חובת דיווח על אירוע סייבר: למי עוד צריך לדווח

עו״ד ארתור קרטון · 19 באוקטובר 2026 · אבטחת מידע ואירועים

אחרי אירוע סייבר, הרשות להגנת הפרטיות היא לא תמיד הגורם היחיד שעסק ישראלי צריך לעדכן. לפי סוג העסק, ייתכן שיהיה עליו לדווח גם למערך הסייבר הלאומי, לרגולטור המגזרי, למשקיעים, למבטח וללקוחות, ובחו״ל גם לרשויות באיחוד האירופי או לרשות ניירות הערך האמריקאית (SEC). רוב החובות האלה חלות רק על מגזרים מסוימים, על חברות ציבוריות, על ספקי מחשוב ואחסון, או מכוח חוזה, ולכל אחת מהן שעון משלה. הדיווח לרשות להגנת הפרטיות ולפי ה־GDPR מוסבר במאמר שני השעונים של הדיווח על אירוע אבטחה. כאן נמפה את שאר הגורמים.

מערך הסייבר הלאומי

אין בדין הישראלי חובה כללית על עסק פרטי לדווח למערך הסייבר הלאומי על תקיפת סייבר. כל ארגון רשאי לדווח למרכז הלאומי לטיפול באירועי סייבר (CERT) שמפעיל מערך הסייבר הלאומי, בקו החם 119 או באופן מקוון, ולבקש ממנו סיוע. לכלל הזה יש שלושה חריגים.

החריג הראשון הוא ספקי מחשוב ואחסון. חוק התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון (הוראת שעה), התשפ״ד–2023, חל על מי שעיסוקו באספקת שירותי אחסון או שירותים דיגיטליים, כמו פיתוח ותמיכה בתוכנה, הפעלת מערכות מחשוב או עיבוד נתונים, כשהמחשבים שלו מחוברים למחשבי הלקוחות או מעבירים אליהם חומר, וגם על מי שעיסוקו בתחזוקה או בניהול של שירותים כאלה. מאז התיקון מאוגוסט 2025 (PDF), סעיף 2א לחוק מחייב ספק כזה לדווח על תקיפת סייבר שמתרחשת נגדו בפועל, אם יש חשש ממשי שהיא לא מוגבלת אליו, או אם היא עלולה לפגוע באופן משמעותי בזמינות, ברציפות או במהימנות השירות שלו. הספק מגיש דיווח מיידי אחד, או דיווח ראשוני בתוך 24 שעות, עדכון בתוך 72 שעות ודיווח מסכם 30 ימים אחרי העדכון, דרך ה־CERT הלאומי. הוראת השעה עומדת בתוקפה עד 31 בינואר 2027.

החריג השני הוא תשתיות קריטיות. הגופים המנויים בתוספת החמישית לחוק להסדרת הביטחון בגופים ציבוריים, התשנ״ח–1998, כמו חברת החשמל ומקורות, מקבלים ממערך הסייבר הלאומי הנחיות מקצועיות מחייבות, וסעיף 10 לחוק מאפשר שהן יעסקו גם בדיווח. ההנחיות האלה לא מתפרסמות.

החריג השלישי עדיין לא חוק. הצעת חוק הגנת הסייבר הלאומית, התשפ״ו–2026 (PDF), שהגישה הממשלה, מבקשת להטיל חובת דיווח דומה על "ארגונים חיוניים" במגזרים שהיא מונה. ההצעה עברה קריאה ראשונה ב־8 ביוני 2026 ועדיין לא נחקקה.

רגולטורים מגזריים ומשקיעים

בנקים מדווחים למפקח על הבנקים בבנק ישראל לפי הוראת ניהול בנקאי תקין 366, שעודכנה ב־17 ביוני 2026 (PDF): בטלפון בתוך שעתיים מזיהוי אירוע שחייב בדיווח, ובכתב בתוך 8 שעות מהשיחה. הוראה 361 בנושא ניהול הגנת הסייבר בוטלה ב־18 במאי 2026, עם כניסתה לתוקף של הוראה 364.

גופים מוסדיים, כמו חברות ביטוח וקרנות פנסיה, מדווחים לרשות שוק ההון, ביטוח וחיסכון לפי חוזר 2022-9-15 (PDF): בטלפון ובדואר אלקטרוני בתוך שעתיים מהרגע שהבחינו באירוע מהותי, ובכתב בתוך 12 שעות מהדיווח הראשוני. נותני שירותים פיננסיים מסוימים בעלי רישיון, כמו נותני אשראי, מדווחים לרשות שוק ההון, ביטוח וחיסכון על אירוע סייבר מהותי בהקדם האפשרי (חוזר 2022-10-9).

