התשובה התפעולית לכך היא בסיס ממשל אחד שנבנה לפי הדרישה המחמירה מבין הזירות, ותוספות ייעודיות לכל שוק לפי מה שהחוזה או הרגולטור המקומי דורשים. הבדיקה שקובעת בסופו של דבר את התוצאה היא פשוטה: מה החברה מסוגלת להראות במסמך ברגע שנשאלת.
עיקרי הדברים
- נתוני תעשייה מ-2025 מראים שצפון אמריקה מרכזת כ-69% מהפרמיות העולמיות ואירופה כ-21%, בעוד אסיה-פסיפיק מחזיקה בסדר גודל של כ-8%. הריכוז הזה קובע מי מכתיב את שפת הפוליסה ואת רמת התיעוד שנחשבת סבירה בחיתום.
- בארצות הברית מחיר האירוע נקבע ברובו אחרי האירוע. נתוני 2026 מצביעים על עלות ממוצעת של כ-5 מיליון דולר לפרצת נתונים, שיא, עלייה של 12%, ועל פי נתוני 2026 עלות פרצת נתונים בארה״ב גבוהה מפי שניים מהממוצע העולמי. מעל זה יושבים כללי הגילוי של ה-SEC ורגולציה מדינתית.
- באירופה החיתום מבוסס ראיות. GDPR מחייב דיווח בתוך 72 שעות ו-NIS2 מטיל אחריות אישית על ההנהלה. DORA מוסיף דרישות חוזיות על ספקי ICT של גופים פיננסיים. חתם אירופי מבקש לראות מסמך שמתאר בקרה קיימת, ולא הצהרה כללית.
- בישראל הפער מתגלה כמעט תמיד באותה נקודה: לקוח ארגוני מבקש אישור קיום ביטוחים בנוסח שלו, והחברה מגלה שהיא טרם רכשה את הגבולות והתנאים הנדרשים. תקנות הגנת הפרטיות (אבטחת מידע), חובת הדיווח לרשות להגנת הפרטיות ותיקון 13 מוסיפים שכבה מקומית לאותה דרישה.
מפה של שוק אחד עם ציפיות שונות
הפיזור הגאוגרפי של הפרמיות הוא שמסביר מדוע נוסח שמקובל בלונדון נראה זר לחתם בסינגפור. נתוני תעשייה מ-2025 מראים שצפון אמריקה מרכזת כ-69% מהפרמיות העולמיות ואירופה כ-21%, ואסיה-פסיפיק מחזיקה בסדר גודל של כ-8%. ריכוז כזה קובע מי מכתיב את שפת הפוליסה ואת רמת התיעוד שנחשבת סבירה.
המסקנה התפעולית פשוטה – חברה שבונה מערך ביטוח נפרד לכל שוק משלמת פעמיים ומתקשה להסביר לחתם למה התמונה מפוצלת, בעוד חברה שבונה בסיס אחד לפי הדרישה המחמירה מוסיפה מעליו רק את מה שהזירה הספציפית דורשת.
ארצות הברית: ליטיגציה, גילוי ודרישות חוזיות
ארצות הברית היא הזירה היקרה ביותר, והסיבה נמצאת פחות בתקיפה עצמה ויותר במה שקורה אחריה. תביעות ייצוגיות בעקבות דליפת נתונים הן שגרה, וחקירות רגולטוריות נלוות אליהן. נתוני 2026 מצביעים על עלות ממוצעת של כ-5 מיליון דולר לפרצת נתונים, שיא, עלייה של 12%.
