התשובות נרשמות בפרוטוקול, והפרוטוקול הוא המסמך שייבחן אם וכאשר תוגש טענה נגד נושאי המשרה. נתוני 2026 מצביעים על עלות ממוצעת של כ-5 מיליון דולר לפרצת נתונים, ולכן הדיון הזה יושב כבר בטווח שמחייב החלטה בדרג הדירקטוריון.
עיקרי הדברים
- שאלת הגישה לקוד הייצור היא שאלת ממשל מפני שהיא קובעת מי יכול לשנות את המוצר שהחברה מוכרת. דירקטוריון שמקבל תשובה מספרית, כלומר כמה בעלי הרשאה יש ומתי נערכה הסקירה האחרונה, מפקח בפועל. דירקטוריון שמקבל תשובה בסגנון ״רק הצוות הרלוונטי״ מסתמך על הצהרה ורושם אותה בפרוטוקול כאילו הייתה ראיה.
- כללי הגילוי של ה-SEC משנת 2023 מחייבים חברות ציבוריות לתאר את אופן הפיקוח של הדירקטוריון על סיכוני סייבר ולדווח על אירוע סייבר מהותי. ההצעה לחייב גילוי בדבר מומחיות סייבר בקרב חברי הדירקטוריון הוסרה מהנוסח הסופי, ולכן הדרישה שנותרה נוגעת לתהליך הפיקוח ולא להרכב הדירקטוריון.
- בישראל, חובת הזהירות של נושא משרה לפי חוק החברות חלה גם על פיקוח על סיכוני מידע. תיקון 13 לחוק הגנת הפרטיות הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות והוסיף חובת דיווח, ותקנות הגנת הפרטיות (אבטחת מידע) קובעות דרישות תפעוליות שהדירקטוריון אמור לוודא שמתקיימות.
- ביטוח דירקטורים ונושאי משרה נועד להגיב לתביעות של בעלי מניות ולהליכי רגולציה, בכפוף לנוסח, לגבולות ולהחרגות. תיעוד של דיון, של החלטה ושל מעקב מחזק את עמדת נושא המשרה מול טענה של הפרת חובת זהירות. היעדר מתועד של פיקוח פועל בכיוון ההפוך, ומייצר בדיוק את הראיה שהתובע מחפש.
למה גישה לקוד הפכה לשאלה של דירקטוריון
קוד הייצור הוא הנכס שמייצר את ההכנסה, ומי שיכול לשנות אותו יכול לשנות את המוצר שהלקוח קנה. כשמפתח שעזב, קבלן משנה או חשבון שירות ישן מחזיקים גישה שלא נסקרה, החברה מחזיקה סיכון שאיש לא החליט לקבל, וקבלת סיכון במודע היא בדיוק סוג ההחלטה שמצופה מדירקטוריון לקבל ולתעד.
הרגולציה נעה באותו כיוון. NIS2 באירופה קבע אחריות אישית של ההנהלה הבכירה לענייני אבטחת מידע בענפים שבתחולה. כללי הגילוי של ה-SEC משנת 2023 מחייבים חברות ציבוריות לתאר את אופן הפיקוח של הדירקטוריון על סיכוני סייבר, ולדווח על אירוע סייבר בהיקף שמחייב גילוי, בתוך לוח זמנים קצוב. בישראל, תיקון 13 והסמכויות המורחבות של הרשות להגנת הפרטיות מייצרים אפקט דומה על חברות פרטיות שמחזיקות מאגרי מידע. לחברה פרטית שמוכרת ללקוחות ארגוניים ולמשקיעים מוסדיים הציפייה זהה במהותה, גם בלי חובה סטטוטורית ישירה. השאלה שנשארת פתוחה בכל אחד מהמקרים האלה היא איזו ראיה הדירקטוריון מסוגל להציג.
הפיקוח נמדד לפי מה שנרשם בפרוטוקול ולא לפי מה שנאמר בחדר.
חמש השאלות והתשובה שמספיקה
השאלות הבאות קצרות, והן מייצרות דיון ממשלי בתוך עשר דקות. ההבדל בין דיון אמיתי לבין סימון וי נמצא באיכות התשובה: תשובה שמפנה למסמך, לתאריך ולבעלים אחראי מאפשרת מעקב ברבעון הבא.
מי מחזיק גישה לקוד הייצור?
