الإطار التنظيمي لتراخيص خدمات تقييم الالتزام بمتطلبات الأمن السيبراني

​1.1     تمهيد

​الهيئة الوطنية للأمن السيبراني ("الهيئة") هي الجهة المختصّة بالأمن السيبراني في المملكة، والمرجع الوطني في شؤونه، وتهدف إلى تعزيزه حمايةً للمصالح الحيوية للدولة وأمنها الوطني والبنى التحتية الحساسة والقطاعات ذات الأولوية والخدمات والأنشطة الحكومية. وبناءً على تنظيم الهيئة الوطنية للأمن السيبراني الصادر بالأمر الملكي الكريم رقم (6801) في 11/2/1439هـ  فتشمل اختصاصات الهيئة ومهماتها وضع السياسات وآليات الحوكمة والأطر والمعايير والضوابط والإرشادات المتعلقة بالأمن السيبراني، وتعميمها على الجهات ذات العلاقة، ومتابعة الالتزام بها، وتحديثها، وكذلك الترخيص بمزاولة الأفراد والجهات غير الحكومية للأنشطة والعمليات المتعلقة بالأمن السيبراني التي تحددها الهيئة، بالإضافة إلى وضع ما يلزم من معايير أو ضوابط للفسح والترخيص باستيراد وتصدير واستخدام الأجهزة والبرمجيات ذات الحساسية العالية للأمن السيبراني التي تحددها الهيئة، ومتابعة الالتزام بها، وتحديثها. كما أن من اختصاصات الهيئة ومهماتها تحفيز نمو قطاع الأمن السيبراني في المملكة، وتشجيع الابتكار والاستثمار فيه. 

يكون للمصطلحات المستخدمة​ في هذا الإطار المعاني المقابلة لها؛ ما لم يقتض السياق خلاف ذلك:​

الغرض من استحداث تراخيص مقدمي خدمات تقييم الالتزام هو المساهمة في تعزيز الأمن السيبراني على المستوى الوطني من خلال رفع مستوى النضج في الأعمال المتعلقة بالتقييمات السيبرانية، والمساهمة في تطوير قطاع الأمن السيبراني وتنميته؛ من خلال بناء سوق أوسع لمقدمي خدمات تقييم الالتزام بالوثائق التنظيمية التي وضعتها الهيئة، بالإضافة إلى وضع الأسس لقابلية التوسع؛ من خلال إنشاء منظومة لتدريب القائمين على تقييمات الالتزام، وتحسين جودتها.​

هناك أربعة مكونات رئيسة تدخل في نطاق هذا الإطار: 1) الوثائق التنظيمية التي وضعتها الهيئة الوطنية للأمن السيبراني. 2) عملية تقييم الالتزام، ومنهجيتها المتبعة، ومحتوياتها. 3) مقدمو خدمات تقييم الالتزام. 4) والجهات الخاضعة للتقييم. وفيما يلي وصف لكل مكون. 

 ​

 4.1    الوثائق التنظيمية التي وضعتها الهيئة الوطنية للأمن السيبراني

تشمل الوثائق التنظيمية التي وضعتها الهيئة؛ الضوابط الأساسية للأمن السيبراني (ECC)، وضوابط الأمن السيبراني للأنظمة الحساسة (CSCC)، وضوابط الأمن السيبراني للحوسبة السحابية (CCC)، وكذلك الضوابط والمعايير المتخصصة ومن ذلك ضوابط الأمن السيبراني لحسابات مواقع التواصل الاجتماعي للجهات، وضوابط الأمن السيبراني للعمل عن بعد (TCC)، وضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC)، والمعايير الوطنية للتشفير (NCS)، وضوابط الأمن السيبراني للبيانات (DCC). وتحتفظ الهيئة بحقها في نشر أي وثائق التنظيمية إضافية عامة ومتخصصة، وبحقها في تعديل أو حذف أي منها.

 4.2    عملية تقييم الالتزام، ومنهجيتها المتبعة ومحتوياتها

تشمل عملية تقييم الالتزام: المناقشة مع رئيس الإدارة المعنية بالأمن السيبراني، في الجهة الخاضعة للتقييم؛ والقيادة التنفيذية، بشأن الضوابط التي وضعتها الهيئة الوطنية للأمن السيبراني أو متطلبات الهيئة التنظيمية الأخرى التي يجري تقييمها، وزيارة موقع الجهة الخاضعة للتقييم؛ من أجل تقييم مستوى التزامها، وجمع الأدلة ذات الصلة وتضمين الأدلة والملحوظات في التقرير الشامل لتقييم الالتزام؛ ومن ثم صياغة هذا التقرير، ومراجعة المسودة بحضور رئيس الإدارة المعنية بالأمن السيبراني في الجهة الخاضعة للتقييم، والقيادة التنفيذية، وإرسال التقرير النهائي إلى الهيئة الوطنية للأمن السيبراني بالصيغة المقررة من الهيئة، ومن خلال القنوات التي تحددها الهيئة. وفيما يتعلق بالمنهجية المتبعة في إجراء تقييم الالتزام؛ فإنها تتضمن؛ على الممارسات والإجراءات التي يجب على مُقيّم الالتزام اتباعها، خلال عملية التقييم. وأما فيما يتعلق بمحتوى تقييم الالتزام؛ فيشمل هيكل تقرير تقييم الالتزام، والمعايير الخاصة بالأدلة المسموح بها، والمعايير التي تحدد مدى كون الجهة الخاضعة للتقييم؛ ملتزمةً بضابط معين من ضوابط الأمن السيبراني. وتحتفظ الهيئة الوطنية للأمن السيبراني بحقها في تحديد آلية تقييم الالتزام، ومنهجيتها ومحتوياتها بالكامل، وكذلك بحقها في إدخال أي تعديلات أو حذف أي من عناصرها.

