الأمن السيبراني في القطاع المالي التونسي: القواعد الجديدة

انتقل الأمن السيبراني في القطاع المالي التونسي من موضوع تقني إلى متطلّب تنظيمي. فمع النمو السريع للدفع عبر الهاتف الجوال والسماح بفتح الحسابات عن بعد، يضع البنك المركزي التونسي والوكالة الوطنية للسلامة السيبرانية (ANCS) قواعد أكثر صرامة بشأن التدقيق والإبلاغ عن الحوادث والتحقق من الهوية. وبالنسبة إلى شركات التكنولوجيا المالية (الفنتك)، أصبح الأمن جزءًا من الترخيص لا إضافة اختيارية.

لماذا تتزايد المخاطر

تتسع رقعة الهجمات المحتملة على القطاع المالي التونسي بسرعة. فوفقًا لأرقام البنك المركزي التونسي لسنة 2025 التي نقلتها صحيفة La Presse، ارتفعت معاملات الدفع عبر الهاتف الجوال بنسبة 80,5% لتبلغ 8,4 مليون معاملة، ووصل عدد المحافظ الإلكترونية المتداولة إلى 469 000 محفظة، ونمت المدفوعات عبر الإنترنت بنسبة 31% من حيث القيمة. كما تعمل البنوك على استبدال أنظمتها المعلوماتية الأساسية وفتح قنوات رقمية جديدة.

والجهة الرقابية مدركة لهذه المخاطر. ففي كلمته أمام منتدى إفريقيا للبنوك في تونس في فيفري 2025، أدرج نائب محافظ البنك المركزي التونسي مراد عبد السلام تصاعد التهديدات السيبرانية ضمن المخاطر الناشئة التي يجب أن يصمد أمامها الاستقرار المالي، ودعا إلى تعاون أوثق بين البنوك المركزية.

وتبقى البيانات المتاحة للعموم حول الحوادث السيبرانية في المؤسسات المالية التونسية شحيحة، ما يجعل قياس التهديد بدقة أمرًا صعبًا. لكن الواضح أن التنظيم بصدد اللحاق بالركب.

الإطار القانوني للأمن السيبراني في القطاع المالي التونسي

تخضع البنوك وشركات التكنولوجيا المالية لثلاث طبقات من القواعد.

القانون الوطني للأمن السيبراني

يمثّل المرسوم عدد 17 لسنة 2023 المتعلق بالأمن السيبراني، الصادر سنة 2023، الإطار الوطني في هذا المجال. وتتولى تطبيقه الوكالة الوطنية للسلامة السيبرانية (ANCS)؛ ولا تزال بعض التقارير تشير إلى الوكالة باسمها المختصر السابق ANSI. ويشمل المرسوم عمليات التدقيق الأمني واعتماد المكاتب التي تنجزها، وباتت مناشير البنك المركزي تحيل إليه مباشرة.

قواعد البنك المركزي الخاصة بمؤسسات الدفع

خضعت مؤسسات الدفع في البداية إلى المنشور عدد 16 لسنة 2018، الذي كان يفرض أصلًا تدقيقًا سنويًا لأمن المعلومات يُرسل إلى البنك المركزي، وخطة لاستمرارية النشاط يتم اختبارها، وإدارة للمخاطر التشغيلية والسيبرانية، وفقًا لموقع Ilboursa.

أما المنشور الجديد عدد 10 لسنة 2026، الصادر في 25 سبتمبر 2026، فيذهب أبعد من ذلك. واستنادًا إلى ما أوردته Challenges وWebdo وLaunch Base Africa:

• تدقيق سنوي لأنظمة المعلومات يُنجزه مكتب مستقل معتمد من الوكالة الوطنية للسلامة السيبرانية، على أن يُرسل التقرير إلى البنك المركزي.
• إبلاغ فوري عن أي هجوم أو اختراق إلى كلٍّ من البنك المركزي والوكالة الوطنية للسلامة السيبرانية.
• فصل أنظمة المؤسسة عن أنظمة شركائها، وحماية أموال الحرفاء من الشركاء.
• فتح الحسابات عن بعد لا يتم إلا عبر مصادقة ثنائية العوامل على الأقل، مع التحقق من الحضور بواسطة التعرف على الوجه أو ما يعادله، وتدقيق هذه التكنولوجيا مرة كل سنتين على الأقل.
• الحوكمة: لجنة تدقيق ومخاطر على مستوى مجلس الإدارة، ووظائف مستقلة للمخاطر والامتثال والتدقيق الداخلي.
• حفظ السجلات: يفيد موقع Launch Base Africa بأنه يجب الاحتفاظ بسجلات المعاملات لمدة 10 سنوات.

وأمام المؤسسات ثلاثة أشهر من تاريخ النشر للامتثال. اطلعوا على دليلنا الكامل حول مؤسسات الدفع في تونس.

