חוק הגנת הסייבר הלאומית בישראל: מה התזכיר משנה, מי מושפע, ואיך ארגונים צריכים להיערך עכשיו

מהו תזכיר חוק הגנת הסייבר הלאומית ?

התזכיר פורסם בינואר 2026 להערות הציבור ומבקש ליצור מסגרת חקיקתית כוללת להגנת הסייבר הלאומית בישראל. במקביל, בהמשך התהליך החקיקתי, אושרה הצעת חוק הגנת הסייבר הלאומית בקריאה ראשונה בכנסת ביוני 2026.

בליבת התזכיר עומדת שאיפה לייצר מבנה אחיד יותר של אחריות, סמכות ובקרה. התזכיר מעגן את מעמדו של מערך הסייבר הלאומי, מסדיר את תפקידיו, ומבקש לייצר מנגנון עבודה עם יחידות מגזריות בגופי ממשל ורגולטורים רלוונטיים. בכך הוא עובר ממודל מבוזר יחסית של הנחיות, רגולציה ענפית והמלצות מקצועיות, למודל חקיקתי עם כלים פורמליים יותר של פיקוח ואכיפה.

מטרות התזכיר

לפי נוסח התזכיר, המטרה המרכזית היא להגן על תפקודו התקין והרציף של מרחב הסייבר הלאומי, בדגש על הגנת המשק, השירותים החיוניים והשרשרת הדיגיטלית שעליה נשענת הפעילות האזרחית והעסקית. במילים פשוטות, המדינה מבקשת להבטיח שלא רק ארגונים יגנו על עצמם, אלא שגם תהיה רמת חוסן מינימלית במוקדי סיכון בעלי השפעה מערכתית.

התזכיר מבטא גם תפיסה שלפיה תקיפות סייבר אינן רק בעיה טכנולוגית-ארגונית אלא אירוע בעל פוטנציאל לאומי, כלכלי ואזרחי. לכן הרגולציה המוצעת מחברת בין ממשל, אבטחה, ניהול סיכונים, התמודדות עם אירועים והפעלת סמכויות בזמן משבר.

על מי החוק צפוי לחול

הקבוצה המרכזית שנמצאת בלב ההסדרה היא "ארגון חיוני". מהסקירות שפורסמו עולה כי התזכיר מציע הגדרה רחבה יחסית, שאינה מוגבלת רק לתשתיות לאומיות קלאסיות, אלא עשויה לכלול ארגונים בעלי השפעה מהותית על שירותים, משק, פעילות דיגיטלית או רציפות תפקודית.

בנוסף, התזכיר מתייחס גם לגופים ממשלתיים ולספקי שירותים דיגיטליים ושירותי אחסון מסוימים. המשמעות העסקית חשובה במיוחד עבור חברות ענן, hosting, data center, SaaS, שירותי IT מנוהלים, ספקי אבטחת מידע, פלטפורמות מקוונות וגופים שהם חלק משרשרת האספקה הטכנולוגית של ארגונים מפוקחים.

למה ההגדרה רחבה כל כך

ההיגיון מאחורי תחולה רחבה הוא שהסיכון המשקי אינו יושב רק אצל חברת חשמל, בנק או בית חולים. גם ספק טכנולוגי, ספק גיבוי, שירות גישה מרחוק, ספק ענן או מערכת SaaS מרכזית יכולים להפוך לנקודת כשל קריטית עבור עשרות או מאות ארגונים אחרים. לכן, רגולציית סייבר מודרנית נוטה להתמקד גם בתלות הדיגיטלית ובשרשרת האספקה, ולא רק בזהות הארגון עצמו.

החובות המרכזיות שמופיעות בתזכיר

אחד המרכיבים המשמעותיים בתזכיר הוא החובה לעמוד ברמת הגנת סייבר בסיסית ולנהל סיכוני סייבר בהתאמה לאופי הפעילות של הארגון. הדרישה הזו משקפת מעבר מגישה הצהרתית לגישה ניהולית ומדידה יותר, שבה נדרשת לא רק הגנה בפועל אלא גם יכולת להוכיח שההגנה מיושמת ומתוחזקת לאורך זמן.

התזכיר כולל גם חובות תיעוד ושמירת מסמכים המוכיחים עמידה בדרישות. בפועל, מדובר בשינוי מהותי עבור ארגונים רבים, משום שציות עתידי לא יימדד רק לפי איכות הבקרה הטכנולוגית אלא גם לפי איכות הראיות, המסמכים, הנהלים, התיעוד והיכולת להציגם לרשות מוסמכת.