 4.3    مقدمو خدمات تقييم الالتزام

تُطبق أحكام هذا الإطار على جميع مقدمي الخدمات في المملكة؛ الذين يقومون بإجراء تقييمات للالتزام بأي من الضوابط التي وضعتها الهيئة، أو متطلبات الهيئة التنظيمية الأخرى، لجميع الجهات الحكومية والخاصة في المملكة. كما يجب على جميع مقدمي الخدمات، الذين يعملون على إجراء أي من تقييمات الالتزام بالوثائق التنظيمية التي وضعتها الهيئة، للجهات الحكومية والخاصة الحصول على التراخيص اللازمة التي تصدرها الهيئة. ويجب على الموظفين، الذي يعملون لدى مقدمي خدمات تقييم الالتزام، والذين يعملون بشكل مباشر أو بأي جزء من عملية التقييم، كما هو مبين فيما يأتي؛ الحصول على الشهادة وفقًا لأحكام هذا الإطار.

 4.4    الجهات الخاضعة للتقييم

تعد الجهات الخاضعة للتقييم أي جهة في المملكة العربية السعودية - سواء أكانت حكومية أم خاصة، أو غيرها-  يتم تقييم مدى التزامها بضوابط الأمن السيبراني التي وضعتها الهيئة الوطنية للأمن السيبراني، وغيرها من تنظيمات الهيئة الأخرى. 

​​تتبع الهيئة الوطنية للأمن السيبراني منهجية مرحلية في ترخيص مقيّمي الالتزام في المملكة؛ وسيتم استحداث تراخيص متعددة، وذات مستويات لمقيّمي الالتزام، حيث ستشرع الهيئة أولًا في إصدار تراخيص مؤقتة، لمقدمي الخدمات، الذين يلبون الحد الأدنى، من متطلبات التراخيص بمستوياتها المختلفة؛ وذلك حتى يتم تلبية متطلبات التدريب، والحصول على الشهادات التي نصّت عليها الهيئة.

ويجب على أي مقدم خدمات، يعتزم تقديم أي من خدمات تقييم الالتزام بالوثائق التنظيمية التي وضعتها الهيئة الوطنية للأمن السيبراني، بما يتسق مع نطاق تطبيق هذا الإطار، الحصول على الترخيص اللازم، بالإضافة إلى ذلك يجب على الموظفين ذوي العلاقة الذين سيقومون بتنفيذ أي جزء من إجراءات تقييم الالتزام بشكل مباشر؛ الحصول على الشهادات المناسبة من الهيئة الوطنية للأمن السيبراني. ويوضح الملحق (أ) تفاصيل هيكلية التراخيص المكونة من أربعة أنواع، وذلك بناءً على مستوى الجهة، التي يتم تقييمها، ونوع تقييم الالتزام. كما ويبين الملحق (ب) تفاصيل الحدّ الأدنى من المتطلبات، لمقدمي خدمات تقييم الالتزام المرخصين وموظفيهم. 

 وستقدم  الهيئة تراخيص مؤقتة، لمقدمي الخدمات، والشهادات لموظفيهم، وذلك لترخيص المستوى (الأول - أ).  حيث ستعفي الهيئة مقدمي خدمات الالتزام، من إلزامهم بتوظيف مقيِّمي الالتزام الحاصلين على شهادات تصدرها الهيئة. وتعد جميع متطلبات الحد الأدنى الأخرى لمقدمي الخدمات مُلزمة. كما ستلزم الهيئة الحاصلين على التراخيص المؤقتة، على تحويلها إلى تراخيص دائمة، في غضون 12 شهرًا؛ وإلا فإنه سيتم إلغاؤها. كما تحتفظ الهيئة الوطنية للأمن السيبراني بالحق في زيادة المدة الزمنية للتراخيص المؤقتة، أو خفضها، وفقًا لتقديرها.​

​​​​6.1 الالتزامات العامة لمقدمي خدمات تقييم الالتزام المرخصين

يجب الالتزام بأحكام هذا الإطار، وجميع التنظيمات الصادرة عن الهيئة، وأنظمة المملكة العربية السعودية من كل مقدمي خدمات تقييم الالتزام، الحاصلين على أي من التراخيص الأربعة، الصادرة من الهيئة للقيام بأعمال تقييم الالتزام بالوثائق التنظيمية التي وضعتها الهيئة، بموجب الملحقين (أ) و(ب)؛ بالإضافة إلى الالتزامات الآتية:

6.1.1       الالتزام بالأطر، والمعايير، والضوابط، والإرشادات المتعلقة بالأمن السيبراني، والأنظمة، والقرارات ذات الصلة.

6.1.2       القيام بأعمال تقييم الالتزام بما يتسق مع منهجية الهيئة على النحو الذي تحدده. 

6.1.3       استيفاء متطلبات المحافظة على الترخيص، من قبل مقدمي خدمات تقييم الالتزام، المرخصين وموظفيهم، الحاصلين على شهادات، بما يتسق مع الرخصة الممنوحة؛ بما في ذلك على سبيل المثال، الشروط والأحكام المنصوص عليها في ملحق (ج).

