الامتثال والحوكمة
ماذا تقول قواعد مصرف الإمارات العربية المتحدة المركزي عن الأمن السيبراني والإسناد الخارجي؟
كيف تغطي قواعد مصرف الإمارات العربية المتحدة المركزي (CBUAE) المخاطر السيبرانية والإبلاغ عن الحوادث والإسناد الخارجي والحوسبة السحابية للبنوك والمؤسسات المالية المرخصة في الإمارات، استنادًا إلى الدليل التنظيمي لمصرف الإمارات العربية المتحدة المركزي (CBUAE Rulebook).
بقلم Vigilbaseنُشر في
لا يملك مصرف الإمارات العربية المتحدة المركزي (CBUAE) نظامًا مستقلًا للأمن السيبراني. إذ ترد متطلباته السيبرانية في نظام إدارة المخاطر التشغيلية، الساري منذ 14 سبتمبر 2026، الذي يُلزم كل مؤسسة مالية مرخصة بتطبيق إطار لإدارة مخاطر تقنية المعلومات والاتصالات والأمن السيبراني، وبالإبلاغ عن الحوادث الكبيرة. ويحكم نظام الإسناد الخارجي للبنوك الإسنادَ الخارجي الجوهري، فيما تغطي إرشادات مشتركة بشأن التقنيات التمكينية الحوسبة السحابية. ويشترط كلٌّ من قواعد المخاطر التشغيلية وقواعد الإسناد الخارجي بقاء نظام السجلات الرئيسي داخل الإمارات.
ما قواعد مصرف الإمارات العربية المتحدة المركزي التي تغطي الأمن السيبراني؟
يسرد الدليل التنظيمي لمصرف الإمارات العربية المتحدة المركزي (CBUAE Rulebook) الأدوات التنظيمية الواردة أدناه. ويشير الدليل نفسه إلى أنه لا يترتب عليه أي أثر قانوني، وأن الأولوية للنصوص الصادرة عبر القنوات الرسمية، مثل الجريدة الرسمية لدولة الإمارات.
1.نظام إدارة المخاطر التشغيلية (C 1/2026، الساري اعتبارًا من 14 سبتمبر 2026): ينطبق على جميع المؤسسات المالية المرخصة التي تتمتع بالشخصية الاعتبارية، ويحل محل نظام ومعايير المخاطر التشغيلية لعام 2018.
2.نظام الإسناد الخارجي للبنوك ومعاييره (C 14/2021، الساري اعتبارًا من 15 يوليو 2021): ينطبقان على جميع البنوك العاملة في الإمارات، على أساس منفرد وعلى مستوى المجموعة.
3.الإرشادات الخاصة بالمؤسسات المالية التي تتبنى التقنيات التمكينية (الصادرة في 15 نوفمبر 2021): إرشادات مشتركة صادرة عن مصرف الإمارات العربية المتحدة المركزي وSCA وDFSA وFSRA، وتشمل الحوسبة السحابية.
4.نظام حماية المستهلك (C 8/2020) ومعاييره: يتضمنان إخطار مصرف الإمارات العربية المتحدة المركزي بالاختراقات الكبيرة لبيانات المستهلكين.
ما متطلبات نظام إدارة المخاطر التشغيلية في مجال الأمن السيبراني؟
تحدد المادة 8 متطلبات تقنية المعلومات والاتصالات والأمن السيبراني للمؤسسات المالية المرخصة.
1.يجب على مجلس الإدارة اعتماد إطار إدارة مخاطر تقنية المعلومات والاتصالات والأمن السيبراني والإشراف عليه وضمان فعاليته.
2.يجب أن تغطي سياسة تقنية المعلومات والاتصالات والأمن السيبراني، كحد أدنى، الحوكمة، وملكية المخاطر، والتدابير الأمنية مثل ضوابط الوصول وإدارة الهوية وأمن الشبكات وأمن إدارة الموردين واختبار الثغرات، وإدارة البيانات، وعمليات تقنية المعلومات والاتصالات، وخطط الاستجابة للحوادث واستمرارية الأعمال والتعافي من الكوارث.
3.يجب اختبار برامج الحماية والكشف والاستجابة والتعافي بصورة منتظمة.
4.يجب الاحتفاظ بنظام السجلات الرئيسي وتخزينه بصورة مستمرة داخل الإمارات، بما في ذلك عند إسناده إلى جهة خارجية.
5.ويجب على المؤسسات أيضًا الالتزام بلوائح تقنية المعلومات والاتصالات والأمن السيبراني وأمن المعلومات الصادرة عن الجهات المختصة في الإمارات.
