قانون الأمن السيبراني الأردني رقم 16 لسنة 2019 هو الأساس التشريعي الذي بُنيت عليه منظومة حوكمة الأمن السيبراني في المملكة، لكنه لا يعمل اليوم بمعزل عن بقية الأنظمة والتعليمات والسياسات. فحتى أغسطس 2026 أصبحت الصورة التنظيمية تشمل القانون نفسه، والمركز والمجلس الوطني للأمن السيبراني، والإطار الوطني الأردني للأمن السيبراني JNCSF، ونظام ترخيص مقدمي خدمات الأمن السيبراني رقم 76 لسنة 2024، وتعليمات المخالفات لسنة 2025، وتعليمات ترخيص الخدمات الصادرة في 2026.
لذلك، فإن معرفة ما يفرضه القانون حاليًا لا تتوقف عند قراءة نص 2019 فقط؛ بل تتطلب التمييز بين ما ورد في القانون، وما أُضيف لاحقًا من أنظمة وتعليمات وأطر تنظيمية، وما يزال مجرد مشروع أو مسودة غير نافذة.
ما هو قانون الأمن السيبراني الأردني رقم 16 لسنة 2019؟
صدر القانون لتنظيم الأمن السيبراني على المستوى الوطني وتحديد الهيكل المؤسسي المسؤول عن حماية الفضاء السيبراني الأردني. ويعرّف الأمن السيبراني باعتباره التدابير المتخذة لحماية الأنظمة والشبكات المعلوماتية والبنى التحتية الحرجة من الحوادث السيبرانية، إلى جانب القدرة على استعادة العمل واستمراريته بعد وقوع الحوادث.
أنشأ القانون المجلس الوطني للأمن السيبراني، كما نص في المادة الخامسة على إنشاء المركز الوطني للأمن السيبراني بشخصية اعتبارية واستقلال مالي وإداري وارتباطه برئيس الوزراء.
وحتى أغسطس 2026 ما يزال السجل الرسمي للتشريعات المنشور من المركز الوطني للأمن السيبراني يعرض «قانون الأمن السيبراني لسنة 2019» باعتباره القانون الأساسي المدرج، إلى جانب الأنظمة والتعليمات الصادرة استنادًا إليه.
من يشمله قانون الأمن السيبراني الأردني؟
لا يصح اختصار نطاق القانون بالقول إنه يخص الجهات الحكومية فقط. فالمادة 8 تتحدث صراحة عن الوزارات والدوائر الحكومية والمؤسسات الرسمية والعامة والخاصة والأهلية، وتلزم هذه الجهات ضمن نطاق الأحكام والسياسات المنطبقة عليها باتباع السياسات والمعايير والضوابط التي يصدرها المركز لكل قطاع.
وتشمل الالتزامات التي يذكرها القانون أيضًا تزويد المركز بالمعلومات اللازمة لتمكينه من أداء مهامه بما لا يتعارض مع القوانين النافذة، وإبلاغه عن الحوادث التي تهدد الأمن السيبراني أو أمن الفضاء السيبراني واتخاذ ما يلزم لتفاديها.
لكن هذا لا يعني أن كل فرد في الأردن يخضع تلقائيًا لكل متطلب مؤسسي أو لكل ضابط من ضوابط JNCSF بالطريقة نفسها. فطبيعة الالتزام الفعلي تعتمد على صفة الجهة، والقطاع، والسياسات أو التعليمات المطبقة عليها، ومرحلة تنفيذ المتطلبات التنظيمية.
ما أهم الالتزامات التي يضعها القانون على المؤسسات؟
يمكن تلخيص الجانب العملي من المادة 8 في ثلاثة محاور رئيسية:
- الامتثال: اتباع السياسات والمعايير والضوابط الصادرة عن المركز لكل قطاع عندما تكون منطبقة على الجهة.
- التعاون: توفير المعلومات اللازمة للمركز لتمكينه من أداء مهامه ضمن حدود التشريعات النافذة.
