأدوات والخدمات والأنظمة والبرامج المرتبطة بالأمن السيبراني بالمخالفة للمعايير والاشتراطات التي تحددها الهيئة، أو دون الحصول على التراخيص اللازمة أو استكمال إجراءات الفسح المطلوبة. وتصل الغرامة على مخالفة الاشتراطات المتعلقة بهذه الأجهزة والأنظمة والبرامج إلى مليون ريال للمنشآت الكبيرة، و500 ألف ريال للمنشآت المتوسطة، و50 ألف ريال للمنشآت الصغيرة، و40 ألف ريال للمنشآت متناهية الصغر، فيما تتراوح غرامة الأفراد بين 3 آلاف و10 آلاف ريال، ويتعدد مبلغ الغرامة بتعدد فئات العتاد والأجهزة والأنظمة والأدوات والخدمات والبرامج أو ما في حكمها. وفي المقابل، صنف الجدول حيازة أو تداول الأجهزة والعتاد والأدوات والخدمات والأنظمة والبرامج المرتبطة بالأمن السيبراني بالمخالفة للمعايير والاشتراطات، أو دون الترخيص أو الفسح اللازم، ضمن المخالفات متوسطة الجسامة، بغرامات تتراوح بين ألفين و4 آلاف ريال للأفراد، و10 آلاف و20 ألف ريال للمنشآت متناهية الصغر، و20 ألفًا و40 ألف ريال للمنشآت الصغيرة، و30 ألفًا و60 ألف ريال للمنشآت المتوسطة، و50 ألفًا و100 ألف ريال للمنشآت الكبيرة. نص الجدول على فرض غرامات على إعاقة المفتشين أو منعهم من أداء مهماتهم، باعتبارها مخالفة عالية الجسامة، تتراوح بين 3 آلاف و10 آلاف ريال للأفراد، وتصل إلى مليون ريال للمنشآت الكبيرة، في حين تصنف عدم التعاون مع المفتشين وعدم تقديم التسهيلات اللازمة لهم مخالفة متوسطة الجسامة، بغرامات تصل إلى 100 ألف ريال للمنشآت الكبيرة. الإبلاغ عن التهديدات والثغرات السيبرانية شددت الهيئة على ضرورة تنفيذ القرارات والإجراءات والتدابير الأمنية السيبرانية التي تصدرها، بما في ذلك التنبيهات الأمنية والثغرات السيبرانية وقواعد رصد التهديدات ومؤشرات الاختراق وأعمال الاستجابة للحوادث، خلال المدد المحددة عبر البوابة الوطنية لخدمات الأمن السيبراني ”حصين“ أو أي وسيلة أخرى تحددها الهيئة. وصنف الجدول عدم تنفيذ هذه المتطلبات ضمن المخالفات عالية الجسامة، بغرامات تصل إلى 5 ملايين ريال للمنشآت الكبيرة، ومليون ريال للمنشآت المتوسطة، و100 ألف ريال للمنشآت الصغيرة، و60 ألف ريال للمنشآت متناهية الصغر. اعتبر عدم إبلاغ الهيئة بشكل فوري ومباشر بأي خطر أو تهديد أو اختراق للأمن السيبراني، سواء كان واقعًا أو محتملًا، من خلال بوابة ”حصين“ أو الوسائل التي تحددها، مخالفة متوسطة الجسامة، تصل غرامتها إلى 500 ألف ريال للمنشآت الكبيرة، و100 ألف ريال للمنشآت المتوسطة، و50 ألف ريال للمنشآت الصغيرة، و30 ألف ريال للمنشآت متناهية الصغر. وأدرج الجدول كذلك أي عمل آخر يخالف اللوائح والقرارات المتعلقة بنشاط الأمن السيبراني الصادرة عن الهيئة ضمن المخالفات متوسطة الجسامة، بغرامات تتراوح بين ألفين و4 آلاف ريال للأفراد، وتصل إلى 100 ألف ريال للمنشآت الكبيرة. الإنذار وتعليق التراخيص وإيقاف الأنشطة وبشأن العقوبات الإضافية، أجاز الجدول للجنة النظر في مخالفات الأمن السيبراني فرض عدد من العقوبات إلى جانب الغرامات المالية، تشمل الإنذار إذا ارتكبت المخالفة متوسطة الجسامة للمرة الأولى ولم تترتب عليها آثار جوهرية، وفق ما تقرره اللجنة، وتعليق الترخيص لمدة تحددها اللجنة على ألا تتجاوز سنة واحدة، أو إلغاء الترخيص، أو إيقاف الخدمة أو النشاط، بحسب ما ينطبق