English
صدر بموجب قرار مجلس إدارة هيئة الحكومة الرقمية رقم (م-٨-٦) وتاريخ ٠٣ /٠٩ /١٤٤٥هـ
الفصل الأول
أحكام عامة
المادة الأولى
تعريفات
١/١ يكون للألفاظ والعبارات المعرفة في المادة الأولى من نظام التعاملات الإلكترونية المعاني ذاتها المحددة لها في النظام عند استخدامها في اللائحة.
١/ ٢ يقصد بالألفاظ والعبارات الآتية -أينما وردت في هذه اللائحة- المعاني المبينة أمام كل منها، ما لم يقتض السياق خلاف ذلك:
١- النظام: نظام التعاملات الإلكترونية.
٢- المركز: مركز المعلومات الوطني.
٣- سياسة الشهادة الرقمية: وثيقة صادرة من المركز أو مقدم خدمات التصديق تحتوي على شروط وإرشادات تبين لمستخدم الشهادة مدى ملاءمة شهادة التصديق الرقمي لاحتياجاته، ومدى الموثوقية المصاحبة لها، إلى جانب تحديد الاستخدامات المشروعة وغير المشروعة للشهادة، ودور مراكز التسجيل.
٤- مركز التسجيل: الجهة التي تتولى عملية التسجيل والتثبت من هوية المتقدمين بالآلية المعتمدة من الجهة المصدرة لها للحصول على شهادات تصديق رقمي.
٥- إجراءات التصديق الرقمي: وثيقة صادرة من المركز أو مقدم خدمات التصديق تحتوي على الطرق الفنية والإجرائية المتبعة لإصدار شهادة التصديق الرقمي من قبل مقدم خدمات التصديق.
٦- الختم الإلكتروني: بيانات إلكترونية مدرجة في تعامل إلكتروني أو مضافة إليه أو مرتبطة به منطقيا، تستخدم لإثبات صحة ارتباط الختم بهوية من نسب إليه ومصادقته على التعامل الإلكتروني، واكتشاف أي تعديل يطرأ على هذا التعامل بعد الختم عليه.
٧- الختم الزمني: بيانات إلكترونية واردة في سجل إلكتروني أو مضافة إليه أو مرتبطة به، بغرض تحديد تاريخ ووقت الإجراء الذي تم على هذا السجل، واكتشاف أي تعديل يطرأ على ذلك.
٨- المستفيد: صاحب الشهادة، وهو الشخص المسجلة شهادة التصديق الرقمي باسمه.
٩- الطرف المعتمد على الشهادة: هو الشخص الذي يستند إلى شهادة التصديق الرقمي في تعاملاته الإلكترونية ويعتمد على صحتها.
الفصل الثاني
حفظ السجلات والبيانات الإلكترونية
المادة الثانية
ضوابط حفظ السجلات والبيانات الإلكترونية
٢ /١ يجب حفظ السجلات والبيانات المتعلقة بالتعاملات الإلكترونية بما يتفق مع متطلبات أي أنظمة أو لوائح أو إجراءات تتعلق بحفظ السجلات والبيانات التقليدية، بما لا يخل بالمادة السادسة من النظام.
٢/٢ يجب حفظ السجلات الصادرة بطبيعتها، وبكامل بياناتها الأصلية، ويجوز حفظها (أرشفتها) وفق أي شكل من أشكال البيانات الإلكترونية التي لا تخل بمحتوى السجل وجودته.
٢ /٣ مع مراعاة حكم الفقرة السابقة (٢ /١) من هذه المادة، يجب أن يتضمن السجل الإلكتروني البيانات التي تحدد هوية السجل، وارتباطه بالتعامل الإلكتروني والسجلات الإلكترونية الأخرى، وتشمل تلك البيانات العناصر التالية بوصفها الحد الأدنى:
١- معلومات منشئ السجل الإلكتروني.
٢- معلومات مرسل السجل الإلكتروني، إذا كان مختلفا عن المنشئ.
٣- معلومات المرسل إليه السجل الإلكتروني.
٤- رقم العملية التي يتضمنها السجل الإلكتروني وطبيعتها.
٥- تاريخ إنشاء السجل الإلكتروني ووقته.
٦- تاريخ إرسال السجل الإلكتروني ووقته.
٧- تاريخ استلام السجل الإلكتروني ووقته.
٨- معلومات إعادة الإرسال، أو التعديل، أو الإلغاء، وكذلك رسائل إقرار الوصول في حالة اشتراط ذلك من قبل المرسل.
المادة الثالثة
الطرف الملزم بحفظ السجلات الإلكترونية
٣ /١ لتحديد الشخص الملزم بحفظ سجل إلكتروني، تطبق الأنظمة واللوائح والقرارات ذات العلاقة بحفظ الوثائق المتعلقة بالتعامل موضوع السجل الإلكتروني.
٣ /٢ يجوز للشخص الملزم بحفظ السجل الإلكتروني الاستعانة بخدمات جهة أخرى، لاستيفاء شروط الحفظ، دون أن يؤثر ذلك في مسؤوليته المنصوص عليها بهذه المادة.
٣ /٣ يلتزم طرفا التعامل الإلكتروني بالاتفاقيات الثنائية المبرمة بينهما فيما يتعلق بحفظ البيانات الإلكترونية، وذلك بما لا يتعارض مع الأنظمة ذات العلاقة.
المادة الرابعة
مدة حفظ السجلات الإلكترونية
٤ /١ يجب حفظ السجلات والبيانات المتعلقة بأي تعامل إلكتروني بما يتفق مع متطلبات أي أنظمة أو لوائح، أو إجراءات تتعلق بتحديد المدد الزمنية الواجب بقاء السجلات والبيانات محفوظة خلالها.
٤ /٢ مع مراعاة حكم الفقرة السابقة (٤ /١) من هذه المادة، يجب حفظ السجلات والبيانات المتعلقة بأي تعامل إلكتروني بما يتفق مع الاتفاقيات المبرمة بين طرفي التعامل الإلكتروني.
المادة الخامسة
شروط حفظ السجلات الإلكترونية
٥ /١ عند حفظ السجلات والبيانات الإلكترونية يجب توافر الشروط التالية:
١- اتباع قواعد وإجراءات واضحة وموثقة لحفظ السجلات الإلكترونية، بما يتفق مع الأنظمة واللوائح ذات العلاقة.