6.1.4       تقديم تقارير تقييمات الالتزام، بالصيغة المعتمدة لدى الهيئة؛ ومن خلال القنوات المعتمدة لدى الهيئة، مثل: منصة حصين، أو أي قناة أخرى تحددها الهيئة.

6.1.5       لوفاء الهيئة الوطنية للأمن السيبراني بمهماتها واختصاصاتها؛ فستقوم الهيئة بإجراء تقييم الالتزام بشكل مركزي للجهات الحكومية، وجهات البنية التحتية الوطنية الحساسة، ويجب على مقدمي الخدمات المرخصين؛ الالتزام بالنموذج الذي تحدده الهيئة في هذا الشأن.  

6.1.6     عدم نشر البيانات المتعلقة بالأمن السيبراني، أو المعلومات المتعلقة ببيانات التزام الجهات، التي تم تقييمها، أو المعلومات المتعلقة بالفضاء السيبراني السعودي، أو مشاركتها مع أي جهة سواء أكانت حكومية أو خاصة دون الحصول على موافقة خطية من الهيئة.

6.1.7       تنفيذ التوجيهات والتعاميم الصادرة عن الهيئة، والمتعلقة بتقييم التزام الجهات الخاضعة للتقييم، والالتزام بها.

6.1.8       إبلاغ الهيئة في غضون 15 يومًا بأي تغييرات في المعلومات، أو باكتشاف أي معلومات إدارية غير دقيقة؛ تم إبلاغ الهيئة بها.

6.1.9       الاحتفاظ بسجلات دقيقة وكاملة، لمدة 5 سنوات، تتضمن طلبات تقييم الالتزام، وطلبات التجديد، وعمليات تقييم الالتزام التي تم إجراؤها، والموظفين المعتمدين الذين أجروا تقييمات الالتزام، وأي جهة تجارية، تقدم أي جزء من تقييم الالتزام، نيابة عن المرخص له، وكذلك أي مراسلات مع الهيئة الوطنية للأمن السيبراني، فيما يتعلق بتقييمات الالتزام، والحفاظ على ترخيص مقيّمي الالتزام المرخصين.

6.1.10     التعاون التام مع الهيئة، في تنفيذ واجباتها الرقابية على مقدمي خدمات تقييم الالتزام المرخصين، وعملية تقييم الالتزام، بما يسهل مهماتها، وإتاحة جميع الموارد الممكنة، الخاصة بمقدمي خدمات تقييم الالتزام المرخصين؛ لتنفيذ عملية التدقيق؛ بما يشمل مراجعة أنظمة مقدمي خدمات تقييم الالتزام المرخصين، وتزويد الهيئة بجميع الوثائق المطلوبة، والمعلومات التي تؤكد التزام مقدمي خدمات تقييم الالتزام المرخصين، لجميع تنظيمات للهيئة. وتشمل المعلومات التي قد تطلبها الهيئة:

6.1.10.1   المعلومات المتعلقة بالأداء المالي بما في ذلك الإيرادات ومصادرها، ورأس المال ومصادره، ونفقات التدريب والتطوير.

6.1.10.2   المعلومات المتعلقة بعمليات تقييم الالتزام، التي تم إجراؤها، والجهات التي تم تقييمها، ومن ذلك عدد الجهات التي تم تقييمها وطبيعتها، والاجتماعات والتواصل مع الجهات التي تم تقييمها، وسجلات تقييم الالتزام المحتفظ بها.

6.1.10.3   المعلومات المتعلقة بموظفي مقدمي خدمات تقييم الالتزام، الحاصلين على شهادات؛ والذين يقومون بأعمال تقييم الالتزام ومن ذلك عدد المقيّمين الحاليين والذين لازالوا يعملون، ومعلومات حول السير الذاتية للمقيّمين، ومعلومات حول الشهادات ذات الصلة.

6.1.10.4   أي دليل تطلبه الهيئة؛ يثبت التزام مقدمي خدمات تقييم الالتزام المرخصين، للالتزامات الصادرة في هذا الإطار، والتنظيمات الأخرى، الصادرة عن الهيئة، وغيرها من الجهات المعنية.

6.1.11     الالتزام بشروط توظيف الكفاءات السعودية  التي نصت عليها الهيئة، والجهات الحكومية المختصة.

6.2     الالتزامات العامة للجهات التي يتم تقييمها

يجب على أي جهة يتم تقييمها الالتزام بأحكام هذا الإطار وأحكام جميع التنظيمات الصادرة عن الهيئة، والأنظمة ذات الصلة في المملكة العربية السعودية، والالتزامات الآتية:

6.2.1       الالتزام بالأطر، والمعايير، والضوابط، والإرشادات المتعلقة بالأمن السيبراني، والأنظمة، والقرارات ذات الصلة.

6.2.2       يجب على الجهة التي يتم تقييمها التعاقد مع مقدم خدمة تقييم الالتزام المرخص من الهيئة فحسب؛ وذلك بهدف إجراء تقييمات الالتزام للجهة التي يتم تقييمها؛ وفقًا للقيود المفروضة، على ترخيص مقدم خدمة تقييم الالتزام المرخص.

6.2.3       إبلاغ الهيئة عن أي قصور صادر عن مقدمي خدمة تقييم الالتزام المرخصين.