על פי נתוני 2026, עלות פרצת נתונים בארה״ב גבוהה מפי שניים מהממוצע העולמי. כללי הגילוי של ה-SEC משנת 2023 מחייבים חברה ציבורית לדווח על אירוע סייבר מהותי בתוך ארבעה ימי עסקים מרגע ההכרעה בשאלה הזאת, ולתאר בדוח השנתי את אופן הפיקוח של הדירקטוריון על סיכוני סייבר. דרישת הגילוי שהוצעה בנוגע למומחיות סייבר בקרב חברי הדירקטוריון הוסרה מהנוסח הסופי, כך שהמוקד הוא תהליך הפיקוח ולא הרכב הדירקטוריון. מעל הרובד הפדרלי יושבת שכבה מדינתית, ובכללה CCPA בקליפורניה ודרישות NYDFS למגזר הפיננסי בניו יורק. בצד המסחרי, חוזה עם לקוח ארגוני אמריקאי כולל בדרך כלל דרישת ביטוח סייבר לצד אחריות מקצועית לחברות טכנולוגיה, עם גבולות אחריות נקובים ולעיתים גם דרישה לביטוח דירקטורים ונושאי משרה. סחיטת כופר ופגיעה בדוא״ל עסקי נשארות סוגי התביעה הדומיננטיים, ולכן שאלון החיתום האמריקאי מתעכב עליהן יותר מכל נושא אחר. חתם שמקבל תשובה חלקית על אחת מהן מתמחר את אי הוודאות.
בזירה הזאת מחיר הכיסוי נגזר מהחשיפה המשפטית שאחרי האירוע יותר מאשר מחומרתו הטכנית.
אירופה: הוכחה במקום הצהרה
באירופה החיתום מבוסס ראיות. חתם אירופי מבקש לראות מסמכים שמתארים בקרות קיימות, ולא הצהרה כללית שהחברה מקפידה על אבטחת מידע. הרגולציה עצמה כבר מייצרת את המסמכים האלה, ולכן המרחק בין עמידה ברגולציה לבין מוכנות לחיתום קטן יחסית.
GDPR מחייב דיווח לרשות המפקחת בתוך 72 שעות מרגע שנודע על אירוע, וקובע קנסות של עד 4% מהמחזור העולמי. NIS2 העביר את האישור והפיקוח על ניהול סיכוני הסייבר לגוף המנהל עצמו, לרבות אחריות אישית של נושאי משרה. DORA חל מינואר 2025 על גופים פיננסיים ועל ספקי ICT שלהם, ומכאן שספקית תוכנה ישראלית שמשרתת בנק אירופי נכנסת לתמונה דרך החוזה, עם סעיפים מחייבים ועם מרשם מידע על ספקים. חברה שכבר בנתה את התיעוד הזה מגיעה לשאלון החיתום כשרוב התשובות כתובות.
שוק לוידס: חיתום מומחה וסיכון צבירה
שוק לוידס הוא המרכז הגלובלי לחיתום סייבר מומחה, והזירה שאליה מגיעים סיכונים שלא נכנסים לתבנית סטנדרטית. סינדיקטים בשוק הזה מתמחרים חשיפות ייחודיות כמו תלות בספק ענן יחיד, ריכוז לקוחות בענף אחד או מוצר שמבוסס על מודלי שפה. עבור חברה ישראלית זהו לרוב הערוץ שמאפשר גבולות אחריות גבוהים ונוסח שמותאם לפעילות בפועל.
שתי סוגיות מעצבות את הנוסח בשוק הזה. הראשונה היא צבירה: אירוע יחיד שפוגע בו זמנית באלפי מבוטחים, כמו השבתה של ספק ענן מרכזי או פגיעה ברכיב תוכנה נפוץ, נמצא בלב ניהול ההון של השוק ומחלחל להגדרות ולסייגים. השנייה היא ההתייחסות לאירועים המיוחסים למדינה, שבעקבותיה נוסחו החרגות ייעודיות שנכנסות לפוליסות סייבר עצמאיות ומחייבות בדיקה מול פרופיל הפעילות של המבוטח. הברוקר (LAMDA Broking) פועל כקוברהולדר מורשה של לוידס ובוחן את הנוסח מול סעיפי הביטוח בחוזה הלקוח, כדי לאתר פערים בין הדרישה החוזית לבין מה שהפוליסה עשויה לכסות.