התשובה שמספיקה היא רשימה שמית עם תאריך עדכון, מספר כולל, וסיווג לפי עובדים, קבלנים וחשבונות שירות. מספר מאפשר לדירקטוריון לעקוב לאורך רבעונים ולשאול למה הוא גדל, והסיווג חושף את החשבונות האוטומטיים ואת הקבלנים שרוב הדיונים מדלגים עליהם.
מתי בוצעה סקירת ההרשאות האחרונה?
הרשאות נוצרות תחת לחץ, בליל שחרור גרסה או בזמן אירוע, ונשארות פתוחות זמן רב אחרי שהצורך חלף. סקירה תקופתית שמתעדת מה הוסר ומי אישר היא הראיה שהתהליך חי. תשובה שמספיקה כוללת תאריך, היקף, שם האחראי ומספר ההרשאות שבוטלו.
האם תוכנית התגובה לאירוע נבדקה בתרגיל?
מסמך תגובה לאירוע שנכתב ומעולם לא תורגל הוא הנחה. תרגיל שולחני שנערך בשנה האחרונה הוא ראיה. הדירקטוריון אמור לשאול מתי נערך התרגיל, מי השתתף, אילו פערים התגלו ומה תוקן מאז. בתרחיש אמיתי, לוח הזמנים לדיווח לרשות להגנת הפרטיות ולפי כללי ה-SEC קצר מכדי להתחיל אז ללמוד את הנוהל.
האם תוכנית הביטוח תואמת את פרופיל הסיכון?
השאלה כאן נוגעת להתאמה בין גבולות האחריות לבין החשיפה בפועל. תוכנית שמורכבת מכיסוי סייבר, אחריות מקצועית טכנולוגית וביטוח דירקטורים צריכה גבולות שמתייחסים להיקף ההכנסות, לסוגי הנתונים ולדרישות בחוזי הלקוחות. נתוני 2026 מצביעים על עלות ממוצעת של כ-5 מיליון דולר לפרצת נתונים, ועל פי נתוני 2026 עלות פרצת נתונים בארה״ב גבוהה מפי שניים מהממוצע העולמי. חברה עם פעילות אמריקאית שמחזיקה גבול אחריות שנקבע לפני שלוש שנים נמצאת בפער. הפער הזה ניתן למדידה בישיבה אחת.
כיצד מנוהלים ספקים עם גישה לסביבות?
ספק חיצוני עם גישה לסביבת ייצור מרחיב את משטח התקיפה של החברה, והדירקטוריון אמור לדעת כמה ספקים כאלה קיימים ומי אישר כל אחד מהם. תשובה שמספיקה כוללת מרשם ספקים עם רמת הגישה, מועד הבדיקה האחרון וסעיפי האבטחה בחוזה. אירוע שמקורו בספק מגיע בסופו של דבר לפתחה של החברה, מול הלקוח ומול הרגולטור.
חמש שאלות הדירקטוריון והתשובה שמספיקה:
| שאלת דירקטוריון | למה היא שאלת ממשל ולא שאלת IT | מה מהווה תשובה מספקת |
| מי מחזיק גישה לקוד הייצור? | הגישה קובעת מי יכול לשנות את הנכס שמייצר את ההכנסה, וזו החלטה על קבלת סיכון | רשימה שמית עם תאריך עדכון, מספר כולל וסיווג של עובדים, קבלנים וחשבונות שירות |
| מתי בוצעה סקירת ההרשאות האחרונה? | תדירות הסקירה מעידה אם קיים תהליך פיקוח מתמשך או אירוע חד פעמי שנעשה פעם אחת | תאריך, היקף, בעלים אחראי ומספר ההרשאות שבוטלו בסקירה |
| האם תוכנית התגובה לאירוע נבדקה בתרגיל? | היכולת לעמוד בלוחות הזמנים לדיווח היא חובה של החברה ושל נושאי המשרה כאחד | תרגיל מתועד בשנים עשר החודשים האחרונים, רשימת משתתפים, פערים שהתגלו ומועד תיקון |
| האם תוכנית הביטוח תואמת את פרופיל הסיכון? | גבולות אחריות ותנאי כיסוי הם החלטת הקצאת הון שמצריכה אישור של הדירקטוריון | מיפוי של סייבר, אחריות מקצועית טכנולוגית ודירקטורים מול הכנסות, סוגי נתונים ודרישות בחוזים |
