חצי שנה של שינוי: החקיקה, הביקורת והאיומים שמעצבים מחדש את הגנת הסייבר בישראל 2026

המחצית הראשונה של 2026 חידדה שינוי משמעותי באופן שבו ארגונים בישראל נדרשים לנהל סייבר, אבטחת מידע ופרטיות.

חקיקת הסייבר הלאומית מתקדמת בכנסת, סמכויות האכיפה בתחום הפרטיות התרחבו, מבקר המדינה הצביע על פערים מהותיים בגופי ממשלה, ודוחות האיומים הבין־לאומיים מתארים סביבת תקיפה מהירה ואוטומטית יותר, המתמקדת בחולשות תוכנה, בזהויות, באפליקציות ובממשקי API.

המסקנה המרכזית למחצית השנייה של השנה ברורה:
כבר לא מספיק לומר שלארגון יש מערכות הגנה, נהלים או תעודת תקן.
הנהלות נדרשות לדעת אילו סיכונים הארגון מנהל, כיצד הבקרות נבדקות, אילו פערים עדיין פתוחים ואילו ראיות ניתן להציג לכך שמערך ההגנה אכן פועל.

חוק הגנת הסייבר הלאומית מתקדם

ב־22 בינואר 2026 פורסם להערות הציבור תזכיר חוק הגנת הסייבר הלאומית. מטרתו המוצהרת היא לחזק את ההגנה על תפקודו הרציף והבטוח של מרחב הסייבר בישראל, כחלק מהחוסן ומהביטחון הלאומי. התזכיר עוסק, בין היתר, ברמת ההגנה של ארגונים חיוניים ושל ספקי שירותים דיגיטליים מסוימים, בניהול סיכוני סייבר ובמסגרת הפיקוח הלאומית.

ב־8 ביוני 2026 אישרה מליאת הכנסת את הצעת החוק בקריאה ראשונה. נכון לסוף יוני 2026, ההצעה נמצאת בהכנה לקריאה שנייה ושלישית בוועדת החוץ והביטחון. לכן, עדיין לא מדובר בחוק שהליך חקיקתו הושלם, אך הכיוון הרגולטורי כבר ברור: הרחבת האחריות הארגונית, קביעת רף הגנה בסיסי, ניהול שיטתי של סיכונים וחיזוק הפיקוח על גופים המספקים שירותים חיוניים.
גם ארגונים שלא ייכללו בסופו של דבר בתחולה הישירה של החוק עשויים להרגיש את השפעתו. דרישות מצד לקוחות, גופים ציבוריים, חברות ביטוח, דירקטוריונים וספקים גדולים נוטות לאמץ בהדרגה את הרף הרגולטורי ולהפוך אותו לסטנדרט עסקי.

לכן, לא מומלץ להמתין לנוסח הסופי כדי להתחיל בהיערכות. הנהלות צריכות כבר כעת לבחון:

• האם הארגון מחזיק תמונה עדכנית של הנכסים והשירותים הקריטיים?
• האם תפקידי ההנהלה, ה־CISO, ה־IT והגורמים העסקיים מוגדרים בבירור?
• האם סיכוני סייבר מחוברים לתוכנית ההמשכיות העסקית?
• האם קיימת בקרה מסודרת על ספקים בעלי גישה למידע או למערכות?
• האם הארגון יכול להציג תיעוד של בדיקות, החלטות ופעולות מתקנות?

עוד על חוק הסייבר הלאומי

מבקר המדינה: הפער אינו נובע רק ממחסור בטכנולוגיה

ב־26 במאי 2026 פרסם מבקר המדינה דוח שנתי ייעודי בנושא סייבר ומערכות מידע. הדוח כולל ארבע ביקורות העוסקות באבטחת מידע וסייבר במשרד החוץ, בהגנת סייבר בעבודה מרחוק בשגרה ובחירום, באבטחת מערכות המידע במשרד הבינוי והשיכון ובשירותים המקוונים לציבור באמצעות מערכת ההזדהות הלאומית והאזור האישי הממשלתי.
הדוח אמנם מתמקד במגזר הציבורי, אך המסקנות שלו רלוונטיות כמעט לכל ארגון. במקרים רבים, הבעיה אינה היעדר מוחלט של כלי אבטחה, אלא פער בין הכלים שנרכשו לבין אופן הניהול שלהם:

