דוח ENISA 2026: אירופה משתפרת בסייבר, אבל האם ארגונים באמת מוכנים למתקפה?
דוח מצב הסייבר של סוכנות ENISA מעניק לאיחוד האירופי ציון של 71.53 מתוך 100 ומצביע על שיפור ביכולות ההגנה ובניהול סיכוני הסייבר. לצד ההתקדמות, הדוח חושף פערים ביכולות התגובה לאירועים, בשיתוף מידע ובהכשרות. מה הנתונים האלה אומרים על מוכנות ארגונים למתקפות סייבר, ומה אפשר ללמוד מהם בישראל?
אירופה משתפרת בסייבר, אבל האיומים לא נעלמים
ב־10 בנובמבר 2026 פרסמה סוכנות הסייבר של האיחוד האירופי, ENISA, את הדוח הדו-שנתי על מצב הסייבר באיחוד האירופי.
הדוח, שנערך בשיתוף הנציבות האירופית וקבוצת שיתוף הפעולה של NIS, מציג תמונת מצב של יכולות הסייבר במדינות האיחוד, לצד האיומים והפערים שנותרו. המסקנה המרכזית מעודדת בזהירות: אירופה מתקדמת בניהול אבטחת המידע ובבניית יכולות ההגנה שלה, אך רמת האיומים נותרת גבוהה.
הנתון שזכה לתשומת לב מיוחדת הוא ציון של 71.53 מתוך 100 במדד בשלות הסייבר האירופי. אלא שהמספר הזה, מרשים ככל שיהיה, אינו מספר את כל הסיפור.
כשמסתכלים על המדדים השונים מתגלה פער בין התחומים שבהם הושקעה עבודה משמעותית ברמת המדיניות והרגולציה, לבין היכולות הנדרשות כדי להתמודד עם אירוע סייבר בזמן אמת.
מה באמת אומר הציון 71.53?
מדד EU Cybersecurity Index נועד להעריך את רמת הבשלות של יכולות הסייבר והמשאבים במדינות האיחוד האירופי.
לפי הדוח, 22 מתוך 27 המדינות נמצאות ברמת בשלות Mature, שתי מדינות ברמה מתקדמת יותר, Advanced, ושלוש מדינות ברמת Established.
הציון הגבוה ביותר בתחומים שנבחנו נרשם בניהול סיכוני שרשרת האספקה, עם 89.91 נקודות. מדובר במדד הבוחן את אימוץ הפרקטיקות לניהול סיכוני ספקים וגופים חיצוניים בקרב ארגונים חיוניים וחשובים.
זהו נתון משמעותי. ארגונים תלויים היום בספקי ענן, בחברות תוכנה, בשירותי תקשורת ובגורמים חיצוניים שמחזיקים לעיתים בגישה למערכות ולמידע רגיש. מודעות לסיכונים האלה וניהול מסודר שלהם הם חלק בלתי נפרד מאסטרטגיית אבטחת מידע.
עם זאת, חשוב להבחין בין קיומה של מסגרת לניהול סיכונים לבין האפקטיביות שלה בפועל. העובדה שארגון מבצע בדיקות ספקים אינה מבטיחה שכל הסיכונים טופלו או שהוא יוכל להמשיך לפעול כרגיל במקרה שאחד מספקיו ייפגע.
גם הדוח עצמו מצביע על הצורך להמשיך ולשפר את המוכנות בשרשרת האספקה.
תחום נוסף שבו ניכרת התקדמות הוא יישום מדיניות הסייבר ברמה הלאומית, שקיבל ציון של 66.72 נקודות.
אבל כאן מתחיל החלק המעניין יותר.
הפער שמדאיג את ENISA: תגובה לאירועים ושיתוף מידע
בעוד שניהול סיכוני הספקים זוכה לציון גבוה, מדד הבשלות של צוותי התגובה הלאומיים לאירועי סייבר, CSIRTs, עומד על 54.76 נקודות בלבד.
ENISA מציינת שקיימים הבדלים ניכרים בין המדינות, ובחלקן רמת הבשלות של צוותי התגובה נמוכה או שלא בוצעה לה הערכה מספקת.
