הצעת חוק הגנת הסייבר הלאומית, התשפ"ו-2026, היא הפעם הראשונה שבה הממשלה מביאה לכנסת מסגרת שמטילה על ספקי ענן ושירותים דיגיטליים חובות אבטחה ודיווח, עם עיצום של עד 640,000 שקלים להפרה וחובת פיקוח אישית על נושאי משרה. ההצעה אושרה בקריאה ראשונה ב-8 ביוני 2026, וטרם הפכה לחוק.
לחברת SaaS או לספק אחסון ישראלי עולות כאן שתי שאלות. הראשונה נוגעת ללוח זמנים חדש לדיווח על אירוע, שמצטרף לחובה שכבר חלה מכוח דיני הפרטיות. השנייה נוגעת לביטוח הסייבר לחברות ולשאר הפוליסות: איזה חלק מהעלויות יגיע אליהן ואיזה יישאר על החברה.
ההצעה עדיין לא חוק. היא עברה קריאה ראשונה ב-8 ביוני 2026, והכנסת התפזרה ב-17 ביולי לפני שהושלמה. המשך החקיקה תלוי בהחלת דין רציפות בכנסת הבאה, והנוסח הסופי עשוי להשתנות.
ספקים דיגיטליים נכנסים לשכבות המחמירות. לפי ההצעה, ספק שירותים דיגיטליים או אחסון יהיה כפוף להוראות המדינה בעת תקיפה חמורה, גם מתחת לרף החיוניות. ספקי ענן ושירותים מנוהלים שמחזורם בישראל עולה על 40 מיליון שקלים עשויים להיחשב "ארגון חיוני" ולשאת בחובות המלאות.
חובת הדיווח מצטרפת לחובה שכבר נאכפת. ארגון חיוני ידווח למערך הסייבר הלאומי ולרשות המוסמכת במגזר במסלול מדורג של 24 שעות עד 30 יום. הדיווח לרשות להגנת הפרטיות על אירוע אבטחה חמור כבר בתוקף, והעיצום הראשון על דיווח מאוחר הוטל ביולי 2026.
הביטוח מגיב לחלק מהעלויות. פוליסת סייבר עשויה להגיב להוצאות התגובה לאירוע, ופוליסת D&O עשויה לממן הגנה לנושא משרה, בכפוף לנוסח. עיצומים וקנסות נשארים בדרך כלל על החברה ועל נושא המשרה.
איפה עומדת הצעת החוק באוקטובר 2026
נכון לתחילת אוקטובר 2026 ההצעה תקועה בין קריאה ראשונה לקריאה שנייה ושלישית, אחרי שפיזור הכנסת ה-25 ב-17 ביולי עצר את ההליך. המשך החקיקה תלוי בהחלת דין רציפות בכנסת הבאה, החלטה שאין לה מועד ידוע.
ההצעה פורסמה ברשומות ב-27 במאי 2026 ועברה במליאה ב-8 ביוני ללא מתנגדים. ועדת החוץ והביטחון פתחה בדיון עליה ב-22 ביוני, והבחירות לכנסת הבאה נקבעו ל-27 באוקטובר. הצעת חוק ממשלתית שעברה קריאה ראשונה יכולה להמשיך מהנקודה שבה נעצרה אם הכנסת הבאה תחיל עליה דין רציפות. אם תאושר, החוק ייכנס לתוקף שלושה חודשים אחרי פרסומו, וחובות ההגנה והדיווח יחולו 12 חודשים אחרי הפרסום.
מי שמחכה לנוסח הסופי כדי להתחיל להיערך יגלה ששנת ההיערכות קצרה מכפי שנראה.
מי נכנס לתחולה: שלוש שכבות של חובות
ההצעה בנויה בשכבות. כל ארגון נדרש לנקוט אמצעים סבירים להגנת סייבר לפי אופי פעילותו ורמת הסיכון. ספק שירותים דיגיטליים או אחסון כפוף בנוסף להוראות המדינה בעת תקיפה חמורה, וארגון חיוני נושא בחובות המלאות.