• מדיניות קיימת, אך אינה מעודכנת או מיושמת באופן אחיד.
• מערכת ניטור פועלת, אך לא ברור מי בודק את ההתראות.
• עבודה מרחוק מותרת, אך הבקרות אינן מותאמות לכל תרחישי השימוש.
• ממצאים מזוהים, אך אינם מנוהלים עד לסגירתם.
• קיימת אחריות כללית, אך חלוקת הסמכויות אינה ברורה.
• שירות דיגיטלי זמין לציבור, אך הסיכונים הנלווים אליו לא תמיד נבחנים באופן מספק.

גם בדוחות ביקורת קודמים על רשויות מקומיות נבדקו נושאים כגון מדיניות ונהלים, תוכניות תגובה לאירועי סייבר, התאוששות מאסון, ניטור, ניהול הרשאות, סקרי סיכונים, בדיקות חדירה, תקן ISO 27001 ופיקוח על ספקים. עצם החזרה על אותם נושאים ממחישה כי אלה אינם סעיפים טכניים נפרדים, אלא מרכיבים של מערכת ניהול אחת.

עבור הנהלות, המשמעות היא שאבטחת מידע אינה יכולה להישאר באחריותו הבלעדית של צוות ה־IT.
היא מחייבת פיקוח, מדדים, תקצוב, תיעדוף והחלטות ניהוליות מתועדות.

עוד על דוח מבקר המדינה

תיקון 13: שנת היישום והאכיפה

תיקון מספר 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025, אך שנת 2026 היא השנה שבה ארגונים נדרשים להפוך את הוראותיו לתהליכי עבודה.

התיקון עדכן הגדרות מרכזיות בחוק, צמצם את חובת הרישום הכללית של מאגרי מידע, יצר במקרים מסוימים חובת הודעה לרשות, הרחיב את החובה למינוי ממונה על הגנת הפרטיות וחיזק באופן משמעותי את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות.

חשוב להדגיש: צמצום חובת הרישום אינו פוטר ארגונים מהחובות המהותיות הנוגעות לניהול המידע, לאבטחתו ולשימוש חוקי בו. במקרים שבהם חלה חובת הודעה, יש למסור לרשות את פרטי המאגר ואת מסמך הגדרות המאגר בתוך פרק הזמן שנקבע.

באפריל 2026 פורסמו תקנות המסדירות את הנסיבות שבהן רשאית הרשות למסור התראה מנהלית במקום להטיל עיצום כספי. התקנות אינן מפחיתות מחשיבות הציות; להפך, הן מעידות על התפתחותו של מנגנון אכיפה סדור ומעשי יותר.
תוכנית פרטיות עדכנית צריכה לכלול הרבה יותר מבדיקת סטטוס הרישום של מאגר מידע:
מיפוי של המידע האישי ושל תנועתו בין מערכות וספקים.

• הגדרת בעלי תפקידים ואחריות על מאגרים ותהליכים.
• בחינת הצורך במינוי DPO.
• בדיקת הרשאות גישה ומחזור החיים שלהן.
• הגדרת תקופות שמירה ומחיקה.
• בחינת הסכמים עם מחזיקים, מעבדים וספקי שירות.
• טיפול בבקשות של נושאי מידע.
• תיעוד החלטות, הערכות סיכון ובקרות אבטחה.

המבט העולמי: דוחות 2026 מצביעים על שינוי בקצב ובשטח התקיפה

רוב דוחות הסייבר הבין־לאומיים שפורסמו במחצית הראשונה של 2026 מבוססים בעיקר על אירועים ונתונים שנאספו במהלך 2025. למרות הבדלים במתודולוגיה, הם מצביעים על כמה מגמות משותפות שכדאי לשלב בתוכנית העבודה של ארגונים בישראל.

