עדכון ל-28 באוגוסט 2026: הצעת חוק הגנת הסייבר הלאומית, התשפ״ו-2026, אושרה בקריאה ראשונה ונמצאת בהכנה בוועדת החוץ והביטחון לקריאה השנייה והשלישית. היא עדיין אינה חוק סופי, והנוסח עשוי להשתנות. הסקירה מבחינה בין מה שמוצע בחוק לבין צעדי היערכות מקצועיים שכדאי לבצע כבר היום.
משרד חקירות מחזיק לעיתים תצלומים, הקלטות, כתובות, פרטי משפחה, מסמכים עסקיים, לוגים, תכתובות וחומר שהלקוח עצמו אינו רוצה שיופץ. גם אם משרד פרטי אינו נכלל ישירות ברשימת הארגונים החיוניים שבהצעת החוק, תקיפת סייבר נגדו יכולה לפגוע באנשים, בחקירה פעילה, בהליך משפטי ובארגון שהזמין את העבודה.
המשמעות המעשית של הצעת החוק אינה רק השאלה “האם היא חלה עלינו”. היא משקפת כיוון רגולטורי ברור: ניהול סיכונים, מוכנות בשגרה, דיווח על אירועים משמעותיים, יכולת תגובה, פיקוח על ספקים והגנה על רציפות תפקודית. אלה נושאים שלקוחות גדולים עשויים לדרוש גם מספק קטן כחלק מהחוזה ומבדיקת הספקים שלהם.
מה הסטטוס של הצעת החוק?
לפי מאגר החקיקה הלאומי של הכנסת, הצעת חוק הגנת הסייבר הלאומית היא הצעה ממשלתית. היא הונחה על שולחן הכנסת ב-27 במאי 2026, אושרה בקריאה ראשונה ב-8 ביוני 2026, והדיון בהכנה לקריאה השנייה והשלישית החל בוועדת החוץ והביטחון ב-22 ביוני 2026.
כלומר, נכון למועד הסקירה:
- אין להציג את ההצעה כחוק שנכנס לתוקף;
- אין לקבוע שארגון מסוים חייב בדיווח מכוחה בלי לבדוק את הנוסח הסופי ואת סיווג הארגון;
- הוראות, הגדרות, סמכויות, לוחות זמנים וסנקציות עוד עשויים להשתנות;
- חובות קיימות מתחומי פרטיות, אבטחת מידע, סודיות וחוזים ממשיכות לחול בלי קשר להתקדמות ההצעה.
מה מציעה הצעת חוק הגנת הסייבר הלאומית?
הסקירה הרשמית של הכנסת מתארת מסגרת לאומית שנועדה לשפר את ההגנה על התפקוד הרציף והבטוח של מרחב הסייבר, בדגש על ארגונים חיוניים, ספקי שירותים דיגיטליים וספקי שירותי אחסון. בין המרכיבים שפורסמו:
עיגון תפקידו של מערך הסייבר הלאומי
מוצע לעגן את מערך הסייבר כגוף מנחה ומתכלל ולהסדיר את פעילות המרכז הלאומי להתמודדות עם אירועי סייבר, CERT. בנוסף מוצע ליצור יחידות סייבר מגזריות ברשויות מוסמכות.
דרישות בסיס מארגונים חיוניים
ההצעה מבקשת לחייב ארגונים שיוגדרו חיוניים לעמוד ברמת הגנת סייבר בסיסית, בהתאם למסגרת ולתוספות שיוגדרו. הדגש הוא על ניהול סיכונים ועל התאמת האסדרה לרמת הסיכון ולמגזר.
דיווח על תקיפות משמעותיות
מוצעת חובת דיווח על תקיפות סייבר משמעותיות מצד גופים שעליהם יחול ההסדר. פרטי הסף, המועד, מקבל הדיווח והמידע שיימסר הם נושאים שחייבים להיבדק בנוסח הסופי ולא בהודעה תקשורתית בלבד.