6.2.4       ألا تتعاقد مع مقدم خدمة تقييم التزام مرخص آخر؛ لأغراض إجراء تقييم الالتزام نفسه، خلال 6 أشهر، إلا في حال وافقت الهيئة على ذلك.

6.2.5       ضمان أن يتم تقييم التزام الأطراف الخارجية التي تقدم أعمال حساسة للجهة من أحد مقدمي الخدمة المرخصين.

​يخضع مقدمو خدمات تقييم الالتزام المرخصون، للمقابلات المالية المطلوبة؛ والمنصوص عليها في الملحق (د). وتشمل هذه المقابلات المالية، على سبيل المثال لا الحصر؛ المقابل المالي لطلب الترخيص الجديد، و المقابل المالي لتجديد الترخيص، والمقابل المالي السنوي للخدمة. وتحتفظ الهيئة بالحق في تعديل وإلغاء أي من المقابلات المالية المنصوص عليها في هذه الوثيقة أو جميعها.   

ويكون المقابل المالي مستحقًا بمجرد إصدار فاتورة الدفع.  ويلتزم مقدمو خدمات تقييم الالتزام المرخصون أو موظفوهم، بدفع المقابلات المالية في تواريخ استحقاقها خلال 30 يومًا من تاريخ إصدار الفاتورة.  ​

8.1     مدة سريان الترخيص

يجوز لمقدمي خدمات تقييم الالتزام المرخصين؛ إجراء تقييمات الالتزام على النحو المنصوص عليه، في الترخيص الممنوح لهم لمدة 5 سنوات. تبدأ مدة سريان الترخيص لمقدمي الخدمة المرخصين؛ من تاريخ إصدار الترخيص، وتنتهي بعد 5 سنوات. ولا تشمل هذه الفترة التراخيص المؤقتة.   

 8.2    تجديد الترخيص وشروطه

يجوز لمقدمي خدمة تقييم الالتزام المرخصين؛ التقدم بطلب لتجديد تراخيصهم.  ويمكن أن يتم تقديم طلب التجديد، خلال 90 يومًا، قبل تاريخ انتهاء سريان الترخيص، وفي موعد لا يقل عن 30 يومًا، قبل تاريخ انتهاء سريان الترخيص. وتخضع الطلبات التي تتلقاها الهيئة، بعد انتهاء هذه المدة، إلى تقدير الهيئة المطلق؛ وقد يتم رفضها.

كما وتخضع الموافقة على تجديد الترخيص لشروط مماثلة لتلك الشروط الخاصة بطلب ترخيص جديد؛ ما لم يُنص على خلاف ذلك. وتكون مدة الترخيص عند التجديد مماثلة لمدة سريان التر​خيص، عند إصداره. 

 8.3    إلغاء الترخيص

يجوز لمقدمي خدمات تقييم الالتزام المرخصين، اختيار إلغاء ترخيصهم؛ من خلال تقديم طلب خطي بذلك إلى الهيئة. وتقوم الهيئة بمراجعة الطلب، وإبلاغ مقدم الخدمة المرخص له بقرارها، وأي متطلبات أو التزامات، يجب الوفاء بها بشكل يلبي متطلبات الهيئة، أو أي أطراف أخرى؛ قبل تنفيذ الطلب.

وتظل جميع مستحقات المقابلات المالية، غير المدفوعة، من قبل مقدمي الخدمة أو موظفيه قبل تاريخ الإلغاء، سارية، ومستحقة الدفع للهيئة. 

كما يحق للهيئة - وفقًا لتقديرها - إلغاء الترخيص لمقدمي خدمات تقييم الالتزام المرخص لهم أو موظفوهم الحاصلون على شهادات بذلك في عدد من الحالات منها عدم الالتزام بالأحكام المنصوص عليها في هذا الإطار، أو عدم الالتزام بأي تعديل، أو إضافة، أو حذف أجرته الهيئة، وفقًا لتقديرها المطلق؛ على التنظيمات المنصوص عليها في هذا الإطار، أو عدم الالتزام بأي توجيهات خطية، واردة من الهيئة، أو الإخفاق في معالجة أي مخالفات، خلال فترة معينة، تحددها الهيئة، من تاريخ استلام إشعار من الهيئة.  

 8.4    القيود المفروضة عند انتهاء سريان الترخيص، أو إلغائه، أو إيقافه

لا يجوز لمقدمي خدمات تقييم الالتزام، تحت أي ظرف من الظروف؛ إجراء تقييمات الالتزام، عند انتهاء مدة الترخيص أو إلغائه أو إيقافه. وفي حال انتهاء صلاحية الترخيص أو إلغائه، أو إيقافه، أثناء تقييم الالتزام؛ يجب على مقدم الخدمات؛ التوقف عن إجراء تقييم الالتزام، وإبلاغ الجهة الخاضعة للتقييم على الفور.    ​

​9.1    نقل ترخيص مقدمي الخدمات

لا يجوز نقل الترخيص الذي تمنحه الهيئة لمقدم خدمة إلى جهة أخرى؛ دون الحصول على موافقة خطية من الهيئة.  وستنظر الهيئة في بعض طلبات حالات الاندماج والاستحواذ، أو نقل الأعمال داخل شركة تابعة لمجموعة.  وسيتم في هذه الوثيقة إيضاح متطلبات التقدم بطلب نقل ترخيص والإجراءات المتعلقة بذلك.   