ניצול חולשות הפך לנתיב חדירה מוביל

ניצול חולשות הפך לנתיב חדירה מוביל
דוח DBIR של Verizon לשנת 2026 מצא כי 31% מהדליפות שנבדקו התחילו בניצול חולשות תוכנה. לראשונה בדוח, ניצול חולשות עקף שימוש בפרטי התחברות גנובים כדרך הכניסה המובילה.
המשמעות אינה שכל חולשה דורשת טיפול באותה דחיפות. היא מחייבת תהליך שמחבר בין מודיעין איומים, חומרת החולשה, חשיפת המערכת לאינטרנט, קריטיות המערכת והאופן שבו היא משמשת את הארגון.

ניהול חולשות יעיל צריך לענות על שלוש שאלות:

1. אילו נכסים חשופים?
2. אילו חולשות ניתנות לניצול בפועל?
3. כמה זמן עובר מזיהוי הסיכון ועד לצמצומו?

הזמן שעומד לרשות צוותי ההגנה מתקצר

CrowdStrike דיווחה בדוח האיומים לשנת 2026 כי זמן ה־breakout הממוצע בפעילות פשיעה מקוונת ירד ל־29 דקות. המקרה המהיר ביותר שתועד ארך 27 שניות בלבד. החברה דיווחה גם על עלייה של 89% בפעילות של גורמי איום המשתמשים ב־AI.
Breakout time הוא פרק הזמן שבין החדירה הראשונית לבין תחילת התנועה של התוקף למערכות נוספות. כאשר חלון הזמן נמדד בדקות, ארגון אינו יכול להסתמך רק על בדיקה ידנית של התראות בשעות העבודה.
המשמעות המעשית היא צורך לבחון:

• האם ה־SIEM מקבל לוגים מהמערכות הקריטיות?
• האם תרחישי הזיהוי מותאמים לסביבת הארגון?
• האם קיימת הסלמה מסודרת מחוץ לשעות הפעילות?
• האם צוות ה־SOC יודע להבחין בין אירוע שגרתי לבין אירוע הדורש תגובה מיידית?
• האם ה־Playbooks נבדקו בתרגיל ולא רק נכתבו?

זהויות והרשאות הן חלק מרכזי משטח התקיפה

דוחות 2026 מצביעים על המשך המעבר מתקיפות המבוססות רק על נוזקות לתקיפות המשתמשות בחשבונות לגיטימיים, בהרשאות ענן, ביישומי SaaS ובחשבונות שירות.
כאשר התוקף משתמש בזהות שנפרצה, הפעילות שלו עשויה להיראות כמו פעולה רגילה של עובד או ספק. לכן, MFA הוא מרכיב חשוב, אך אינו מספיק בפני עצמו.
ארגונים צריכים לנהל באופן רציף:

• חשבונות בעלי הרשאות גבוהות.
• הרשאות של עובדים שעברו תפקיד או עזבו.
• גישת ספקים ונותני שירות.
• חשבונות שירות וזהויות לא־אנושיות.
• הרשאות ביישומי SaaS ובסביבות ענן.
• זיהוי של התחברויות והתנהגות חריגה.

אפליקציות ו־API נמצאים במרכז הסיכון

דוח Apps, APIs and DDoS 2026 של Akamai מצא כי המספר הממוצע של מתקפות API יומיות עלה ב־113% בשנה. החברה דיווחה גם על עלייה של 104% במתקפות DDoS בשכבת היישום לאורך שנתיים.

הגידול בשימוש בשירותי ענן, באפליקציות דיגיטליות, באוטומציה ובכלי AI מגדיל את מספר ה־APIs ואת התלות בהם. לעיתים ארגונים אינם מחזיקים מיפוי מלא של כל הממשקים הפעילים, של סוגי המידע העוברים בהם ושל הרשאות הגישה אליהם.
לכן אבטחת אפליקציות אינה מסתכמת בבדיקת חדירה שנתית. היא צריכה לכלול:

• מיפוי אפליקציות ו־APIs.
• שילוב בדיקות אבטחה בתהליך הפיתוח.
• ניהול חולשות לאורך מחזור החיים.
• בדיקות הרשאה ובקרת גישה.
• ניטור שימוש חריג.
• בקרה על אינטגרציות עם ספקים ומערכות AI.