٢- حفظ السجلات والبيانات الإلكترونية في أي صيغة بما يتناسب مع النظام المعمول به لدى من قام بالحفظ.
٣- إذا تطلبت أي فقرة في هذه اللائحة تحديد التاريخ والوقت أو حفظه أو إبرازه، فيجب الالتزام بالتالي بوصفه الحد الأدنى:
أ- تحديد التاريخ وفق التقويم الميلادي على الأقل، مع إضافة التقويم الهجري إذا تطلب ذلك أي نص نظامي، وأن يحدد الوقت بالساعة والدقيقة والثانية كحد أدنى.
ب- أن يتفق التاريخ والوقت مع الوقت الرسمي المعتمد في المملكة العربية السعودية، ما لم يتفق الطرفان على خلاف ذلك.
٤- في حال تطلب السجل الإلكتروني إثبات صحة الوقت، يجب أن يحتوي السجل على ختم زمني صادر من قبل المركز أو من مقدم خدمات التصديق، بما يتوافق مع ما يصدر عن الهيئة.
٥- استخدام التقنيات المناسبة لضمان حفظ السجل الإلكتروني بالشكل نفسه الذي أنشئ أو أرسل أو تسلم به، أو ضمان أن محتواه مطابق للمحتوى الذي أنشئ به، أو أرسل أو تسلم به.
٥ /٢ يجب على الطرف الملزم بحفظ السجلات الإلكترونية، إجراء عمليات (الأرشفة) والحفظ الاحتياطي بشكل دوري، بما يضمن حقوق من يعتمد على هذه السجلات، وبما يتفق مع متطلبات الأنظمة واللوائح ذات العلاقة.
الفصل الثالث
عرض السجل الإلكتروني
المادة السادسة
شروط عرض السجلات والبيانات الإلكترونية والاطلاع عليها
٦ /١ يشترط لعرض السجلات والبيانات الإلكترونية، توافر المعلومات المتعلقة بالتعامل الإلكتروني وفق صيغة إلكترونية قياسية مقروءة ومفهومة وكاملة.
٦ /٢ تلتزم الجهات التي تقوم بحفظ السجلات والبيانات الإلكترونية بتحديد صلاحيات الاطلاع والتعامل مع السجلات والبيانات الإلكترونية لمنسوبيها بناء على حاجة العمل، وبما لا يتعارض مع الأنظمة واللوائح ذات العلاقة.
٦/ ٣ تلتزم الجهات التي تقوم بحفظ السجلات الإلكترونية بتطبيق الحلول الفنية المناسبة لتسجيل جميع الحالات التي يتم فيها الاطلاع على تلك السجلات الإلكترونية، أو الوصول إليها، أو التغيير فيها أو في بياناتها.
٦ /٤ يحق لأحد الطرفين في التعامل الإلكتروني أو أي جهة ذات صلاحية نظاما الحصول على معلومات من السجلات الخاصة بالتعامل الإلكتروني من الجهات التي تقوم بحفظها، وخلافا لذلك لا يحق للجهة التي تقوم بحفظ السجلات الإلكترونية تقديمها لأي طرف ثالث دون الاتفاق المسبق بين طرفي التعامل.
الفصل الرابع
إصدار السجل الإلكتروني واستلامه
المادة السابعة
إنشاء السجلات الإلكترونية
٧ /١ يعد السجل الإلكتروني صادرا من المنشئ، إذا كان المنشئ هو الذي أصدره بنفسه، أو إذا صدر من خلال شخص له صلاحية التصرف نيابة عن المنشئ.
٧ /٢ يعد السجل الإلكتروني صادرا من المنشئ، إذا أرسل بوساطة منظومة آلية برمجها المنشئ، أو شخص له صلاحية التصرف نيابة عن المنشئ، لتعمل بشكل تلقائي نيابة عنه، بشرط أن يتحقق باستخدامها سلامة الإنشاء والإرسال التلقائيين.
٧ /٣ يجوز لمنشئ السجل الإلكتروني الاستعانة فنيا بمن يراه من الوسطاء لإنشاء سجل أو إرساله، أو إنشائه وإرساله معا، ولا يعد الوسيط منشئا للسجل.
المادة الثامنة
إرسال السجلات الإلكترونية
٨ /١ تقع مسؤولية إرسال السجل الإلكتروني على من له حق إنشائه، أو من تم تفويضه بإتمام عملية الإرسال.
٨ /٢ يكون وقت إرسال السجل الإلكتروني هو الوقت الذي تم فيه انتقال السجل من المنظومة الإلكترونية للمرسل إلى أي منظومة أخرى خارج صلاحيات المرسل، وفي حالة قيام المرسل إليه بتعريف مسبق ومحدد للمنظومة الإلكترونية التي يتم استقبال السجلات الإلكترونية عليها، فإن وقت استقبال السجل هو وقت دخول السجل الإلكتروني المرسل إلى تلك المنظومة، أما في حالة عدم تحديد منظومة معينة، فإن وقت استقبال السجل يعد الوقت الذي دخل فيه السجل الإلكتروني إلى أي منظومة تتبع للمرسل إليه.
٨ /٣ ما لم يتفق منشئ السجل والمرسل إليه على غير ذلك، يعد السجل الإلكتروني مرسلا من العنوان النظامي للمنشئ، ويعد مسلما للمرسل إليه في عنوانه النظامي، ولتحديد هذه الفقرة، إذا كان للمنشئ أو للمرسل إليه أكثر من عنوان نظامي، فإنه يعتد بالعنوان الأوثق علاقة بالمعاملة المعنية، أو بالعنوان المحدد في النظام الأساسي للشخص الاعتباري أو محل الإقامة للمرسل إليه.
٨ /٤ يجب توافر معلومات المصدر، مثل عنوان جهاز المصدر، والوقت، وعنوان جهاز المرسل إليه في السجل الإلكتروني قبل دخوله منظومة بيانات أخرى.
٨ /٥ يلتزم منشئ السجل الإلكتروني ومرسله بشروط حفظ السجلات والبيانات المحددة في هذه اللائحة.