كيف يجب الإبلاغ عن الحوادث إلى مصرف الإمارات العربية المتحدة المركزي؟
في حالة أحداث المخاطر التشغيلية التي تؤثر، أو قد تؤثر، تأثيرًا كبيرًا في استمرارية العمليات الحرجة أو سلامتها، يجب على المؤسسة إخطار مصرف الإمارات العربية المتحدة المركزي خلال 4 ساعات وتقديم تقرير موجز خلال 24 ساعة، ثم إخطاره مجددًا عند العودة إلى العمليات الاعتيادية. وبصورة منفصلة، يجب الإخطار بأي حادث عالي المخاطر خلال 72 ساعة، وفق معايير محددة في سياسات يعتمدها مجلس الإدارة. ويجب أن تشمل الاختبارات الدورية للوظائف الحرجة اختبارات اختراق يجريها طرف ثالث مستقل، على أن تُعرض نتائجها على مجلس الإدارة.
ما الذي تشترطه قواعد الإسناد الخارجي على البنوك؟
تظل البنوك مسؤولة مسؤولية كاملة عن مخاطر كل ما تسنده إلى جهات خارجية.
1.يتطلب الإسناد الخارجي الجوهري موافقة مجلس الإدارة وإشعارًا مسبقًا بعدم الممانعة من مصرف الإمارات العربية المتحدة المركزي.
2.تشمل العناية الواجبة أمن مزوّد الخدمة، بما في ذلك الأمن السيبراني.
3.يجب أن تمنح العقود مصرف الإمارات العربية المتحدة المركزي، وأي وكيل يعيّنه، حق الوصول إلى مزوّد الخدمة وحق إجراء زيارات ميدانية.
4.يجب على مزوّدي الخدمة إخطار البنك بأي اختراق لبياناته دون تأخير لا مبرر له، ويجب على البنك إخطار مصرف الإمارات العربية المتحدة المركزي فورًا بالاختراقات الجوهرية.
5.لا يجوز مشاركة البيانات السرية خارج الإمارات دون موافقة مصرف الإمارات العربية المتحدة المركزي والموافقة الخطية المسبقة من العميل.
6.تحتاج البنوك إلى خطط طوارئ لإعادة الوظائف المسندة إلى جهات خارجية إلى داخل البنك.
ماذا تقول إرشادات مصرف الإمارات العربية المتحدة المركزي عن الحوسبة السحابية؟
إرشادات التقنيات التمكينية توجيهات استرشادية وليست قواعد ملزمة، وتتقدم عليها الأنظمة الملزمة. وتنص على أنه ينبغي للمؤسسات التواصل مع جهتها الرقابية بشأن خطط الحوسبة السحابية الجوهرية، بما في ذلك الحالات التي قد تتطلب موافقة، وتقييم مواقع مراكز البيانات. وينبغي أن تغطي عقود الحوسبة السحابية مواقع مراكز البيانات والإشعار المسبق بالتغييرات، وحقوق الجهات التنظيمية في الرقابة والتدقيق، وخطة للخروج. كما توصي بإجراء تقييمات للثغرات واختبارات اختراق خاصة بترتيب الحوسبة السحابية مرة واحدة سنويًا على الأقل.
كيف يُفرض تطبيق قواعد مصرف الإمارات العربية المتحدة المركزي؟
قد تؤدي مخالفات نظام إدارة المخاطر التشغيلية ومعاييره إلى إجراءات رقابية وعقوبات إدارية ومالية. ويمكن أن تشمل هذه سحب صلاحيات الإدارة العليا أو أعضاء مجلس الإدارة أو تقييدها، والإدارة المؤقتة للمؤسسة، والغرامات، ومنع الأفراد من العمل في القطاع المالي في الإمارات.
أين تساعد Vigilbase في توفير الأدلة المطلوبة لمصرف الإمارات العربية المتحدة المركزي؟
يعتمد الإخطار خلال 4 ساعات على المعرفة السريعة بما تأثر. يربط Vigilbase OS أدوات الأمان التي تدفعون مقابلها بالفعل، ويحفظ سجلاتها وأحداثها قابلة للتدقيق والاستعلام في مكان واحد، ويسجّل كل تحقيق الأدلة والإجراء ونتيجة التحقق، ما يساعدكم على تقديم الوقائع اللازمة لإخطارات الحوادث وتقارير مجلس الإدارة. وتشغّل خدمات Cloudflare المُدارة ضوابط WAF وDDoS المشمولة بالنطاق للخدمات المصرفية عبر الإنترنت وواجهات برمجة التطبيقات (APIs). ويُعد أي مزوّد خدمات أمنية ترتيبًا مع طرف ثالث بموجب هذه القواعد، لذا عالجوا التعاقد من خلال إجراءات الإسناد الخارجي لديكم، بما في ذلك ما إذا كان جوهريًا ويتطلب عدم ممانعة مصرف الإمارات العربية المتحدة المركزي، وقدّموا متطلبات موقع البيانات لديكم أثناء تحديد النطاق.
حول هذا الدليل
يلخّص هذا الدليل الإرشادي نصوصًا من الدليل التنظيمي لمصرف الإمارات العربية المتحدة المركزي (CBUAE Rulebook) كما كانت متاحة في أكتوبر 2026. وهو ليس استشارة قانونية. ولا يترتب على الدليل التنظيمي أي أثر قانوني، والأولوية للنصوص المنشورة عبر القنوات الرسمية مثل الجريدة الرسمية لدولة الإمارات. تحققوا من التزاماتكم لدى مصرف الإمارات العربية المتحدة المركزي ومع مستشاركم القانوني.