- الإبلاغ والاستجابة: إبلاغ المركز عن الحوادث التي تهدد الأمن السيبراني واتخاذ الإجراءات اللازمة لتفادي وقوعها أو الحد من آثارها.
وتظهر أهمية هذه النقاط عند قراءة السياسات الأحدث، مثل سياسات الاستجابة للحوادث والمعايير والضوابط القطاعية، لأنها تحول المبادئ العامة في القانون إلى متطلبات تشغيلية أكثر تحديدًا.
ما دور المجلس الوطني والمركز الوطني للأمن السيبراني؟
يفرق القانون بين المجلس الوطني للأمن السيبراني والمركز الوطني للأمن السيبراني. فالمجلس يتولى على المستوى الأعلى إقرار الاستراتيجيات والسياسات والمعايير والخطط ذات العلاقة، بينما يعمل المركز كجهة وطنية متخصصة في بناء منظومة الأمن السيبراني وتنظيمها وتشغيل أجزاء مهمة منها.
ومن الصلاحيات التي تمنحها المادة 6 للمركز إعداد الاستراتيجيات والسياسات والمعايير ومراقبة تطبيقها، وتطوير عمليات الأمن السيبراني، ودعم فرق العمليات في القطاعين العام والخاص، وتحديد معايير وضوابط الأمن السيبراني وتصنيف الحوادث، وتحديد شبكات البنى التحتية الحرجة، وبناء القدرات الوطنية، إضافة إلى منح التراخيص لمقدمي خدمات الأمن السيبراني وفق التشريعات الناظمة.
وللتوسع في مهام الجهة نفسها والاستراتيجية الوطنية بدل تفاصيل الالتزام القانوني، يقدم CyberOPlus شرحًا منفصلًا عن المركز الوطني للأمن السيبراني في الأردن ودوره والاستراتيجية والإطار الوطني.
ما هو الإطار الوطني الأردني للأمن السيبراني JNCSF؟
الإطار الوطني الأردني للأمن السيبراني، أو Jordan National Cybersecurity Framework، هو إطار تنظيمي طوره المركز بهدف رفع مستوى قدرات المؤسسات ونضجها في إدارة الأمن السيبراني والمخاطر المرتبطة به.
لا يعتبر JNCSF قانونًا مستقلًا جديدًا، بل يرتبط بالصلاحيات والالتزامات التي أوجدها قانون الأمن السيبراني، وخصوصًا ما يتعلق بإعداد المعايير والضوابط ووجوب اتباع السياسات والمعايير التي يصدرها المركز.
أقر المجلس الوطني للأمن السيبراني الإطار بصيغته النهائية في 2024. ووصفه المركز بأنه يحدد حدًا أدنى من المتطلبات الأمنية ويسعى إلى تطوير القدرات التنظيمية والفنية والبشرية للمؤسسات، مع الاستفادة من ممارسات وأطر دولية مثل NIST وISO.
وتتيح صفحة JNCSF الرسمية وثائق فلسفة الإطار، والقدرات، وشروحاتها، وربط الأنشطة بالضوابط.
هل يطبق JNCSF على كل مؤسسة بالطريقة نفسها؟
النطاق التشريعي العام واسع، لكن التنفيذ العملي للإطار يجري على مراحل ولا يعني بالضرورة أن كل مؤسسة في الأردن وصلت إلى مرحلة التطبيق أو التقييم نفسها في اللحظة ذاتها.
بدأ المركز بتنفيذ برامج لتطبيق الإطار على المؤسسات الحكومية وقطاعات البنية التحتية الحرجة ومؤسسات أخرى، كما أوضح في تحديثاته التنظيمية أن تنفيذ بعض إجراءات المخالفات المرتبطة بالإطار يتم بعد استكمال متطلبات التطبيق لدى الجهة المعنية.