البنوك وفتح الحسابات عن بعد

بالنسبة إلى البنوك، يحدد منشور للبنك المركزي مؤرخ في 28 فيفري 2025 الحد الأدنى من المتطلبات الخاصة بالدخول الإلكتروني للحرفاء. إذ يجب أن يكون التحقق من الهوية عن بعد بقوة التحقق الحضوري على الأقل وفق المنشور عدد 08 لسنة 2017، وأن تتناسب إجراءات العناية الواجبة مع درجة مخاطر كل حريف. ويشرح مقالنا حول قواعد التحقق الإلكتروني عن بعد ومكافحة غسل الأموال كيف تتكامل هذه القواعد مع التزامات مكافحة غسل الأموال.

حماية البيانات والسيادة

يتقاطع الأمن السيبراني مع حماية البيانات. فمعالجة المعطيات الشخصية في تونس يحكمها القانون الأساسي عدد 63 لسنة 2004، تحت إشراف الهيئة الوطنية لحماية المعطيات الشخصية (INPDP)، وهو نص يُعدّ على نطاق واسع متجاوزًا. لمزيد من التفاصيل، اطلعوا على مقالنا حول حماية البيانات لشركات التكنولوجيا المالية.

ويتعلق نقاش ثانٍ بالسيادة. ففي مقال رأي نُشر في فيفري 2026 في L'Economiste Maghrébin، رأى عبد الوهاب بن موسى، وهو مسؤول عن الإعلامية في بنك عمومي، أن الأمن السيبراني ينبغي أن يُعامَل بوصفه جزءًا من السيادة الوطنية: التحكم في البيانات البنكية وتوطينها، والحد من الاعتماد على الأنظمة الأجنبية المملوكة، وحماية الثقة العامة، إذ إن هجومًا كبيرًا قد يبطئ التحول الرقمي. وهذه آراء لا قواعد، لكنها تعكس هواجس قائمة داخل القطاع.

ماذا يعني ذلك لمؤسسي شركات التكنولوجيا المالية

أصبحت تكاليف الأمن جزءًا من نموذج الأعمال. وفي ما يلي خطوات عملية لشركة فنتك تونسية:

1. خصّصوا ميزانية للتدقيق مبكرًا. التدقيق السنوي من قبل مكتب معتمد من الوكالة الوطنية للسلامة السيبرانية إلزامي لمؤسسات الدفع، فأدرجوه في خطتكم المالية.
2. ضعوا خطة للاستجابة للحوادث تتضمن الإبلاغ الفوري إلى البنك المركزي والوكالة الوطنية للسلامة السيبرانية، لا مجرد التصعيد الداخلي.
3. اختاروا مزودي حلول التحقق الإلكتروني عن بعد بعناية. يجب أن تجتاز أدوات التعرف على الوجه والتحقق من الحيوية عمليات تدقيق دورية؛ فاطلبوا من المزودين سجل التدقيق وتفاصيل استضافة البيانات.
4. افصلوا الأنظمة والبيانات عن الشركاء مثل مشغلي الاتصالات والوكلاء ومزودي حلول العلامة البيضاء.
5. سجّلوا كل شيء وخطّطوا للتخزين لفترات احتفاظ طويلة.
6. درّبوا الموظفين والوكلاء، إذ تُعدّ الهندسة الاجتماعية والاحتيال على مستوى الوكلاء من نقاط الدخول الشائعة في أسواق المال عبر الهاتف الجوال.

وبالنسبة إلى البنوك المتعاملة مع شركات الفنتك، تسهّل هذه القواعد أيضًا إجراءات العناية الواجبة: فالشريك الذي يجتاز بالفعل عمليات تدقيق معتمدة من الوكالة الوطنية للسلامة السيبرانية يمثّل مخاطر أقل.

ما الذي ينبغي متابعته

• النص الكامل للمنشور عدد 10 لسنة 2026، ولا سيما كيفية سير إجراءات الاعتماد لدى الوكالة الوطنية للسلامة السيبرانية عمليًا.
• التطبيق بعد الفترة الانتقالية البالغة ثلاثة أشهر، والتي تنتهي في أواخر ديسمبر 2026.
• إصلاح منظومة حماية البيانات، الذي سيغيّر طريقة تخزين بيانات الحرفاء وتبادلها.
• الاحتيال والدفاع المعتمدان على الذكاء الاصطناعي. مع تبني البنوك للذكاء الاصطناعي، يكتسب المهاجمون والمدافعون على حد سواء أدوات جديدة؛ اطلعوا على مقالنا حول الذكاء الاصطناعي في البنوك التونسية.

باتت القواعد التونسية اليوم أقرب إلى الممارسات الدولية. ويكمن التحدي في التنفيذ: توفر عدد كافٍ من المدققين المعتمدين، وما يكفي من الكفاءات المتخصصة في الأمن، وميزانيات كافية، لا سيما بالنسبة إلى شركات الفنتك الصغيرة.