חוק הגנת הסייבר הלאומי: כך עשויה הרגולציה החדשה לשנות את ניהול הסייבר בארגונים בישראל
הצעת החוק שעברה בקריאה ראשונה בכנסת מסמנת שינוי בתפיסת האחריות לניהול סיכוני סייבר. האם מדובר במהלך שיחזק את החוסן הלאומי או ברגולציה שתכביד על המשק? בעקבות הוובינר "חוק הסייבר מ־360 מעלות" של לשכת טכנולוגיות המידע בישראל, בחנו כיצד החוק צפוי להשפיע על הדירקטוריון, ההנהלה, ה-CISO, ה-CIO, ה-DPO ובעלי תפקידים נוספים.
ב-8 ביוני 2026 עברה בכנסת בקריאה ראשונה הצעת חוק הגנת הסייבר הלאומי – מהלך חקיקתי שעשוי להפוך לאחת הרפורמות המשמעותיות ביותר בתחום הסייבר בישראל בעשור האחרון. בניגוד לתפיסה הרווחת, מדובר בחוק שאינו עוסק רק בטכנולוגיה או במתקפות סייבר, אלא בממשל תאגידי, בניהול סיכונים ובאחריות הנהלות ודירקטוריונים. אם יאושר בקריאות הבאות, הוא צפוי להשפיע על האופן שבו אלפי ארגונים בישראל מנהלים את הסיכונים הדיגיטליים שלהם, מקבלים החלטות בעת אירועי סייבר ומדווחים לרשויות.
על רקע התקדמות החקיקה הבאנו סקירה מעולמות הסייבר, המשפט, הפרטיות, הרגולציה והניהול. מטרת המאמר היא להסביר את הצעת החוק, אלא לבחון כיצד היא צפויה להשפיע על כלל בעלי התפקידים בארגון – מהדירקטוריון ועד מנהלי מערכות המידע.
שאלה מרכזית מלווה את הדיון הציבורי מאז הונחה הצעת החוק על שולחן הכנסת:
האם מדובר בצעד הכרחי לחיזוק החוסן הלאומי של ישראל, או ברגולציה נוספת שעלולה להכביד על הארגונים וליצור עומס בירוקרטי?
זוהי שאלה שאין לה עדיין תשובה חד-משמעית.
אולם דבר אחד כבר ברור – האחריות להגנת הסייבר כבר אינה נתפסת כנחלתם הבלעדית של אנשי אבטחת המידע. היא הופכת לאחריות ארגונית רחבה, המחייבת מעורבות של הנהלות, דירקטוריונים, יועצים משפטיים, ממוני פרטיות ומנהלי סיכונים.
למה דווקא עכשיו? הרקע להצעת חוק הגנת הסייבר
במשך שנים פעלה מדינת ישראל בעיקר באמצעות הנחיות, המלצות ורגולציה מגזרית. ארגונים שהוגדרו כחיוניים או מפוקחים נדרשו לעמוד בדרישות שונות, אך עבור חלק גדול מהמגזר העסקי האחריות להגנת הסייבר נשענה במידה רבה על שיקול דעתם של הארגונים עצמם.
אלא שבשנים האחרונות השתנתה תמונת האיומים באופן דרמטי. מתקפות כופרה, פגיעה בשרשראות אספקה, מתקפות על בתי חולים, רשויות מקומיות, גופים פיננסיים ותשתיות קריטיות המחישו כי אירוע סייבר אינו עוד תקלה טכנולוגית, אלא אירוע בעל השלכות עסקיות, כלכליות ולעיתים אף לאומיות.
לצד זאת, גם בעולם מתחזקת המגמה של רגולציה מחייבת. דירקטיבת NIS2 באיחוד האירופי, תקנות DORA למגזר הפיננסי וחקיקות נוספות מעבירות את האחריות לניהול סיכוני סייבר מהמחלקות הטכנולוגיות אל שולחן ההנהלה והדירקטוריון.
גם בישראל מבקשת הצעת החוק לייצר סטנדרט אחיד וברור יותר לניהול סיכוני סייבר, מתוך תפיסה שהסתמכות על אסדרה עצמית בלבד אינה מספקת עוד.
"יש כשל שוק" – ההנמקה שמאחורי החקיקה
אחת האמירות המשמעותיות ביותר שנשמעו במהלך הוובינר הייתה דווקא סביב השאלה
מדוע המדינה בכלל מתערבת בתחום שנחשב במשך שנים לאחריותם של הארגונים עצמם.