٨ /٦ عند إنشاء السجل الإلكتروني وإرساله يجب توافر الآتي:
١- يجب أن يحتفظ السجل الإلكتروني بجميع بياناته التي تضمنها عند الإنشاء، وذلك عند الإرسال والاستقبال، سواء أكان على نفس الصيغة الإلكترونية أم تم تحويله إلى صيغة مختلفة.
٢- يجب أن يبين السجل الإلكتروني معلومات المرسل منه، والمرسل إليه، ووقت الإرسال ومكانه ووقت الاستقبال ومكانه.
٨ /٧ يلتزم الوسيط بضمان وصول المعلومات من منظومة المرسل إلى منظومة المرسل إليه بالمحتوى نفسه ودون تغيير.
المادة التاسعة
الإقرار بتسلم السجل الإلكتروني
٩ /١ إذا ألزم نص نظامي، أو اتفق المنشئ مع المرسل إليه، أو إذا طلب المنشئ من المرسل إليه، عند توجيه السجل الإلكتروني أو قبل ذلك، بأن يرسل إقرارا بتسلم هذا السجل فإنه:
١- إذا لم يتضمن النص النظامي أو اتفاق المنشئ مع المرسل إليه أن يكون الإقرار بتسلم السجل الإلكتروني وفق شكل معين، أو بطريقة معينة، فإنه يجوز أن يتم الإقرار بتسلم السجل بطريقتين:
أ- أي إبلاغ من جانب المرسل إليه، سواء أكان بوسيلة تلقائية أم بأي وسيلة أخرى.
ب- أي سلوك من جانب المرسل إليه يكفي لإعلام المنشئ بأن المرسل إليه قد تسلم السجل الإلكتروني.
٢- إذا اشترط النص النظامي، أو اشترط المنشئ أن يتلقى من المرسل إليه إقرارا بتسلم السجل الإلكتروني، فإن للمنشئ أن يعد إرسال السجل الإلكتروني كأن لم يكن، إلى أن يتم تسلم هذا الإقرار، ما لم يتفق على خلاف ذلك.
٩ /٢ يتم إثبات تسلم السجل الإلكتروني بأي شكل من أشكال الإثبات التي يتفق عليها طرفا التعامل.
٩ /٣ لا ينبني على تلقي المرسل إقرارا بالتسلم من المرسل إليه، أن محتوى السجل الإلكتروني الذي أرسل متطابق مع محتوى السجل الذي تم استلامه، ما لم يشتمل السجل الإلكتروني على آلية الحفاظ على المحتوى، كأن يتم ذلك بوساطة التوقيع/الختم الإلكتروني للمرسل والمرسل إليه.
٩ /٤ يجب أن يحتوي الإقرار بوصول السجل الإلكتروني المعلومات ذات العلاقة بذلك، مثل: التاريخ، الوقت، رقم مميز للرسالة محل الإقرار أو عنوان لها.
٩ /٥ إذا تضمن الإقرار بالتسلم الذي تسلمه المنشئ أن السجل الإلكتروني ذا الصلة قد استوفى الاشتراطات الفنية، سواء المتفق عليها أو المحددة في المعايير المعمول بها، فإنه يفترض أن تلك الشروط قد تم استيفاؤها إلى أن يثبت العكس.
الفصل الخامس
التوقيع/ الختم الإلكتروني
المادة العاشرة
شروط إجراء توقيع/ ختم إلكتروني ومواصفاته
١٠ /١ يعد التوقيع/ الختم الإلكتروني صحيحا، إذا تم الالتزام بالضوابط والشروط التالية:
١- أن يكون التوقيع/ الختم الإلكتروني مرتبطا بشهادة تصديق رقمي صادرة من المركز أو من مقدم خدمات التصديق المرخص له من قبل الهيئة.
٢- أن تكون شهادة التصديق الرقمي المرتبطة بالتوقيع/ الختم الإلكتروني نافذة المفعول وقت إجراء التوقيع/ الختم.
٣- أن تتوافق بيانات هوية صاحب التوقيع/ الختم الإلكتروني مع شهادة التصديق الرقمي.
٤- إذا تم التوقيع/ الختم الإلكتروني بالاشتراك مع منظومة بيانات إلكترونية لدى الموقع، فيشترط سلامة الارتباط المنطقي والفني بين منظومة التوقيع/ الختم الإلكتروني، ومنظومة البيانات الإلكترونية، ومن ثم خلوهما من العيوب الفنية التي قد تؤثر في صحة انعقاد التوقيع/ الختم وإرساله.
٥- توافر الحد الأدنى من البنية الفنية والإدارية، وكذلك الموارد ذات الصلة التي تتحقق بهما موثوقية إجراءات التوقيع/ الختم الإلكتروني حسب الشروط الفنية الواردة في إجراءات التصديق الرقمي الخاصة بالمركز أو بمقدم خدمات التصديق.
٦- التزام صاحب التوقيع/ الختم الإلكتروني بجميع الشروط الواردة في إجراءات التصديق الرقمي الخاصة بالمركز أو بمقدم خدمات التصديق فيما يتعلق بإجراء التوقيع/ الختم الإلكتروني، بما لا يتعارض مع الأنظمة واللوائح ذات العلاقة.
١٠ /٢ يجب أن يتألف التوقيع/ الختم الإلكتروني المرتبط بشهادة تصديق رقمي من العناصر الفنية التالية بوصفها حدا أدنى:
١- جهة إصدار شهادة التصديق الرقمي، بحيث تحتوي الشهادة على جميع المعلومات الدالة على المركز أو مقدم خدمات التصديق، وتوقيعها الإلكتروني.
٢- نوع التوقيع/ الختم الإلكتروني، ونطاق عمله، ورقمه التسلسلي.
٣- تاريخ التوقيع/ الختم الإلكتروني، وفترة سريانه.
٤- بيانات هوية صاحب التوقيع/ الختم الإلكتروني، ونطاق استخدام التوقيع/ الختم.
المادة الحادية عشرة
الاحتياطات اللازمة لتلافي الاستعمال غير المشروع للتوقيع/ الختم الإلكتروني
١١ /١ يجب على من يرغب في إجراء توقيع/ ختم إلكتروني، اتخاذ الاحتياطات اللازمة لتلافي أي استعمال غير مشروع لبيانات إنشاء التوقيع/ الختم الإلكتروني، وللمعدات الشخصية المتعلقة بتوقيعه/ ختمه، وتشمل تلك الاحتياطات ما يلي:
١- الحفاظ على شهادة التصديق الرقمي ووثائق التوقيع/ الختم الإلكتروني، الصادرة من المركز أو من مقدم خدمات التصديق.