لذلك يجب التفريق بين وجود الالتزام القانوني باتباع السياسات والمعايير والضوابط الصادرة عن المركز، وبين الجدول التنفيذي المحدد لتطبيق إطار أو مجموعة ضوابط على مؤسسة بعينها.
 |
| النطاق القانوني العام أوسع من جدول التطبيق التنفيذي للإطار على كل جهة. |
كيف نظم الأردن مقدمي خدمات الأمن السيبراني؟
المادة 10 من قانون 2019 وضعت القاعدة الأساسية: لا يجوز تقديم خدمات الأمن السيبراني دون الحصول على الترخيص اللازم وفق القانون والأنظمة والتعليمات الصادرة بمقتضاه.
لكن التفاصيل العملية لهذا الترخيص تطورت لاحقًا. ففي نوفمبر 2024 نُشر نظام ترخيص مقدمي خدمات الأمن السيبراني رقم 76 لسنة 2024، ونص المركز على بدء العمل به بعد مرور 60 يومًا من تاريخ نشره.
يهدف النظام إلى تنظيم سوق خدمات الأمن السيبراني وضمان مستوى مناسب من الجودة والإشراف والرقابة على مقدمي الخدمات، بدل ترك تقديم الخدمات المنظمة دون متطلبات موحدة للترخيص والكفاءات.
ما الذي تغير في ترخيص خدمات الأمن السيبراني خلال 2026؟
في 19 مارس 2026 نُشرت في الجريدة الرسمية رقم 6039 تعليمات ترخيص مقدمي خدمات الأمن السيبراني لسنة 2026، وبدأ العمل بها من تاريخ نشرها. وأوضح المركز أن التعليمات حددت متطلبات مرتبطة بالترخيص والمؤهلات العلمية والشهادات المهنية والخبرات الفنية والكوادر اللازمة لتقديم الخدمات.
يمكن مراجعة الإعلان الرسمي عن صدور تعليمات الترخيص لسنة 2026، بينما تجمع صفحة شؤون الترخيص التعليمات التفصيلية الحالية لكل خدمة.
ما الخدمات التي توجد لها تعليمات ترخيص في 2026؟
حتى أغسطس 2026 تعرض صفحة شؤون الترخيص في المركز تعليمات مستقلة لمجموعة من الخدمات والأنشطة، من بينها:
- خدمة فحص الاختراقات.
- خدمة تدقيق الأمن السيبراني.
- خدمة بيع منتجات الأمن السيبراني.
- خدمة المسابقات السيبرانية.
- خدمة التدريب في الأمن السيبراني.
- خدمة التحقيق الجنائي الرقمي.
- خدمات الأمن السيبراني المُدارة.
- خدمة الاستجابة لحوادث الأمن السيبراني.
- خدمة استشارات الأمن السيبراني.
وهذا التفصيل مهم لأن كلمة «خدمات الأمن السيبراني» واسعة، بينما تختلف متطلبات فريق العمل والخبرة والشهادات والاعتماد باختلاف الخدمة التي يرغب مقدمها في تقديمها.
 |
| تختلف شروط الترخيص والكوادر والشهادات باختلاف نوع خدمة الأمن السيبراني المقدمة. |
هل كل موظف أمن سيبراني يحتاج إلى ترخيص؟
لا ينبغي تفسير نظام الترخيص بهذه الصورة. هناك فرق بين موظف يعمل داخل مؤسسة في وظيفة أمنية داخلية، وبين جهة أو مقدم خدمة يقدم نشاطًا من أنشطة الأمن السيبراني المنظمة إلى العملاء.
كما تفرق التعليمات بين ترخيص مقدم الخدمة وبين المتطلبات المرتبطة بأعضاء الفريق الذين ينفذون بعض الخدمات. وتوضح الأسئلة الرسمية للمركز أن أفراد الفرق قد يكون مطلوبًا منهم استيفاء مؤهلات وخبرات وشهادات مهنية محددة والحصول على شهادات اعتماد من المركز بحسب الخدمة.
لذلك فإن امتلاك مهارة تقنية مثل اختبار الاختراق أو التحليل الجنائي الرقمي لا يعني وحده أن الشخص أو الشركة أصبح بإمكانه تقديم الخدمة تجاريًا خارج الإطار التنظيمي.