חשוב להבהיר שהמדד מתייחס לצוותי תגובה לאומיים ולא לצוותי אבטחת המידע בארגונים פרטיים. ועדיין, הוא מציף בעיה שארגונים מכירים היטב.
אפשר להשקיע משאבים רבים במניעת מתקפות, ברגולציה ובמערכות הגנה, אבל ברגע שמתרחש אירוע משמעותי נדרשת יכולת אחרת לגמרי.
צריך לזהות מה קרה, להבין אילו מערכות נפגעו, לקבל החלטות במהירות, לתקשר עם הגורמים המתאימים ולשמור ככל האפשר על הרציפות העסקית.
הפער בולט גם במדד שיתוף המידע בין גופים חיוניים וחשובים, שקיבל ציון של 26.30 נקודות בלבד.
כלומר, לצד התקדמות בניהול סיכוני ספקים, עדיין קיים קושי ביצירת שיתוף מידע שוטף ואפקטיבי בין ארגונים.
היכולת להעביר התרעות בזמן, לשתף מידע על איומים ולפעול בתיאום יכולה להשפיע על היכולת לצמצם את הנזק מאירוע סייבר.
כאן נמצאת אחת התובנות החשובות ביותר של הדוח: ניהול סיכונים אינו מסתיים בכתיבת מדיניות או בהקמת מערך הגנה. הוא חייב לכלול גם בדיקה של יכולת התגובה ושל שיתוף הפעולה בין האנשים והגופים שאמורים לפעול בזמן אמת.
כשהבינה המלאכותית מקצרת את הזמן להגיב
לצד בחינת הבשלות, ENISA מתייחסת גם לשינויים בסביבת איומי הסייבר.
הדוח קובע שרמת איומי הסייבר באיחוד האירופי נותרה משמעותית, ומצביע על השפעת ההתפתחויות הגיאופוליטיות, פעילות קבוצות האקטיביסטים ופשיעת סייבר ממניעים כלכליים.
לפי נתוני מפת האיומים של ENISA לשנת 2026, המבוססים על אירועים שנצפו במהלך 2025, כ־57.3% מהאירועים שסווגו לפי מניע היו קשורים למניעים אידיאולוגיים. חלק משמעותי מהפעילות הזו כלל מתקפות מניעת שירות מבוזרות (DDoS), שבמקרים רבים גרמו להשפעה מוגבלת יחסית.
עם זאת, מתקפות כופר ממשיכות להוות איום משמעותי על הפעילות העסקית, גם כאשר הן אינן מהוות את רוב האירועים מבחינה מספרית.
הדוח מתייחס גם לבינה המלאכותית כגורם המאיץ יכולות הן של תוקפים והן של מגינים. בין היתר, התקדמות במודלי AI עשויה לאפשר גילוי מהיר יותר של חולשות וקידום ניסיונות לניצולן.
המשמעות עבור ארגונים ברורה. פרק הזמן בין גילוי חולשה לבין הצורך לטפל בה עשוי להתקצר, ולכן חשוב יותר לדעת אילו נכסים חשופים, אילו מערכות קריטיות לפעילות העסקית ומה סדר העדיפויות לטיפול בסיכונים.
לא כל חולשה מחייבת אותה רמת דחיפות. תעדוף נכון צריך להביא בחשבון את חומרת החולשה, מידת החשיפה של המערכת, האפשרות לניצול ואת ההשפעה העסקית של פגיעה בה.
הרחבנו על כך גם במאמר חולשות PHP וה-AI: האם ניהול הסיכונים שלכם מוכן?, העוסק בדרך שבה ההתפתחויות הטכנולוגיות מחייבות ארגונים לחשוב מחדש על תעדוף סיכוני סייבר.
גם בישראל: יש תוכניות הגנה, אבל האם הן מתורגלות?
הפערים שעליהם מצביע ENISA אינם ייחודיים לאירופה.
ביוני 2026 פרסם מבקר המדינה בישראל דוח העוסק בהיערכות המדינה לאירועי סייבר ובתפקודה במהלך מלחמת חרבות ברזל.
