הצעת חוק הגנת הסייבר הלאומי – מדינת ישראל מיישרת קו עם מדינות העולם | עו"ד עדיאל קליין

ב-8 ביוני 2026 אושרה במליאת הכנסת בקריאה ראשונה הצעת חוק הגנת הסייבר הלאומית, התשפ"ו-2026. אירופה כבר עשתה את זה, זה מכבר עם הדירקטיבה בנושא הגנת סייבר (NIS, NIS2) בריטניה, אוסטרליה וקנדה גם כבר שם. ישראל, שנמצאת בין המדינות המותקפות ביותר בעולם בסייבר, ובפרט מאז פרוץ "חרבות ברזל" עלייה חדה בהיקף ובעוצמת התקיפות נגד גופים אזרחיים, נותרה עד היום בלי מסגרת חקיקתית לאומית מקיפה בתחום וזה עומד להשתנות - אולי.

מטרת החוק העתידי היא היא קודם כל להביא את נושא המודעות להגנת הסייבר במישור הציבורי והפרטי, לייצר קו אחיד לרציפות תפקודית בארגון החווה אירוע סייבר ובפרט לעגן את מערך הסייבר הלאומי (סעיפים 2-4) כגוף המתכלל את ההגנה הלאומית מאירועי סייבר, לצד "יחידות מגזריות" (סעיף 5) שיפעלו אצל כל אחד מהרגולטורים המנויים בתוספות הראשונה והשנייה - ממשרד התקשורת ועד רשויות מקומיות.

ליבת החוק היא מושג "הארגון החיוני" (סעיף 8): כל גוף ממשלתי, וכל ארגון העומד בתבחינים המגזריים שבתוספת השלישית - תקשורת, אנרגיה, בריאות, מים וביוב, תחבורה, כימיקלים, חקלאות, רשויות מקומיות ועוד. לגורם המאסדר במגזר יש גם סמכות לצרף או להוציא ארגון מהרשימה באופן פרטני, בהחלטה מנומקת (סעיף 8(ב)).

במישור הפרטי השאלה בדבר התחולה על "ספקי שירותים דיגיטליים ושירותי אחסון" (פרט 9 לתוספת השלישית), שם הרשימה מפתיעה בהיקפה - מספקי ענן ומרכזי נתונים, דרך שירותי IT ואבטחת סייבר ועוד, סך הכול כ-20 סוגי שירותים שונים המנויים בחוק. ספק כזה ייכנס לתחולת החוק אם הוא נותן את אחד מהשירותים הללו ומחזורו השנתי הוא 40 מיליון ₪ ומעלה או שהוא מעסיק 50 עובדים ומעלה, או שהוא מספק שירות לממשלה או לגוף מונחה - כך שלא רק ענקיות טכנולוגיה עלולות למצוא עצמן בפנים, אלא גם חברות רבות שלא בהכרח רואות עצמן כ"תשתית קריטית".

הצעת החוק כוללת את החובה של כל ארגון לנקוט אמצעי הגנת סייבר ראויים לפעילותו. בנוסף נדרש מארגונים חיוניים לנקוט באמצעים סבירים תוך שימוש בתקנים בין לאומיים, למשל - iso 27001 ,NIST 800-53 וכו׳. כמו כן, קיימת חובת דיווח מיידי על תקיפת סייבר משמעותית (סעיף 11) וכוללת גם מסלולי פטור.

להפרה יש של חוק מחיר לא מבוטל: עיצומים כספיים במאות אלפי שקלים להפרות שנקבעו שם, ובמקרים חמורים גם אחריות פלילית - וחשיפה אישית לנושאי משרה שלא פיקחו כנדרש (סעיפים 44-45).

ממערך הסייבר הלאומי נמסר כי ״הצעת חוק הגנת הסייבר הלאומית נועדה להעלות את החוסן הלאומי ולשמור על השיגרה בעורף של השירותים החיוניים לטובת האזרח, בהיבטי הגנת סייבר. ההצעה גובשה תוך איזון בין הצרכים המבצעיים לבין המשך פעילותם התקינה של הארגונים. החוק משמר ומעגן את המודל המבוזר-מנוהל, ובתוך כך, מוענקות סמכויות לרגולטורים המגזריים המכירים את המגזר לעומקו, בעוד המערך מנחה מקצועי של הגנת הסייבר ברמה הלאומית. הצעת החוק מתמקדת בארגונים חיוניים במגזרי ליבה כפי שנהוג בדירקטיבה האירופית NIS2, ורמת ההגנה נשענת על תקנים בין-לאומיים מוכרים שרבים מהארגונים כבר עומדים בהם, לצד עיגון של מנגנוני איזון ובקרה ייעודיים. לצד כל אלו, ימשיך מערך הסייבר הלאומי לפעול לחיזוק הגנת הסייבר במרחב הישראלי".

יתכן וההצעה תעבור עוד שינויים בדרך לאישור החקיקה ותהיה גם תקופת היערכות לארגונים. אבל הכיוון ברור – עולם הגנת הסייבר וההבנה הלאומית בשמירה עליו עולים משלב אחד למעלה, זה מצטרף גם לתיקון 13 לחוק הגנת הפרטיות אשר הציף למודעות את החובות בעולמות אבטחת המידע וכו׳. הנחת המוצא שלי שגם תהיה השלכה בהיבטים עקיפים ובכללם - תפעוליים, ביטוחיים ויתכן גם השפעה בעולמות העבודה. בינתיים הכיוון ברור – יש יישור קו לאומי עם רגולציות בינלאומיות והבנה שהיום הגנת סייבר ואבטחת מידע הם חלק בלתי נפרד ממחזור החיים העסקי.