בשוק הזה גובה גבול האחריות חשוב פחות מהדיוק שבתיאור החשיפה.
אסיה-פסיפיק והמפרץ: נתח קטן, שערי כניסה מסודרים
אסיה-פסיפיק והמפרץ מחזיקים נתח קטן מהפרמיות העולמיות ומציבים בכל זאת שערי כניסה מסודרים. נתוני תעשייה מ-2025 מציבים את אסיה-פסיפיק בסדר גודל של כ-8% מהפרמיות, כלומר שוק צומח ולא שוק מוביל. הציפייה שם מגיעה פחות מהחתם ויותר מהרגולטור המקומי ומהלקוח הארגוני.
בסינגפור, הנחיות MAS לניהול סיכוני טכנולוגיה ולמיקור חוץ מגדירות מה בנק או חברת פינטק נדרשים לדרוש מספק, והדרישה מתגלגלת לחוזה עם הספקית הישראלית. בהונג קונג ובטוקיו הציפייה דומה במהותה, עם דגש חזק על זמינות שירות ועל המשכיות עסקית. במפרץ, מסגרות DIFC ו-ADGM מגדירות חובות הגנת מידע ואבטחה לגופים פיננסיים, ולעיתים נדרש אישור ביטוח בנוסח מקומי או נוכחות של ספק שירותי אירוע באזור הזמן הרלוונטי.
ישראל: נולדות גלובליות, מתבגרות בממשל
חברות ישראליות נולדות גלובליות ומגיעות לשווקים הגדולים לפני שהממשל הפנימי שלהן בשל. הפער מתגלה כמעט תמיד באותה נקודה: לקוח ארגוני מבקש אישור קיום ביטוחים בנוסח שלו, עם גבולות אחריות ותנאים שהחברה טרם רכשה. מהרגע הזה לוח הזמנים נמדד בימים, והפנייה לשוק נעשית בלחץ.
במקביל פועלת שכבה ישראלית משלה. תקנות הגנת הפרטיות (אבטחת מידע) מטילות חובות לפי רמת האבטחה של המאגר, ובהן מיפוי מאגרים, ניהול הרשאות, תיעוד אירועי אבטחה וחובת דיווח לרשות להגנת הפרטיות על אירוע אבטחה חמור. תיקון 13 לחוק הגנת הפרטיות הרחיב את סמכויות האכיפה של הרשות והוסיף עיצומים כספיים, כך שאירוע שנובע מבקרות רשלניות יקר יותר מבעבר. חברה שמסדרת את התיעוד הזה מגלה שהיא מסודרת גם מול שאלון חיתום בלונדון וגם מול רכש ארגוני בארצות הברית. ההשקעה בממשל היא גם מה שפותח את הדלת המסחרית, ולא רק סעיף עלות בתקציב. חברה שמגיעה מוכנה לרגע הזה מנהלת משא ומתן על התנאים במקום להיגרר אחריהם.
השוואה בין חמש הזירות
הטבלה מסכמת את חמש הזירות לפי אותם ארבעה משתנים. השימוש המעשי בה הוא לפני פנייה לשוק, כדי לדעת איזה מסמך חסר ואיזו דרישה חוזית עלולה להיתקל במגבלה של השוק המקומי.