٢- تطبيق حلول وتقنيات مناسبة وموثوقة، وفقا لما يرد في إجراءات التصديق الرقمي.
١١ /٢ يجوز لصاحب التوقيع/ الختم الإلكتروني، الاستعانة بجهات فنية متخصصة للمراجعة والتدقيق، بما يدعم جودة عملية التوقيع/ الختم، وموثوقيته، مع عدم الإخلال بأي ضوابط، أو شروط نظامية، أو تعاقدية بين أطراف التعامل.
١١ /٣ يجب على صاحب التوقيع/ الختم الإلكتروني، إبلاغ الجهة المصدرة لشهادة التصديق الرقمي فور علمه بوجود استعمال غير مشروع لتوقيعه/ ختمه، مع توثيق البيانات المتعلقة بالاستعمال غير المشروع.
المادة الثانية عشرة
إجراءات التحقق من التوقيع/ الختم الإلكتروني
١٢ /١ يجب على من يعتمد على التوقيع/ الختم الإلكتروني، لطرف آخر، أن يبذل العناية اللازمة للتحقق من صحة التوقيع/ الختم، وذلك باستخدام بيانات التحقق من التوقيع/ الختم الإلكتروني، وفق الإجراءات التالية:
١- التأكد من منشأ شهادة التصديق الرقمي المرتبطة بالتوقيع/ الختم الإلكتروني، وأنها صادرة من المركز أو من مقدم خدمات التصديق، وفق أحكام هذه اللائحة، والتحقق من صلاحيتها، وأنها غير ملغية أو موقفة.
٢- التأكد من أن البيانات المرفقة مع التوقيع/ الختم الإلكتروني، مطابقة لبيانات صاحب التوقيع/ الختم، من واقع شهادة التصديق الرقمي الصادرة له.
٣- التحقق من عدم وجود رسائل تنبيه أو تحذير تفيد باحتمال وجود خلل في المطابقة الآلية للتوقيع/ الختم الإلكتروني، أو أي خلل آخر ذي صلة بالمنشأ أو المحتوى، وذلك ضمن الرسالة والتوقيع/ الختم، الواردين.
١٢ /٢ يعد التوقيع/ الختم الإلكتروني، ملغيا ولا يحدد هوية منشئ السجل الإلكتروني في حال اختلال أحد العناصر المقومة له وفق أحكام هذه اللائحة.
الفصل السادس
خدمات التصديق الرقمي
المادة الثالثة عشرة
فئات خدمات التصديق الرقمي واشتراطات تقديمها للمرخص له
١٣ /١ تشمل خدمات التصديق الرقمي ما يلي:
١- خدمات إصدار الشهادات الرقمية:
أ- تتيح للمرخص له تقديم خدمات إصدار شهادات التوقيعات والأختام الإلكترونية للمرخصين الآخرين الذين تحددهم الهيئة لتمكينهم من تقديم خدمات التصديق الرقمي الأخرى للمستفيد النهائي.
ب- تشمل خدمات إصدار الشهادات الرقمية ما يلي:
١- إصدار شهادة للتوقيع الإلكتروني: عملية إصدار شهادة تصديق رقمي لغرض استخدامها في عمليات توقيع إلكتروني.
٢- إصدار شهادة للختم الإلكتروني: عملية إصدار شهادة تصديق رقمي لغرض استخدامها في عمليات ختم إلكتروني.
٣- إصدار شهادة المصادقة للموقع الإلكتروني: إصدار شهادة تصديق رقمي لغرض استخدامها في عمليات مصادقة موقع إلكتروني.
ج- اشتراطات تقديم خدمات إصدار الشهادات الرقمية:
١- الالتزام بكافة الإجراءات والشروط الموضحة في هذه اللائحة والنظام وما تصدره الهيئة في هذا الشأن.
٢- الارتباط بالمركز الجذري السعودي التابع للمركز، أو ما تحدده الهيئة -بالاتفاق مع المركز- في هذا الشأن.
د- يحق للمرخص له لتقديم خدمات إصدار الشهادات الرقمية للتوقيعات والأختام الإلكترونية، تقديم بعض أو جميع الخدمات الأخرى للتصديق الرقمي للمستفيد النهائي وفقا لما تحدده الهيئة في هذا الشأن.
٢- خدمات التوقيع الإلكتروني والختم الإلكتروني والزمني:
أ- تتيح للمرخص له تقديم خدمات التوقيع الإلكتروني أو الختم الإلكتروني أو الزمني للمستفيد النهائي.
ب- تشمل خدمات التوقيع الإلكتروني والختم الإلكتروني والزمني ما يلي:
١- إنشاء التوقيعات الإلكترونية: خدمة تتيح إنشاء توقيعات إلكترونية، باستخدام جهاز لإنشائها بناء على شهادة توقيعات إلكترونية.
٢- التحقق من التوقيعات الإلكترونية: خدمة يتم من خلالها التحقق من صحة وسلامة التوقيعات الإلكترونية.
٣- حفظ التوقيعات الإلكترونية: عملية حفظ التوقيعات الإلكترونية بطريقة تضمن عدم العبث بها وإمكانية استرجاعها والتحقق منها لاحقا.
٤- إدارة جهاز إنشاء التوقيعات الإلكترونية: برنامج أو جهاز لإدارة وإنشاء التوقيعات الإلكترونية.
٥- إنشاء الأختام الإلكترونية: إنشاء أختام إلكترونية باستخدام جهاز لإنشائها بناء على شهادة أختام إلكترونية.
٦- التحقق من الأختام الإلكترونية: خدمة يتم من خلالها التحقق من صحة وسلامة الأختام الإلكترونية.
٧- حفظ الأختام الإلكترونية: عملية حفظ الأختام الإلكترونية بطريقة تضمن عدم العبث بها وإمكانية استرجاعها والتحقق منها لاحقا.
٨- إدارة جهاز إنشاء الأختام الإلكترونية: برنامج أو جهاز لإدارة وإنشاء الأختام الإلكترونية.