לדברי הלל קוברובסקי, הרקע להצעת החוק רחב הרבה יותר מהאירועים הביטחוניים של השנים האחרונות.
"הטריגר לחקיקה מגיע גם מלקחי מלחמת חרבות ברזל לצד סיכונים מהותיים גוברים והבנה שיש כשל שוק בהסדרה העצמית של הגנת הסייבר. אנחנו מכירים את זה בישראל שאם אתה לא מכריח את בעלי העסקים והחברות להוציא כסף כדי לאבטח את עצמם כמו שצריך – זה כנראה לא יקרה."
המשמעות של "כשל שוק" היא שהמדינה סבורה כי מנגנוני השוק לבדם אינם יוצרים תמריץ מספק להשקעה בהגנת סייבר. כאשר ארגון דוחה השקעות באבטחת מידע, הנזק הפוטנציאלי אינו נשאר רק בתוך הארגון – הוא עלול להשפיע על לקוחות, ספקים, שרשראות אספקה ואף על המשק כולו.
זו גם אחת הסיבות לכך שהחוק אינו מסתפק עוד בהמלצות או בקווים מנחים.
כפי שהדגיש קוברובסקי:
"החוק החדש צפוי להטיל חובות אבטחה, דיווח ואף אחריות אישית על נושאי משרה בארגונים רבים."
אמירה זו משקפת את השינוי התפיסתי שעומד בלב הצעת החוק: המעבר מאחריות מקצועית של אנשי הסייבר לאחריות ניהולית של כלל הנהלת הארגון.
לא מהפכה טכנולוגית – אלא הסדרה של מה שארגונים כבר צריכים לעשות
אחת מנקודות ההרגעההגיעה מכיוונו של יובל שגב, שהדגיש כי ארגונים בעלי ממשל סייבר מסודר אינם צפויים לגלות דרישות חדשות לחלוטין.
לדבריו:
"בסוף החוק הוא לא מביא שום דבר חדש דרמטי לארגון שהוא מסודר במירכאות. כלומר, אם אתם כבר עובדים עם איזשהו Framework, ולא משנה איזה, לא תופתעו משום דבר."
המסר הזה חשוב במיוחד לארגונים החוששים מפני רגולציה שתדרוש השקעות טכנולוגיות יקרות או שינוי מהותי של סביבת העבודה.
שגב הסביר כי עיקר הדגש של החוק נמצא דווקא בתהליכי ניהול, תיעוד, מיפוי והיערכות:
"לא צריכים לקנות מוצרים. לא צריך לעשות תיק מערכת מידע. זה באמת מיפוי ספקים, מיפוי מערכות מידע, מיפוי תהליכים – אלו הדברים שכולנו מכירים. זה באמת למסד ולהבנות אבטחת מידע מסודרת."
במילים אחרות, החוק אינו מגדיר רשימת מוצרים שיש לרכוש או טכנולוגיות שחובה להטמיע.
הוא מבקש לוודא שכל ארגון מכיר את הנכסים הקריטיים שלו, מבין את הסיכונים, מגדיר אחריות ומנהל את תחום הסייבר כחלק ממערך ניהול הסיכונים הכולל.
עבור ארגונים שכבר פועלים בהתאם למסגרות מקובלות כגון ISO/IEC 27001, NIST Cybersecurity Framework או רגולציות מגזריות קיימות, המשמעות עשויה להיות בעיקר התאמה והשלמת פערים – ולא שינוי מהיסוד.
מנדוקת מבט הוליסטית: כאשר האירוע מתחיל, האחריות כבר אינה רק של מחלקת ה-IT בלבד
אם יש מסר אחד שחשוב להפנים הוא לאור חוק הסייבר ומגמת הרגולציה המתגברת:
הרחבת מעגל האחריות בנושא אבטחת מידע, סייבר ודליפת מידע
הצעת החוק אינה מתמקדת רק במנהלי אבטחת מידע או באנשי הטכנולוגיה. היא מבקשת ליצור מודל שבו כל שכבת הנהלה נושאת באחריות בהתאם לתפקידה – מהדירקטוריון, דרך המנכ"ל ועד מנהלי מערכות המידע, ממוני הפרטיות, היועצים המשפטיים ומנהלי הסיכונים.
