مقدم خدمات الثقة المرخّص جهة حصلت على ترخيص من هيئة الحكومة الرقمية لتقديم خدمات تدعم موثوقية التعاملات الإلكترونية، مثل إصدار الشهادات الرقمية والتوقيع الإلكتروني والختم الزمني. والشهادة الرقمية ملف إلكتروني يربط هوية شخص أو جهة بمفتاح تشفير. اختيار مزود مرخّص يعني أن خدماته خاضعة لمتطلبات تنظيمية ورقابية محددة داخل المملكة، وهذا ينعكس مباشرة على قوة الإثبات عند الاعتماد على التوقيع الإلكتروني في العقود والقرارات.

يتناول هذا المقال الترخيص من زاوية عملية تهم الشؤون القانونية ومدراء العمليات والمشتريات والتحول الرقمي: ماذا يضمن الترخيص فعلياً، وما الذي لا يغنيك عنه، وكيف تتحقق منه قبل توقيع عقد مع أي منصة.

ملخص سريع

• مقدم خدمات الثقة جهة توفر خدمات تقنية تُبنى عليها موثوقية التوقيع والمستند الإلكتروني، والترخيص يصدر من هيئة الحكومة الرقمية.
• الترخيص يرفع قوة الإثبات لأن الخدمة تخضع لمعايير وتدقيق وإشراف، لكنه لا يُغني عن حوكمة داخلية سليمة للعقود.
• التحقق من الترخيص يكون من المصادر الرسمية للهيئة، لا من ادعاءات المواد التسويقية وحدها.
• يحسن تقييم الترخيص مع عناصر مكملة: استضافة البيانات، والتكامل مع الهوية الوطنية، وسجل التدقيق، والامتثال لنظام حماية البيانات الشخصية.
• تذكر ساين إت أنها مقدم خدمات ثقة مرخص من هيئة الحكومة الرقمية، مع استضافة محلية للبيانات.

ما المقصود بمقدم خدمات الثقة؟

مقدم خدمات الثقة هو الجهة التي تقدم الخدمات التقنية والتنظيمية التي تجعل التعامل الإلكتروني قابلاً للتحقق والاعتماد. ويُستخدم المصطلح ترجمةً لـ Trust Service Provider المعروف في الأطر الدولية.

تشمل هذه الخدمات عادة إصدار الشهادات الرقمية وإدارتها، وإنشاء التوقيعات الإلكترونية والتحقق منها، والختم الزمني الذي يثبت وقت إنشاء المستند أو توقيعه، وحفظ الأدلة الإلكترونية. وتعتمد معظمها على البنية التحتية للمفاتيح العامة (PKI)، وهي منظومة تقنية وإجرائية لإدارة مفاتيح التشفير والشهادات المرتبطة بها. للتوسع في هذا الجانب، راجع مقال "الشهادات الرقمية والبنية التحتية للمفاتيح العامة".

الفكرة الجوهرية أن الطرف الذي يستلم مستنداً موقعاً إلكترونياً لا يرى صاحب التوقيع أمامه. هو يثق في سلسلة: هوية جرى التحقق منها، وشهادة صادرة من جهة معروفة، وسجل يوثق ما حدث. ومقدم خدمات الثقة هو من يدير هذه السلسلة.

ما دور هيئة الحكومة الرقمية في الترخيص؟

هيئة الحكومة الرقمية هي الجهة المختصة في المملكة بتنظيم خدمات الثقة والترخيص لمقدميها، ضمن الإطار الذي يحدده نظام التعاملات الإلكترونية ولائحته التنفيذية.

صدر نظام التعاملات الإلكترونية بالمرسوم الملكي رقم (م/18) وتاريخ 8/3/1428هـ، ووضع الأساس القانوني لحجية السجل والتوقيع الإلكتروني. وجاء دور الجهة التنظيمية لضمان أن الجهات التي تصدر الشهادات وتقدم خدمات التوقيع تعمل وفق متطلبات موحدة.

يعني الترخيص عملياً أن الجهة اجتازت تقييماً لمتطلبات تقنية وأمنية وتشغيلية، وأنها تخضع لرقابة مستمرة، وأن تعليق الترخيص أو سحبه ممكن عند الإخلال بالمتطلبات. هذه الاستمرارية مهمة، لأن الترخيص حالة قائمة وليست شهادة تاريخية تُمنح مرة واحدة.