٩- إنشاء أختام زمنية إلكترونية: عملية إنشاء بيانات في صيغة إلكترونية لإثبات الوقت الذي تمت فيه عملية التوقيع أو الختم الإلكتروني.
ج- اشتراطات تقديم خدمات التوقيع الإلكتروني والختم الإلكتروني والزمني:
١- الالتزام بكافة الإجراءات والشروط الموضحة في هذه اللائحة والنظام وما تصدره الهيئة في هذا الشأن.
٢- الحصول على الشهادات الرقمية للتوقيعات والأختام الإلكترونية من خلال الربط مع مرخص له بتقديم خدمات إصدار الشهادات الرقمية.
١٣ /٢ ترتبط خدمة «إنشاء التوقيعات الإلكترونية» بخدمة «التحقق من التوقيعات الإلكترونية»، حيث لا يمكن للمرخص له تقديم إحداهما دون الأخرى ما لم تقرر الهيئة خلاف ذلك.
١٣ /٣ ترتبط خدمة «إنشاء الأختام الإلكترونية» بخدمة «التحقق من الأختام الإلكترونية»، حيث لا يمكن للمرخص له تقديم إحداهما دون الأخرى ما لم تقرر الهيئة خلاف ذلك.
المادة الرابعة عشرة
إجراءات الحصول على الترخيص وتجديده ووقفه وإلغائه والتنازل عنه
١٤ /١ مع مراعاة ما يصدر عن الهيئة، تكون إجراءات الحصول على الترخيص، أو تجديده، أو وقفه، أو إلغائه كما يلي:
١- التقديم
أ- تقديم طلب إصدار الترخيص، عبر الوسيلة التي تقرها الهيئة ووفق النماذج المعتمدة منها، وذلك بعد استيفاء جميع الشروط والمتطلبات المذكورة في هذه اللائحة وما يصدر عن الهيئة.
ب- دراسة طلب الترخيص من قبل الهيئة، ولها طلب أي بيانات أو معلومات إضافية من مقدم الطلب.
ج- إشعار مقدم الطلب بنتيجة دراسة طلبه، سواء بالموافقة أو باستكمال المستندات أو بالرفض.
د- للهيئة إلغاء الطلب وإشعار مقدم الطلب في حال عدم التزامه بتقديم البيانات والمعلومات المطلوبة خلال المدة التي تحددها الهيئة.
٢- الإصدار
أ- في حال صدور موافقة الهيئة على الطلب، يقوم المتقدم بطلب الترخيص بدفع المقابل المالي لإصدار الترخيص بحسب ما يصدر عن الهيئة.
ب- تصدر الهيئة وثيقة ترخيص تقديم خدمات التصديق الرقمي لمقدم الطلب.
٣- التجديد
أ- تقديم طلب تجديد الترخيص قبل ٩٠ يوما على الأقل من تاريخ انتهاء الترخيص، عبر الوسيلة التي تقرها الهيئة ووفق النماذج المعتمدة منها.
ب- يلتزم مقدم طلب تجديد الترخيص بإجراءات التقديم الواردة في الفقرة ١٤ /١ (١) من هذه المادة.
ج- في حال صدور موافقة الهيئة على الطلب، يقوم مقدم الطلب بدفع المقابل المالي لتجديد الترخيص بحسب ما يصدر عن الهيئة.
د- تصدر الهيئة وثيقة ترخيص تقديم خدمات التصديق الرقمي لمقدم الطلب.
٤- الإيقاف والإلغاء والتنازل
أ- تقديم طلب إيقاف الترخيص أو إلغائه أو التنازل عنه، مع إرفاق جميع المبررات للطلب، والخطة التفصيلية للتعامل مع العقود الحالية المرتبطة بنطاق الترخيص والتعهد بتسليم كافة الملفات والبيانات للهيئة بالوسيلة التي تحددها الهيئة.
ب- دراسة الطلب من قبل الهيئة، ولها طلب أي بيانات أو معلومات إضافية من مقدم الطلب.
ج- إشعار مقدم الطلب بنتيجة دراسة طلبه.
١٤ /٢ للهيئة فرض أي إجراءات أخرى تراها مناسبة في هذا الشأن.
المادة الخامسة عشرة
تنظيم تراخيص تقديم خدمات التصديق الرقمي
١٥ /١ للهيئة إيقاف الترخيص أو إلغاؤه إذا أخل المرخص له بالشروط والأحكام الواردة في هذه اللائحة أو الأنظمة واللوائح ذات العلاقة أو ما تصدره الهيئة من تعليمات أو قرارات، وفق الآتي:
١- إشعار المرخص له بما تم رصده، عبر الوسيلة التي تقرها الهيئة، وتوجيهه باتخاذ إجراءات التصحيح اللازمة خلال المدة التي تحددها الهيئة.
٢- تمديد مدة التصحيح للمرخص له وفقا لتقدير الهيئة.
٣- إلغاء الترخيص في حال عدم التزام المرخص له بإجراءات التصحيح المطلوبة خلال المدة التي حددتها الهيئة.
١٥ /٢ تكون مدة تراخيص تقديم خدمات التصديق الرقمي خمس سنوات ميلادية اعتبارا من تاريخ صدورها، ما لم تقرر الهيئة خلاف ذلك.
١٥ /٣ يخضع تقديم خدمات التصديق الرقمي للمقابل المالي المحدد من الهيئة، ولها الحق في إجراء أي تعديل عليه بعد الاتفاق مع مركز تنمية الإيرادات غير النفطية ووزارة المالية.
١٥ /٤ يجب على المرخص له تقديم خطة إنهاء النشاط، تتضمن تفاصيل الإجراءات التي يتم اتباعها عند توقف مقدم خدمات التصديق الرقمي عن ممارسة نشاطه بطلب منه، أو في حالات إيقافه من قبل الهيئة، أو إلغاء ترخيصه أو عدم تجديده، بما يضمن حقوق جميع الأطراف ذوي الصلة.
١٥ /٥ للهيئة الإشراف على إجراءات إطلاق الخدمة للمرخص له وإنهاؤها وتغييرها وتعليقها.
١٥ /٦ تحدد الهيئة عدد التراخيص المتاحة لتقديم خدمات التصديق الرقمي ويحق لها تعديلها وفقا للمصلحة العامة.