גישה זו דומה למגמות הרגולטוריות המובילות בעולם, שבהן סייבר אינו עוד סוגיה טכנולוגית בלבד, אלא חלק בלתי נפרד מממשל תאגידי, ניהול סיכונים והמשכיות עסקית.
במילים אחרות, אם בעבר השאלה הייתה "מה עושה ה-CISO?",
הרי שכיום השאלה היא
"כיצד כל הנהלת הארגון שותפה לניהול סיכוני הסייבר ואבטחת המידע?"
מבט 360°: כך ישפיע חוק הגנת הסייבר על ההנהלה, ה-CISO, ה-CIO וה-DPO
מבט 360°: כיצד ישפיע החוק על בעלי התפקידים בארגון?
אחד המסרים הבולטים שעלו בוובינר של לשכת טכנולוגיות המידע בישראל היה שהחוק אינו מיועד רק למנהלי אבטחת מידע. למעשה, הוא צפוי להשפיע כמעט על כל שכבת ניהול בארגון, כאשר כל בעל תפקיד נדרש להסתכל על הסייבר מזווית אחרת.
הדירקטוריון וההנהלה: הסייבר הופך לאחריות ניהולית
השינוי המשמעותי ביותר שמביאה עמה הצעת החוק הוא הרחבת האחריות של הדירקטוריון והנהלת הארגון. אם בעבר נושא הסייבר נתפס בעיקר כאחריות מקצועית של מחלקות ה-IT ואבטחת המידע, הרי שהחקיקה מבקשת להפוך אותו לחלק בלתי נפרד מממשל תאגידי תקין.
בדומה למגמות רגולטוריות בעולם, ובהן דירקטיבת NIS2 האירופית, גם בישראל מצופה מנושאי המשרה לגלות מעורבות פעילה בניהול סיכוני הסייבר, לוודא קיומם של מנגנוני בקרה, להקצות משאבים ולפקח על יישום תהליכי ההגנה בארגון.
המשמעות אינה שכל חבר דירקטוריון יהפוך למומחה טכנולוגי, אלא שהנהלת הארגון תידרש להוכיח כי ניהול סיכוני הסייבר הוא חלק בלתי נפרד ממערך קבלת ההחלטות העסקיות.
מנכ"ל הארגון: איזון בין חוסן עסקי לציות רגולטורי
עבור מנכ"לים, החוק צפוי להוסיף רובד נוסף של אחריות ניהולית.
אירוע סייבר משמעותי אינו מסתכם עוד בשיקום מערכות המידע. הוא עלול להשפיע על פעילות עסקית, מוניטין, יחסי לקוחות, שרשרת האספקה ואף על אחריותם האישית של נושאי המשרה.
לכן, לצד קבלת החלטות עסקיות, יידרשו מנכ"לים לוודא כי קיימים בארגון מנגנוני דיווח, ניהול סיכונים, תוכניות תגובה, המשכיות עסקית ותהליכי קבלת החלטות המאפשרים להתמודד עם אירועי סייבר באופן מסודר ומתועד.
CISO: הזדמנות לחיזוק המעמד – לצד חשש מהרחבת הנטל
עבור מנהלי אבטחת המידע, החוק עשוי להיות נקודת מפנה.
מצד אחד, הוא מעניק ל-CISO גיבוי רגולטורי משמעותי יותר ומחזק את מעמדו מול הנהלת הארגון. הדרישה למעורבות הנהלה עשויה להקל על קבלת תקציבים, על קידום תהליכי הקשחה ועל יישום המלצות שנדחו בעבר מטעמי עלות או סדרי עדיפויות.
מן הצד השני, יש דאגה אמיתית מפני הרחבת חובות הדיווח והתיעוד.
האם ה-CISO ימשיך להיות גורם מוביל בהגנה על הארגון, או שחלק ניכר מזמנו יוקדש לעמידה בדרישות רגולטוריות ולניהול תאימות?
זו שאלה שתמשיך ללוות את הליך החקיקה גם בהמשך.
CIO: ניהול מערכות מידע בעידן של רגולציה
מנקודת מבטו של מנהל מערכות המידע, החוק מוסיף מורכבות לתהליכי קבלת ההחלטות בזמן אירוע אמת.
בעת מתקפת סייבר, נדרש ה-CIO להחזיר שירותים לפעילות במהירות האפשרית, אך במקביל ייתכן שיידרש לעמוד בחובות דיווח, תיעוד ותיאום מול גורמי פיקוח.