סמכויות בעת אירוע חמור
לפי הודעת הכנסת, במקרה של תקיפה חמורה מוצע לאפשר לגורמים מגזריים לדרוש מידע ולהורות על פעולות בלימה. במצב סיכון דחוף מוצע מסלול להוראות מיידיות ולזכות השגה. אלה סמכויות משמעותיות, אך גבולותיהן כפופים להליך החקיקה ולנוסח שיאושר, אם יאושר.
אכיפה וסיוע
הפרסום מתאר מנגנונים אפשריים של התראות מנהליות, עיצומים כספיים ועבירות, לצד אפשרות לסיוע וולונטרי לארגונים ותוך התייחסות לפרטיות. אין להסיק מכך כיום מהו סכום עיצום או איזו הפרה תחול על גוף מסוים.
האם ההצעה תחול ישירות על משרד חקירות?
לא ניתן לענות באופן גורף. לפי החומרים הרשמיים שפורסמו, מוקד ההצעה הוא ארגונים חיוניים, גופים ממשלתיים, ספקי שירותים דיגיטליים וספקי אחסון כהגדרתם בהצעה. משרד חקירות רגיל אינו הופך אוטומטית לארגון חיוני רק מפני שהוא מחזיק מידע רגיש.
עם זאת, יש ארבע דרכים שבהן ההצעה יכולה להיות רלוונטית גם למשרד שאינו כפוף ישירות:
- הלקוח כפוף: בנק, גוף בריאות, תשתית, גוף ציבורי או ארגון חיוני עשוי לחייב את ספקי החקירה שלו לעמוד בדרישות אבטחה ודיווח.
- הספק כפוף או מפוקח: שירות ענן, אחסון, מערכת תיקים או ספק דיגיטלי שמשרת את המשרד עשוי להיכלל בהסדר או לקבל דרישות חדשות.
- האירוע עובר בשרשרת: פריצה למשרד קטן יכולה לשמש דלת כניסה למידע של לקוח גדול או לחשוף חקירה רגישה.
- סטנדרט השוק משתנה: גם ללא תחולה ישירה, חוזים, מכרזים, חברות ביטוח ולקוחות עשויים לאמץ דרישות דומות כסטנדרט סביר.
אל תשאלו רק “האם אנחנו ברשימה”. שאלו גם איזה מידע מוחזק, מה יקרה אם יודלף, מי הלקוחות, אילו ספקים מחוברים, כמה מהר ניתן לזהות אירוע ומה נדרש לפי חוזה או דין קיים.
חמש סיבות להיערך לפני שהחקיקה מסתיימת
1. חומר חקירה קשה להחלפה
קובץ שנמחק, מקור שנדרס או זהות של עד שנחשפה אינם תקלה משרדית רגילה. הנזק יכול להיות בלתי הפיך גם אם המערכת חוזרת לפעול למחרת.
2. תגובה מאוחרת מגדילה נזק
אם איש אינו יודע מי רשאי לנתק מחשב, לפנות לספק, לאפס הרשאה או לשמור לוגים, הדקות הראשונות מתבזבזות. נוהל קצר שנבדק מראש עדיף על מסמך ארוך שאיש לא קרא.
3. פרטיות אינה ממתינה לחוק החדש
חוק הגנת הפרטיות ותקנות אבטחת המידע ממשיכים לחול בהתאם לנסיבות. הצעת הסייבר אינה מחליפה בדיקת מאגרי מידע, הרשאות, ספקים, תיעוד אירועים וצמצום מידע.
4. הלקוח עשוי לדרוש דיווח מהיר יותר
חוזה יכול לחייב הודעה בתוך שעות, גם כאשר החוק אינו קובע זאת למשרד. לכן טבלת חובות הדיווח צריכה לכלול חוזים, ביטוח, רגולטורים, לקוחות ורשויות, ולא רק חוק אחד.
5. ספק הענן הוא חלק מהחקירה
מערכת תיקים, דוא״ל, גיבוי, CRM ושיתוף קבצים מחזיקים את הראיות ואת רשימת הלקוחות. חשוב לדעת מי שומר לוגים, לכמה זמן, מי יכול לייצא אותם ומה קורה אם הספק עצמו מותקף.