ציפיות ביטוח סייבר לפי זירה:
| זירה | מה מניע את הציפיות | מה נדרש להציג | מה מגביל |
| ארצות הברית | תביעות ייצוגיות ועלות אירוע גבוהה, כללי הגילוי של ה-SEC, ורגולציה מדינתית כמו CCPA ו-NYDFS | MFA על כל גישה מרחוק, נוהל תגובה לאירוע שנבדק בתרגיל, גיבויים מוגנים מפני שינוי, וגבולות אחריות שתואמים לסעיף בחוזה | תמחור גבוה בענפים רגישים, החרגות ותת-גבולות באירועי סחיטה, ודרישה לתאריך רטרואקטיבי שמתועד |
| האיחוד האירופי | GDPR עם דיווח תוך 72 שעות וקנסות עד 4% מהמחזור, NIS2 עם אחריות אישית להנהלה, ו-DORA לגופים פיננסיים ולספקי ICT שלהם | מרשם פעילויות עיבוד, מיפוי ספקים, סעיפים חוזיים בנוסח DORA ותיעוד בקרות במקום הצהרה כללית | חובות דיווח מקבילות למספר רגולטורים, מגבלות על העברת נתונים מחוץ לאיחוד, ותהליך בדיקת נאותות ארוך |
| שוק לוידס | חיתום מומחה לחשיפות שאינן סטנדרטיות, ניהול צבירה וסיכון מערכתי, ונוסחים ייעודיים לפעילות טכנולוגית | תיאור מדויק של התלות בענן ובספקים, תרחישי צבירה אפשריים, וממשל פיתוח מתועד לרבות שימוש בכלי AI | החרגות לאירועים המיוחסים למדינה, סייגי צבירה בנוסח, ודרישת מידע מפורטת לפני קבלת הצעה |
| אסיה-פסיפיק והמפרץ | הנחיות MAS בסינגפור, מסגרות DIFC ו-ADGM במפרץ, וצמיחת מגזר הפינטק לצד גידול בתקיפות | אישור ביטוח שתואם לחוזה המקומי, מדיניות אבטחה כתובה בשפה שהלקוח קורא, ולעיתים מענה מקומי לאירוע | נתח פרמיות קטן יחסית, זמינות מוגבלת של גבולות גבוהים בשוק המקומי, ופערי פורמט ותיעוד |
| ישראל | תקנות הגנת הפרטיות (אבטחת מידע), חובת הדיווח לרשות להגנת הפרטיות ותיקון 13, לצד דרישות חוזיות מלקוחות בחו״ל | אישור קיום ביטוחים בנוסח שהלקוח דורש, תיעוד בקרות ומאגרים, ודוח SOC 2 או ISO 27001 כשהחוזה מבקש | לוח זמנים קצר מרגע שהדרישה מגיעה, פערי ממשל בשלב מוקדם, ותלות בשוק חוץ עבור גבולות אחריות גבוהים |
מה נדרש להציג כשהלקוח שואל
כשלקוח ארגוני שואל, הוא שואל על מסמכים ולא על כוונות. רשימת הפריטים חוזרת על עצמה בין הזירות, וההבדל העיקרי הוא בעומק ובפורמט שבו הם מוגשים. הטבלה הבאה מפרטת את מה שנדרש לרוב ומה כל פריט מוכיח.
פריטי הראיה שחוזרים בכל הזירות:
| מה נדרש להציג | מי מבקש בדרך כלל | מה זה מוכיח |
| אישור קיום ביטוחים בנוסח הלקוח | רכש ארגוני בארצות הברית ובאירופה, וגופים פיננסיים במפרץ | שהפוליסה שנרכשה תואמת לסעיף הביטוח בחוזה מבחינת ענפים, גבולות ותקופה |
| שאלון חיתום מלא עם ראיות תומכות | חתמים בשוק לוידס ובשוק המקומי | שהתשובות נסמכות על בקרה קיימת ולא על הערכה של מי שמילא את הטופס |
| דוח SOC 2 או תעודת ISO 27001 | לקוחות SaaS ארגוניים ובנקים | שגורם חיצוני בדק בקרות לתקופה מוגדרת, ושהתיעוד מתוחזק באופן שוטף |
| נוהל תגובה לאירוע ופרוטוקול תרגיל | חתמים בכל הזירות, ורגולטורים במגזר הפיננסי | שהארגון יודע מי מוביל, למי מדווחים ובאיזה לוח זמנים, לפני שהאירוע קורה |
| מדיניות ניהול גישה והוכחת אכיפת MFA | כל חתם, וכמעט כל לקוח ארגוני | שהבקרה הבסיסית שמונעת את סוגי התביעה הנפוצים אכן מופעלת בפועל |
| מיפוי ספקי ליבה ותלות בענן | חתמים בשוק לוידס וגופים בכפוף ל-DORA | שהארגון מכיר את נקודות הכשל שמחוץ לגבולותיו ואת ההשפעה של השבתה ממושכת |
טעויות נפוצות
- מניחים שפוליסה שנרכשה בישראל עונה אוטומטית על נוסח הדרישה בחוזה האמריקאי.