"שירותים דיגיטליים" מוגדרים בהצעה בהרחבה, החל משירותי תוכנה ו-SaaS ועד ניהול מערכות מחשוב ושירותי הגנת סייבר. ספק נכנס להגדרה כשקיים חיבור קבוע או עיתי בין מחשביו למחשבי הלקוח, וגם כשהוא מתחזק או מנהל שירותים כאלה עבור אחר. חברה שמחזור העסקאות השנתי שלה בישראל אינו עולה על 5 מיליון שקלים מוחרגת מרכיב ה-SaaS שבהגדרה.
| שכבה | מי נכלל לפי הנוסח שפורסם | החובות העיקריות | מה לבדוק עכשיו |
| כל ארגון | עסק או גוף שנותן שירות לציבור | אמצעים סבירים להגנת סייבר לפי רמת הסיכון | האם מדיניות האבטחה מתועדת ומאושרת בהנהלה |
| ספק שירותים דיגיטליים או אחסון | ספק תוכנה או חברת SaaS עם חיבור למחשבי הלקוח, וספק אחסון או ניהול מערכות | ציות להוראות בעת תקיפה חמורה ועדכון לקוחות שעלולים להיפגע; עיצום של עד 640,000 שקלים על אי ציות להוראה בכתב | מי בחברה מוסמך לקבל הוראה מהמדינה ולבצע אותה בתוך שעות |
| ארגון חיוני בתחום הדיגיטל והאחסון | ענן, מרכזי נתונים, CDN, שירותים מנוהלים (MSP) ו-MSSP מעל 40 מיליון שקלים מחזור בישראל או עם גישת מנהל לגוף ממשלתי; וספקי תשתית אינטרנט כמו DNS | רמת הגנה בסיסית ודיווח על תקיפות, תחת פיקוח של הרשות המוסמכת במגזר | פער מול NIST SP 800-53 או תקן מוכר אחר, ומסלול הפטור החלקי בתצהיר |
SaaS לא מופיע כקטגוריה נפרדת ברשימת הארגונים החיוניים בתחום הדיגיטל, והשאלה אם פלטפורמה מסוימת נכנסת להגדרת "מחשוב ענן" שבהצעה פתוחה ודורשת בדיקה משפטית.
גם ספק קטן שמוחרג מהחובות הישירות עשוי לקבל חלק מהן דרך החוזה, כי לפי ההצעה ארגון חיוני יידרש לנהל סיכוני שרשרת אספקה.
חובת דיווח אירוע סייבר: שלושה שעונים שמתחילים לתקתק יחד
אירוע אצל ספק דיגיטלי ישראלי עשוי להפעיל במקביל שלוש חובות דיווח נפרדות. לכל אחת נמען אחר ומועד אחר, ואיחור באחת מהן עלול לגרור עיצום או תביעה גם כשהאחרות בוצעו בזמן.
ארגון חיוני שאיתר "תקיפת סייבר משמעותית" ידווח עליה למערך הסייבר הלאומי ולרשות המוסמכת. הכוונה בעיקר לתקיפה שפוגעת או עלולה לפגוע בזמינות השירות, או לתקיפה שעלולה לחשוף נכס מידע לגישה לא מורשית. הארגון בוחר בין דיווח מיידי ודוח מסכם אחרי הטיפול, לבין מסלול מדורג: דיווח ראשוני תוך 24 שעות מהמועד שנודע לו, עדכון תוך 72 שעות ודוח מסכם תוך 30 יום. המבנה המדורג דומה מאוד לזה של NIS2.