מפת מידע מינימלית למשרד חקירות
| נכס | שאלה מרכזית | בעל אחריות |
|---|---|---|
| תיקי חקירה | היכן המקור, מי יכול להוריד וכיצד נרשמת גישה? | מנהל תיק וממונה אבטחה |
| דוא״ל | האם יש MFA, לוגים וכללי העברה חשודים? | מנהל מערכת |
| טלפונים ומחשבים | האם קיימת הצפנה, נעילה ויכולת תגובה לאובדן? | בעל המכשיר וה-IT |
| ספקי ענן | מי מודיע על אירוע ומה זמינות הייצוא והלוגים? | בעל החוזה |
| לקוחות ועדים | מי צריך לדעת, באיזה שלב ובאיזה ערוץ? | מנהל האירוע וייעוץ משפטי |
נוהל תגובה מעשי למשרד חקירות
ב-15 הדקות הראשונות
- מפסיקים פעולה מסוכנת בלי למחוק חומר.
- מנתקים מכשיר מהרשת אם איש המקצוע המוסמך מורה לעשות זאת.
- לא מכבים, מאפסים או מתקינים כלי “ניקוי” באופן אוטומטי.
- פותחים יומן אירוע ורושמים זמן, אדם, סימן ראשון ופעולה.
- מפעילים את איש הקשר הטכני ואת מנהל האירוע.
בשעות הראשונות
- מגדירים אילו חשבונות, מכשירים ותיקים עלולים להיות מושפעים.
- שומרים לוגים, הודעות, קבצים וכותרות דוא״ל לפני שהשמירה האוטומטית מוחקת אותם.
- מחליפים סיסמאות ואסימוני גישה בדרך מבוקרת וממכשיר נקי.
- בודקים כללי העברה, משתמשים חדשים והרשאות ספקים.
- עוצרים תשלום או העברה אם האירוע כולל התחזות פיננסית.
- בודקים חובות דיווח לפי דין, חוזה, ביטוח והנחיית עורך דין.
בתוך 24 עד 72 שעות
- בונים ציר זמן של האירוע והתגובה.
- מפרידים בין עובדות ידועות, הערכות ושאלות פתוחות.
- מעריכים אילו אנשים ומידע נפגעו בפועל, לא רק מה היה נגיש תאורטית.
- מתאמים הודעות כדי שלא להסתיר מידע אך גם לא להפיץ פרטים לא מאומתים.
- שומרים עותקי מקור ומנהלים שרשרת ראיות.
לאחר הבלימה
- סוגרים את סיבת השורש ולא רק את החשבון שנפרץ.
- מעדכנים הרשאות, שמירת לוגים, חוזי ספקים וגיבויים.
- מתעדים החלטות, כולל פעולות שלא בוצעו והסיבה.
- מבצעים תרגיל קצר כדי לוודא שהנוהל עובד גם מחוץ לשעות העבודה.
במקרה של אירוע סייבר ניתן לפנות למוקד 119 של מערך הסייבר הלאומי. כשיש סכנה, עבירה פעילה או צורך בסמכות אכיפה, פונים גם למשטרה או לרשות המתאימה. חוקר פרטי אינו מחליף CERT, מומחה תגובה לאירוע או רשות מוסמכת.
עשר שאלות לספקי ענן, אחסון ומערכות תיקים
- היכן נשמר המידע ובאילו מדינות?
- איזה מידע מוצפן במעבר ובמנוחה?
- האם קיימת הפרדה בין לקוחות?
- מי מעובדי הספק יכול לגשת לתוכן?
- אילו לוגים נשמרים ולכמה זמן?
- האם ניתן לייצא קבצים ולוגים בפורמט שימושי?
- בתוך כמה זמן הספק מודיע על אירוע?
- אילו קבלני משנה מעבדים את המידע?
- כיצד מוחקים מידע בסיום התקשרות ומה נשאר בגיבוי?
- מי מסייע בשימור ראיות ובחקירת האירוע?
תשובה כמו “אנחנו מאובטחים” אינה מספיקה. מחפשים אחריות, תהליך, לוחות זמנים ותיעוד. משרד קטן יכול לצמצם סיכון משמעותית באמצעות ספק מתאים, אך אינו יכול להעביר לספק את כל האחריות על ההחלטות שלו.