 9.2    نقل شهادات الموظفين الأفراد 

لا يجوز نقل شهادة موظف تابع لمقدم خدمات تقييم التزام مرخص، الصادرة عن الهيئة، لفرد آخر، أو جهة أخرى، تحت أي ظرف من الظروف. 

 9.3    التعاقد من الباطن

يجوز لمقدم خدمات تقييم الالتزام المرخص العمل ليكون التعاقد من الباطن، وفقًا للشروط الآتية:

9.3.1       تظل جميع الالتزامات الناشئة عن الترخيص؛ مسؤولية المرخص الذي يرغب بالتعاقد من الباطن.

9.3.2       يجب على جميع الأطراف، الإشارة إلى ترتيبات التعاقد من الباطن، في تقرير تقييم الالتزام، وفي سجلات الشركة الداخلية.

9.3.3       لا يجوز لمقدمي خدمة تقييم الالتزام؛ التعاقد من الباطن، إلا من خلال مقدمي خدمات تقييم التزام، مرخصين آخرين، ضمن الفئة التي يحملون ترخيصًا لها. وعلى هذا؛ فإنه لا يجوز لمقدمي الخدمة من المستوى (الأول - أ) التعاقد من الباطن؛ إلا من خلال مقدمي خدمة وموظفين مرخصين من المستوى (الأول - أ) والمستوى (الثاني - أ).   وينطبق الأمر نفسه على جميع أنواع التراخيص.

9.3.4       يجب على أي مقدم خدمة من المستوى (الأول-أ) أو المستوى (الأول-ب) ويرغب في التعاقد من الباطن، مع مقدم خدمة آخر؛ أن يحصل على موافقة من الهيئة.

9.3.5       يجب على أي مقدم خدمة من المستوى (الأول - أ) أو المستوى (الأول - ب) يرغب في التعاقد من الباطن، مع مقدم خدمة من المستوى (الثاني - أ) أو المستوى (الثاني - ب) - على التوالي- الحصول على موافقة من الهيئة، على أن يتأكد من أن المقاول من الباطن، من المستوى الثاني يحمل ترخيصًا صالحًا؛ وأن الموظفين المعتمدين، التابعين للمقاول من الباطن من المستوى الثاني هم مواطنون سعوديون. 

9.3.6       يجوز لأي مقدم خدمة من المستوى (الثاني - أ) أو المستوى (الثاني - ب) التعاقد من الباطن، مع مقدمي خدمات مرخصين آخرين من المستوى الثاني دون موافقة الهيئة.   

​10.1  مدة سريان الشهادات

يجوز لموظفي التقييم، الحاصلين على شهادات، على النحو المنصوص عليه في الملحق (ب) إجراء تقييمات الالتزام على النحو المنصوص عليه في شهادتهم، خلال مدة توظيفهم، لدى مقدم خدمات تقييم الالتزام. وتكون مدة سريان الشهادة سنتين لموظفي التقييم الحاصلين على شهادة من الهيئة؛ من تاريخ إصدار شهادة المقيّم من قبل الهيئة، وتنتهي بعد سنتين.    

 10.2  تجديد الشهادات والشروط المترتبة

يجوز لموظفي التقييم الحاصلين على شهادة من الهيئة، التقدم بطلب لتجديد شهاداتهم.  ويمكن أن يتم تقديم طلب التجديد خلال مدة 90 يومًا، قبل تاريخ انتهاء سريان الشهادة، وفي موعد لا يقل عن 30 يومًا، قبل تاريخ انتهاء سريان الشهادة. وتخضع الطلبات التي تتلقاها الهيئة، خارج هذه الفترة إلى تقدير الهيئة المطلق؛ وقد يتم رفضها.

وتخضع الموافقة على تجديد الشهادات، لموظفي التقييم لشروط مماثلة لتلك الخاصة، بطلب شهادة جديد؛ ما لم يُنص على خلاف ذلك. وتكون مدة الشهادة، عند التجديد، مماثلة لمدة سريان الشهادة، عند إصدارها. 

 10.3  سريان الشهادة لدى مختلف جهات تقديم الخدمات

ستظل شهادة موظف التقييم المعتمد سارية المفعول، عندما يقوم موظف التقييم المعتمد، بتغيير جهة العمل من مقدم خدمات تقييم التزام مرخص، إلى مقدم خدمات تقييم التزام آخر مرخص. وتكون مدة سريان الشهادة بناء على تاريخ إصدارها.

 10.4  القيود المفروضة عند انتهاء صلاحية الشهادة 

لا يُسمح لموظفي التقييم، الحاصلين على شهادات، ببدء تقييم الالتزام، أو المشاركة في تقييم الالتزام الجاري؛ عند انتهاء صلاحية شهادة المقيّم.    

​​11.1   إجراءات الحصول على ترخيص

يجب على مقدمي الخدمات، الراغبين في الحصول على ترخيص لإجراء تقييمات الالتزام، وفقًا لما ورد في هذا الإطار؛ تقديم طلب إلى الهيئة، ودفع المقابل المالي لطلب الترخيص الجديد، كما هو منصوص عليه في الملحق (د). مع استيفاء جميع المتطلبات المنصوص عليها في الملحق (ب) للنظر فيها. كما يجب على مقدمي الخدمة استيفاء الشروط الآتية:    

11.1.1  يجوز للهيئة، أن تطلب مزيدًا من المعلومات، أو وثائق إضافية من مقدم الخدمة؛ أثناء تقييم طلبه. وتحتفظ الهيئة بحقّها في رفض الطلبات غير المكتملة، أو التي لا تتضمن جميع الوثائق الداعمة.