הדילמה אינה טכנולוגית בלבד. היא נוגעת לשאלה כיצד מאזנים בין המשכיות עסקית לבין עמידה בדרישות רגולטוריות, וכיצד מתקבלות החלטות כאשר כל דקה של השבתה גורמת לנזק עסקי.
הדבר מחייב תהליכים ברורים, חלוקת אחריות מוגדרת ושיתוף פעולה הדוק בין ה-CIO, ה-CISO, ההנהלה והייעוץ המשפטי.
DPO והיועץ המשפטי: נקודת המפגש בין סייבר לפרטיות
אחד הנושאים המרכזיים שעולים הוא:
המתח האפשרי בין דרישות החוק לבין הוראות חוק הגנת הפרטיות.
הרחבת יכולות הניטור ואיסוף נתוני תקשורת לצורך זיהוי אירועי סייבר עלולה לעמוד במתח מול עקרונות יסוד של הגנת הפרטיות, ובהם מידתיות, צמצום מידע ושימוש מוגבל במידע אישי.
משמעות הדבר היא שממונה הגנת הפרטיות בארגון והיועצים המשפטיים צפויים להפוך לשותפים מרכזיים בתכנון מנגנוני הבקרה והדיווח, כדי לוודא שהארגון עומד בדרישות הסייבר מבלי ליצור חשיפה משפטית חדשה.
CRO ומנהלי סיכונים: סייבר כחלק ממפת הסיכונים הארגונית
במשך שנים התייחסו ארגונים רבים לסיכוני סייבר ואבטחת מידע כקטגוריה טכנולוגית נפרדת.
החקיקה החדשה מבקשת לשנות תפיסה זו ולשלב את סיכוני הסייבר כחלק בלתי נפרד ממערך ניהול הסיכונים הארגוני.
עבור מנהלי הסיכונים, המשמעות היא שילוב תרחישי סייבר במפת הסיכונים, קביעת תיאבון סיכון מתאים ובחינה שוטפת של השפעתם על הפעילות העסקית, הפיננסית והתפעולית של הארגון.
מנהלי המשכיות עסקית: להיערך ליום שאחרי האירוע
אירוע סייבר אינו מסתיים ברגע שהתוקף עוזב את הרשת.
לאחר האירוע מתחיל שלב ההתאוששות – החזרת מערכות לפעילות, תקשורת עם לקוחות, עבודה מול ספקים, ניהול משברים והפקת לקחים.
לכן, החוק צפוי להעצים את חשיבותן של תוכניות המשכיות עסקית (Business Continuity) ושל תרגולים משותפים להנהלה, לצוותי ה-IT ולמחלקות העסקיות.
רגולציה או בירוקרטיה? השאלה שעדיין פתוחה
לצד התמיכה הרחבה בצורך להסדיר את תחום הסייבר, הדיון המקצועי עסק גם בגבולות ההתערבות של המדינה.
יובל שגב הציג גישה מאוזנת באומרו:
"רגולטורים סבירים אמורים לעשות את זה אך ורק במקום שיש כשל שוק."
לדבריו, במקרה של הגנת הסייבר בישראל קיימת הצדקה להתערבות רגולטורית, אך יש להקפיד שהחקיקה תישאר ממוקדת:
"במקרה הספציפי הזה באמת יש כשל שוק, וצריך לוודא שהנוסח הסופי של החוק יעסוק רק בנקודות שבהן באמת קיים אותו כשל."
בהמשך הוסיף שגב אמירה שמסכמת היטב את רוח הדיון:
"על ה-80% רובנו מסכימים. הדיון הוא בדרך כלל רק על האיך – על ה-20%."
משמעות הדברים היא שהוויכוח כיום אינו על עצם הצורך בהסדרת התחום, אלא על הדרך שבה ייושם החוק, על היקף הסמכויות שיינתנו לרגולטורים ועל האיזון בין הגנה על המשק לבין שמירה על גמישות עסקית.
מה יכולים ארגונים לעשות כבר היום?
למרות שהחוק טרם השלים את הליך החקיקה, מומחי הפאנל הסכימו שאין סיבה להמתין.
ארגונים יכולים כבר עכשיו:
- למפות את הנכסים הקריטיים, מערכות המידע והספקים.
- לבחון את מודל ממשל הסייבר הקיים ואת חלוקת האחריות בארגון.
- לעדכן תוכניות תגובה לאירועי סייבר והמשכיות עסקית.
- להגדיר מנגנוני דיווח להנהלה ולדירקטוריון.