הדוח מצא פערים בהיערכות, בניתוח תרחישי איום ובתרגול התמודדות עם אירועי סייבר.
אחד הממצאים הבולטים היה שבין 2018 לנובמבר 2024 לא נערך תרגיל סייבר לאומי ייעודי. בנוסף, הביקורת העלתה פערים בהיערכות של חלק מ־21 הגופים שנבדקו, ובהם גופים ציבוריים וגופים בעלי חשיבות לפעילות המשק.
חשוב לציין כי מדובר בקבוצת גופים שנבחרה לבדיקה ולא במדגם מייצג של כלל הארגונים בישראל. מערך הסייבר הלאומי אף הסתייג מחלק מהמתודולוגיה והמסקנות, כפי שמתועד בדוח המבקר.
למרות ההבדלים בין המדדים האירופיים לביקורת הישראלית, שני הפרסומים מעלים שאלה דומה.
כיצד יודעים שהמערכת הארגונית ערוכה באמת להתמודד עם מתקפת סייבר משמעותית?
ארגון יכול להחזיק נהלי אבטחת מידע מסודרים, מערכת גיבויים, מערכות ניטור ותוכנית תגובה לאירועים. אבל אם התוכנית אינה מתורגלת, עלולים להתגלות פערים דווקא ברגע שבו נדרש להפעיל אותה.
למשל, מי מוסמך להחליט על השבתת מערכת קריטית? האם יש ערוץ תקשורת חלופי במקרה שמערכות הארגון אינן זמינות? מי מעדכן את הלקוחות? ומה עושים כאשר ספק מרכזי אינו מסוגל לספק שירות?
את השאלות הללו עדיף לשאול בשגרה, ולא במהלך אירוע.
אחת הדרכים לעשות זאת היא באמצעות תרגיל שולחן בסייבר (Tabletop Exercise), המאפשר להנהלה ולבעלי התפקידים לתרגל תרחיש מתפתח, לבחון את תהליכי קבלת ההחלטות ולזהות מראש פערים בניהול האירוע.
לא רק טכנולוגיה: גם הכשרה ומודעות דורשות תשומת לב
נושא נוסף שזוכה להתייחסות בדוח ENISA הוא החינוך לסייבר.
המדד העוסק בשילוב נושאי אבטחת סייבר בחינוך היסודי והעל-יסודי עומד על כ־55 נקודות, לעומת 73.59 נקודות בתחום ההשכלה הגבוהה.
הנתונים מתייחסים למערכות חינוך לאומיות, ולא להכשרות עובדים בארגונים. עם זאת, הם מדגישים את הצורך בבניית ידע וכשירות לאורך זמן.
אותו עיקרון נכון גם לסביבה הארגונית.
עובד שעבר הדרכת אבטחת מידע לפני שנה אינו בהכרח ערוך להתמודד עם שיטות התקיפה של היום. פישינג ממוקד, התחזות באמצעות AI והונאות המשתלבות בתהליכי העבודה מחייבים התאמה של תוכניות המודעות וההכשרה.
לכן, לצד הדרכות עובדים ותרגולי פישינג, כדאי לארגונים לבחון גם את גישת Human Risk Management.
הגישה מתייחסת לסיכון האנושי כחלק מתהליך ניהול הסיכונים הארגוני, באמצעות שילוב של הדרכה, תרגול, מדידה והתאמת הבקרות לתפקידים ולרמות החשיפה השונות.
מה ארגונים בישראל צריכים לקחת מדוח ENISA?
הדוח אינו מחייב ארגונים ישראליים לאמץ את מדדי הבשלות האירופיים, וגם הוראות NIS2 אינן חלות אוטומטית על כל חברה בישראל. עם זאת, ארגונים בעלי פעילות רלוונטית באירופה עשויים להיות כפופים לדרישות מסוימות, בהתאם לתחום פעילותם ולנסיבות.
מעבר לשאלת הרגולציה, הממצאים מספקים הזדמנות טובה לבחון את תוכניות אבטחת המידע והסייבר בארגון.