11.1.2   تصدر الهيئة قرارها، بالموافقة على الطلب، أو رفضه.

11.1.3   عند الموافقة على الطلب؛ سوف تمنح الهيئة مقدمي الخدمة ترخيصًا مؤقتًا، استنادًا إلى نوع الترخيص، الذي تم تقديم طلب الحصول عليه. وكما هو منصوص عليه في الملحق (ب) والملحق (ج) فيجب على مقدمي الخدمات، أن يحملوا ترخيصًا ويحتفظوا به، بالإضافة إلى الاحتفاظ بموظفين مؤهلين؛ للعمل تحت إشرافهم، والذين يجب عليهم أيضًا، أن يحصلوا على شهادة من النوع نفسه، والاحتفاظ بها؛ من أجل استيفاء متطلبات إجراء تقييمات الالتزام، على النحو المنصوص عليه في هذا الإطار. ويجب على مقدم الخدمة بعد ذلك تقديم دليل، على أن لديه موظفين حاصلين على شهادات، لنوع الترخيص نفسه، الذي يحمله مقدمو الخدمة بموجب الوضع المؤقت.

11.1.4   عند استكمال 50% على الأقل، من موظفي مقدم خدمات تقييم الالتزام لمتطلبات الشهادة؛ سوف تقوم الهيئة بتحويل الترخيص المؤقت، الممنوح لمقدم الخدمة، إلى ترخيص دائم.

11.1.5   من أجل تسريع تأسيس منظومة مقيّمي الالتزام، وكما هو منصوص عليه في المادة 5 سوف تقوم الهيئة، بتعليق متطلبات مقدمي الخدمات، من المستوى (الأول - أ) وموظفيهم، بهدف إكمال الدورات التدريبة الخاصة بتقييم الالتزام العام لدى الهيئة، واجتياز اختبارات مقيِّم الالتزام العام، الخاص بالهيئة، خلال الفترة الزمنية المنصوص عليها في المادة 11.6.3. وسوف تقوم الهيئة بتمديد فترة تحويل التراخيص المؤقتة، إلى تراخيص دائمة، لمقدمي الخدمات؛ من المستوى (الأول - أ) إلى 12 شهرًا.  

 11.2  إجراءات الاحتفاظ بالترخيص

يجب على مقدمي خدمات تقييم الالتزام المرخصين، الراغبين في الحفاظ على ترخيصهم لإجراء تقييمات الالتزام، وفقًا للأحكام الواردة في هذا الإطار؛ دفع المقابل المالي السنوي للخدمات على النحو المنصوص​ عليه في الملحق (د) مع استيفاء جميع المتطلبات المنصوص عليها في الملحق (ج). بالإضافة إلى ذلك؛ يجب أن يستوفي مقدمي الخدمة الشروط الآتية:

11.2.1   أن يستوفي الموظفون الحاصلون على شهادات؛ التابعون لمقدم خدمات تقييم الالتزام، المرخص له، جميع متطلبات المحافظة على شهادة الموظف، المنصوص عليها في الملحق (ج). وحتى يكون مقدم خدمات تقييم الالتزام المرخص له، ممتثلًا لمتطلبات المحافظة على شهادات أفراد فريقه، يجب أن يفي موظف واحد معتمد على الأقل من موظفيه، بمتطلبات المحافظة على شهادته على النحو المنصوص عليه في الملحق (ج). وتقع على عاتق مقدم خدمات تقييم الالتزام، المرخص له؛ مسؤولية التحقق من صحة شهادات الموظفين، العاملين لديه.

11.2.2   يؤدي عدم الالتزام بمتطلبات الحفاظ على الترخيص على مستوى مقدم الخدمة؛ إلى تعريض مقدم الخدمة للمخالفة، على النحو الذي تحدده الهيئة، وفقًا لتقديرها المطلق.  

 11.3  إجراءات تجديد الترخيص

يجب على مقدمي خدمات تقييم الالتزام المرخصين، الراغبين في تجديد تراخيصهم وفقًا لهذا الإطار؛ التقدّم بطلب لتجديد الترخيص، ودفع المقابل المالي للتجديد على النحو المنصوص عليه في الملحق (د) مع استيفاء جميع المتطلبات المنصوص عليها في الملحق (ب). بالإضافة إلى ما يلي:

11.3.1     يجوز للهيئة أن تطلب مزيدًا من المعلومات، أو وثائق إضافية من مقدم الخدمة؛ أثناء تقييم طلبه. وتحتفظ الهيئة بحقّها في رفض الطلبات غير المكتملة، أو التي لا تتضمن جميع الوثائق الداعمة.

11.3.2     يجب أن يكون لدى مقدم خدمات تقييم الالتزام المرخص، المتقدم بطلب لتجديد الترخيص؛ موظف واحد على الأقل، ضمن العاملين لديه، يحمل شهادة صالحة، وعلى مستوى الموظفين من فئة الترخيص نفسها، التي يحملها مقدم الخدمة؛ من أجل استيفاء المتطلبات اللازمة، لإجراء تقييمات الالتزام، على النحو المنصوص عليه، بموجب هذا الإطار.