- לבחון את הממשקים בין ה-CISO, ה-CIO, ה-DPO, הייעוץ המשפטי ומנהלי הסיכונים.
- לבצע תרגילים המדמים אירועי סייבר בהשתתפות הנהלה בכירה.
- לעקוב אחר השינויים בנוסח החוק ולהיערך מבעוד מועד.
מבט קדימה
הוובינר של לשכת טכנולוגיות המידע בישראל הסתיים במסר ברור: החקיקה עדיין אינה סופית, וזהו הזמן שבו ארגונים, מומחים וגופי מקצוע יכולים להשפיע על נוסח החוק ועל אופן יישומו.
כפי שסיכם הלל קוברובסקי:
"זו רק יריית הפתיחה… יהיו סביב החוק הזה עוד המון השלכות, דוגמאות, שאלות והרבה דברים שאנחנו, כלשכה וכמרכז מצוינות, נוכל להוביל."
גם הלשכה הודיעה כי בכוונתה לגבש ניירות עמדה מקצועיים, לפרסם מדריכים וצ'קליסטים מעשיים ולנהל דיאלוג מול ועדות הכנסת וגורמי הרגולציה, במטרה לסייע לארגונים להבין את דרישות החוק ולהבטיח שהרגולציה תהיה אפקטיבית, מידתית וישימה.
בסופו של דבר, הצעת חוק הגנת הסייבר הלאומי אינה רק שינוי רגולטורי. היא מסמנת שינוי בתפיסת האחריות של הארגון כולו. האחריות להגנה על המרחב הדיגיטלי כבר אינה נמצאת רק בידי אנשי אבטחת המידע – היא הופכת לחלק בלתי נפרד מניהול הארגון, מממשל תאגידי ומתרבות ניהול הסיכונים של ישראל בעשור הקרוב.
נערכים לרגולציה החדשה?
הצעת חוק הגנת הסייבר צפויה להשפיע על מגוון רחב של ארגונים בישראל. כבר עכשיו ניתן להתחיל במיפוי פערים, בחינת ממשל הסייבר והיערכות לדרישות הצפויות.
צוות המומחים של אינפוגרד מסייע לארגונים בהערכת מוכנות, ניהול סיכוני סייבר, התאמה לדרישות רגולציה, סקרי סיכונים, כתיבת מדיניות וליווי הנהלות ודירקטוריונים בתהליכי היערכות.
דברו איתנו
מקורות רשמיים
- הכנסת – הצעת חוק הגנת הסייבר הלאומי, התשפ"ו–2026
נוסח הצעת החוק שאושרה בקריאה ראשונה, כולל דברי ההסבר והליך החקיקה. - משרד ראש הממשלה – מערך הסייבר הלאומי
מסמכי מדיניות, פרסומים רשמיים והסברים הנוגעים לאסדרת תחום הגנת הסייבר בישראל. - מאגר החקיקה הממשלתי (Gov.il)
נוסח הצעת החוק, דברי ההסבר והעדכונים לאורך הליך החקיקה. - הכנסת – ועדת החוץ והביטחון / הוועדה הרלוונטית לדיוני החוק
פרוטוקולים והודעות רשמיות (עם פרסומם) הנוגעים להכנת החוק לקריאה שנייה ושלישית.
מקורות מקצועיים
- לשכת טכנולוגיות המידע בישראל (ITCB)
וובינר: "חוק הסייבר מ־360 מעלות"
הלל קוברובסקי
שי זנדני, מנכ"ל לשכת טכנולוגיות המידע בישראל.
יובל שגב
עו"ד הדס תמם בן אברהם
יפעת גודינר
רגולציה בינלאומית להשוואה
- Directive (EU) 2022/2555 (NIS2 Directive)
הדירקטיבה האירופית להגברת החוסן הקיברנטי של ישויות חיוניות וחשובות, ששימשה נקודת ייחוס בדיון סביב אחריות הנהלות ודירקטוריונים. - Regulation (EU) 2022/2554 (DORA)
Digital Operational Resilience Act – רגולציית החוסן התפעולי הדיגיטלי למגזר הפיננסי באיחוד האירופי.
קריאה נוספת
- אינפוגרד
חוק הסייבר הלאומי הישראלי – עידן חדש של אחריות ניהולית, רגולציה וחוסן ארגוני.
מאמר רקע המסביר את עקרונות הצעת החוק ואת השלכותיה על ארגונים בישראל.
המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).