| כיצד מנוהלים ספקים עם גישה לסביבות? | החברה נושאת באחריות כלפי הלקוח וכלפי הרגולטור גם כשהכשל אירע אצל הספק | מרשם ספקים עם רמת גישה, מועד בדיקה אחרון וסעיפי אבטחה ושיפוי בחוזה |
| מי הבעלים ההנהלתי של סיכון הסייבר? | פיקוח דורש כתובת אחת שמדווחת לדירקטוריון, וכשהאחריות מפוזרת אין ממי לבקש דין וחשבון | בעל תפקיד בכיר ששמו מופיע בפרוטוקול, עם דיווח רבעוני קבוע ומדדים קבועים |
| מה קורה כשמנכ״ל מבקש לעקוף בקרה? | חריגה מנוהל מאושר היא שאלת ממשל שדורשת אישור מתועד ולא החלטה תפעולית | נוהל חריגה כתוב, אישור בכתב, תיעוד בפרוטוקול ומועד לבחינה חוזרת |
החשיפה האישית של נושא המשרה
חוק החברות מטיל על נושא משרה חובת זהירות וחובת אמונים, והפיקוח על סיכוני מידע נכנס תחת חובת הזהירות כשמדובר בסיכון שעלול לפגוע בפעילות החברה. הטענה הטיפוסית בהליך כזה היא שנושא המשרה ידע או היה עליו לדעת, ושלא פעל. תיעוד של דיון, של החלטה, של מעקב ושל תיקון הוא ההגנה המעשית מול טענה כזאת.
באירופה, NIS2 קבע אחריות אישית של ההנהלה הבכירה, לרבות אפשרות של קנסות אישיים ושל הגבלת כהונה בענפים שבתחולה. בארצות הברית, גילוי שגוי או מאוחר של אירוע סייבר מהותי עלול להוביל להליכי אכיפה נגד נושאי משרה ולתביעות ייצוגיות של בעלי מניות לצד התביעה נגד החברה, ובישראל הרשות להגנת הפרטיות מפעילה סמכויות מורחבות מאז תיקון 13, כך שחברה שלא עמדה בחובת הדיווח נמצאת בעמדה חלשה מול הרגולטור ומול לקוחותיה.
ביטוח דירקטורים ונושאי משרה נועד להגיב לתביעות מסוג זה, בכפוף לנוסח, לגבולות האחריות ולהחרגות שבפוליסה. שני תנאים חוזרים כמעט בכל דיון: פעולה בתום לב, וקיומו של בסיס מידע סביר להחלטה. תיעוד חסר של פיקוח על סיכוני סייבר פוגע בשני התנאים בו זמנית. פרוטוקול הדירקטוריון הוא אפוא חלק מתיק ההגנה עוד לפני שהוגשה תביעה. הברוקר (LAMDA Broking) בוחן את חלוקת הכיסוי בין החברה לבין נושאי המשרה ואת סעיף הקדימות בתשלום, כדי לוודא שהכיסוי האישי עומד גם כשהחברה נמצאת במצוקה תזרימית.
מקורות החובה, מה נדרש מהדירקטוריון והקו הביטוחי שעשוי להגיב:
| מקור החובה | על מי היא חלה | מה נדרש מהדירקטוריון | קו הביטוח שעשוי להגיב |
| חוק החברות | נושאי משרה בחברה ישראלית | פיקוח מתועד על סיכון שעלול לפגוע בפעילות, לרבות סיכוני מידע | דירקטורים ונושאי משרה, בכפוף לנוסח ולתנאי תום הלב |
| תקנות הגנת הפרטיות (אבטחת מידע) | כל בעל מאגר מידע בישראל | וידוא קיומם של מיפוי מאגר, ניהול הרשאות, תיעוד וסקירה תקופתית | סייבר לרכיב הפרטיות, ודירקטורים לטענת כשל פיקוח |
| תיקון 13 לחוק הגנת הפרטיות | חברות שמחזיקות מאגרי מידע | נוהל דיווח לרשות להגנת הפרטיות עם לוחות זמנים ובעלים מוגדר | סייבר לעלויות טיפול והתגוננות, בכפוף לנוסח |
| כללי הגילוי של ה-SEC משנת 2023 | חברות ציבוריות בארצות הברית | תיאור אופן הפיקוח של הדירקטוריון על סיכוני סייבר ודיווח על אירוע מהותי | דירקטורים ונושאי משרה, לרבות הוצאות הגנה בהליכי אכיפה בכפוף לנוסח |