חובת דיווח על אירועי סייבר

לפי נוסח התזכיר והסקירות שפורסמו, בעת תקיפת סייבר משמעותית קיימת חובת דיווח מיידית לגורם בכיר במערך הסייבר הלאומי ולגורם הרלוונטי ברשות המוסמכת, ולאחר מכן גם דיווח מסכם בכתב. זהו אחד השינויים המשמעותיים ביותר מבחינה תפעולית, משום שהוא מחייב ארגון לבנות מנגנון מסודר לסיווג אירוע, לקבלת החלטות, לאישור דיווח, לשמירת ראיות ולהפקת תובנות.

סמכויות פיקוח ואכיפה

התזכיר מעניק סמכויות פיקוח, דרישת מידע והכוונה אופרטיבית לגורמים המוסמכים, ובנסיבות מסוימות אף מאפשר נקיטת פעולות דחופות לתקופה מוגבלת, בכפוף למסגרת החוקית הרלוונטית. לצד זאת, בפרסומים המשפטיים והמקצועיים הוזכרה גם אפשרות של חשיפה מוגברת לארגונים ולנושאי משרה במקרה של אי-עמידה בדרישות או כשל בפיקוח.

ההשפעות העסקיות על ארגונים

ההשפעה הראשונה היא תקציבית. ארגונים יידרשו להשקיע יותר במיפוי נכסים, ניהול סיכונים, תיעוד, בקרה, ניטור, תרגול, ביקורות פנימיות, בקרה על ספקים ושדרוג תהליכי response. גם ארגונים שכבר פועלים לפי סטנדרטים מתקדמים צפויים לגלות שפערי הציות אינם רק טכנולוגיים אלא גם ניהוליים, משפטיים ותיעודיים.

ההשפעה השנייה היא מסחרית. ברגע שרגולציה מחייבת נכנסת לתמונה, דרישות האבטחה זולגות גם להסכמים מסחריים, הסכמי שירות, מכרזים, שאלוני ספקים ותהליכי due diligence. לקוחות, במיוחד גופים גדולים, ציבוריים או מפוקחים, צפויים לדרוש התחייבויות ברורות יותר, זכות ביקורת, חובת הודעה מהירה על אירועי סייבר, ולעיתים גם שקיפות על תתי-ספקים ותשתיות.

ההשפעה השלישית היא ניהולית. הסייבר עולה דרגה והופך לנושא הנהלתי ודירקטוריוני מובהק, משום שאי-עמידה עשויה להשפיע על רציפות עסקית, מוניטין, יחסי לקוחות, חשיפה רגולטורית ואחריות נושאי משרה.

איך חוק הסייבר משפיע על תפקיד ה-CISO ?

עבור CISO, התזכיר מייצר הרחבה ברורה של תחום האחריות. לא עוד רק תפעול של בקרות, SOC, הרשאות, גיבויים ותגובה לאירועים, אלא הובלה של מסגרת ציות מבוססת סיכון, כזו שניתנת להצגה, למדידה ולביקורת.

במישור המעשי, ה-CISO צריך לדעת לענות על חמש שאלות יסוד: מהם הנכסים הקריטיים של הארגון, אילו איומים מרכזיים נשקפים להם, אילו בקרות יושמו, איך מדגימים עמידה, ומהו מנגנון הדיווח וההסלמה בעת אירוע. ארגון שלא בנה את המענה הזה מראש עלול לגלות שבזמן אירוע הוא מסוגל לטפל טכנית בתקיפה, אך אינו מוכן לעמוד בדרישות התיעוד והדיווח הנלוות.

תחומי אחריות שצפויים להתחזק אצל CISO

• ניהול מלאי נכסים קריטיים ומיפוי תלות עסקית וטכנולוגית.

• בניית תכנית הגנת סייבר מבוססת סיכון עם בקרות מוכחות.

• ניהול ספקים, צדדים שלישיים ושרשרת אספקה דיגיטלית.

• עדכון playbooks לאירועים כך שיכללו גם מסלול דיווח רגולטורי.

• יצירת חבילת evidence קבועה לביקורת, אכיפה או בדיקה מגזרית.

איך חוק הסייבר משפיע על תפקיד ה-DPO ?

ה-DPO אינו מחליף את ה-CISO, אך התזכיר מחייב חיבור הדוק יותר בין privacy לבין cyber governance. בכל מקום שבו חקירת אירוע, איסוף לוגים, ניטור, שיתוף מידע, או דיווח לרשויות נוגעים בנתונים אישיים, יש צורך בתיאום בין אבטחת מידע, פרטיות, משפטי וציות.

מבחינת ה-DPO, מוקדי העבודה המרכזיים צפויים להיות בדיקת בסיסי חוקיות לעיבוד מידע במהלך אירוע, מזעור מידע, קביעת תקופות שמירה, ניהול הרשאות לצפייה בחומר חקירה, ותיאום בין חובות דיווח בתחום הסייבר לבין חובות מתחום הגנת הפרטיות. זהו בדיוק האזור שבו ארגונים בוגרים יצטרכו להימנע מהפרדה מלאכותית בין סייבר לפרטיות, משום שבפועל אירועי סייבר רבים הם גם אירועי מידע אישי.