أبرز النقاط
✓ترد المتطلبات السيبرانية لمصرف الإمارات العربية المتحدة المركزي في نظام إدارة المخاطر التشغيلية الصادر عنه، الساري اعتبارًا من 14 سبتمبر 2026، وليس في نظام مستقل للأمن السيبراني.
✓يجب الإخطار بأحداث المخاطر التشغيلية الكبيرة خلال 4 ساعات، وبالحوادث عالية المخاطر خلال 72 ساعة.
✓يتطلب الإسناد الخارجي الجوهري من جانب البنوك موافقة مجلس الإدارة وعدم ممانعة مصرف الإمارات العربية المتحدة المركزي، ويبقى نظام السجلات الرئيسي داخل الإمارات.
✓تطلب إرشادات الحوسبة السحابية من المؤسسات التواصل مع جهتها الرقابية بشأن خطط الحوسبة السحابية الجوهرية وتقييم مواقع مراكز البيانات.
المصادر
- الدليل التنظيمي لمصرف الإمارات العربية المتحدة المركزي (CBUAE Rulebook): نظام إدارة المخاطر التشغيلية
- الدليل التنظيمي لمصرف الإمارات العربية المتحدة المركزي (CBUAE Rulebook): إدارة تقنية المعلومات والاتصالات والأمن السيبراني (المادة 8)
- الدليل التنظيمي لمصرف الإمارات العربية المتحدة المركزي (CBUAE Rulebook): متطلبات الإخطار والإبلاغ (المادة 15)
- الدليل التنظيمي لمصرف الإمارات العربية المتحدة المركزي (CBUAE Rulebook): نظام الإسناد الخارجي للبنوك
- الدليل التنظيمي لمصرف الإمارات العربية المتحدة المركزي (CBUAE Rulebook): معايير الإسناد الخارجي للبنوك
- الدليل التنظيمي لمصرف الإمارات العربية المتحدة المركزي (CBUAE Rulebook): الإرشادات الخاصة بالمؤسسات المالية التي تتبنى التقنيات التمكينية
- الدليل التنظيمي لمصرف الإمارات العربية المتحدة المركزي (CBUAE Rulebook): نظام حماية المستهلك
- الدليل التنظيمي لمصرف الإمارات العربية المتحدة المركزي (CBUAE Rulebook)
حلول ذات صلة
خدمات Vigilbase المرتبطة بهذا الدليل
الأسئلة الشائعة
هل لدى مصرف الإمارات العربية المتحدة المركزي نظام للأمن السيبراني؟
ليس لديه نظام مستقل. إذ ترد المتطلبات السيبرانية في المادة 8 من نظام إدارة المخاطر التشغيلية، إلى جانب قواعد الإسناد الخارجي للبنوك وقواعد بيانات المستهلكين وإرشادات الحوسبة السحابية. ويجب على المؤسسات أيضًا اتباع لوائح تقنية المعلومات والاتصالات والأمن السيبراني الصادرة عن الجهات المختصة الأخرى في الإمارات.
خلال كم من الوقت يجب على البنوك في الإمارات إبلاغ مصرف الإمارات العربية المتحدة المركزي بالحوادث؟
خلال 4 ساعات لأحداث المخاطر التشغيلية التي تؤثر تأثيرًا كبيرًا في العمليات الحرجة، مع تقديم تقرير موجز خلال 24 ساعة. ويجب الإخطار بالحوادث عالية المخاطر خلال 72 ساعة.مسؤوليات العمليات الأمنيةالتغطية والتزامات الاستجابة للحوادث
هل يمكن لبنك في الإمارات إسناد العمليات الأمنية إلى جهة خارجية؟
نعم، ضمن قواعد الإسناد الخارجي. إذ تظل البنوك مسؤولة مسؤولية كاملة، ويتطلب الإسناد الخارجي الجوهري موافقة مجلس الإدارة وعدم ممانعة مصرف الإمارات العربية المتحدة المركزي، ويجب أن تمنح العقود المصرف المركزي حق الوصول وحق إجراء الزيارات الميدانية.مسؤوليات العمليات الأمنيةتقييم مزوّد خدمات أمنية مُدارة
هل يمكن للبنوك في الإمارات استخدام خدمات الحوسبة السحابية خارج الإمارات؟
يجب الاحتفاظ بنظام السجلات الرئيسي وتخزينه داخل الإمارات، ولا يجوز مشاركة البيانات السرية خارج الإمارات دون موافقة مصرف الإمارات العربية المتحدة المركزي والموافقة الخطية المسبقة من العميل. وتطلب إرشادات المصرف المركزي بشأن الحوسبة السحابية من المؤسسات تقييم مواقع مراكز البيانات والتواصل مع جهتها الرقابية بشأن خطط الحوسبة السحابية الجوهرية.
ابدأ الآن
هل أنت مستعد لتحسين أمنك؟
يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.