Cybersecurity Incident Reporting Obligation
CIRODefinition
A mandatory requirement under SAMA CSF for financial institutions to report significant cybersecurity incidents to SAMA within specified timeframes. Organizations must notify SAMA of material incidents that affect confidentiality, integrity, or availability of financial systems or customer data, typically within 72 hours of detection for critical incidents. Reporting must include incident classification, impact assessment, affected systems, customer impact, containment measures, and remediation plans. This obligation ensures regulatory oversight, enables sector-wide threat intelligence sharing, and supports coordinated response to systemic cyber threats affecting Saudi Arabia's financial sector stability.
التعريف بالعربية
متطلب إلزامي بموجب إطار الأمن السيبراني للبنك المركزي يُلزم المؤسسات المالية بالإبلاغ عن حوادث الأمن السيبراني الجوهرية إلى البنك المركزي ضمن أطر زمنية محددة. يجب على المؤسسات إخطار البنك المركزي بالحوادث المهمة التي تؤثر على سرية أو سلامة أو توافر الأنظمة المالية أو بيانات العملاء، عادةً خلال 72 ساعة من اكتشاف الحوادث الحرجة. يجب أن يتضمن الإبلاغ تصنيف الحادث وتقييم الأثر والأنظمة المتأثرة وتأثير العملاء وإجراءات الاحتواء وخطط المعالجة. يضمن هذا الالتزام الرقابة التنظيمية ويتيح تبادل معلومات التهديدات على مستوى القطاع ويدعم الاستجابة المنسقة للتهديدات السيبرانية النظامية التي تؤثر على استقرار القطاع المالي السعودي.
Practical Example
When a Saudi digital payment provider detects a ransomware attack that encrypts transaction processing systems and potentially exposes 50,000 customer payment card details, the institution immediately activates its incident response plan, contains the threat within 6 hours, and submits a preliminary incident report to SAMA within 24 hours. The report includes the attack vector (phishing email), affected systems, estimated customer impact, containment actions taken, and a commitment to provide detailed forensic findings and remediation measures within 7 days, while simultaneously notifying affected customers and the National Cybersecurity Authority as required under PDPL.