اعتمد مجلس إدارة الهيئة الوطنية للأمن السيبراني جدول تصنيف المخالفات والعقوبات المقابلة لها، متضمناً غرامات تصل إلى 25 مليون ريال، وعقوبات أخرى تشمل الإنذار وتعليق التراخيص أو إلغاءها، وإيقاف الخدمات أو الأنشطة، وفق طبيعة المخالفة ودرجة جسامتها وحجم المنشأة المخالفة ومدى تكرارها.وحدد الجدول العقوبات بحسب كل مخالفة على حدة، مع مراعاة طبيعتها وخطورتها والظروف المشددة والمخففة. وصنّف الجهات الخاضعة له إلى أربع فئات، وفق معايير الهيئة العامة للمنشآت الصغيرة والمتوسطة «منشآت»، تشمل المنشآت متناهية الصغر (أ)، والصغيرة (ب)، والمتوسطة (ج)، والكبيرة (د)، بما يترتب عليه اختلاف الحدين الأدنى والأعلى للغرامات.
وتصل غرامة مزاولة نشاط أمن سيبراني من المستوى الأول دون ترخيص إلى 25 مليون ريال للمنشآت الكبيرة، بحد أدنى 5 ملايين ريال، فيما تتراوح للمنشآت المتوسطة بين مليون و5 ملايين ريال، والصغيرة بين 100 ألف ومليون ريال، ومتناهية الصغر بين 50 ألفاً و500 ألف ريال.
نشاط المستوى الثاني
تصل غرامة مزاولة نشاط من المستوى الثاني دون ترخيص إلى 10 ملايين ريال للمنشآت الكبيرة، و5 ملايين للمتوسطة، و500 ألف للصغيرة، و100 ألف للمنشآت متناهية الصغر، مع اختلاف الحدود الدنيا بحسب التصنيف.
وتصل غرامات مزاولة الأنشطة الأخرى، المتعلقة بالأمن السيبراني دون ترخيص إلى 5 ملايين ريال للمنشآت الكبيرة، ومليون للمتوسطة، و100 ألف للصغيرة، و60 ألفاً لمتناهية الصغر، إضافةً إلى غرامات على الأفراد بين 5 آلاف و25 ألف ريال.
كما شملت المخالفات عدم الالتزام بشروط الترخيص، وتتدرج غراماتها من 3 آلاف إلى 10 آلاف ريال للأفراد، ومن 10 آلاف إلى مليون ريال للمنشآت بحسب حجمها.
وامتدت المخالفات إلى عدم الالتزام بالضوابط والسياسات والأطر والمعايير الوطنية للأمن السيبراني، بما فيها متطلبات إدارة المخاطر ومراكز عمليات الأمن السيبراني المُدارة، وتصل غراماتها إلى 5 ملايين ريال للمنشآت الكبيرة، ومليون للمتوسطة، و100 ألف للصغيرة، و60 ألفاً لمتناهية الصغر.
البيانات المضللة
صنّف الجدول تقديم بيانات مضللة بشأن الخدمات والأنشطة السيبرانية ضمن المخالفات عالية الجسامة، بغرامات تصل إلى 5 ملايين ريال للمنشآت الكبيرة، كما شدد على تنفيذ القرارات والتدابير الأمنية والتنبيهات والثغرات ومؤشرات الاختراق وأعمال الاستجابة للحوادث خلال المدد المحددة عبر البوابة الوطنية «حصين» أو الوسائل التي تحددها الهيئة. ويعد عدم تنفيذ هذه المتطلبات مخالفةً عالية الجسامة، تصل غرامتها إلى 5 ملايين ريال للمنشآت الكبيرة، ومليون للمتوسطة، و100 ألف للصغيرة، و60 ألفاً لمتناهية الصغر.
The Board of Directors of the National Cybersecurity Authority has approved a classification table for violations and their corresponding penalties, which includes fines of up to 25 million riyals, as well as other penalties such as warnings, suspension or revocation of licenses, and cessation of services or activities, depending on the nature of the violation, its severity, the size of the violating entity, and the frequency of the violations. The table specifies penalties for each violation individually, taking into account its nature, seriousness, and any aggravating or mitigating circumstances. The entities subject to this classification have been divided into four categories, according to the criteria of the General Authority for Small and Medium Enterprises “Monshaat,” which include micro enterprises (A), small enterprises (B), medium enterprises (C), and large enterprises (D), resulting in different minimum and maximum limits for fines.
The fine for practicing cybersecurity activities of the first level without a license can reach 25 million riyals for large enterprises, with a minimum of 5 million riyals, while for medium enterprises it ranges between 1 million and 5 million riyals, for small enterprises between 100,000 and 1 million riyals, and for micro enterprises between 50,000 and 500,000 riyals.
Second Level Activity
The fine for practicing activities of the second level without a license can reach 10 million riyals for large enterprises, 5 million for medium enterprises, 500,000 for small enterprises, and 100,000 for micro enterprises, with varying minimum limits based on classification.
The fines for practicing other activities related to cybersecurity without a license can reach 5 million riyals for large enterprises, 1 million for medium enterprises, 100,000 for small enterprises, and 60,000 for micro enterprises, in addition to fines for individuals ranging between 5,000 and 25,000 riyals.
Violations also include non-compliance with licensing conditions, with fines ranging from 3,000 to 10,000 riyals for individuals, and from 10,000 to 1 million riyals for enterprises based on their size.
Violations extend to non-compliance with the controls, policies, frameworks, and national standards for cybersecurity, including risk management requirements and managed cybersecurity operations centers, with fines reaching up to 5 million riyals for large enterprises, 1 million for medium enterprises, 100,000 for small enterprises, and 60,000 for micro enterprises.
Misleading Data
The table classifies the provision of misleading data regarding cybersecurity services and activities as a high-severity violation, with fines reaching up to 5 million riyals for large enterprises. It also emphasizes the implementation of security decisions, measures, alerts, vulnerabilities, breach indicators, and incident response actions within the specified timeframes through the national portal “Haseen” or other means determined by the authority. Failure to implement these requirements is considered a high-severity violation, with fines reaching up to 5 million riyals for large enterprises, 1 million for medium enterprises, 100,000 for small enterprises, and 60,000 for micro enterprises.