١٥ /٧ للهيئة فرض شروط، أو إجراءات، أو متطلبات إضافية، أو إلغاء، أو استثناء بعضها على المتقدم بطلب الترخيص وفقا لتنظيماتها والتعليمات الصادرة عنها ومقتضيات المصلحة العامة.
١٥ /٨ للهيئة وفقا لاختصاصها إصدار الوثائق التنظيمية والضوابط والأدلة الاسترشادية والقرارات لتنظيم تقديم خدمات التصديق الرقمي متى ما رأت الحاجة إلى ذلك.
١٥ /٩ تحدد الهيئة الإجراءات التأهيلية والتنافسية، وآلية طرح تراخيص تقديم خدمات التصديق الرقمي دون الإخلال بالأنظمة المعمول بها في المملكة العربية السعودية.
المادة السادسة عشرة
الشروط والضوابط اللازمة للحصول على الترخيص
١٦ /١ يجب أن يتوفر لدى المتقدم بطلب ترخيص تقديم خدمات التصديق الرقمي ما يلي:
١- سجل تجاري ساري المفعول لستة أشهر من تاريخ التقديم، على أن يكون مقر المنشأة الرئيسي في المملكة، وأن يكون نشاطها الرئيسي «المعلومات والاتصالات».
٢- قائمة بالأعمال والمشاريع السابقة التي تثبت تمتع المتقدم بطلب الترخيص بالخبرة التشغيلية في مجال التصديق الرقمي، إن توفرت، أو مجال الخدمات الرقمية.
٣- منظومة بيانات إلكترونية ومنظومة لشهادات التصديق الرقمي وللتواقيع والأختام الإلكترونية، ضمن بيئة عمل فنية قياسية حسبما يرد في سياسة الشهادة الرقمية وإجراءات التصديق الرقمي.
٤- بنية تحتية فنية، وموارد إدارية على درجة عالية من الكفاءة والمعيارية بمستوى لا يقل عن المقاييس المحددة وفقا لسياسة الشهادة الرقمية وإجراءات التصديق الرقمي، لتشغيل وإدارة جميع عمليات التصديق الرقمي التي من أهمها إصدار شهادات التصديق الرقمي، وما يتبع ذلك من تجديد للشهادات، وتعليقها، وإلغائها، وإعادتها.
٥- إتاحة البيانات الخاصة بالتحقق من صحة الشهادات، والتواقيع والأختام الإلكترونية لجميع أطراف التعامل الإلكتروني، مع ضمان ربطها مباشرة بقوائم الشهادات الموقوفة والملغاة.
٦- تأسيس جميع الموارد الإلكترونية وتشغيلها وإدارتها، وفق آلية تضمن عمليات الحفظ و(الأرشفة)، وكذلك النقل إلى منظومات وقواعد بيانات قياسية أخرى، مع توفير البدائل والخطط التي بموجبها يتم ضمان استمرار الخدمة.
المادة السابعة عشرة
التزامات المرخص له
١٧ /١ يلتزم المرخص له بما يلي:
١- الامتثال للنظام وهذه اللائحة وما يصدر عن الهيئة والجهات التنظيمية ذات العلاقة بشأن المسائل المحددة في نطاق هذه اللائحة.
٢- الامتثال للأنظمة واللوائح والتنظيمات المتعلقة بتقديم الخدمات الرقمية للمستفيدين في المملكة العربية السعودية.
٣- الاحتفاظ بكافة حسابات المستفيدين وسجلات العمليات المتعلقة بخدمات التصديق الرقمي بصورة دقيقة وأن يتم تحديثها باستمرار.
٤- تقديم جميع المعلومات والتقارير والمستندات ذات العلاقة بخدمات التصديق الرقمي للهيئة وفقا للآلية التي تحددها الهيئة في هذا الشأن.
٥- إبلاغ الهيئة بأي تغييرات في الهيكل الإداري في غضون خمسة أيام من إحداث التغيير.
٦- عدم استخدام الترخيص لغير الغرض المرخص له، إضافة إلى عدم استخدامه فيما من شأنه الإضرار بسمعة المملكة العربية السعودية، أو حكومتها، أو الهيئة، أو الجهات ذات العلاقة.
٧- استخدام الوسيلة والنماذج التي تقرها الهيئة في كل ما يتعلق بإصدار، وإدارة التراخيص، وإرسال البيانات، والمعلومات.
٨- الاستجابة لتوجيهات الهيئة بشأن الربط مع أنظمتها أو أي أنظمة للجهات الحكومية الأخرى، أو الربط مع أي مقدم خدمات تصديق آخر بحسب ما تصدره الهيئة، والتعاون في تبادل البيانات وفق الآلية التي تحددها الهيئة والجهات ذات العلاقة.
٩- الحصول على موافقة مسبقة من الهيئة قبل القيام بأي عملية اندماج أو تضامن مع أي طرف آخر أو استحواذ على ٥% أو أكثر من أسهم أو حصص مقدم خدمات التصديق، مع الالتزام بتقديم دراسة شاملة للهيئة، تبين المسوغات والأهداف، وكذلك أثر ذلك على الخدمات والمستفيدين. ويحق للهيئة -بناء على ما تقتضيه الأنظمة ومصلحة المستفيدين- رفض الطلب أو طلب تعديله أو الموافقة عليه.
١٠- الالتزام بأن تكون جميع الأنظمة والأجهزة والبرامج والخوادم المستخدمة لتقديم الخدمات في مجال التصديق الرقمي موجودة داخل المملكة العربية السعودية.
١١- إبلاغ الهيئة والجهات ذات العلاقة والمستفيدين بشكل فوري عن أي مشكلة أو عند وقوع خطر يحتمل أن يهدد موثوقية الموارد الإلكترونية أو الإدارية لديه.
١٢- تقديم الخدمات وفق الترخيص الصادر له داخل المملكة العربية السعودية فقط، والتعهد بعدم القيام بتقديم هذه الخدمات خارج المملكة، وعدم تفويض أي تقديم أو استخدام مباشر أو غير مباشر لهذه الخدمات خارج المملكة دون موافقة كتابية مسبقة من الهيئة.
١٣- إبرام اتفاقية مستوى خدمة مع المستفيدين من خدمات التصديق الرقمي وأي طرف تحدده الهيئة مع الالتزام بما تصدره الهيئة من تنظيمات ونماذج في هذا الشأن.