11.3.3     تصدر الهيئة قرارها، بالموافقة على الطلب، أو رفضه.  

 11.4  إجراءات نقل الترخيص

يجب على مقدمي خدمات تقييم الالتزام المرخصين، الراغبين في نقل التراخيص التقدّم بطلب خطي إلى الهيئة، يتضمن أسباب طلب النقل، مع استيفاء جميع متطلبات الحفاظ على التراخيص، المحددة في الملحق (ج) والمنصوص عليها في المادة 11.2. بالإضافة إلى ذلك؛ يجب على مقدمي الخدمة استيفاء الشروط الآتية:

11.4.1     يجب على مقدم خدمات تقييم الالتزام المرخص المتقدم بطلب نقل الترخيص تضمين جميع المعلومات التالية في طلب النقل:

11.4.1.1 تحديد جميع الأطراف، المشاركة في عملية النقل.

11.4.1.2 وصف طبيعة العملية، التي طُلب النقل إليها.

11.4.1.3 تحديد الآثار التي يتركها مقدمو الخدمات على العملاء الحاليين؛ لاسيّما على الجهات الخاضعة للتقييم.

11.4.1.4 تحديد الأغراض المنشودة، والأسباب التي تبرر طلب نقل الترخيص.

11.4.1.5 تضمين المعلومات المالية الأساسية، عن الأطراف المشاركة في المعاملة.

11.4.2     تتخذ الهيئة، من إقرارها بتلقي الطلب الخطي، من مقدم الخدمة؛ تنفيذ أي من الإجراءات الآتية:

11.4.2.1 الموافقة غير المشروطة على النقل.

11.4.2.2 الموافقة المشروطة على النقل بشروط، أو إجراءات إضافية، تطلبها الهيئة.

11.4.2.3 رفض طلب النقل.

 11.5  إجراءات إلغاء الترخيص

يجوز لمقدمي خدمات تقييم الالتزام المرخصين، الراغبين في إلغاء تراخيصهم وفقًا لهذا الإطار؛ التقدّم بطلب خطي إلى الهيئة، يتضمن الرغبة في الإلغاء، وتاريخ الإنفاذ المطلوب. وتقوم الهيئة بمعالجة طلب الإلغاء المقدم، وتحدد تاريخ الإنفاذ، وإبلاغ مقدم خدمات تقييم الالتزام المرخص، بالقرار المُتخذ، أو بأي متطلبات، أو التزامات؛ يجب عليه استيفاءها. ويجب على مقدم الخدمة، استيفاء المتطلبات المفروضة عليه، بموجب الترخيص؛ وفقًا لما هو منصوص عليه في هذا الإطار، إلى حين تاريخ إنفاذ قرار الإلغاء.

 11.6  إجراءات الحصول على شهادة

يجب على الأفراد الراغبين في الحصول على شهادات، لإجراء تقييمات الالتزام، وفقًا لهذه الوثيقة؛ تقديم طلب إلى الهيئة، ودفع المقابل المالي لطلب الشهادة الجديدة؛ كما هو منصوص عليه في الملحق (د) مع استيفاء جميع المتطلبات، المنصوص عليها في الملحق (ب) للنظر فيها، بالإضافة إلى الوفاء بالشروط الآتية:

11.6.1     يجوز للهيئة أن تطلب مزيدًا من المعلومات أو وثائق إضافية، من مقدم الطلب أثناء تقييم طلبه. وتحتفظ الهيئة بحقها في رفض الطلبات غير المكتملة، أو التي لا تتضمن جميع الوثائق الداعمة.

11.6.2     تقوم الهيئة بالموافقة المؤقتة على الطلب، أو رفضه.

11.6.3     من أجل الشروع في الحصول على شهادة دائمة؛ يجب على المتقدمين التسجيل في الدورات التدريبية، الخاصة بمقيم الالتزام العام لدى الهيئة؛ وإكمال الدورات وفقًا لمتطلبات المناهج التدريبية، واجتياز اختبارات تقييم الالتزام العام الخاص بالهيئة؛ وذلك في غضون 90 يومًا من تاريخ الحصول على الموافقة المبدئية من الهيئة.

11.6.4     عند استكمال الدورات التدريبية، لمقيم الالتزام العام لدى الهيئة بنجاح، واجتياز اختبارات تقييم الالتزام العام الخاص بالهيئة؛ سوف تقوم الهيئة بتحويل الشهادة المؤقتة للموظفين، إلى شهادة دائمة في حال اجتياز اختبارات تقييم الالتزام العام لدى الهيئة.

11.7   إجراءات المحافظة على الشهادة

يجب أن يستوفي موظفو التقييم الحاصلون على شهادات صادرة عن الهيئة، والراغبون في الحصول على شهادة، لإجراء تقييمات الالتزام، وفقًا للأحكام الواردة في هذا الإطار؛ بجميع المتطلبات المنصوص عليها في الملحق (ج).

11.8 إجراءات تجديد الشهادة

يجب على الموظفين الراغبين في تجديد شهادة إجراء تقييمات الالتزام وفقًا لهذا الإطار؛ التقدّم بطلب التجديد إلى الهيئة، ودفع المقابل المالي للتجديد، على النحو المنصوص عليه في الملحق (د). مع استيفاء جميع المتطلبات المنصوص عليها في الملحق (ب) والحفاظ على جميع المتطلبات المنصوص عليها في الملحق (ج). كما يجب على الأفراد مراعاة ما يلي:

11.8.1   يجوز للهيئة أن تطلب مزيدًا من المعلومات، أو وثائق إضافية، من الموظف المتقدم بالطلب. وتحتفظ الهيئة بالحق في رفض الطلبات غير المكتملة، أو التي لا تتضمن جميع الوثائق الداعمة.

