חוק הגנת הסייבר הלאומית 2026: מה התזכיר מחייב ארגונים

נקודות עיקריות

• התזכיר פורסם ב-22 בינואר 2026, וההערות הציבור התקבלו עד 12 בפברואר 2026.
• החובות המרכזיות מוטלות על "ארגונים חיוניים" ב-12 מגזרים, לפי ספי גודל — למשל ספקית תקשורת עם 200,000 מנויים ומעלה.
• החובות המוצעות כוללות ניהול סיכונים, הגנה על נכסים, היערכות לאירועים, רציפות עסקית, אבטחת שרשרת אספקה, הצפנה ובקרת גישה.
• ארגון חיוני יחויב לדווח על אירוע סייבר משמעותי, והתזכיר כולל סנקציות מינהליות ופליליות ואחריות אישית של מנהלים.
• החוק המוצע לא מחליף את חוק הגנת הפרטיות: ארגון שמחזיק מאגר מידע ימשיך לעמוד גם בתקנות אבטחת המידע ובחובות הדיווח לרשות להגנת הפרטיות.

תוכן עניינים

• מהו חוק הגנת הסייבר הלאומית?
• מי ייחשב "ארגון חיוני" לפי התזכיר?
• אילו חובות מוצעות לארגונים חיוניים?
• איך זה משפיע על ספקים ועסקים קטנים?
• מה הקשר לחוק הגנת הפרטיות ותקנות אבטחת המידע?
• איך נערכים כבר עכשיו?
• שאלות ותשובות

חוק הגנת הסייבר הלאומית הוא חוק מסגרת מוצע, שמטרתו להסדיר בחקיקה ראשית את הגנת הסייבר של המשק האזרחי בישראל. עד היום רוב חובות הסייבר בישראל נשענו על הנחיות מגזריות, על רגולציה פיננסית ועל תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017. התזכיר שפרסם מערך הסייבר הלאומי ב-22 בינואר 2026 מנסה ליצור שכבה אחידה: הגדרה של מי חייב, מה עליו לעשות, למי מדווחים, ומה קורה כשלא מצייתים. למי שכבר עובד על ציות לתיקון 13, כדאי להכיר את התזכיר עכשיו — חלק גדול מהדרישות חופף לעבודה שכבר נעשית, ומערכת ציות לחוק הגנת הפרטיות שממפה סיכונים, מאגרים וספקים היא בסיס טוב גם להיערכות לחוק הסייבר.

מהו חוק הגנת הסייבר הלאומית?

תזכיר חוק הגנת הסייבר הלאומית, התשפ״ו-2026, הוא הצעת חקיקה של מערך הסייבר הלאומי שנועדה לעגן בחוק את סמכויות המערך ואת חובות ההגנה של ארגונים שהפגיעה בהם תשפיע על המשק כולו. התזכיר פורסם להערות הציבור ב-22 בינואר 2026, והמועד להגשת הערות נקבע ל-12 בפברואר 2026. תזכיר הוא שלב מוקדם בהליך החקיקה: הנוסח עשוי להשתנות לפני שיונח על שולחן הכנסת ויעבור קריאות.

לפי הסקירות שפורסמו, התזכיר עוסק בשני צירים. הציר הראשון הוא מוסדי: עיגון תפקידי מערך הסייבר — גיבוש אסטרטגיה לאומית, הפעלת ה-CERT הלאומי ומרכז ניטור לאומי, פרסום התרעות והנחיות לציבור וקידום שיתוף פעולה בינלאומי. הציר השני הוא רגולטורי: הטלת חובות הגנה ודיווח על ארגונים חיוניים, יחד עם סמכויות פיקוח ואכיפה.

למה עכשיו?

ישראל נמצאת בשנים האחרונות תחת גל מתקפות מתמשך. בחודש מרץ 2026 דווח שמערך הסייבר זיהה ניסיונות של גורמים איראניים למחוק ולהשמיד מידע ומערכות של חברות אזרחיות. המערך גם הזהיר שכלי AI אוטונומיים מסוגלים לבצע כמעט שרשרת תקיפה שלמה בעצמם. על הרקע הזה, חוק שמגדיר רף הגנה מחייב ומנגנון דיווח אחיד נתפס כצעד מתבקש.

מי ייחשב "ארגון חיוני" לפי התזכיר?

ארגון חיוני, לפי התזכיר, הוא גוף ממשלתי או פרטי שפועל באחד מ-12 מגזרים מוגדרים ועובר את ספי הגודל שנקבעו לאותו מגזר. המגזרים שמופיעים בסקירות: תקשורת, חשמל, גז טבעי, דלק, בריאות, איכות הסביבה, מים וביוב, תחבורה, רשויות מקומיות, מזון, שירותים דיגיטליים וחקלאות. הספים משתנים לפי מגזר — לדוגמה ספקית תקשורת עם 200,000 מנויים ומעלה, תחנת כוח בהספק של 100 מגה-וואט ומעלה, בתי חולים ותאגידי מים מעל גודל מוגדר.