השעון השני, כלפי הרשות להגנת הפרטיות, כבר בתוקף. תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, מחייבות לדווח לרשות מיד על אירוע אבטחה חמור, ומאז כניסת תיקון 13 לחוק הגנת הפרטיות לתוקף ב-14 באוגוסט 2025 יש לרשות סמכות להטיל עיצומים כספיים. ב-21 ביולי 2026 הוטל העיצום הראשון שעניינו האיחור בדיווח עצמו: 256,000 שקלים על גוף ציבורי בתחום הבריאות. השעון השלישי הוא החוזה. הסכמי עיבוד נתונים (DPA) עם לקוחות ארגוניים (Enterprise) קובעים לעיתים קרובות הודעה תוך 24 עד 72 שעות. ההצעה מוסיפה רכיב: ארגון שקיבל מהמדינה הודעה על תקיפה חמורה ימסור בלא דיחוי עדכון לכל ארגון שעלול להיפגע ממנה ישירות ובאופן ממשי, אלא אם הורו לו אחרת. לפי הנוסח, נראה שהמנגנון חל בשינויים המחויבים גם על ספקים דיגיטליים.
| מסגרת | על מי היא עשויה לחול | לוח הזמנים לדיווח | הערה לספק ישראלי |
| הצעת חוק הגנת הסייבר (ישראל) | ארגון חיוני, כולל ספקים דיגיטליים מעל הרף | מיידי ודוח מסכם, או מסלול מדורג מ-24 שעות עד 30 יום | טרם נחקקה; עיצום של עד 640,000 שקלים על אי דיווח |
| תקנות אבטחת מידע ותיקון 13 (ישראל) | בעל מאגר מידע ומחזיק בו | מיד, על אירוע אבטחה חמור | בתוקף; עיצום ראשון על איחור הוטל ביולי 2026 |
| NIS2 (האיחוד האירופי) | ספקי ענן ושירותים מנוהלים שפועלים באיחוד | התרעה מוקדמת ב-24 שעות והודעה מלאה ב-72 שעות | ספק מחוץ לאיחוד נדרש בדרך כלל למנות נציג; ההנהלה מאשרת את ניהול הסיכונים ומפקחת עליו |
| DORA (האיחוד האירופי) | ישות פיננסית, וספק ICT שלה דרך החוזה | הישות הפיננסית מדווחת לרגולטור | בתוקף מינואר 2025; סעיפי חוזה חובה מגולגלים אל הספק |
| SEC Form 8-K, Item 1.05 (ארה"ב) | חברה ציבורית בארה"ב | ארבעה ימי עסקים מהקביעה שהאירוע מהותי | הדוח השנתי מתאר את פיקוח הדירקטוריון על סיכוני סייבר |
| CIRCIA (ארה"ב) | ישויות במגזרי תשתית חיונית | 72 שעות לאירוע, 24 שעות לתשלום כופר | יחול רק עם כניסת הכלל הסופי לתוקף, שמועדו נדחה |
| חוק הגנת תשתיות חיוניות (הונג קונג) | מפעילים שהוגדרו בחוק | 12 שעות לאירוע חמור, 48 שעות לאירוע אחר | בתוקף מ-1 בינואר 2026 |
| Cyber Security Act 2024 (אוסטרליה) | עסקים עם מחזור שנתי מעל 3 מיליון דולר אוסטרלי | 72 שעות מתשלום כופר | דיווח על התשלום, לא על כל אירוע |
בכל מדינות ארה"ב חלים גם חוקי הודעה על דליפת מידע אישי, ובסינגפור תיקון 2024 לחוק הסייבר הרחיב את הפיקוח לתשתית דיגיטלית בסיסית כמו ענן ומרכזי נתונים. ספק שפועל בכמה שווקים צריך נוהל אחד שמתחיל מהמועד המחמיר ביותר.
האחריות האישית של נושאי המשרה
ההצעה מטילה על נושא משרה בתאגיד חובה לפקח ולעשות כל שניתן כדי למנוע עבירות לפי החוק, ומי שמפר אותה צפוי לקנס פלילי אישי. כשנעברה עבירה, חזקה שנושא המשרה הפר את חובתו, אלא אם הוכיח שעשה כל שניתן.