תרחיש בדיוני: קישור שיתוף פתוח חשף תיק רגיש
התרחיש הבא מומצא לחלוטין. משרד חקירות שיתף עם לקוח תיקייה בענן. הקישור הוגדר בטעות כפתוח לכל מי שמחזיק בו. לאחר חודש התקבלה התראה על הורדה מכתובת לא מוכרת.
התגובה הראשונית לא התחילה בחיפוש אחר “האקר”. המשרד ביטל את הקישור, שמר את לוגי השיתוף והגישה, רשם אילו קבצים היו בתיקייה ובדק למי נשלח הקישור. לאחר מכן הופרדו שלוש שאלות:
- האם הקישור היה חשוף?
- האם אדם לא מורשה הוריד חומר?
- האם ניתן לזהות מי עומד מאחורי ההורדה?
הראשונה הוכחה מהגדרת השיתוף. השנייה נבדקה באמצעות לוגים. השלישית נשארה מוגבלת, משום שכתובת רשת אינה מזהה בהכרח אדם. במקביל נבדקו חובות ההודעה ללקוח ולגורמים אחרים לפי ההסכם והדין הקיים. האירוע הוביל לשינוי ברירת המחדל: שיתוף עם משתמש מזוהה בלבד, תאריך תפוגה וקבלת אישור לפני העלאת חומר רגיש.
רשימת היערכות בת 15 נקודות
- מפת מערכות ומידע מעודכנת.
- אחראי אירוע וממלא מקום.
- מספרי חירום של ספקים ולקוחות.
- MFA לכל חשבון רגיש.
- הרשאות לפי צורך וביקורת תקופתית.
- גיבוי שנבדקה יכולת השחזור שלו.
- שמירת לוגים לתקופה מתאימה.
- נוהל לאובדן טלפון או מחשב.
- נוהל ל-BEC ולשינוי חשבון בנק.
- רשימת חובות דיווח חוזיות ומשפטיות.
- תבנית יומן אירוע.
- דרך מאובטחת למסירת ראיות.
- בדיקת ספקים וקבלני משנה.
- תרגיל תגובה קצר לפחות מעת לעת.
- מעקב אחר הנוסח הסופי של הצעת החוק.
מה כדאי לעשות עכשיו?
אין צורך להמתין לנוסח הסופי כדי לבצע פעולות שאינן תלויות בו: למפות מידע, להפעיל אימות רב-שלבי, לצמצם הרשאות, לבדוק גיבויים, להאריך שמירת לוגים כאשר הדבר מוצדק, להכין אנשי קשר ולנסח נוהל אירוע בן עמוד אחד. במקביל אין לקבוע תחולה או חובת דיווח מכוח ההצעה בלי בדיקה משפטית עדכנית.
לרקע מקצועי נוסף ראו את המדריכים על חקירות סייבר, חקירת דליפת מידע וסודות מסחריים ושמירת ראיות דיגיטליות.
מקורות רשמיים
- מאגר החקיקה הלאומי: הצעת חוק הגנת הסייבר הלאומית, התשפ״ו-2026
- הכנסת: אישור הצעת החוק בקריאה הראשונה, 8 ביוני 2026
- ועדת החוץ והביטחון: תחילת ההכנה לקריאה השנייה והשלישית, 22 ביוני 2026
- מערך הסייבר הלאומי: תוכנית העבודה לשנת 2026
- חוק הגנת הפרטיות במאגר החקיקה הלאומי
הסקירה מבוססת על המידע הרשמי שהיה זמין ב-28 באוגוסט 2026. היא אינה ייעוץ משפטי ואינה קובעת אם ההצעה תחול על ארגון מסוים. עם שינוי סטטוס החקיקה יש לבדוק מחדש את הנוסח ואת הוראות התחילה.
להסבר קצר על CERT, DPO, DPIA, MFA ומונחי ראיות נוספים ראו את מילון החקירות, הפרטיות והסייבר.
תרחיש לימודי לעסקים: ראו כיצד מנתחים הונאת ספק ושינוי חשבון בנק בעקבות השתלטות אפשרית על דוא"ל, בלי לקבוע מראש מי נפרץ ומי אשם.