לפי ניתוח שפרסמה חברת InfoGuard, המגזר הפיננסי לא נכלל ברשימה, משום שחלה עליו כבר רגולציית סייבר מגזרית של המפקחים הפיננסיים. עסק שאינו פועל באחד המגזרים או שנמצא מתחת לספים לא יהיה "ארגון חיוני" — אבל, כפי שיוסבר בהמשך, זה לא אומר שהחוק לא ישפיע עליו.

אילו חובות מוצעות לארגונים חיוניים?

התזכיר מחייב ארגון חיוני ליישם הגנות סייבר בסיסיות, לציית להנחיות מערך הסייבר ולדווח על אירועי סייבר משמעותיים. ההגנות הבסיסיות כוללות ניהול סיכונים, הגנה על נכסים, היערכות לאירועים, רציפות עסקית, אבטחת שרשרת האספקה, הצפנה ובקרת גישה. בנוסף, הארגון יחויב לפעול לפי הנחיות מקצועיות מגזריות והתרעות בזמן אמת שמפרסם המערך.

מתי יחויבו לדווח?

לפי הסקירות, חובת הדיווח חלה על אירוע סייבר משמעותי: אירוע שפוגע בזמינות השירות, אירוע של גישה לא מורשית למידע, או אירוע בעל פוטנציאל התפשטות לארגונים אחרים. זה חשוב, כי אירוע אחד — למשל כופרה שמצפינה שרתי לקוחות — עשוי להיות גם "אירוע אבטחה חמור" לפי תקנות הגנת הפרטיות וגם אירוע משמעותי לפי חוק הסייבר.

פטור לספקי ענן

התזכיר מאפשר לספקי שירותים דיגיטליים לקבל פטור לשנתיים מחלק מהחובות, אם הם מציגים אישור FedRAMP Marketplace או הצהרה על עמידה בתקן NIST 800-53. לפי הסקירות, הפטור לא חל על חובות הדיווח.

סנקציות ואחריות מנהלים

התזכיר כולל סנקציות מינהליות ופליליות על אי-ציות, וגם אחריות אישית של מנהלים. הסקירות שבדקנו לא פירטו סכומי עיצומים, ולכן לא נציין כאן מספרים — סכומים סופיים ייקבעו רק בנוסח שיאושר. המגמה ברורה: כמו בתיקון 13 לחוק הגנת הפרטיות, גם כאן ההנהלה נושאת באחריות, ולא רק מחלקת ה-IT. על המקבילה בעולם הפרטיות אפשר לקרוא במאמר על אחריות הנהלה ודירקטוריון בהגנת הפרטיות.

איך זה משפיע על ספקים ועסקים קטנים?

גם עסק שלא יוגדר ארגון חיוני עשוי להרגיש את החוק דרך חובת אבטחת שרשרת האספקה: ארגונים חיוניים יצטרכו לוודא שגם הספקים שלהם מוגנים. בפועל זה אומר שחברת תוכנה שמספקת מערכת לעירייה, קבלן IT של בית חולים או ספק שירותי ענן של חברת תקשורת עשויים להידרש לשאלוני אבטחה, לסעיפי סייבר בחוזה, לדיווח על אירועים ולבקרות תקופתיות.

זה אותו היגיון שכבר קיים בעולם הפרטיות. תקנות אבטחת המידע מחייבות בעל מאגר להסדיר בהסכם את התחייבויות מי שמעבד עבורו מידע, וספקים רבים כבר מתבקשים לחתום על הסכם עיבוד מידע (DPA). חוק הסייבר צפוי להרחיב את הדרישות האלה גם לנושאים שאינם מידע אישי — זמינות, המשכיות ועמידות.

מי צריך לשים לב במיוחד?

• חברות תוכנה ו-SaaS שמוכרות לרשויות מקומיות, לבתי חולים או לתאגידי מים.
• ספקי IT מנוהל, אחסון וענן.
• ספקי מערכות תפעוליות (OT) בתחומי אנרגיה, מזון וחקלאות.
• משרדי ייעוץ ואינטגרטורים עם גישה מרחוק למערכות של לקוחות.

מה הקשר לחוק הגנת הפרטיות ותקנות אבטחת המידע?

חוק הגנת הסייבר הלאומית המוצע ותקנות הגנת הפרטיות (אבטחת מידע) הם שתי מערכות נפרדות שחלות במקביל: הראשון מגן על רציפות ועמידות של שירותים חיוניים, והשני מגן על מידע אישי במאגרי מידע. ארגון חיוני שמחזיק מאגר מידע — וכמעט כולם מחזיקים — יצטרך לעמוד בשתיהן.

המשמעות המעשית: נוהל תגובה לאירועים צריך לכלול עץ החלטות שמזהה לאיזה גורם מדווחים. מי שכבר בנה נוהל לפי המדריך שלנו על דיווח על אירוע אבטחת מידע לרשות יוכל להרחיב אותו לחוק הסייבר, ולא לבנות מחדש.

איך נערכים כבר עכשיו?