לאילו תקנים או רגולציות זה מקביל

התזכיר אינו זהה לתקן יחיד ואינו מחליף תקנים בינלאומיים, אך הוא בהחלט מקביל ברוחו למסגרות מוכרות של governance, risk, compliance ו-incident management. מבחינת מבנה החשיבה, יש בו דמיון לעקרונות של ISO 27001 ו-NIST, בעיקר סביב ניהול סיכונים, בקרות, מדידה, אחריות ותיעוד.

מבחינת אופי ההסדרה, החיבור בין ניהול סיכונים, חובת דיווח, פיקוח ואכיפה מזכיר יותר רגולציות מודרניות כמו NIS2 באירופה מאשר סטנדרט וולונטרי בלבד. לכן, ארגון שכבר מיישם ISO 27001 או NIST יהיה בעמדת פתיחה טובה יותר, אך עדיין יצטרך לבצע התאמות לדרישות ישראליות ספציפיות, בעיקר בתחומי התחולה, הדיווח, הממשק עם הרגולטור והתיעוד.

טבלת הקבלה פרקטית

מי בארגון צריך לדעת מה

הנהלה ודירקטוריון צריכים להבין האם הארגון נכנס לתחולה, מהי רמת החשיפה, ומה המשמעויות התקציביות, התפעוליות והמשפטיות של ההיערכות. זה כבר אינו נושא טכנולוגי בלבד אלא החלטה על תעדוף, משאבים, סיכוני שרשרת אספקה ויכולת עמידה מול רגולטור.

ה-CISO, מנהל ה-IT, מנהלי התשתיות, מנהלי SOC וגורמי התפעול צריכים להכיר את חובות ההגנה, הדיווח, הניטור והתיעוד ברמה האופרטיבית. היועץ המשפטי, קצין הציות וה-DPO צריכים להבין את משטר הדיווח, את גבולות שיתוף המידע, את ניהול הראיות ואת ההשלכות החוזיות והפרטיות.

גם מחלקת הרכש וניהול הספקים חייבות להיות חלק מהמשוואה. במציאות רגולטורית כזו, סעיפי אבטחת מידע בחוזים, בדיקות נאותות לספקים, והיכולת לחייב צד שלישי להודיע על אירוע או לאפשר ביקורת, הופכים למרכיב מרכזי בהגנה על הארגון.

מה צריך לעשות מחר בבוקר

השלב הראשון הוא מיפוי תחולה. כל ארגון צריך לבחון אם הוא עלול להיחשב ארגון חיוני, גוף בעל השפעה מערכתית, ספק שירות דיגיטלי, ספק אחסון, או חלק משרשרת אספקה קריטית של גוף מפוקח.

השלב השני הוא לבצע gap assessment ממוקד. הבדיקה צריכה לכלול לפחות מלאי נכסים, סיווג מערכות קריטיות, ניהול הרשאות, בקרה על גישה מרחוק, ניטור, גיבויים, incident response, חובת דיווח, ניהול ספקים, תיעוד וראיות לציות.

השלב השלישי הוא לבנות governance pack להנהלה. החבילה הזו צריכה לכלול מפת תחולה, מצב קיים, פערים, בעלי תפקידים, לוחות זמנים, עלות משוערת, והמלצות לביצוע. ללא מסגרת כזו, קשה מאוד להפוך את הדיון מהתראה מקצועית להחלטת הנהלה מחייבת.

השלב הרביעי הוא לעדכן חוזים, נהלים ו-playbooks. יש להכניס לשפה הארגונית מנגנוני הסלמה, מסלולי דיווח, אחריות בין צוותים, ותהליכי עבודה מול ספקים, יועצים, עורכי דין, DPO וגורמי תגובה חיצוניים.

תזכיר חוק הגנת הסייבר הלאומית הוא הרבה יותר מעוד יוזמת חקיקה. הוא משקף מגמה ברורה: הסייבר בישראל עובר לעולם של אחריות מוכחת, פיקוח רגולטורי, דיווח מחייב וניהול סיכונים ברמה הנהלתית. עבור ארגונים, המשמעות היא שצריך להתחיל להיערך כבר עכשיו, גם אם הנוסח עוד עשוי להשתנות לאורך הליך החקיקה. עבור CISO, DPO והנהלה, זה הזמן לבחון תחולה, לסגור פערים, לבנות מנגנוני דיווח ותיעוד, ולוודא שהארגון לא רק מאובטח יותר, אלא גם מוכן להוכיח זאת.