מדוע נדרש חוק סייבר?
בשנים האחרונות חווה ישראל עלייה משמעותית בהיקף ובמורכבות של מתקפות סייבר המכוונות נגד גופים ממשלתיים, חברות פרטיות, בתי חולים, רשויות מקומיות ותשתיות חיוניות. מערך הסייבר הלאומי מעריך כי הנזק הכלכלי השנתי הנגרם למשק הישראלי כתוצאה מתקיפות סייבר עומד על כ-12 מיליארד שקלים.
למרות חומרת האיום, כיום אין בישראל מסגרת חוקית אחידה המחייבת ארגונים לעמוד בסטנדרטים מוגדרים של הגנת סייבר או לדווח על אירועי סייבר משמעותיים. מצב זה יוצר פערים ברמת ההגנה ומקשה על המדינה לייצר תמונת מצב לאומית בזמן אמת.
עיקרי החוק המוצע
1. הגדרת “ארגונים חיוניים”
החוק קובע מנגנון לזיהוי והכרזה על “ארגונים חיוניים” אשר לתפקודם השפעה מהותית על המשק, הביטחון או חיי האזרחים. בין התחומים הנבחנים:
- אנרגיה וחשמל
- תקשורת
- בריאות
- תחבורה
- מים
- שירותים פיננסיים
- תשתיות דיגיטליות מרכזיות
ארגונים אלו יחויבו לעמוד בדרישות אבטחה מחמירות יותר בהתאם לרמת הסיכון וההשפעה שלהם.
2. החלת רגולציה על ספקי שירותים דיגיטליים
בניגוד לניסיונות חקיקה קודמים שהתמקדו בעיקר בתשתיות קריטיות, התזכיר הנוכחי מרחיב את תחולת החוק גם לספקי שירותים דיגיטליים.
הקטגוריות עשויות לכלול:
- ספקי ענן
- Data Centers
- ספקי Hosting
- ספקי SaaS
- ספקי IAM
- פלטפורמות דיגיטליות מרכזיות
- ספקי שירותי אבטחת מידע
משמעות הדבר היא שגם חברות טכנולוגיה פרטיות עשויות להיכנס למסגרת רגולטורית חדשה.
3. חובת ניהול סיכוני סייבר
החוק מחייב ארגונים לבצע:
- הערכות סיכונים תקופתיות
- יישום בקרות אבטחה
- תיעוד וניהול אירועים
- בקרת ספקים ושרשרת אספקה
- תוכניות התאוששות והמשכיות עסקית
הגישה המוצעת מבוססת על ניהול סיכונים ולא על רשימת דרישות טכניות קשיחה.
4. חובת דיווח על אירועי סייבר
אחד הסעיפים המשמעותיים ביותר הוא החובה לדווח על אירועי סייבר משמעותיים למערך הסייבר הלאומי ולרגולטור הרלוונטי.
מטרת הדיווח היא:
- יצירת מודעות לאומית לאיומים
- שיתוף מידע על תקיפות
- צמצום נזקים רוחביים
- שיפור ההגנה על ארגונים נוספים במשק
5. סמכויות פיקוח ואכיפה
החוק מעניק למערך הסייבר הלאומי סמכויות רחבות יותר לפיקוח על יישום דרישות החוק.
בין היתר מוזכרים:
- דרישת מידע מארגונים
- ביצוע ביקורות
- מתן הוראות מחייבות במקרים מסוימים
- הטלת עיצומים כספיים
- חשיפה לאחריות פלילית במקרים מוגדרים
הביקורת על החוק
לצד התמיכה הרחבה בצורך לחזק את החוסן הלאומי, נשמעות גם ביקורות משמעותיות.
הרחבת סמכויות המדינה
מבקרים טוענים כי החוק מעניק למערך הסייבר סמכויות נרחבות העלולות להשפיע על פרטיות, סודיות עסקית וחופש הפעולה של ארגונים פרטיים.
הגדרות רחבות מדי
אחת הטענות המרכזיות היא שההגדרות של “ספק שירותים דיגיטליים” ו”נכס מידע משמעותי” רחבות מדי ועלולות להכפיף רגולציה כבדה גם על חברות שאינן מהוות סיכון לאומי מהותי.
עומס רגולטורי
חברות רבות כבר כפופות לרגולציות כגון:
- תקנות הגנת הפרטיות
- הוראות בנק ישראל
- רגולציות בריאות
- ISO 27001
- SOC 2
- NIS2 באירופה
קיים חשש מהכפלת דרישות ויצירת נטל רגולטורי נוסף ללא ערך מוסף ממשי.
כיצד ארגונים צריכים להיערך?
גם אם נוסח החוק עוד צפוי להשתנות, הכיוון ברור: רגולציית הסייבר בישראל נכנסת לעידן חדש.
ארגונים צריכים כבר היום לבחון:
- האם הם עשויים להיחשב ארגון חיוני או ספק שירותים דיגיטליים.
- מהי רמת הבשלות שלהם בתחום ניהול סיכוני הסייבר.
- האם קיימים מנגנוני דיווח ותגובה לאירועים.
- האם ספקי המשנה שלהם עומדים בדרישות אבטחה נאותות.
- עד כמה מערך ה-GRC שלהם ערוך לעמוד בדרישות רגולטוריות עתידיות.
סיכום
חוק הגנת הסייבר הלאומית עשוי להפוך לאחד החוקים המשמעותיים ביותר בתחום אבטחת המידע בישראל בעשור הקרוב. מטרתו ברורה: לחזק את החוסן הלאומי ולהבטיח שרציפות השירותים הקריטיים במדינה לא תיפגע כתוצאה מתקיפות סייבר.
עם זאת, הצלחתו לא תימדד רק ביכולת להטיל חובות ואכיפה, אלא ביכולת לייצר איזון נכון בין ביטחון, פרטיות, חדשנות וצמיחה עסקית. אם האיזון הזה יושג, החוק עשוי להוות קפיצת מדרגה משמעותית בבגרות הסייבר של המשק הישראלי. אם לא, הוא עלול להפוך לעוד שכבת רגולציה מכבידה ללא תרומה מספקת להפחתת הסיכון בפועל.