הדרך היעילה להיערך היא לבנות על עבודת הציות לפרטיות שכבר קיימת: מיפוי נכסים, סקר סיכונים, בקרת ספקים ונוהל אירועים. רוב ההגנות הבסיסיות בתזכיר — ניהול סיכונים, בקרת גישה, הצפנה והמשכיות — קיימות כבר בתקנות אבטחת המידע ברמה בינונית וגבוהה.

1. בדקו אם אתם במגזר רלוונטי. עברו על 12 המגזרים ועל ספי הגודל, ובדקו אם אתם ארגון חיוני או ספק של ארגון חיוני.
2. מפו מערכות קריטיות. מעבר למאגרי המידע, זהו אילו מערכות — אם יושבתו — יעצרו את השירות.
3. עדכנו את סקר הסיכונים. הוסיפו תרחישי זמינות והשמדת מידע (wiper), לא רק דליפה. ראו גם סקר סיכונים ומבדק חדירות.
4. חזקו את בקרת הספקים. הכינו שאלון אבטחה וסעיפי חוזה שמכסים גם סייבר וגם פרטיות.
5. אחדו את נוהל האירועים. הגדירו מראש מי מחליט על דיווח, למי ובאיזה לוח זמנים.
6. עקבו אחרי הליך החקיקה. הנוסח עוד עשוי להשתנות — בדקו עדכונים באתר מערך הסייבר הלאומי ובאתרי חקיקה.

ארגון שעושה את ששת הצעדים האלה יהיה במצב טוב יותר גם מול הרשות להגנת הפרטיות, בלי קשר לשאלה מתי ובאיזה נוסח יחוקק חוק הסייבר.

סיכום

• תזכיר חוק הגנת הסייבר הלאומית פורסם ב-22.1.2026 ועדיין אינו חוק מחייב.
• הוא מטיל חובות הגנה, ציות להנחיות ודיווח על ארגונים חיוניים ב-12 מגזרים.
• ספקים של ארגונים חיוניים ירגישו אותו דרך דרישות שרשרת האספקה.
• הוא חל לצד תקנות אבטחת המידע, ולא במקומן.

שאלות ותשובות

האם חוק הגנת הסייבר הלאומית כבר בתוקף?

לא. נכון למועד כתיבת המאמר מדובר בתזכיר חוק שפורסם להערות הציבור ב-22 בינואר 2026. הנוסח עשוי להשתנות, ורק לאחר אישור הכנסת יהפוך למחייב.

האם עסק קטן חייב לעמוד בחוק הסייבר המוצע?

החובות הישירות מוטלות על ארגונים חיוניים ב-12 מגזרים שעוברים ספי גודל. עסק קטן שאינו כזה לא יחויב ישירות, אבל אם הוא ספק של ארגון חיוני הוא עשוי להידרש לעמוד בדרישות אבטחה במסגרת החוזה.

האם המגזר הפיננסי כלול בתזכיר?

לפי הניתוחים שפורסמו, המגזר הפיננסי לא נכלל ברשימת המגזרים משום שחלה עליו רגולציית סייבר מגזרית נפרדת של המפקחים הפיננסיים.

על מה ארגון חיוני יצטרך לדווח?

לפי הסקירות של התזכיר, על אירוע סייבר משמעותי: פגיעה בזמינות השירות, גישה לא מורשית למידע או אירוע עם פוטנציאל התפשטות. במקביל, אם נפגע מאגר מידע, ייתכן שתחול גם חובת דיווח לרשות להגנת הפרטיות.

האם החוק החדש מחליף את תקנות אבטחת המידע?

לא. תקנות הגנת הפרטיות (אבטחת מידע) ממשיכות לחול על כל מאגר מידע. חוק הסייבר המוצע מוסיף שכבה של חובות לארגונים חיוניים, שמתמקדת בעמידות ובזמינות השירותים.

לקריאה נוספת ומקורות

• תזכיר חוק הגנת הסייבר הלאומית, התשפ״ו-2026 — נוסח מלא
• ארנון תדמור-לוי — סקירת תזכיר חוק הגנת הסייבר הלאומית
• תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.

להמשך קריאה

• תיקון 13 לחוק הגנת הפרטיות — המדריך המלא לבעלי אתרים
• תקנות אבטחת מידע: איך קובעים את רמת האבטחה של המאגר
• אבטחת מידע לעצמאים: מה חל על מאגר מידע שמנוהל בידי יחיד

מה כבר מחייב היום — בלי לחכות לחוק הסייבר

• הצפנת מידע אישי בעסק: מתי זו חובה ואיך בוחרים מה להצפין — הצפנה היא אחד האמצעים שהתזכיר והתקנות הקיימות מצפים להם.
• הדרכת עובדים באבטחת מידע: מה התקנות דורשות וכל כמה זמן — הדרכת עובדים היא חובה קיימת לפי תקנות אבטחת המידע.
• עבודה מהבית והתקנים ניידים: איך שומרים על מידע אישי מחוץ למשרד — גישה מרחוק ומכשירים ניידים — נקודת התקיפה הנפוצה בארגונים.
• תובענה ייצוגית בגלל דליפת מידע: מה החשיפה האזרחית של העסק — מה החשיפה המשפטית כשדליפת מידע כבר קרתה.