AI הוא גם כלי עבודה, גם מכפיל כוח לתוקפים וגם שטח תקיפה חדש

דוח Cyber Security Report 2026 של Check Point מתאר את AI כמכפיל כוח בפעילות תקיפה, לצד פיצול בעולם הכופרה, גניבת מידע והנדסה חברתית רב־ערוצית. הדוח מבוסס על מחקרי החברה ועל פעילות שנצפתה לאורך 2025.

CrowdStrike מציינת כי תוקפים אינם משתמשים ב־AI רק לכתיבת הודעות משכנעות או לאוטומציה. הם גם מנסים לנצל כלי GenAI ותשתיות פיתוח AI כחלק משרשרת התקיפה.

מבחינת הארגון, AI יוצר שתי קבוצות סיכון:

סיכונים הנובעים מפעילות התוקפים:

• פישינג והתחזות משכנעים יותר.
• סריקה ואיתור חולשות בקצב גבוה.
• אוטומציה של שלבים בשרשרת התקיפה.
• זיוף תוכן, קול ותמונה.

סיכונים הנובעים מהשימוש הארגוני:

• הזנת מידע רגיש לכלים חיצוניים.
• Shadow AI ללא אישור או בקרה.
• הסתמכות על תוצר שאינו מדויק.
• תלות בספקים ובמודלים חיצוניים.
• חיבור כלי AI לנתונים ולמערכות באמצעות API.
• שימוש בתוצר אוטומטי בקבלת החלטות מהותיות.

לכן, תוכנית AI Governance צריכה לכלול מיפוי כלים, מדיניות שימוש, סיווג מידע, בדיקת ספקים, בקרת הרשאות ופיקוח אנושי.

עוד על חוק הבינה המלאכותית האירופי באוגוסט 2026

דיווח ותגובה: לא להישאר לבד בזמן אירוע

לצד מניעה וזיהוי, אחד המרכיבים החשובים בחוסן הארגוני הוא היכולת להגיב במהירות ולדווח לגורמים המתאימים.
אירוע סייבר אינו מתחיל רק כאשר מתברר שנגרם נזק. לעיתים הסימנים הראשונים הם כניסה חריגה, הצפנת קובץ יחיד, הודעת פישינג שנפתחה או התראה שמקורה אינו ברור. ככל שהדיווח הפנימי והחיצוני מתעכב, כך גדל הסיכון שהאירוע יתרחב.
תוכנית תגובה אפקטיבית צריכה להגדיר:

• מי מוסמך להכריז על אירוע.
• מי מנהל את האירוע ברמה המקצועית והניהולית.
• מי מעדכן את ההנהלה והדירקטוריון.
• באילו נסיבות נדרש דיווח לרשות להגנת הפרטיות, למערך הסייבר הלאומי או לרגולטור ענפי.
• מי מתקשר עם לקוחות, עובדים וספקים.
• כיצד נשמרים פרטים וראיות לצורך בדיקה.
• מי מחליף בעלי תפקידים שאינם זמינים.
• כיצד ממשיכים לספק שירות בזמן הטיפול באירוע.

נוהל שאינו מתורגל עלול להיכשל ברגע שבו הוא נדרש. לכן מומלץ לבצע תרגילי הנהלה ותרגילים תפעוליים המשלבים תרחיש, קבלת החלטות, דיווח, המשכיות עסקית ותקשורת.

ISO 27001: מתעודה למערכת ניהול פעילה

ISO/IEC 27001:2022 ממשיך להיות אחד התקנים המרכזיים לניהול אבטחת מידע. עם זאת, עצם קיומה של תעודה אינו מעיד שכל הבקרות פועלות באופן אפקטיבי בכל רגע נתון.

מערכת ISMS אפקטיבית צריכה להשתנות יחד עם הארגון. מעבר לענן, שימוש ב-AI, רכישת חברה, כניסה לשוק חדש, פתיחת API, החלפת ספק או שינוי במבנה העבודה – כל אלה עשויים לשנות את פרופיל הסיכון ולחייב עדכון של הערכת הסיכונים, ה־Statement of Applicability והבקרות.