ماذا عن الشركات التي كانت تعمل قبل صدور تعليمات 2026؟
توجد ترتيبات انتقالية لمقدمي الخدمات الذين كانت لديهم موافقات سابقة من المركز. وأوضح المركز أن التعليمات منحت هذه الجهات مدة لتصويب أوضاعها وفق نظام الترخيص والتعليمات الجديدة.
وتشير الأسئلة الرسمية الخاصة بالترخيص، وفق وضعها في أغسطس 2026، إلى أن العقود القائمة تستمر وفق شروطها حتى انتهائها، مع وجوب تصويب الوضع عند التجديد، وأنه بعد 18 مارس 2027 لا يجوز التعاقد مع مقدم خدمات أمن سيبراني داخل المملكة ما لم يكن حاصلًا على الترخيص المطلوب من المركز.
أما الشركات أو مقدمو الخدمات الجدد، فيجب عليهم فحص المتطلبات الحالية للخدمة المقصودة قبل البدء في تقديمها، بدل الاعتماد على ترتيبات الموافقات التي كانت مستخدمة قبل النظام الجديد.
ماذا عن الاستعانة بشركة أمن سيبراني من خارج الأردن؟
يتضمن نظام الترخيص أيضًا أحكامًا مرتبطة ببعض حالات الحصول على خدمات من خارج المملكة. وتوضح الأسئلة الرسمية للمركز أن الجهات الحكومية والشركات المملوكة بالكامل للحكومة أو التي تساهم فيها، والبلديات وأمانة عمان الكبرى والجهات ذات البنى التحتية الحرجة، تحتاج إلى موافقة المركز عندما يتطلب الأمر الحصول على خدمات أمن سيبراني من خارج المملكة، وفق الحالات والإجراءات المحددة في النظام.
وهذا لا يعني حظر الشركات الأجنبية بصورة مطلقة، بل وجود آلية تنظيمية خاصة عندما تكون الجهة المستفيدة من الفئات المشمولة بذلك الحكم.
ما هي المخالفات والغرامات في قانون الأمن السيبراني؟
تمنح المادة 16 من قانون الأمن السيبراني المركز مجموعة من الإجراءات التي يمكن اتخاذها تجاه مخالفة القانون أو الأنظمة والتعليمات والقرارات الصادرة بمقتضاه، بحسب طبيعة المخالفة والجهة التي ارتكبتها.
وتشمل الإجراءات الواردة في القانون الإنذار لتصويب المخالفة، وبعض الإجراءات التصحيحية، وإمكانية تعليق أو إلغاء ترخيص مقدم خدمات الأمن السيبراني، إضافة إلى غرامة تتراوح في النص الحالي للقانون بين 500 و100,000 دينار، مع مضاعفة الغرامة عند تكرار المخالفة.
وفي أبريل 2025 دخلت حيز العمل تعليمات تحديد معايير مخالفات أحكام قانون الأمن السيبراني وضوابطها والإجراءات المستحقة عليها، لتحدد بصورة أكثر تفصيلًا كيفية التعامل مع المخالفات والإجراءات المرتبطة بها.
هل تطبق جميع الغرامات فورًا على كل جهة؟
لا. هذه من أكثر النقاط التي تحتاج إلى قراءة دقيقة للوضع الحالي.
يوضح المركز في صفحة حوكمة الأمن السيبراني أن الغرامات المتعلقة بالترخيص لا تفرض بالنسبة إلى خدمة لم تصدر تعليماتها الناظمة بعد، وأن تنفيذ الأحكام المتعلقة بغرامات تطبيق JNCSF يتم عند استكمال متطلبات التطبيق داخل الجهة المعنية. أما المخالفات الأخرى الواردة في تعليمات 2025 فتبقى نافذة وفق ما أوضحه المركز.
لذلك فإن مجرد رؤية الحد الأعلى للغرامة في القانون لا يكفي لتحديد الإجراء المتوقع في حالة واقعية؛ يجب معرفة نوع المخالفة والتعليمات المنطبقة ومرحلة تنفيذها.
