قرار رقم 2 لسنة 2026 — المركز الوطني للأمن السيبراني — بشأن الضوابط الوطنية الأساسية للأمن السيبراني
المركز الوطني للأمن السيبراني
قرار رقم (2) لسنة 2026
بشأن الضوابط الوطنية الأساسية للأمن السيبراني
رئيس المركز الوطني للأمن السيبراني
- بعد الاطلاع على المرسوم رقم (37) لسنة 2022 بشأن إنشاء المركز الوطني للأمن السيبراني،
- وعلى قرار مجلس الوزراء رقم (117) لسنة 2022 بتحديد الوزير المشرف على المركز الوطني للأمن السيبراني،
- وعلى قرار مجلس الوزراء الموقر رقم (166) لسنة 2025، بتعيين رئيس المركز الوطني للأمن السيبراني،
- وعلى القرار رقم (35) لسنة 2023 بشأن الإطار الوطني لحوكمة الأمن السيبراني،
- وعلى القرار رقم (1) لسنة 2025 بشأن لائحة الإطار الوطني العام لتصنيف البيانات،
- وبناء على ما تقتضيه مصلحة العمل،
قرر ما يلي:
مادة (1) التعاريف
● المركز: المركز الوطني للأمن السيبراني.
● الجهات المعنية: الجهات الحكومية المدنية والعسكرية والأمنية ومؤسسات القطاع الخاص داخل دولة الكويت ذات الصلة باختصاصات المركز، والجهات التي يحددها المركز وفقا لأحكام المرسوم رقم 37 لسنة 2022.
● الضوابط الوطنية الأساسية للأمن السيبراني: الملحق المعتمد بموجب هذا القرار، والمتضمن الحد الأدنى الوطني من الضوابط والمتطلبات الأساسية للأمن السيبراني الصادرة عن المركز.
● الإدارة العليا: القيادات العليا في الجهة المعنية، وفق الهيكل التنظيمي المعتمد لها، ممن يملكون صلاحية التوجيه والاعتماد وتخصيص الموارد والإشراف على التنفيذ، ويشمل ذلك رئيس الجهة أو من في حكمه، ووكلاء الجهة والوكلاء المساعدين أو من في حكمهم.
● الملحق: الملحق رقم (1) المرفق بهذا القرار بعنوان (الضوابط الوطنية الأساسية للأمن السيبراني في دولة الكويت)، ( Kuwait .(National Basic Cybersecurity Controls
● المتطلبات الإلزامية: الأحكام أو المتطلبات الواردة في الملحق بصيغة الوجوب، والتي يجب على الجهة المعنية تنفيذ ما ينطبق منها بحسب طبيعة أعمالها وأصولها، وأنظمتها وبياناتها وخدماتها.
● الاستثناء: موافقة موثقة ومحددة المدة على عدم تطبيق متطلب إلزامي محدد من متطلبات الملحق، على أن تتضمن المبرر، ونطاق الاستثناء، ومدته، والضوابط التعويضية متى اقتضى الأمر.
مادة (2) الغرض
يهدف هذا القرار إلى اعتماد ونشر الضوابط الوطنية الأساسية للأمن السيبراني في دولة الكويت بوصفها الحد الأدنى الوطني الواجب تطبيقه من الجهات المعنية، وذلك لتحقيق ما يلي:
● رفع مستوى الجاهزية والمرونة السيبرانية على المستوى الوطني.
● حماية الأصول والأنظمة والشبكات والخدمات والبيانات من المخاطر والتهديدات السيبرانية.
● تعزيز الحوكمة والمساءلة وإدارة المخاطر والامتثال في الجهات المعنية.
● توحيد الحد الأدنى من المتطلبات الإلزامية الواردة في الملحق، بما يتيح قياس مستوى الالتزام بها وإثباته ومتابعته من قبل المركز.
مادة (3) النطاق
تطبق أحكام هذا القرار والملحق المرفق به على الجهات المعنية وفقاً لأحكام المرسوم رقم (37) لسنة 2022.
مادة (4) الالتزام
● تلتزم الجهات المعنية بتطبيق الضوابط الوطنية الأساسية للأمن السيبراني الواردة في الملحق المرفق بهذا القرار، واتخاذ ما يلزم لتنفيذ المتطلبات الإلزامية التي تنطبق عليها خلال المدد الزمنية المحددة فيه.
● تلتزم الجهات المعنية بتوفير الحلول والأدوات التقنية اللازمة لدعم تنفيذ المتطلبات الإلزامية الواردة في الملحق، بما يمكن من متابعتها وإثبات الالتزام بها، وذلك بما يتناسب مع طبيعة أعمال الجهة وأصولها، وأنظمتها وبياناتها وخدماتها.