העבירות שהחובה מתייחסת אליהן הן בעיקר אי ביצוע הוראות של המדינה בעת סיכון או תקיפה חמורה, ודינן עד שנתיים מאסר. "נושא משרה" מוגדר כמנהל פעיל או כפקיד שאחראי על התחום שבו נעברה העבירה, כך שגם CTO או CISO עשויים להיכלל. היפוך הנטל מציב את התיעוד במרכז ההגנה מול החזקה, ובמיוחד פרוטוקולים של דיוני דירקטוריון על סיכוני סייבר.
כאן נכנסת פוליסת דירקטורים ונושאי משרה (D&O). היא עשויה לממן הגנה משפטית לנושא משרה בחקירה או בהליך, בכפוף להגדרת "תביעה" ולחריגי התנהגות. הקנס עצמו נשאר מחוץ לתמונה. חוק החברות מגביל ביטוח ושיפוי של נושא משרה בגין קנס או עיצום כספי שהוטל עליו, ופוליסות רבות מחריגות קנסות בכל מקרה. בביטוח דירקטורים לחברה פרטית יש לבדוק אם גבול האחריות משותף לחברה ולנושאי המשרה, והאם קיים כיסוי ישיר לנושאי המשרה (Side A) למקרה שהחברה לא תוכל לשפות. בחברה ציבורית בארה"ב מצטרפת חובת הגילוי על פיקוח הדירקטוריון, שעלולה להגדיל את החשיפה לתביעות ניירות ערך אחרי אירוע.
אירוע אחד אצל ספק אחסון, שלוש פוליסות
כשספק אחסון או MSP מותקף, הנזק מתפצל בין עלויות התגובה של הספק עצמו לבין תביעות של לקוחות וחשיפה אישית של ההנהלה. כל רכיב נבחן מול קו ביטוח אחר, ולכל קו גבולות משלו.
נניח, לשם המחשה בלבד, ספק ענן ישראלי בינוני שמשרת כמה מאות לקוחות עסקיים ומגלה הצפנה של שרתי לקוחות. תוך שעות הוא צריך להחליט למי לדווח. תוך ימים מגיעים מכתבי דרישה מלקוחות שההשבתה פגעה בהם, והרגולטור מבקש לראות מה ההנהלה ידעה ומתי.
| רכיב הנזק באירוע | הקו שנקרא להגיב | מה הוא עשוי לכסות | המגבלה שחשוב להכיר |
| תגובה לאירוע והודעות | ביטוח סייבר (Cyber) | שירותי חקירה דיגיטלית (Forensics) ועורך דין לאירוע, כולל עלות ההודעות לנפגעים | לרוב דרך ספקי פאנל ובהסכמה מראש; ספק שלא אושר עלול לא להיות מוחזר במלואו |
| חקירה רגולטורית | ביטוח סייבר, ולעיתים D&O | הוצאות הגנה מול הרגולטור | עיצומים מכוסים לכל היותר "ככל שהדין מתיר"; בישראל זו שאלה פתוחה |
| אובדן הכנסה של הספק | ביטוח סייבר, פרק השבתה עסקית | אובדן רווח בתקופת ההשבתה | תקופת המתנה בשעות, והגדרת "מערכת מחשב" שעשויה להשאיר ספקי משנה בחוץ |
| תביעות לקוחות על כשל בשירות | אחריות מקצועית טכנולוגית (Tech E&O) | נזק כספי של הלקוח מהשבתה או מכשל בשירות | חריג אחריות חוזית, ותקרות האחריות בהסכם השירות |
| הליך נגד המנכ"ל או ה-CTO | דירקטורים ונושאי משרה (D&O) | הוצאות הגנה, ולעיתים פיצוי בתביעה אזרחית | קנס פלילי ועיצום אישי נשארים מחוץ לכיסוי |
בביטוח סייבר לחברות טכנולוגיה, הכיסוי לסייבר ול-Tech E&O נמכר לעיתים קרובות בפוליסה משולבת עם גבול אחריות משותף. במקרה כזה אירוע אחד עלול לכלות את הגבול על הוצאות התגובה, עוד לפני שתביעות הלקוחות מגיעות. מה מכסה ביטוח סייבר תלוי בנוסח הספציפי, ולכן מומלץ לבדוק אם הגבול משותף או נפרד ואיך הפוליסה מקצה נזק בין הפרקים.