على طبيعة المخالفة. منح الجدول اللجنة صلاحية رفع مستوى جسامة المخالفة من متوسطة إلى عالية، من خلال مضاعفة الحد الأعلى للغرامة، إذا ترتب عليها أثر سلبي على المصالح الحيوية للدولة أو أمنها الوطني أو البنى التحتية الحساسة أو القطاعات ذات الأولوية أو الخدمات والأنشطة الحكومية، على ألا يتجاوز مقدار الغرامة الحد الأعلى المنصوص عليه في الممكنات النظامية. وفي حال كانت المخالفة عالية الجسامة وترتب عليها أي من هذه الآثار، يجوز للجنة كذلك مضاعفة الحد الأعلى للغرامة ضمن السقف النظامي المحدد. وفي المقابل، يمكن للجنة خفض مستوى جسامة المخالفة إذا توافرت مبررات موضوعية تتعلق بطبيعتها وخطورتها، ومن ذلك عدم تحقق ضرر فعلي أو الشروع في استيفاء المتطلب دون استكماله، على ألا تقل الغرامة في هذه الحالة عن 50% من الحد الأدنى المقرر للمخالفة الأساسية. تكرار المخالفة يرفع الغرامة إلى الضعف وحدد الجدول معايير تشديد العقوبات وتخفيفها، بحيث تحتسب مرات تكرار المخالفة خلال سنتين من تاريخ ارتكاب المخالفة ذاتها، وترتفع الغرامة بنسبة 50% عند ارتكابها للمرة الثانية، و75% للمرة الثالثة، و100% للمرة الرابعة، وذلك من آخر غرامة تم إيقاعها على المخالف عن المخالفة نفسها. أما عند ارتكاب المخالفة للمرة الخامسة، فيطبق الحد الأعلى المقرر لها، مع مضاعفة الغرامة في مرات التكرار التالية، وفق الضوابط المحددة في الجدول. وتشمل معايير التشديد أيضًا طبيعة الجهة المخالفة، فإذا كانت تمتلك بنى تحتية وطنية حساسة أو تتولى تشغيلها أو استضافتها، يجوز زيادة الغرامة بما لا يتجاوز 30% من قيمتها بعد احتساب أثر التكرار، إن وجد. كما تضاعف الغرامة بعد احتساب الظروف المشددة الأخرى إذا ترتبت على المخالفة عوائد مالية للمخالف. تخفيض الغرامة وفي المقابل، أتاح الجدول تخفيض الغرامات عند توافر ظروف مخففة، إذ يمنح المخالف تخفيضًا بنسبة 20% من إجمالي مبلغ الغرامة بعد احتساب الظروف المشددة، إذا بادر بالإبلاغ الذاتي عن المخالفة قبل اكتشافها من الهيئة، وقدم المعلومات اللازمة بشأن وقائعها وملابساتها. يمكن تخفيض الغرامة بنسبة 30% إذا اتخذ المخالف الإجراءات التصحيحية والعلاجية اللازمة لمعالجة المخالفة قبل الادعاء أمام اللجنة، وذلك بعد احتساب الظروف المشددة إن وجدت. ونص الجدول على تطبيق الحد الأدنى للغرامة المقررة بحسب فئة المخالفة عند ارتكابها للمرة الأولى، باستثناء الحالات التي ينطبق عليها الإنذار، كما أجاز للجنة، بموجب قرار مسبب، إيقاع الحد الأعلى للغرامة في أي مرحلة من مراحل التكرار متى اقتضت ظروف المخالفة ذلك. وفي حال ارتكاب المخالفة مجددًا بعد تطبيق الحد الأعلى للغرامة، يجوز للجنة تجاوز الحد الأعلى المحدد في الجدول، بشرط عدم تجاوز السقف الأعلى المنصوص عليه في الممكنات النظامية. كما يحق للجنة إضافة أي معيار آخر ترى أهمية أخذه في الاعتبار عند تحديد العقوبة، على ألا تتجاوز الزيادة الناتجة عنه 20% من الحد الأدنى للغرامة المقررة للمخالفة. وأكدت الأحكام المنظمة للجدول ضرورة عدم تجاوز مبلغ الغرامة في جميع الأحوال الحد الأعلى المنصوص عليه في الممكنات النظامية للهيئة الوطنية للأمن السيبراني، بما يضمن مراعاة جسامة المخالفة وظروف ارتكابها وآثارها، وتحقيق التدرج والتناسب في العقوبات المقررة.
المصدر – العربية