ארגון המשתמש בתקן כמערכת ניהול פעילה צריך להיות מסוגל להראות:

• שסקר הסיכונים מעודכן ומשקף את הפעילות הנוכחית.
• שהבקרות נבחרו בהתאם לסיכון ולא רק לצורך ההסמכה.
• שהנהלה בוחנת מדדים, אירועים וממצאים פתוחים.
• שמבדקים פנימיים מובילים לפעולות מתקנות.
• שספקים נכללים בתהליך ניהול הסיכונים.
• שתוכנית ההמשכיות והתגובה לאירועים נבדקת.
• שהשיפור המתמשך מתועד וניתן להוכחה.

תקינה אינה תחליף לניהול. היא מסגרת שמאפשרת להפוך את ניהול הסייבר לתהליך עקבי, מדיד ובר־ביקורת.

עדכונים לגבי דרישות ISO 27001 ונגזרותיו ב2026

הקו המחבר: מהגנה טכנולוגית למשילות ולהוכחת אפקטיביות

חקיקת הסייבר, תיקון 13, דוחות מבקר המדינה ודוחות האיומים העולמיים עוסקים בנושאים שונים, אך הם מובילים לאותה מסקנה.
הארגון אינו נמדד רק לפי מספר הכלים שרכש, אלא לפי יכולתו לנהל אותם ולענות על שאלות פשוטות לכאורה:

• מה אנחנו מגינים עליו?
• מי אחראי?
• אילו סיכונים קיבלנו ואילו בחרנו לצמצם?
• אילו מערכות אינן מכוסות?
• מתי נבדקה כל בקרה?
• כמה זמן לוקח לנו לזהות אירוע ולהגיב?
• מי עוקב אחר תיקון הממצאים?
• כיצד אנו מנהלים ספקים והרשאות חיצוניות?
• אילו ראיות נוכל להציג ללקוח, לרגולטור, למבקר או לדירקטוריון

משילות טובה מחברת בין סיכונים, אנשים, תהליכים וטכנולוגיה. היא הופכת מסמך מדיניות לפעילות שניתן למדוד ולבחון.

מה צריך להיכנס לתוכנית העבודה למחצית השנייה של 2026?

לא כל ארגון צריך להתחיל מחדש, אך זהו זמן מתאים לבצע בדיקת מציאות ולוודא שתוכנית העבודה שנבנתה בתחילת השנה עדיין רלוונטית.
1. עדכון סקר הסיכונים
יש לבחון שינויים במערכות, בשירותים, בספקים, בעבודה מרחוק, בשימוש ב־AI ובמידע האישי שהארגון מעבד.
סקר סיכונים אינו רשימה כללית של איומים. הוא צריך לתעדף תרחישים לפי השפעתם על הפעילות העסקית.
2. מיפוי נכסים וחשיפות
יש לוודא שהארגון יודע אילו מערכות, אפליקציות, APIs ושירותי ענן חשופים לאינטרנט, מי מנהל אותם ואילו חולשות פתוחות בהם.
נכס שאינו מוכר לארגון אינו יכול להיות מנוהל באופן מספק.
3. בדיקת מוכנות לתיקון 13
יש לבדוק את מצב מאגרי המידע, חובות הרישום או ההודעה, הצורך במינוי DPO, הרשאות הגישה, הסכמים עם ספקים והיכולת להציג תיעוד של תהליכי פרטיות.
4. סקירת זהויות והרשאות
יש לבצע סקירה של חשבונות מנהל, הרשאות עודפות, חשבונות ספקים, חשבונות שירות וגישה למערכות ענן ו־SaaS.
כדאי לתת עדיפות למערכות קריטיות ולזהויות המאפשרות גישה רחבה.
5. בחינת אפקטיביות SIEM/SOC
יש לוודא שמקורות הלוגים הקריטיים אכן נאספים, שתרחישי הזיהוי מעודכנים, שההתראות נבדקות ושקיימת הסלמה מחוץ לשעות הפעילות.
המטרה אינה לאסוף כמה שיותר התראות, אלא לזהות מוקדם את האירועים החשובים.
6. הסדרת השימוש ב־AI
יש למפות כלים קיימים, להגדיר מידע שאסור להזין, לבדוק ספקים, להסדיר הרשאות ולהגדיר תהליך אישור לכלי חדש.
מדיניות שאינה מלווה בהדרכה ובקרה אינה מספיקה.
7. בדיקות חדירה וניהול חולשות
בדיקות חדירה צריכות להתמקד בנכסים הקריטיים ובתרחישי סיכון רלוונטיים. חשוב לא פחות לנהל את תהליך הטיפול בממצאים ולבצע בדיקת אימות לאחר התיקון.
לצד הבדיקה התקופתית, נדרש תהליך שוטף של זיהוי, תיעדוף ותיקון חולשות.
8. תרגול תגובה והמשכיות עסקית
יש לתרגל תרחיש המשלב פגיעה טכנולוגית, קבלת החלטות ניהולית, דיווח, עבודה מול ספקים ושמירה על שירותים חיוניים.
התרגיל צריך לבדוק כיצד הארגון פועל בפועל, ולא רק אם קיים נוהל.
9. חיזוק הפיקוח על ספקים
יש למפות ספקים בעלי גישה למידע או למערכות, לבחון התחייבויות אבטחה, לוודא חובת דיווח על אירועים ולבדוק כיצד מבוטלת הגישה בסיום ההתקשרות.
10. דיווח תקופתי להנהלה
דיווח אפקטיבי להנהלה צריך לכלול סיכונים מהותיים, אירועים, ממצאים פתוחים, חריגות מלוחות זמנים, סטטוס תוכנית העבודה ומדדים המעידים על אפקטיביות.
הנהלה אינה צריכה לקבל רשימה של אלפי התראות. היא צריכה לקבל תמונה ברורה שמאפשרת לקבל החלטות.