11.8.2   تحتفظ الهيئة بحقّها، في الطلب من مقدمي طلبات التجديد؛ بأن يكملوا الدورات التدريبية التي تقدمها الهيئة لمقيّمي الالتزام العام مرةً أخرى، واجتياز الاختبارات التي تعدها الهيئة لمقيّمي الالتزام العام.

11.8.3   تصدر الهيئة قرارها بالموافقة على الطلب، أو رفضه.

11.9 إجراءات حل عدم الاتفاق على نتائج التقييم

يسعى مقدمو خدمات تقييم الالتزام المرخصون أو الجهات الخاضعة للتقييم، لبذل أفضل الجهود؛ لحل أي اختلاف قد ينشأ عند إجراء التقييمات. ويجب على جميع أطراف في حال حدوث عدم اتفاق على نتائج التقييم إرسال جميع مرئياتهم، بصورةٍ خطيةٍ إلى الهيئة؛ من خلال قنواتها المعتمدة، مع إرفاق جميع الوثائق ذات الصلة المذكورة آنفاً. كما ينبغي أن تُحدد الوثيقة المُرسلة، اسم مقدم الخدمات المرخص وبياناته، وموظفيه، واسم وبيانات الجهة الخاضعة للتقييم؛ وكذلك تقرير تقييم الالتزام، وإدراج الأسباب التي أدت إلى عدم الاتفاق، وغيرها من التفاصيل.​

​​تحتفظ الهيئة بحقها في تعديل، وإضافة، وحذف أي جزء من الإطار؛ وفقًا لتقديرها المطلق. ​

​الملحق (أ): تصنيف التراخيص التي تصدرها الهيئة لمقدمي خدمات تقييم الالتزام بالوثائق التنظيمية التي وضعتها الهيئة

​سوف تُصدر الهيئة 4 أنواع من التراخيص، التي ستستند على مستويين وفئتين؛ وفقًا لما هو محدد في الجدول الآتي:

أنواع التراخيص التي تصدرها الهيئة؛ لإجراء تقييمات الالتزام بالوثائق

التنظيمية التي وضعتها الهيئة

الملحق (ب): الحد الأدنى من المتطلبات التي تؤهل للحصول على تراخيص خدمات تقييم الالتزام بالوثائق التنظيمية التي وضعتها الهيئة

يجب على مقدمي خدمات تقييم الالتزام؛ استيفاء الحد الأدنى من المتطلبات التي تؤهل للحصول على تراخيص تقييم الالتزام بالوثائق التنظيمية التي وضعتها الهيئة. بالإضافة إلى ذلك؛ يجب على مقدمي الخدمات، استيفاء الحد الأدنى من متطلبات تعيين الموظفين المؤهلين، ممن يحملون شهادات من ذات المستوى والفئة. ويُمكن الحصول على هذه الشهادات بشكلٍ فردي. ومع ذلك؛ ينبغي أن يتم تعيين المقيِّمين الحاصلين على شهادات من قبل مقدم خدمات مرخص، من أجل تنفيذ تقييمات الالتزام.

وينص الجدول الآتي على الحد الأدنى من المتطلبات التي تؤهل للحصول على التراخيص، والشهادات العامة التي تندرج تحت المستويين (الأول - أ) و(الثاني - أ):

ويبين الجدول الآتي الحدّ الأدنى من المتطلبات التي تؤهل للحصول على التراخيص المتخصصة، التي تندرج تحت المستويين (الأول - ب) و(الثاني - ب):

الملحق (ج): متطلبات المحافظة على التراخيص التي تصدرها الهيئة، لمقدمي خدمات تقييم الالتزام بالوثائق التنظيمية التي وضعتها الهيئة

من أجل المحافظة على تراخيص تقييم الالتزام بالوثائق التنظيمية التي وضعتها الهيئة الوطنية للأمن السيبراني، يجب على مقدمي خدمات تقييم الالتزام، تلبية متطلبات المحافظة على الرخصة، على مستوى الجهة، والموظفين.

وفي الجدول الآتي متطلبات المحافظة على الرخصة لجميع أنواع التراخيص الأربعة:

* يمكن لحاملي أكثر من شهادة واحدة (مثل المستوى (الأول - أ) والمستوى (الأول - ب)) تطبيق شرط إكمال الساعات المطلوبة من التطوير المهني على جميع الشهادات، بهدف الحفاظ على الشهادات.

الملحق (د)​: جدول المقابل المالي للتراخيص التي تصدرها الهيئة لمقدمي خدمات تقييم الالتزام بالوثائق التنظيمية التي وضعتها الهيئة

يجب على مقدمي الخدمات أو الموظفين التابعين لهم دفع المقابل المالي الآتي نظير الحصول على الخدمات التي تقدمها الهيئة. وفي هذا الصدد؛ تحتفظ الهيئة بالحق في تصحيح، أي من المقابلات المالية المنصوص عليها في جدول المقابلات المالية أو جميعها أو تعديلها أو إزالتها.

​