● تلتزم الجهات المعنية بإنشاء تقييم ذاتي دوري، وبحد أدنى مرة واحدة سنويا، لقياس مدى الالتزام بالملحق المرفق، وذلك باستخدام النماذج أو القوائم التي يعتمدها المركز لهذا الغرض.
● تلتزم الجهات المعنية بالاحتفاظ بالسجلات والوثائق والأدلة اللازمة لإثبات مستوى الالتزام، وتقديمها إلى المركز عند الطلب، كما تلتزم بتقديم ما يلزم من معلومات ووثائق إلى الجهات المختصة الأخرى متى كان ذلك مطلوباً وفقاً للقوانين والنظم واللوائح المعمول بها.
● تلتزم الجهة المعنية باعتماذ وتطبيق الإجراءات والسياسات الداخلية اللازمة لتنفيذ المتطلبات الإلزامية الواردة في الملحق، وضمان التزام العاملين لديها بها، واتخاذ ما يلزم حيال أي مخالفة وفقاً للأنظمة واللوائح المعمول بها.
● إذا كانت الجهة المعنية خاضعة لمتطلبات تنظيمية أو رقابية قطاعية أخرى، فتلتزم بالمتطلبات الأشد، مع عدم الإخلال بأحكام هذا القرار واختصاصات المركز.
● لا يجوز الخروج على أي من المتطلبات الإلزامية الواردة في الملحق إلا بموجب استثناء موثق ومحدد المدة ومبرر بالمخاطر، ووفقاً لأحكام هذا القرار والملحق المرفق به، مع بيان الضوابط التعويضية متى اقتضى الأمر.
مادة (5) الإشراف والمتابعة
• تتولى الإدارة العليا في الجهة المعنية توفير واعتماد ما يلزم من أدوار ومسؤوليات وموارد وإجراءات داخلية لضمان تنفيذ أحكام هذا
القرار والالتزام به.
• يتولى المركز الإشراف على تنفيذ هذا القرار ومتابعة مدى الالتزام به، وله في سبيل ذلك طلب نتائج التقييم الذاتي وما يلزم من تقارير وسجلات وأدلة، وإجراء ما يلزم من فحص لمدى التزام الجهة المعنية بأحكام هذا القرار
والمتطلبات الواردة في الملحق وقياس مستوى الامتثال لها.
مادة (6) الملحق والأدوات المساندة
• يعد الملحق رقم (1) المرفق بهذا القرار بعنوان (الضوابط الوطنية
الأساسية للأمن السيبراني)، (Kuwait National Basic
Cybersecurity Controls)، جزءًا لا يتجزأ من هذا
القرار، ويعمل به مع أحكامه.
• يبقى الملحق المرفق بهذا القرار باللغة الإنجليزية، ويعتد به بوصفه
النص الفني المعتمد للضوابط الوطنية الأساسية للأمن السيبراني.
• يجوز للمركز إصدار ملاحق، أو مرفقات، أو أدلة استرشادية، أو
نماذج، وغيرها من الوثائق أو الأدوات المكملة، وذلك لدعم تنفيذ
هذا القرار والملحق المرفق به.
• وتعد جميع ملاحق، أو مرفقات، أو أدلة استرشادية، أو نماذج، وغيرها
من الوثائق أو الأدوات التي يصدرها المركز تنفيذًا لهذا القرار، مكملة له وللملحق المرفق به، وتفسر وتطبق بما يحقق الاتساق والتكامل بينها. ولا يترتب على إصدار أي منها تعديل أو إلغاء أو استبدال أي حكم من
أحكام هذا القرار أو الملحق إلا بقرار لاحق يصدر عن المركز وينص
صراحة على ذلك. وعند تعذر التوفيق، تكون العبرة بأحكام هذا القرار
والملحق المرفق به، ما لم يرد نص صريح في القرار اللاحق بخلاف ذلك.
مادة (7) توفيق الأوضاع والنفاذ
تلتزم الجهات المعنية بتوفيق أوضاعها وتحقيق الالتزام الكامل
بالمتطلبات الإلزامية التي تنطبق عليها خلال مدة زمنية لا تتجاوز
(18) شهراً من تاريخ نشر هذا القرار في الجريدة الرسمية، ما لم يمنح
المركز، بناءً على طلب مسبب من الجهة المعنية، استثناءً موثقاً ومحدد
المدة وفقاً لأحكام هذا القرار والملحق المرفق به.
مادة (8) تاريخ النفاذ
يعمل بأحكام هذا القرار من تاريخ نشره في الجريدة الرسمية.
مادة (9) الإلغاء والتعديل
يلغى كل نص أو حكم يتعارض مع أحكام هذا القرار، ويجوز تعديل
هذا القرار أو الملحق المرفق به بقرار لاحق من المركز متى اقتضت
مصلحة العمل ذلك.
رئيس المركز الوطني للأمن السيبراني
صدر في : 31 مارس 2026م
11
13