هل قانون الأمن السيبراني هو نفسه قانون الجرائم الإلكترونية؟
لا. قانون الأمن السيبراني وقانون الجرائم الإلكترونية يؤديان وظيفتين مختلفتين.
قانون الأمن السيبراني رقم 16 لسنة 2019 يركز أساسًا على بناء منظومة الحوكمة الوطنية، وصلاحيات المجلس والمركز، والسياسات والمعايير، والاستجابة للحوادث، وتنظيم مقدمي الخدمات والامتثال السيبراني.
أما قانون الجرائم الإلكترونية فيعالج جرائم وأفعالًا وسلوكيات رقمية مجرّمة ومسائل المسؤولية القانونية والعقوبات المتعلقة بها. ولهذا فإن وقوع هجوم إلكتروني قد تكون له أبعاد أمن سيبراني وتشغيلية، وفي الوقت نفسه قد يشكل جريمة تخضع لتشريع آخر.
وما علاقته بقانون حماية البيانات الشخصية؟
قانون حماية البيانات الشخصية الأردني لسنة 2023 تشريع مستقل أيضًا. قد تتقاطع حماية البيانات مع الأمن السيبراني لأن منع الوصول غير المصرح به والتسريب يتطلب ضوابط أمنية، لكن الامتثال لقانون الأمن السيبراني لا يعني تلقائيًا استيفاء جميع متطلبات حماية البيانات الشخصية، والعكس صحيح.
بمعنى آخر، Cybersecurity وPrivacy مجالان متداخلان لكنهما ليسا الشيء نفسه من الناحية القانونية أو التنظيمية.
 |
| قد تنطبق أكثر من منظومة قانونية على الواقعة نفسها، لكن لكل قانون نطاق ووظيفة مختلفة. |
هل صدر تعديل نافذ لقانون الأمن السيبراني بعد 2019؟
في يونيو 2025 طرح المركز الوطني للأمن السيبراني مسودة قانون معدل لقانون الأمن السيبراني للاستشارة العامة. وشملت أهداف المسودة التعامل مع تطورات مثل الذكاء الاصطناعي وإنترنت الأشياء، وتنظيم إنشاء فرق استجابة قطاعية، إلى جانب تعديلات أخرى مقترحة على القانون.
لكن الاستشارة العامة أو مسودة القانون لا تساوي قانونًا نافذًا. وحتى 20 أغسطس 2026 ما تزال قائمة التشريعات الرسمية للمركز تعرض قانون الأمن السيبراني لسنة 2019 ولا تعرض قانونًا معدلاً نافذًا يحل محله أو يعدله.
ولهذا يجب عدم التعامل مع الأحكام الواردة في مسودة تعديل قانون الأمن السيبراني لسنة 2025 على أنها أصبحت جزءًا من القانون النافذ ما لم يصدر النص النهائي ويُنشر وفق الإجراءات التشريعية الرسمية.
ومن الأمثلة المهمة أن مسودة 2025 اقترحت تعديل حدود بعض الغرامات، لكن هذه الأرقام المقترحة لا ينبغي استخدامها باعتبارها العقوبة النافذة بينما ما يزال النص المدرج رسميًا هو قانون 2019.
ماذا يجب على المؤسسة أن تفعل عمليًا؟
إذا كانت المؤسسة تعمل في الأردن، فلا يكفي التعامل مع قانون 2019 باعتباره وثيقة تاريخية واعتبار المهمة منتهية. الأفضل بناء خريطة امتثال تبدأ بتحديد القطاع وطبيعة الأنظمة والبيانات والخدمات التي تديرها المؤسسة، ثم تحديد السياسات والمعايير والضوابط الصادرة عن المركز والمنطبقة عليها.
ومن المهم بصورة خاصة:
- تحديد ما إذا كانت الجهة مشمولة بمرحلة تطبيق JNCSF أو متطلبات قطاعية محددة.
- مراجعة سياسات الإبلاغ والاستجابة للحوادث وتحديد قناة واضحة للتصعيد والإبلاغ.