| NIS2 | ישויות בתחולה באיחוד האירופי | אחריות אישית של ההנהלה הבכירה על בקרות אבטחה ועל ניהול ספקים | דירקטורים ונושאי משרה, בכפוף להחרגות קנסות ולדין החל |
| DORA | גופים פיננסיים ונותני שירות טכנולוגי עבורם | ממשל סיכון טכנולוגי, בדיקות עמידות וניהול ספקי צד שלישי | סייבר ואחריות מקצועית טכנולוגית, בכפוף להגדרות שבנוסח |
| דרישות חוזיות של לקוחות ארגוניים | ספקי טכנולוגיה בכל גודל | התאמה בין ההתחייבויות בחוזה לבין הבקרות הקיימות ולבין גבולות הביטוח | אחריות מקצועית טכנולוגית וסייבר, בכפוף לגבולות ולהגדרת השירות |
מה בודקים משקיעים ולקוחות לפני שהם חותמים
קרנות הון סיכון וקרנות פרייבט אקוויטי מכניסות שאלות ממשל סייבר לבדיקת נאותות כעניין שבשגרה. לפני סבב B הציפייה הרווחת כוללת מדיניות אבטחת מידע כתובה, תוכנית תגובה לאירוע שנבדקה בתרגיל, כיסוי סייבר וכיסוי דירקטורים בגבולות שמתאימים לשלב החברה, וראיות לקיומו של ממשל בסיסי. דוח SOC 2 מופיע לעיתים קרובות באותה רשימה, וכאן נכנסת אי הבנה נפוצה: מדובר בדוח ביקורת שמנפיקה פירמת רואי חשבון עצמאית מול קריטריוני AICPA לתקופה מוגדרת, ואיש אינו מחזיק תעודת הסמכה כזאת.
נקודה נוספת שנוטים לפספס נוגעת להרכב הדירקטוריון. ההצעה לחייב גילוי בדבר מומחיות סייבר בקרב חברי הדירקטוריון הוסרה מהנוסח הסופי של כללי ה-SEC משנת 2023, ולכן הדרישה שנותרה מתמקדת בתהליך הפיקוח. דירקטוריון שממנה חבר עם רקע טכנולוגי משפר את איכות הדיון, אך הראיה שנדרשת בהליך היא הפרוטוקול, המדדים והמעקב אחר סגירת פערים. מסגרות כמו NIST ותקן ISO 27001 מספקות שפה שמאפשרת לדירקטוריון לנסח את השאלות בלי להיכנס לפרטים הנדסיים.
טעויות נפוצות
- מקבלים דיווח סייבר פעם בשנה, ומסתמכים על מצגת שהוכנה במיוחד לאותה ישיבה.
- מאשרים תקציב אבטחה בלי לדעת כמה בעלי הרשאה יש לקוד הייצור וכמה מהם קבלנים חיצוניים.
- מניחים שתוכנית תגובה לאירוע קיימת מפני שיש קובץ, בלי לשאול מתי תורגלה ומה התגלה בה.
- בוחנים את גבולות האחריות בפוליסה פעם אחת ברכישה, ומדלגים על עדכון אחרי גידול בהכנסות, אחרי כניסה לשוק האמריקאי או אחרי תחילת עבודה עם נתוני בריאות.
- מתייחסים לדוח SOC 2 כאל תעודת הסמכה שמסירה את הצורך בפיקוח פנימי.
- רושמים בפרוטוקול שהנושא נדון, בלי לרשום מה הוחלט, מי אחראי ומה מועד היעד.
- מגלים את סעיף חלוקת הכיסוי בין החברה לבין נושאי המשרה רק אחרי שהוגשה תביעה.
שאלות נפוצות
האם דירקטור צריך להבין טכנולוגיה כדי לפקח על סיכוני סייבר?
הדרישה המעשית נוגעת לתהליך יותר מאשר לידע הנדסי. ההצעה לחייב גילוי בדבר מומחיות סייבר בקרב חברי הדירקטוריון הוסרה מהנוסח הסופי של כללי ה-SEC משנת 2023, והמוקד נותר על תיאור אופן הפיקוח. דירקטור שמבקש מספרים, תאריכים ובעלים אחראי מפקח כראוי גם בלי רקע טכנולוגי.