תנאי הפוליסה שמתנגשים עם לוחות הזמנים של הרגולטור
פוליסות סייבר דורשות הודעה למבטח בהקדם האפשרי ושימוש בספקים מאושרים, וחלקן מתנות החזר הוצאות בהסכמה מראש. כשהדיווח לרגולטור צריך לצאת תוך 24 שעות, החברה צריכה לדעת מראש מי מתקשר לקו החירום של המבטח ומי מאשר חוקרים ועורכי דין.
שלוש נקודות שכדאי ליישר מראש:
- נוהל ניהול אירוע סייבר שבו ההודעה למבטח היא שלב מוגדר, באותה שעה שבה מחליטים לדווח לרגולטור.
- רשימת ספקי הפאנל של המבטח, מתואמת מראש עם חברת החקירה ומשרד עורכי הדין שהחברה מעדיפה.
- הגדרה מי בהנהלה מוסמך לאשר דיווח חיצוני, כולל ממלא מקום בלילה ובסוף שבוע.
שאלה נוספת עולה בחידוש. טופסי הצעה שואלים על אירועים קודמים ועל נסיבות ידועות. חברה שקיבלה הוראה ממערך הסייבר, או שמעריכה שתסווג כארגון חיוני, צריכה לשקול אם זו נסיבה שיש לגלות. אי גילוי עלול לפגוע בכיסוי, בכפוף לחוק חוזה הביטוח ולנוסח הפוליסה. הברוקר (LAMDA Broking) והיועץ המשפטי עוברים בדרך כלל על פרק ההודעות בפוליסה מול נוהל התגובה של החברה, כדי ששני המסמכים יגדירו אותו רצף פעולות. בחיתום, דוח SOC 2, שהוא דוח אישור (Attestation) של רואה חשבון בלתי תלוי לפי קריטריוני AICPA, עוזר להראות בקרות, אבל לא עונה מעצמו על השאלה אם החברה עומדת בדרישות ההצעה.
טעויות נפוצות
רוב הטעויות נובעות מההנחה שההצעה, שטרם נחקקה, היא הרגולציה היחידה שחלה על הספק.
- "החוק לא עבר, אז אין מה לעשות": חובת הדיווח לרשות להגנת הפרטיות כבר נאכפת, ועיצום על איחור כבר הוטל.
- "החברה קטנה מדי בשביל החוק": רף 40 מיליון השקלים נוגע לארגון חיוני. לפי ההצעה, סמכויות ההוראה בתקיפה חמורה יחולו על ספקים דיגיטליים גם מתחת לרף, והפטור הקיים נוגע לרכיב ה-SaaS עד מחזור של 5 מיליון שקלים בישראל.
- "ביטוח הסייבר ישלם את העיצום": אין לכך ודאות בישראל, וביטוח של עיצום שהוטל על נושא משרה מוגבל בחוק החברות.
- "פוליסת הסייבר מכסה גם את תביעות הלקוחות": תביעה על כשל בשירות שייכת בדרך כלל ל-Tech E&O, ועלולה להיתקל בחריג אחריות חוזית או בגבול שכבר נוצל.
- "הדיווח לרגולטור הוא גם ההודעה למבטח": אלה ערוצים נפרדים, ואיחור בהודעה למבטח עלול לפגוע בכיסוי.
שאלות נפוצות
האם חברת SaaS ישראלית חייבת לדווח למערך הסייבר הלאומי כבר היום?