لماذا يهم أن يكون مزودك مرخصاً؟

يهم الترخيص لأنه يرفع موثوقية التوقيع الإلكتروني أمام الأطراف الأخرى والجهات القضائية والرقابية، إذ يستند التوقيع إلى خدمة خاضعة لمعايير معلنة وإشراف رسمي.

عند نشوء نزاع حول عقد موقّع إلكترونياً، ينصبّ السؤال عادة على أمرين: هل الموقّع هو الشخص المعني فعلاً؟ وهل تغيّر المستند بعد التوقيع؟ الإجابة عنهما تعتمد على جودة التحقق من الهوية وسلامة التشفير وكفاية سجل التدقيق، أي السجل الذي يوثق كل إجراء على المستند وتوقيته ومنفّذه. وحين تُقدَّم هذه الأدلة من مزود مرخّص، يكون الاعتماد عليها أيسر من أدلة صادرة عن أداة لا تخضع لأي إطار رقابي.

هناك أيضاً بعد يتعلق بالمشتريات والحوكمة. كثير من الجهات الحكومية وشبه الحكومية والشركات المنظمة تشترط في كراسات الشروط أن يكون مزود التوقيع مرخصاً محلياً، وأن تكون البيانات مستضافة داخل المملكة. وغياب الترخيص قد يُخرج المزود من المنافسة قبل تقييم ميزاته التقنية.

ما الذي يتغير بين مزود مرخّص ومزود غير مرخّص؟

لا يعني هذا الجدول أن الأدوات الأخرى غير صالحة؛ فبعضها مناسب للتعاملات منخفضة المخاطر. لكنه يوضح الفرق حين يكون المستند عقداً ذا قيمة أو قراراً رسمياً.

هل يكفي الترخيص وحده لضمان امتثال توقيعاتك؟

الترخيص شرط أساسي، لكنه لا يكفي وحده؛ فالامتثال يتحقق باجتماع الترخيص مع اختيار مستوى التوقيع المناسب وحوكمة داخلية للعقود والصلاحيات.

قد تستخدم منصة مرخصة ثم توقّع عقداً بمستوى توقيع أقل مما تتطلبه طبيعته، أو تمنح صلاحية التوقيع لموظف لا يملكها نظاماً. الترخيص هنا لا يعالج الخلل. لذلك يحسن فهم الفرق بين مستويات التوقيع المختلفة، وهو ما يشرحه مقال الفرق بين التوقيع الرقمي والإلكتروني.

وهناك جانب حماية البيانات. التوقيع يتضمن معالجة بيانات شخصية كالاسم ورقم الهوية ورقم الجوال وعنوان الجهاز، وهذه المعالجة تخضع لنظام حماية البيانات الشخصية الصادر عن الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). لذا ينبغي أن يكون لديك أساس نظامي واضح للمعالجة وإشعار مناسب للموقعين، وهو ما يتناوله مقال "الموافقة الرقمية بموجب PDPL".

كيف يرتبط الترخيص بالتحقق من الهوية عبر نفاذ وأبشر؟

يرتبط الترخيص بالتحقق من الهوية لأن قيمة التوقيع تعتمد على التأكد من هوية الموقّع، والربط مع منصات الهوية الوطنية يمنح هذا التحقق مرجعية رسمية.

نفاذ هو منصة النفاذ الوطني الموحد التي تتيح الدخول إلى الخدمات الإلكترونية بهوية موحدة، وأبشر منصة الخدمات الإلكترونية لوزارة الداخلية. وحين يجري التحقق من الموقّع عبرهما، تصبح الهوية مستندة إلى سجل رسمي بدلاً من بريد إلكتروني أو رقم يمكن انتحاله بسهولة أكبر. للتفاصيل، راجع مقال "نفاذ وأبشر".

تذكر ساين إت في صفحة التوقيع الإلكتروني أنها تتيح التحقق عبر نفاذ وأبشر وواثق، إضافة إلى رموز التحقق عبر البريد الإلكتروني والرسائل النصية وواتساب. ويمكن للمنشأة اختيار طريقة التحقق بحسب حساسية المستند.

ما الذي ينبغي التحقق منه قبل التعاقد مع مزود توقيع إلكتروني؟

ينبغي التحقق من صحة الترخيص وسريانه من المصدر الرسمي، ثم تقييم عناصر مكملة تشمل استضافة البيانات وطرق التحقق من الهوية وسجل التدقيق والامتثال لأنظمة البيانات.