מה ביטוח דירקטורים מכסה בהקשר של אירוע סייבר?
פוליסת דירקטורים נועדה להגיב לתביעות שמופנות נגד נושאי המשרה עצמם, למשל טענה של בעלי מניות בדבר גילוי חסר או הליך רגולטורי בטענת כשל פיקוח, בכפוף לנוסח ולהחרגות. עלויות הטיפול הטכני באירוע, ההודעות ללקוחות והשחזור נבחנות בדרך כלל תחת פוליסת סייבר. שתי הפוליסות עשויות להיות מעורבות באותו אירוע, ולכן כדאי לבחון אותן יחד.
מה נחשב תשובה מספקת לשאלה מי ניגש לקוד הייצור?
רשימה שמית עם תאריך עדכון, מספר כולל וסיווג לפי עובדים, קבלנים וחשבונות שירות. המספר מאפשר מעקב לאורך רבעונים, והסיווג חושף את הקבלנים ואת החשבונות האוטומטיים שרוב הדיונים מדלגים עליהם. תשובה בסגנון ״רק הצוות הרלוונטי״ מותירה את הדירקטוריון בלי בסיס להחלטה ובלי ראיה לפיקוח.
כמה זמן יש לדווח על אירוע אבטחה בישראל?
תיקון 13 לחוק הגנת הפרטיות והתקנות שמכוחו יצרו חובת דיווח לרשות להגנת הפרטיות באירוע אבטחה חמור, ולוחות הזמנים קצרים. ההיערכות המעשית היא נוהל כתוב שקובע מי מזהה, מי מסווג חומרה, מי מאשר דיווח ומי מדבר עם לקוחות. ארגון שמתחיל לבנות את הנוהל בזמן האירוע מאחר כמעט תמיד.
האם היעדר תרגיל תגובה לאירוע פוגע בכיסוי?
השאלון החיתומי כמעט תמיד שואל על כך, ותשובה שלילית משפיעה על התמחור ולעיתים על תנאי החידוש. מעבר לחיתום, היעדר תרגיל מתועד מחליש את עמדת נושאי המשרה מול טענה של פיקוח לקוי, מפני שהוא מצביע על מסמך שמעולם לא נבדק. תרגיל שולחני של שעתיים אחת לשנה, עם סיכום כתוב, סוגר את הפער הזה בעלות נמוכה.
מה משקיעים מצפים לראות לפני סבב B?
מדיניות אבטחת מידע כתובה, תוכנית תגובה לאירוע שנבדקה בתרגיל, כיסוי סייבר וכיסוי דירקטורים בגבולות שמתאימים לשלב החברה, וראיות לקיומו של ממשל בסיסי. דוח SOC 2 מופיע לעיתים באותה רשימה, ובמקרה כזה ההבחנה הנכונה היא שמדובר בדוח ביקורת של פירמת רואי חשבון עצמאית מול קריטריוני AICPA לתקופה מוגדרת.
כיצד מנהלים ספק חיצוני עם גישה לסביבת הייצור?
מרשם שמרכז את כל הספקים עם גישה, את רמת ההרשאה של כל אחד ואת מועד הבדיקה האחרון. לצדו נדרשים סעיפי אבטחה, שיפוי והודעה על אירוע בחוזה, וגישה מוגבלת בזמן במקום הרשאה קבועה. אירוע שמקורו בספק מגיע לפתחה של החברה מול הלקוח ומול הרגולטור, ולכן הבקרה על הספקים היא חלק מהפיקוח של הדירקטוריון.
פיקוח על סיכוני סייבר נמדד לפי מה שנרשם בפרוטוקול, ולכן שאלה פשוטה על מי ניגש לקוד הייצור היא כלי הממשל היעיל ביותר שעומד לרשות דירקטוריון.
האמור לעיל הוא מידע כללי בלבד ואין בו משום ייעוץ ביטוחי, משפטי או מקצועי אחר. תנאי הכיסוי, ההחרגות והחובות נקבעים בנוסח הפוליסה הספציפי ובכפוף לדין החל. יש לבחון כל מקרה לגופו מול נוסח הפוליסה ומול יועץ מוסמך.


































