לפי ההצעה, חובת הדיווח למערך חלה על ארגון חיוני, וההצעה טרם נחקקה. עם זאת, חברת SaaS עשויה להיות מחויבת כבר היום בדיווח לרשות להגנת הפרטיות על אירוע אבטחה חמור, ובהודעה ללקוחות לפי החוזה, ולכן כדאי לבדוק עם יועץ משפטי איך החברה תסווג אם הנוסח יאושר ולהכין את נוהל הדיווח כבר עכשיו.
רכשנו ביטוח סייבר. האם הוא יכסה עיצום של 640,000 שקלים?
אין להניח זאת. פוליסות סייבר מתייחסות לעיצומים רגולטוריים לכל היותר "ככל שהדין מתיר", ובישראל אין קביעה ברורה שעיצום כזה בר ביטוח. הוצאות ההגנה בחקירה הרגולטורית עשויות להיות מכוסות, בכפוף לנוסח. ביטוח ושיפוי של עיצום שמוטל אישית על נושא משרה מוגבלים גם בחוק החברות, ולכן מומלץ לתכנן אותו מחוץ לפוליסה.
האם ביטוח D&O מגן על המנכ"ל מחובת הפיקוח האישית שבהצעה?
פוליסת D&O עשויה לממן הגנה משפטית לנושא משרה שנחקר או מואשם בהפרת חובת הפיקוח, בכפוף להגדרות ולחריגים. הקנס הפלילי עצמו נשאר מחוץ לכיסוי. מאחר שההצעה קובעת חזקה נגד נושא המשרה, תיעוד שוטף של מעורבות ההנהלה בניהול סיכוני סייבר חשוב לא פחות מהפוליסה.
לקוח שהשירות שלו קרס בגלל תקיפה אצלנו תובע אותנו. איזו פוליסה מגיבה?
בדרך כלל אחריות מקצועית טכנולוגית (Tech E&O), שנועדה להגיב לנזק כספי של לקוח מכשל בשירות. אם התביעה נשענת על דליפת מידע אישי, גם פרק האחריות בביטוח הסייבר עשוי להגיב. יש לבדוק את חריג האחריות החוזית ואת תקרות האחריות בהסכם השירות, שקובעים כמה מהנזק יגיע לפוליסה בכלל.
ספק ישראלי שמשרת לקוחות באירופה מושפע גם מרגולציה זרה?
ייתכן בהחלט. ספק שמשרת לקוחות באיחוד האירופי עשוי להיות כפוף ל-NIS2, שמחייבת התרעה ראשונית תוך 24 שעות ומטילה אחריות על ההנהלה, ולקוח פיננסי אירופי יגלגל אליו דרישות DORA דרך החוזה. בפועל, ספק כזה צריך נוהל דיווח אחד שמתחיל מהמועד המחמיר ביותר.
מה כדאי לעשות לפני חידוש הפוליסות הבא?
למפות את חובות הדיווח שחלות על החברה ולהשוות אותן לפרק ההודעות בפוליסה ולספקי הפאנל של המבטח. במקביל כדאי לבדוק אם הגבול בפוליסה משולבת משותף לסייבר ול-Tech E&O, ואם פוליסת ה-D&O כוללת כיסוי לחקירות רגולטוריות. את הממצאים כדאי להציג לחתם כחלק מתיק החידוש.
ספק שירותים דיגיטליים שממפה היום את חובות הדיווח שלו ומיישר אליהן את הפוליסות יגיע לנוסח הסופי של החוק, אם יאושר, עם תיעוד שמגן על החברה ועל נושאי המשרה שלה.
האמור לעיל הוא מידע כללי בלבד ואין בו משום ייעוץ ביטוחי, משפטי או מקצועי אחר. תנאי הכיסוי, ההחרגות והחובות נקבעים בנוסח הפוליסה הספציפי ובכפוף לדין החל. יש לבחון כל מקרה לגופו מול נוסח הפוליסה ומול יועץ מוסמך.







































