יש חמישה נושאים שכדאי לבדוק כבר עכשיו:
- עדכון סקר הסיכונים הארגוני. האם הסקר מתייחס למערכות הקריטיות, לתלות בספקים ולשינויים האחרונים בסביבת האיומים? האם הוא מתורגם לתוכנית טיפול עם סדרי עדיפויות?
- בדיקת האפקטיביות של בקרות האבטחה. לא להסתפק בכך שקיימת מערכת הגנה או שנכתב נוהל. יש לוודא שהבקרות מוגדרות כראוי, פועלות בהתאם למצופה ומתאימות לסיכונים הקיימים.
- בחינת תוכנית התגובה לאירועים. האם מוגדרים בעלי אחריות? האם תהליך הדיווח וההסלמה ברור? האם קיימים נהלים מעשיים לשמירה על רציפות עסקית ולהתאוששות?
- תרגול הנהלה וצוותי תגובה. תרגילי שולחן וסימולציות מאפשרים לחשוף פערים בקבלת החלטות ובתיאום בין הגורמים השונים, לפני שמתרחש אירוע אמיתי.
- חיזוק המודעות והכשרת העובדים. יש להתאים את ההדרכות לאיומים העדכניים, לתפקידים ולסיכונים המאפיינים את פעילות הארגון, ולבחון את האפקטיביות שלהן לאורך זמן.
באמצעות סקרי סיכוני אבטחת מידע וסקרי פערים, ניתן לזהות את הנושאים הדורשים טיפול ולבנות תוכנית עבודה המבוססת על הסיכון העסקי, ולא רק על רשימת בקרות כללית.
סיכום: מוכנות לסייבר נמדדת גם ברגע האמת
דוח ENISA 2026 מציג התקדמות חשובה בבשלות הסייבר של מדינות האיחוד האירופי, במיוחד בניהול סיכוני ספקים וביישום מדיניות אבטחת מידע. עם זאת, הפערים ביכולות התגובה, בשיתוף המידע ובהכשרה מזכירים לנו שגם מערכת הגנה מתקדמת זקוקה לאנשים, לתהליכים וליכולת פעולה מתורגלת.
עבור ארגונים בישראל, הלקח הוא לא להסתפק בשאלה אם קיימים נהלים, מערכות ובקרות, אלא לבדוק האם הם באמת מאפשרים לזהות אירוע, לקבל החלטות, לצמצם נזק ולהמשיך בפעילות העסקית.
באינפוגארד אנו מלווים ארגונים בתהליכי ניהול סיכוני אבטחת מידע, בדיקת בקרות, גיבוש מדיניות, הדרכות מודעות ותרגילי מוכנות לאירועי סייבר. המטרה היא לסייע לארגון לזהות פערים בזמן, לתעדף את הטיפול בהם ולשפר את יכולת ההתמודדות שלו עם איומים משתנים.
כי בסופו של דבר, תוכנית אבטחת מידע טובה אינה נמדדת רק במה שכתוב בה. היא נמדדת גם במה שהארגון מסוגל לעשות כשהוא באמת זקוק לה.
מקורות מקצועיים
- ENISA, דוח מצב הסייבר באיחוד האירופי לשנת 2026, נובמבר 2026
- ENISA, הודעת הפרסום הרשמית של הדוח
- ENISA Threat Landscape 2026, ספטמבר 2026
- מבקר המדינה, היערכות המדינה לאירועי סייבר ותפקודה במהלך מלחמת חרבות ברזל, יוני 2026
- מערך הסייבר הלאומי, תורת ההגנה בסייבר לארגון
המידע במאמר נועד להעשרה מקצועית ואינו מהווה תחליף להערכת סיכונים או לייעוץ אבטחת מידע המותאם לארגון.
המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי.
באינפוגארד מאמינים כי כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים על מנת להכין תוכנית הרלוונטית בדיוק לארגון ולחברה.
ואנחנו נשמח לעזור.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב פרטיות, אבטחת מידע, סייבר ומנהל שיווק בקבוצת חברות עידור (Messagenet, Infoguard, Idornext).