- توثيق الأدوار والمسؤوليات وسياسات إدارة المخاطر والوصول والحوادث.
- التحقق من الوضع التنظيمي لأي مقدم خدمات أمن سيبراني قبل التعاقد معه.
- مراجعة تعليمات الخدمة ذاتها إذا كانت المؤسسة تقدم خدمات أمن سيبراني للغير.
- متابعة صفحة التشريعات وشؤون الترخيص لأن التفاصيل التنظيمية يمكن أن تتغير دون تعديل عنوان قانون 2019 نفسه.
ولا يتحقق الامتثال بمجرد وجود وثائق داخلية؛ فالمؤسسة تحتاج أيضًا إلى ضوابط تقنية وتشغيلية حقيقية. ويمكن الاستفادة من دليل CyberOPlus حول أفضل ممارسات الأمن السيبراني لفهم التدابير العملية التي تكمل جانب الحوكمة والامتثال.
ماذا يعني القانون لمقدم خدمات الأمن السيبراني؟
إذا كانت شركة أو جهة تخطط لتقديم خدمة أمن سيبراني للعملاء في الأردن، فالخطوة الأساسية هي تحديد الخدمة التي ستقدمها ومراجعة تعليماتها المنشورة حاليًا، لأن متطلبات فحص الاختراق مثلًا ليست بالضرورة مطابقة لمتطلبات التحقيق الجنائي الرقمي أو التدريب أو الخدمات المُدارة.
ويجب التحقق قبل تقديم الطلب من شروط الشركة، والكوادر، والخبرات، والمؤهلات العلمية، والشهادات المهنية، وشهادات الاعتماد، وأي متطلبات فنية خاصة بالخدمة. وتوضح الأسئلة الرسمية للمركز أن بعض هذه الشروط يجب استيفاؤها قبل تقديم الطلب ولا يكفي التعهد باستكمالها بعد الحصول على الترخيص.
كما يجب عدم افتراض أن موافقة قديمة أو عقدًا سابقًا يكفي إلى أجل غير مسمى؛ فقد أنشأ النظام والتعليمات الحالية مسارًا لتصويب الأوضاع والانتقال إلى نموذج الترخيص الجديد.
الخلاصة
قانون الأمن السيبراني الأردني رقم 16 لسنة 2019 ما يزال، حتى أغسطس 2026، الأساس التشريعي المدرج رسميًا لمنظومة الأمن السيبراني في الأردن. وهو ينظم بنية المجلس والمركز الوطني للأمن السيبراني، ويضع التزامات على الجهات العامة والخاصة والأهلية في ما يتعلق بالسياسات والمعايير والضوابط والإبلاغ والتعاون، كما يوفر الأساس القانوني لتنظيم مقدمي خدمات الأمن السيبراني.
لكن فهم الوضع الحالي يتطلب قراءة القانون إلى جانب ما صدر بعده، وخصوصًا JNCSF، ونظام ترخيص مقدمي خدمات الأمن السيبراني رقم 76 لسنة 2024، وتعليمات المخالفات لسنة 2025، وتعليمات الترخيص التفصيلية لسنة 2026.
والنقطة الأهم هي التمييز بين مستويات الوثائق: القانون يضع الأساس والصلاحيات، والنظام ينظم موضوعًا محددًا بصورة أوسع، والتعليمات تحدد تفاصيل التنفيذ، والإطار يحدد قدرات وضوابط الأمن السيبراني، أما الاستراتيجية فتحدد الاتجاه الوطني. كذلك فإن مسودة قانون مطروحة للاستشارة لا تصبح قانونًا نافذًا بمجرد نشرها للنقاش.
وعند اتخاذ قرار امتثال أو تعاقد أو ترخيص فعلي، ينبغي الرجوع إلى أحدث النصوص والتعليمات المنشورة من المركز الوطني للأمن السيبراني والجهات الرسمية المختصة، لأن المتطلبات قد تختلف بحسب القطاع والخدمة ومرحلة التطبيق.