אבטחת סייבר: ישראל (2026)
בישראל אין חוק מקיף אחד בתחום אבטחת הסייבר. במקום זאת, חובות אבטחת הסייבר מוטלות באמצעות מערכת רגולטורית מגזרית ומפוצלת — הנחיות לתשתיות קריטיות המפורסמות על ידי המנהל הלאומי לאבטחת סייבר (INCD) והסוכנות לביטחון ישראל מכוח "חוק הגופים הציבוריים" משנת 1998, כללים בנושא אבטחת מידע ודיווח על הפרות מידע מכוח חוק הגנת הפרטיות משנת 1981 ותקנות אבטחת המידע משנת 2017, המופעלות על ידי הרשות להגנת הפרטיות, וכן כללים למגזר הפיננסי מטעם בנק ישראל. הצעת חוק לאומית רוחבית להגנה בסייבר הועברה להתייעצות ציבורית בינואר 2026, אך נותרה בשלב הטיוטה.
מסגרת ראשית
אין חוק רוחבי בתחום אבטחת הסייבר. החובות נובעות מחוק הסדרת האבטחה בגופים ציבוריים, תש"ח-1998 (תשתיות קריטיות), מחוק שירות הביטחון הכללי, תש"כ-2002 (תפקידו של השב"כ/ISA), מחוק הגנת הפרטיות, 5741-1981 ותקנות הגנת הפרטיות (אבטחת מידע), 5777-2017 (חובות במקרה של דליפת מידע), וכן הנחיות של רגולטורים מגזריים (בפרט הנחיות בנק ישראל 361/364 בנושא התנהלות נאותה בעסקים בנקאיים). טיוטת הצעת חוק להגנה לאומית בסייבר פורסמה בינואר 2026, אך טרם נחקקה.
נקודות מרכזיות
הנחיות בנושא תשתיות חיוניות
חוק הסדרת האבטחה בגופים ציבוריים, 5758-1998 מעניק לשב"כ ולמנהל הסייבר הלאומי סמכות להוציא הנחיות מחייבות בנושא אבטחת מידע ואבטחת סייבר לארגונים חיוניים המפורטים ברשימה (תקשורת, תשתיות, תחבורה, בורסה, רשם שמות מתחם לאומיים וכו') ולבדוק את עמידתם בהן.
חובת הדיווח על דליפת נתונים
על פי תקנות הגנת הפרטיות (אבטחת מידע), 5777-2017, בעלי מאגרי מידע ברמת אבטחה "בינונית" או "גבוהה" מחויבים להודיע מיד לרשות להגנת הפרטיות על אירוע אבטחה חמור; הרשות להגנת הפרטיות רשאית להורות על מתן הודעה לבעלי המידע שנפגעו. תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, והרחיב באופן משמעותי את סמכויות האכיפה של הרשות להגנת הפרטיות.
כללים בנושא אבטחת סייבר במגזר הפיננסי
הנחיה 361 של בנק ישראל בנושא התנהלות תקינה בעסקים בנקאיים (ניהול הגנה בסייבר) אוחדה עם ההנחיות 357 ו-363 למסגרת המעודכנת (הנחיה 364), המחייבת ממשל תאגידי ברמת הדירקטוריון, ניהול סיכונים, תרגילים, ניטור רציף ודיווח על תקריות למפקח על הבנקים ול-INCD ללא דיחוי.
תפקידו של המנהל הלאומי לאבטחת סייבר
ה-INCD, שהוקם בשנת 2017 וזכה להכרה בהחלטות ממשלתיות ובתיקון לחוק שהועבר בכנסת בשנת 2019, מפעיל את CERT-IL, מפרסם הנחיות וולונטריות (למשל, "מתודולוגיית הגנה קיברנטית לארגון 2.0"), ומתאם את התגובה הלאומית לאירועים, אך אין לו סמכויות אכיפה חוקיות רוחביות עד לאישור טיוטת חוק ההגנה הקיברנטית הלאומי.
הצעת חוק רוחבית (טיוטה משנת 2026)
בינואר 2026 פרסמה הממשלה טיוטת חוק לאומי להגנה בסייבר, אשר יחול על "ארגונים חיוניים" (ממשל, תקשורת, אנרגיה, בריאות, תחבורה, מרכזי נתונים, PaaS/SaaS, ספקי שירותי אבטחת סייבר, פלטפורמות מקוונות) ויטיל חובות אבטחה מבוססות סיכון, חובת דיווח על תקריות, סנקציות כספיות ואחריות פלילית פוטנציאלית. הצעת החוק נמצאת עדיין בשלב ההתייעצות, ואינה צפויה להיחקק לפני שנת 2027.
תפקידו של השב"כ (ISA) על פי החוק משנת 2002
חוק שירות הביטחון הכללי, תש"ב-2002, מעניק באופן רשמי לשירות הביטחון הכללי את האחריות להגנה על מערכות ממוחשבות ותשתיות קריטיות שנקבעו מפני איומי סייבר; משימה זו הועברה בהדרגה לידי המרכז הלאומי להגנה על מידע (INCD) האזרחי, אך שירות הביטחון הכללי שומר על הסמכות החוקית בכל הנוגע לגופים הרגישים ביותר.
דף זה הוא תרגום שנועד לנוחות הקוראים; הגרסה האנגלית היא הגרסה המחייבת, ואין לראות בו ייעוץ משפטי.