١٤- الالتزام بالمدة الزمنية التي سيتم خلالها إطلاق الخدمات وفقا لما يصدر عن الهيئة.
١٥- سداد المقابل المالي للترخيص خلال المواعيد التي تحددها الهيئة.
١٦- التوضيح عبر القنوات الإلكترونية الرسمية له حصوله على ترخيص من الهيئة.
١٧- الالتزام بما يصدر عن الهيئة بشأن المقابل المالي لتقديم خدمات التصديق الرقمي.
١٨- إعداد العقود والإجراءات التفصيلية، بما في ذلك الحد الأعلى للمقابل المالي للخدمة للمستفيدين، واعتمادها من قبل الهيئة، بما يحفظ حقوق جميع الأطراف ذات الصلة.
١٩- عدم إضافة أو تعديل أي مقابل مالي على خدمات التصديق الرقمي المقدمة منه دون الحصول على موافقة مسبقة من الهيئة.
٢٠- عدم إضافة وتقديم أي خدمات تصديق رقمي جديدة إلا بعد الحصول على موافقة الهيئة.
٢١- إنشاء قسم لاستقبال البلاغات والشكاوى المقدمة من المستفيدين من خدمات التصديق الرقمي.
٢٢- إتاحة الحصول على إحدى أو كل خدمات التصديق الرقمي للمرخصين الآخرين لتقديمها للمستفيد النهائي وفقا لما يصدر عن الهيئة في هذا الشأن.
١٧ /٢ تقوم الهيئة وفقا لاختصاصاتها بمراجعة وتقييم أداء مقدم خدمات التصديق، ولها في ذلك الاستعانة بمن ترى من بيوت الخبرة المتخصصة، ويشمل ذلك على سبيل المثال، التحقق الدوري من التزام مقدم خدمات التصديق للمتطلبات المعتمدة من الهيئة من خلال إجراء عمليات التدقيق الدورية على نفقة مقدم خدمات التصديق، ولها طلب البيانات والمعلومات والتقارير في هذه الشأن.
المادة الثامنة عشرة
استمرار الخدمة في حالة إيقاف مقدم خدمات التصديق، أو إلغاء ترخيصه أو عدم تجديده
١٨ /١ يجب على مقدم خدمات التصديق أن يستمر في تقديم خدماته للمتعاملين، ولا يحق له تحت أي سبب أو ذريعة التوقف أو التنازل عن تقديم أي خدمة من خدماته، دون موافقة مسبقة من الهيئة، وذلك لضمان حقوق جميع الأطراف ذات الصلة.
١٨ /٢ في حالة قيام الهيئة بعدم تجديد ترخيص أحد مقدمي خدمات التصديق، أو إيقافه مؤقتا أو إلغائه، يجب على الهيئة اتخاذ التدابير اللازمة لاستمرارية تقديم الخدمات إلى مستخدمي خدمات مقدم خدمات التصديق الموقف، أو الملغى، أو المنتهي ترخيصه وفقا لهذه المادة.
١٨ /٣ إذا لم يقم مقدم خدمات التصديق الموقف أو الملغى أو المنتهي ترخيصه باتخاذ التدابير المحددة من قبل الهيئة نحو ضمان حقوق المستفيدين لديه، بما في ذلك التدابير المحددة في خطة إنهاء النشاط، فإنه يجوز للهيئة اتخاذ ما يلزم لإنجاز تلك التدابير بأسرع وقت ممكن على نفقة مقدم خدمات التصديق.
١٨ /٤ يجوز للهيئة تمديد مدة الترخيص لمقدم خدمات التصديق، وذلك ليتسنى له تصفية جميع عملياته المتعلقة بعملائه من المستفيدين، على ألا يتم تحميلهم أي تكاليف مالية تتعلق بعملية التصفية.
١٨ /٥ في حالة صدور قرار من الهيئة بمنح مقدم خدمات التصديق الموقف، أو الملغى، أو المنتهي ترخيصه تمديدا مؤقتا للترخيص الممنوح له، فيخضع هذا التمديد للشروط التالية:
١- عدم استدراج، أو قبول مستفيدين جدد، أو تمديد العقود، أو التدابير الأخرى القائمة مع المستفيدين الموجودين، أو توسعة نطاقها.
٢- عدم تمديد العقود أو التدابير الأخرى المبرمة مع أي مرخص آخر، أو توسعة نطاق تلك العقود أو التدابير.
٣- إضافة إلى أي شروط أخرى قد تفرضها الهيئة للتأكد من استمرار تلقي المستفيدين للخدمة.
١٨ /٦ للهيئة الحق في تعديل أي من الشروط المشار إليها في الفقرة (١٨ /٥) من هذه المادة، حسبما تقتضيه الأنظمة ومصلحة المستفيدين.
المادة التاسعة عشرة
أحكام ومعايير التصرف في معلومات ووثائق مقدم خدمات التصديق في حالة وقف نشاطه
١٩ /١ يلتزم مقدم خدمات التصديق في جميع حالات وقف نشاطه بالوفاء بالمتطلبات التالية:
١- الاحتفاظ بجميع السجلات والبيانات الإلكترونية المتعلقة بشهادات التصديق الرقمي، وكذلك البيانات الأخرى ذات الصلة، وعدم تعديل محتواها، وذلك إلى حين أن يتم التصرف بها من الهيئة، أو من أي جهة أخرى معتمدة من الهيئة.
٢- تزويد الهيئة -أو أي جهة معتمدة من الهيئة- بجميع التفاصيل الفنية التي تصف بنية البيانات ومواصفاتها وحجمها من الناحية الفنية.
٣- تحويل البيانات ونقلها سواء بشكل كلي أو بشكل جزئي، وفق الضوابط الفنية التي يحددها المركز وتعتمدها الهيئة، بما يحفظ حقوق المتعاملين.
١٩ /٢ يجوز للهيئة حجز الموارد الفنية وقواعد البيانات، وغير ذلك من التدابير المناسبة التي تقتضيها حماية حقوق المتعاملين.
١٩ /٣ يحتفظ المتعامل مع مقدم خدمات التصديق، أو أي طرف لحقه الضرر، بحق رفع الدعوى أمام الجهات القضائية المختصة وطلب التعويض.