המחצית השנייה מתחילה בבדיקת מציאות

המחצית הראשונה של 2026 לא הציגה שינוי יחיד שמבטל את כל מה שהכרנו. היא הציגה הצטברות של סימנים ברורים:

• חקיקת הסייבר בישראל מתקדמת.
• אכיפת הפרטיות הופכת מעשית ומשמעותית יותר.
• הביקורת הציבורית מתמקדת ביישום ובאפקטיביות.
• ניצול חולשות מתבצע במהירות גוברת.
• זהויות והרשאות משמשות כנתיב תקיפה מרכזי.
• אפליקציות ו־APIs מרחיבים את שטח החשיפה.
• AI מאיץ את התוקפים ומוסיף סיכונים ארגוניים חדשים.
• הזמן שנותר לארגון לזהות ולהגיב הולך ומתקצר.

הפער המרכזי אינו בהכרח בין ארגון שרכש מערכות אבטחה לבין ארגון שלא רכש אותן. לעיתים קרובות, הפער הוא בין ארגון שמניח שהוא מוגן לבין ארגון שבדק, תיעד ויכול להוכיח שהבקרות שלו פועלות.

האם תוכנית העבודה שלכם עדיין מתאימה לסביבת הסיכון של 2026?

אינפוגארד מסייעת לארגונים לתרגם חקיקה, דרישות רגולטוריות, תקנים וממצאי ביקורת לתוכנית עבודה מעשית ומדידה.
השירותים שלנו כוללים:

• סקרי סיכוני סייבר ופרטיות.
• היערכות לתיקון 13 ולדרישות רגולטוריות.
• שירותי DPO וליווי מערכי פרטיות.
• כתיבה ועדכון של מדיניות ונהלים.
• מבדקים פנימיים והיערכות ל־ISO 27001.
• בדיקות חדירה וניהול תהליך תיקון הממצאים.
• סקירת אפקטיביות SIEM/SOC ובקרות אבטחה.
• ניהול סיכוני ספקים ושרשרת אספקה.
• תרגילי הנהלה ומוכנות לאירועי סייבר.
• בניית תוכנית עבודה ומעקב אחר פעולות מתקנות.

האם תוכנית העבודה שלכם למחצית השנייה של 2026 עדיין תואמת את סביבת הסיכון, החקיקה והאכיפה?
זה הזמן לבצע הערכת מצב, לזהות את הפערים המהותיים ולהגדיר סדר עדיפויות ברור להמשך השנה.

דברו איתנו ונבחן את דרכי הפעולה והפתרונות יחד.

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).