يساعد الجدول التالي فرق المشتريات والشؤون القانونية على تنظيم التقييم:

ما الأخطاء الشائعة عند تقييم ترخيص المزود؟

أكثر الأخطاء شيوعاً الاكتفاء بشعار أو عبارة "مرخّص" في الموقع التسويقي دون الرجوع إلى المصدر الرسمي. الترخيص يُتحقق منه من قوائم هيئة الحكومة الرقمية أو بطلب نسخة رسمية من المزود، مع التأكد من نطاق الخدمات التي يشملها، فقد يغطي الترخيص خدمات بعينها دون غيرها.

ومن الأخطاء الخلط بين ترخيص المزود وامتثال المنشأة نفسها. حين تكون المنصة مرخصة، تبقى مسؤولية تحديد من يحق له التوقيع، وأي مستوى توقيع يناسب كل نوع من العقود، وكيف تُحفظ المستندات، مسؤوليةً داخلية. كثير من المشكلات تنشأ من صلاحيات غير محددة لا من ضعف التقنية.

ويقع بعض الفرق في خطأ تجاهل سريان الترخيص بعد التعاقد. التحقق عند الشراء خطوة أولى، ومن الحكمة إدراج التزام تعاقدي على المزود بإبلاغك بأي تغيير في حالة ترخيصه، ومراجعة ذلك دورياً ضمن تقييم الموردين.

وأخيراً، يُغفل أحياناً سجل التدقيق عند المقارنة. قد تبدو منصتان متشابهتين في واجهة التوقيع، لكن الفرق الحقيقي يظهر يوم النزاع: هل يوثق السجل الجهاز والوقت وطريقة التحقق وكل تعديل؟ اطلب نموذج سجل فعلياً قبل القرار.

كيف تختار مزوداً مرخصاً بخطوات عملية؟

ابدأ بتحديد احتياجاتك القانونية والتشغيلية، ثم تحقق من الترخيص رسمياً، ثم قيّم العناصر المكملة واختبرها عملياً قبل التعاقد.

في الخطوة السابعة تحديداً، تذكر ساين إت في صفحة إدارة دورة حياة العقود أن منصتها تغطي مراحل الإنشاء والتفاوض والتوقيع والتتبع والتجديد، مع التحكم بالإصدارات وتنبيهات انتهاء العقود.

ماذا يعني الترخيص للقطاع الحكومي تحديداً؟

يعني الترخيص للقطاع الحكومي أن خدمة التوقيع تتوافق مع أحد الاشتراطات الأساسية للتعاملات الرسمية، خاصة مع متطلبات السيادة الرقمية وحماية البيانات الوطنية.

تتعامل الجهات الحكومية مع قرارات مجالس وأوامر شراء وعقود موردين واتفاقيات مستوى خدمة، وكلها مستندات تحتاج إلى أدلة إثبات قوية وحفظ طويل المدى. وتذكر ساين إت في صفحة القطاع الحكومي أنها مرخصة من هيئة الحكومة الرقمية، وتعتمد الاستضافة المحلية، وتلتزم بـPDPL وضوابط NDMO وNCA ECC، وتحمل شهادة ISO 27001، وتوفر سجلات تدقيق كاملة. للتوسع، راجع مقال "الثقة الرقمية في القطاع الحكومي".

وعلى صعيد التحول الرقمي الحكومي عموماً، تنشر هيئة الحكومة الرقمية مؤشرات دورية لقياس مستوى تطوير الخدمات الرقمية في الجهات الحكومية، وتعكس هذه المؤشرات حجم الاعتماد المتزايد على التعاملات الإلكترونية، وبالتالي أهمية موثوقية خدماتها.

أسئلة شائعة

الخاتمة

الترخيص من هيئة الحكومة الرقمية هو نقطة البداية عند اختيار مزود التوقيع الإلكتروني، لأنه يضع الخدمة ضمن إطار رقابي محلي يدعم موثوقية الإثبات وأهلية المنافسات. ومع ذلك، تكتمل الصورة حين يقترن الترخيص بتحقق قوي من الهوية، وسجل تدقيق مفصل، واستضافة محلية، وحوكمة داخلية تحدد الصلاحيات ومستويات التوقيع.