- מגלים את סעיף הביטוח בחוזה רק בשלב החתימה, ואז מנהלים משא ומתן על גבולות אחריות בלוח זמנים של ימים, בלי יכולת אמיתית להשוות בין שווקים ובלי זמן לתקן פערי בקרות.
- מתייחסים לדוח SOC 2 כאל תעודת הסמכה, בעוד שמדובר בדוח ביקורת שמנפיקה פירמת רואי חשבון עצמאית מול קריטריוני AICPA לתקופה מוגדרת.
- בונים תוכנית ביטוח נפרדת לכל שוק, ומגיעים לחידוש עם תמונה מפוצלת שקשה להסביר.
- מדווחים לרגולטור אחד ומפספסים חובת דיווח מקבילה שחלה על אותו אירוע בזירה אחרת.
- מציגים לחתם בקרות שמופיעות במצגת ולא בסביבת הייצור.
- חותמים על סעיף שיפוי רחב בחוזה בלי לבדוק מראש מה הפוליסה עשויה לכסות מולו.
צ׳ק־ליסט מקצועי
- מפו את הזירות שבהן החברה מוכרת בפועל, וסמנו לכל אחת את הרגולטור הרלוונטי ואת סוג הלקוח.
- אספו את כל סעיפי הביטוח מחוזי הלקוחות הפעילים לטבלה אחת, עם גבולות אחריות ותאריכי תחילה.
- בנו בסיס בקרות אחד לפי הדרישה המחמירה מבין הזירות, במקום מערך נפרד לכל שוק.
- אכפו MFA על כל גישה מרחוק ועל כל חשבון ניהולי, ושמרו ראיה תפעולית לאכיפה.
- תעדו נוהל תגובה לאירוע, והריצו תרגיל שולחני אחת לשנה עם פרוטוקול כתוב.
- הגדירו גיבויים שאינם ניתנים לשינוי, ובדקו שחזור בפועל אחת לרבעון.
- הכינו מראש נוסח אישור קיום ביטוחים, והשוו אותו לנוסח שהלקוח שולח לפני החתימה.
- מפו את חובות הדיווח בכל זירה, כולל 72 השעות של GDPR והדיווח לרשות להגנת הפרטיות באירוע אבטחה חמור.
- רשמו את התלות בספקי ענן ובספקי צד שלישי, וציינו לכל אחד מה קורה בהשבתה ממושכת.
- בדקו האם חוזים עם לקוחות אירופיים מחייבים סעיפים בנוסח DORA, והתאימו את התיעוד לפני החתימה.
- בקשו בחינה של החרגת האירועים המיוחסים למדינה בנוסח הסייבר, ואת השפעתה על פרופיל הפעילות שלכם.
- סנכרנו את ההצהרות בשאלון החיתום עם מה שקיים בסביבת הייצור, ושמרו ראיה לכל תשובה.
- פתחו את תהליך החידוש שישים יום מראש, כדי לאפשר פנייה ליותר משוק אחד.
- עדכנו את גבולות האחריות בכל כניסה לזירה חדשה או לחוזה גדול מהרגיל.
שאלות נפוצות
האם צריך פוליסה נפרדת לכל שוק שבו החברה מוכרת?
ברוב המקרים לא. הכיוון המקובל הוא פוליסה אחת עם תחולה גאוגרפית רחבה, שנבנית לפי הדרישה המחמירה מבין הזירות. תוספות מקומיות נדרשות כשרגולטור מחייב נייר מקומי, כשלקוח דורש נוסח אישור ספציפי או כשמדובר בפעילות מורשית. הבדיקה נעשית מול נוסח הפוליסה ומול סעיף הביטוח בחוזה, לפני ההתחייבות ללקוח.
