הצעת חוק הגנת הסייבר הלאומית, התשפ"ו-2026 (להלן: "הצעת החוק"), שאושרה לאחרונה בקריאה ראשונה במליאת הכנסת, עשויה לסמן שינוי משמעותי באופן שבו ארגונים בישראל נדרשים לשקול סיכוני סייבר. בניגוד לתפיסה המסורתית – לפיה הגנת הסייבר נתפסה כנושא פנימי, שמטופל בעיקר על ידי אנשי המחשוב ואבטחת המידע, הצעת החוק משקפת תפיסה רחבה יותר לפיה גם הגנת הסייבר היא עניין של ניהול סיכונים, רציפות תפקודית, אחריות ניהולית וציות. כלומר, הצעת החוק מבקשת להפוך את זירת הסייבר מעניין טכני לנושא המצוי בליבת האחריות הניהולית.

כיום, תחום הסייבר מוסדר באמצעות שילוב של הוראות מגזריות, החלטות ממשלה, הנחיות מקצועיות והסדרים נקודתיים שאינם יוצרים מסגרת לאומית ברורה. הצעת החוק מבקשת להשלים את החסר ולייצר מסגרת אחידה ומחייבת להגנת סייבר, בעיקר ביחס לארגונים שפעילותם עשויה להשפיע על שירותים חיוניים, על רציפות הפעילות במשק או על הציבור הרחב.

חשוב להדגיש כי ההצעה אינה מחילה את אותו מערך חובות על כל עסק בישראל והיא מתמקדת בעיקר בארגונים המספקים שירותים חיוניים, ובהם תקשורת, אנרגיה, מים וביוב, בריאות, תחבורה, רשויות מקומיות, מזון, חקלאות, שירותים דיגיטליים ושירותי אחסון. ההסדרים השונים הקבועים בהצעת החוק מבוססים על ניהול סיכונים ואיזון רגולטורי בהתאם לרמת הסיכון הנשקפת בכל מגזר, ובהתאם, הם עוסקים בעיקר במגזרים המצויים בליבת הרציפות התפקודית והעסקית של המשק הישראלי.

עם זאת, הצעת החוק עשויה להשפיע גם על ארגונים שאינם מספקים שירותים המוגדרים כחיוניים. ראשית, הצעת החוק מבהירה כי כל ארגון נדרש לנקוט אמצעים סבירים להגנת סייבר, בהתאם לאופי פעילותו ולרמת הסיכון הנובעת ממנה. שנית, גם כאשר חובה רגולטורית חלה בשלב ראשון על גופים מסוימים בלבד, הסטנדרט החדש אותו מבקשת הצעת החוק לקבע בשוק עשוי לחלחל בהמשך לשוק כולו – למשל, להסכמים מסחריים, לדרישות לקוחות, לבדיקות נאותות, לתנאי ביטוח ולציפיות של משקיעים או גורמים מממנים.

חידוש בולט בהצעת החוק הוא החלה של חובת דיווח על תקיפות סייבר משמעותיות בארגונים חיוניים למערך הסייבר הלאומי ולרשות המוסמכת הרלוונטית. כך, יהיה על ארגונים לדעת לזהות אירוע תקיפת סייבר בזמן אמת ולדווח עליו, באופן ראשוני ותוך פרק זמן קצר, ובהמשך אף להגיש דיווחים משלימים.

הצעת החוק מתייחסת גם לשרשרת האספקה כמקור לסיכוני סייבר רבים, שאינם מגיעים בהכרח מליבת הארגון, אלא דרך ספקים: למשל באמצעות שירותי ענן, ספקי תוכנה, שירותי אירוח, נותני שירותים מנוהלים וקבלני משנה. הצעת החוק אינה מטילה חובה ישירה על כל ספק של ארגון חיוני, אך היא דורשת מהארגון החיוני לנהל את הסיכונים הנובעים מהתקשרויותיו. בפועל, הדבר עשוי לחייב מיפוי של ספקים מהותיים, בחינת רמת הסיכון שלהם ועיגון הוראות מתאימות בהסכמים.

לצד החובות, הצעת החוק כוללת גם מנגנוני פיקוח ואכיפה, לרבות אפשרות להטלת עיצומים כספיים על ארגון שיפר את חובותיו.

משרדנו ישמח לסייע בהיערכות של ארגונים שעשויים להיות מושפעים מהצעת החוק והמעוניינים לבחון מהן החובות שעשויות לחול עליהם והאם ההסכמים והנהלים הקיימים נותנים מענה מספק לחובות אלו.