١٩ /٤ لا يجوز لمقدم خدمات التصديق الموقف نشاطه، لأي سبب من الأسباب، أن يحتفظ بأي نسخ من السجلات والبيانات الإلكترونية الناتجة عن ممارسته لنشاطه الذي تم إيقافه، بعد إتمام الخطوات الواردة في الفقرة (١٩ /١) من هذه المادة.
الفصل السابع
شهادات التصديق الرقمي
المادة العشرون
عناصر شهادة التصديق الرقمي
٢٠ /١ يحدد المركز -وفق ما يصدر عن الهيئة- العناصر الفنية الواجب توافرها في شهادة التصديق الرقمي، على أن تتضمن العناصر الفنية التالية بوصفها حدا أدنى:
١- جهة إصدار شهادة التصديق الرقمي، بحيث تحتوي الشهادة على جميع المعلومات الدالة على مقدم خدمات التصديق.
٢- بيانات هوية صاحب الشهادة، ونطاق استخدام الشهادة.
٣- تاريخ إصدار الشهادة، وفترة سريانها.
المادة الحادية والعشرون
اعتماد شهادات التصديق الرقمي الأجنبية خارج المملكة
٢١ /١ تقوم الهيئة باعتماد شهادات التصديق الرقمي الصادرة من جهات أجنبية خارج المملكة.
٢١ /٢ يجب مراعاة توافق قواعد وإجراءات الاعتراف بالجهة الأجنبية خارج المملكة المصدرة للشهادة، مع شروط وإجراءات الحصول على ترخيص تقديم خدمات التصديق.
٢١ /٣ مع مراعاة أي ضوابط، أو شروط واردة في النظام أو اللائحة، أو أي اتفاقيات دولية نافذة، لا يؤثر اعتماد شهادات التصديق الرقمي الصادرة من الجهة الأجنبية خارج المملكة على حقوق صاحب الشهادة، أو على حقوق المتعاملين معه.
٢١ /٤ تنشر الهيئة وفق الوسائل المتاحة قائمة بالجهات الأجنبية خارج المملكة المعترف بها من قبل الهيئة، ويتم تحديث القائمة بشكل مستمر.
٢١ /٥ يحق للهيئة رفض شهادات التصديق الرقمي الصادرة من قبل جهة أجنبية خارج المملكة معترف بها، حسبما تقتضيه المصلحة العامة.
المادة الثانية والعشرون
ضوابط إصدار شهادات التصديق الرقمي، وإجراءاتها، وتسليمها، وحفظها
٢٢ /١ يلتزم المركز ومقدم خدمات التصديق بإصدار شهادات التصديق الرقمي وتسليمها وحفظها وفقا للضوابط والإجراءات الواردة في سياسة الشهادة الرقمية وإجراءات التصديق الرقمي وما يصدر عن الهيئة.
٢٢ /٢ يلتزم المركز بالتنسيق مع الهيئة عند إعداد سياسة الشهادة الرقمية وإجراءات التصديق الرقمي وأي تحديثات تطرأ عليهما.
٢٢ /٣ يلتزم مقدم خدمات التصديق بالحصول على اعتماد الهيئة على سياسة الشهادة الرقمية وإجراءات التصديق الرقمي وأي تحديثات تطرأ عليهما.
٢٢ /٤ يلتزم مقدم خدمات التصديق بإعداد جميع النماذج والإجراءات والأدلة التي تمكنه من تقديم الخدمة بكفاءة، وفق الضوابط والشروط الواردة في النظام ولائحته التنفيذية، كما يجب اعتمادها من قبل الهيئة قبل تقديمها للمتعاملين، ولا يعفي اعتماد الهيئة مقدم خدمات التصديق من أي مسؤولية نظامية نتيجة أي ضرر قد يلحق بالأطراف التي تعتمد عليها.
٢٢ /٥ في حال المنازعات التي قد تنشأ بين الأطراف حول المواصفات الفنية، تكون الهيئة هي جهة الاختصاص لتفسير الضوابط والشروط الفنية التفصيلية، وما يتبعها من مقاييس عالمية.
٢٢ /٦ يكون مقدم خدمات التصديق مسؤولا أمام المستفيدين عن جميع الخدمات والموارد الإدارية والفنية التي تتبع له، سواء بشكل مباشر أو غير مباشر عبر عقود الباطن.
المادة الثالثة والعشرون
حالات إلغاء شهادات التصديق الرقمي أو إيقاف العمل بها
٢٣ /١ يجوز إلغاء شهادة التصديق الرقمي، أو إيقاف العمل بها، بناء على طلب من صاحب الشهادة، دون أن يؤثر هذا الإلغاء، أو الإيقاف على حقوق أي من الأطراف الذين سبق لهم التعامل بموجب الشهادة الملغاة أو الموقوفة.
٢٣ /٢ يجب على المركز أو مقدم خدمات التصديق إيقاف الشهادة أو إلغاءها بناء على قرار من الهيئة، أو من غيرها من الجهات ذات الاختصاص، ويعد المركز أو مقدم خدمات التصديق -بناء على ذلك- مسؤولا عن إكمال الإجراءات التالية:
١- تنفيذ ما ورد في قرار الإلغاء أو الإيقاف.
٢- إشعار صاحب الشهادة بالإجراءات التي تمت.
٣- تنبيه كل من يعتمد على الشهادة مستقبلا بعدم صلاحية الشهادة، وفقا لإجراءات التصديق الرقمي.
الفصل الثامن
أحكام ختامية
المادة الرابعة والعشرون
متطلبات الأمن السيبراني
٢٤ /١ يجب على كافة المعنيين بأحكام هذه اللائحة، الالتزام بما يصدر عن الهيئة الوطنية للأمن السيبراني -وفقا لاختصاصها ومهماتها- من سياسات وأطر ومعايير وضوابط وإرشادات حيال أي متطلبات أو مواصفات فنية متعلقة بالأمن السيبراني مما له علاقة بأحكام هذه اللائحة.
المادة الخامسة والعشرون
نشر اللائحة
٢٥ /١ تنشر هذه اللائحة في الجريدة الرسمية ويعمل بها من تاريخ نشرها.
نشر في عدد جريدة أم القرى رقم (٥٠٣٥) الصادر في ٧ من يونيو ٢٠٢٤م.