מה ההבדל המעשי בין דרישת GDPR לדרישת ה-SEC?
GDPR מטפל בהגנת מידע אישי ומחייב דיווח לרשות המפקחת בתוך 72 שעות, עם חשיפה לקנסות של עד 4% מהמחזור העולמי. כללי הגילוי של ה-SEC נוגעים לשוק ההון ומחייבים חברה ציבורית לדווח על אירוע מהותי בתוך ארבעה ימי עסקים, ולתאר את אופן הפיקוח של הדירקטוריון. אירוע אחד יכול להפעיל את שתי החובות במקביל.
מהו אישור קיום ביטוחים ולמה לקוחות בחו״ל מבקשים אותו?
אישור קיום ביטוחים אינו פוליסה, אלא מסמך שמאשר קיום כיסוי בענפים, בגבולות ובתקופה שהוגדרו. לקוח ארגוני משתמש בו כדי לוודא שהספק עומד בסעיף הביטוח בחוזה לפני תחילת השירות. הפער הנפוץ הוא בין הנוסח שהלקוח שולח לבין מה שהפוליסה הקיימת מספקת, ולכן כדאי להשוות ביניהם מוקדם ככל האפשר.
האם דוח SOC 2 מספיק כדי לעמוד בדרישות החיתום?
הדוח עוזר, והוא כמעט תמיד מקצר את תהליך החיתום. עם זאת מדובר בדוח ביקורת שמנפיקה פירמת רואי חשבון עצמאית מול קריטריוני AICPA לתקופה מוגדרת ועל בקרות שהארגון עצמו הגדיר, ולכן חתם עדיין שואל שאלות תפעוליות על MFA, על גיבויים ועל תגובה לאירוע. ההיקף שנבדק בדוח קובע כמה משקל הוא מקבל.
מתי כדאי לפנות לשוק לוידס?
כשהפעילות חורגת מהתבנית שהשוק המקומי מתמחר בקלות: תלות גבוהה בספק ענן יחיד, לקוחות ארגוניים שדורשים גבולות אחריות גבוהים, מוצר שמבוסס על מודלי שפה או פעילות בשווקים מרובים. השוק הזה מחזיק מומחיות חיתומית בחשיפות כאלה, לצד נוסחים ייעודיים. התמורה לכך היא דרישת מידע מפורטת יותר בשלב ההצעה.
איך תיקון 13 משפיע על חברה שרוב לקוחותיה בחו״ל?
החוק חל על עיבוד מידע אישי בישראל גם כשהלקוחות נמצאים מחוץ לה. תיקון 13 הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות והוסיף עיצומים כספיים, כך שאירוע שנובע מבקרות חסרות נושא מחיר מקומי בנוסף לחשיפה מול הלקוח הזר. התיעוד שנדרש לצורך התקנות משמש ממילא גם מול חתמים ומול רכש ארגוני בחו״ל.
חברה שמוכרת לעולם נבחנת בכל זירה על אותו דבר, מה היא יכולה להראות במסמך ברגע שנשאלת, ולכן בסיס ממשל אחד שנבנה מראש שווה יותר מכל התאמה מקומית שנעשית בלחץ.
האמור לעיל הוא מידע כללי בלבד ואין בו משום ייעוץ ביטוחי, משפטי או מקצועי אחר. תנאי הכיסוי, ההחרגות והחובות נקבעים בנוסח הפוליסה הספציפי ובכפוף לדין החל. יש לבחון כל מקרה לגופו מול נוסח הפוליסה ומול יועץ מוסמך.


































