חברה מדווחת, כמו חברה שניירות הערך שלה נסחרים בבורסה בתל אביב, צריכה לעדכן את הציבור. תקנה 36 לתקנות ניירות ערך (דוחות תקופתיים ומיידיים), התש״ל–1970, מחייבת דוח מיידי על אירוע שחורג מעסקיה הרגילים ושיש לו, או עשויה להיות לו, השפעה מהותית עליה, ותקנה 30 קובעת מועד קצר, שתלוי בשעה שבה נודע לחברה על האירוע: ככלל, לא יאוחר מיום המסחר הבא, עד 9:30 או עד 13:00. סגל רשות ניירות ערך הבהיר (PDF) שאת המהותיות של תקיפת סייבר בוחנים לפי פרמטרים כמותיים ואיכותיים, ובהתחשב גם בנזק שעוד עלול להיגרם (עמדה משפטית 105-33, שעודכנה בינואר 2023).

המבטח, הלקוחות והמשטרה

סעיף 22 לחוק חוזה הביטוח, התשמ״א–1981, מחייב מבוטח להודיע למבטח על קרות מקרה הביטוח מיד לאחר שנודע לו. לפי סעיף 24, אם האיחור בהודעה מנע מהמבטח להקטין את חבותו, המבטח חייב רק במה שהיה חייב אילו ההודעה ניתנה בזמן, אלא אם לאיחור היו סיבות מוצדקות או שהוא לא הכביד על בירור החבות. הפוליסה עשויה להוסיף נוהל הודעה משלה, ולכן כדאי לקרוא אותה לפני אירוע.

ספק שיש לו גישה למאגר של לקוח צריך לעדכן את הלקוח. תקנה 15(א)(2)(ח) לתקנות אבטחת המידע מחייבת לכלול בהסכם ביניהם את חובת הספק להודיע לבעל המאגר על אירוע אבטחה. לפי תקנה 11(א), אירוע אבטחה הוא כל אירוע שמעלה חשש לפגיעה בשלמות המידע, לשימוש בו בלי הרשאה או לחריגה מהרשאה, ולא רק אירוע חמור. התקנות לא קובעות מועד להודעה, ולכן המועד הוא זה שבחוזה. ולפי סעיף 3(ב) להוראת השעה, ספק שעובד מוסמך הודיע לו שהתקיפה נגדו היא תקיפת סייבר חמורה צריך לעדכן בלי דיחוי כל לקוח מקושר שעלול להיפגע ממנה ישירות ובאופן ממשי.

תקנות אבטחת המידע מחייבות להודיע לנושאי המידע רק אם הרשות להגנת הפרטיות הורתה על כך, אחרי התייעצות עם ראש מערך הסייבר הלאומי (תקנה 11(ד)(2)). תלונה במשטרת ישראל היא לפי בחירתכם: לפי סעיף 58 לחוק סדר הדין הפלילי, כל אדם רשאי להגיש תלונה על עבירה, ומשטרת ישראל מקבלת תלונות גם באופן מקוון.

דיווח בחו״ל

ישות של קבוצה ישראלית באיחוד האירופי, במגזר שחלה עליו NIS2, הדירקטיבה האירופית להגנת סייבר (Directive (EU) 2022/2555), ובדרך כלל אם היא בינונית או גדולה, כפופה לחוק שמיישם את הדירקטיבה במדינה שלה. ספקי ענן, מרכזי נתונים, שירותים מנוהלים, שירותי אבטחה מנוהלים וספקים דיגיטליים מסוימים נוספים, שמציעים שירותים באיחוד, כפופים לה גם בלי ישות שם, וצריכים למנות נציג באיחוד (סעיף 26). לפי סעיף 23, באירוע משמעותי שולחים התרעה מוקדמת לצוות התגובה הלאומי (CSIRT) או לרשות המוסמכת בתוך 24 שעות מהרגע שנודע עליו, הודעה בתוך 72 שעות, ודוח סופי בתוך חודש מההודעה.

DORA (Regulation (EU) 2022/2554) חלה מ־17 בינואר 2025 על גופים פיננסיים באיחוד האירופי. ספק טכנולוגיה ישראלי מושפע ממנה דרך החוזה: סעיף 30 מחייב לכלול בו את חובת הספק לסייע באירוע ICT שקשור לשירות שלו, ובשירות שתומך בפונקציות קריטיות או חשובות גם תקופות הודעה וחובות דיווח של הספק כלפי הגוף הפיננסי.

חברה שמדווחת לרשות ניירות הערך האמריקאית כמנפיקה מקומית מגישה טופס 8-K לפי Item 1.05 בתוך ארבעה ימי עסקים מהקביעה שאירוע סייבר הוא מהותי. חברות ישראליות רבות שנסחרות בארה״ב הן מנפיקות זרות (foreign private issuers): הן מגישות מידע על אירוע מהותי בטופס 6-K כשהן מפרסמות אותו, או חייבות לפרסם אותו, במקום אחר, למשל בדוח מיידי בישראל, ומתארות את ניהול סיכוני הסייבר שלהן בדוח השנתי, ב־Item 16K לטופס 20-F (דף העובדות של רשות ניירות הערך האמריקאית).

הרשימה לנוהל האירוע

הטבלה מרכזת את הגורמים, את המועדים ואת המקור של כל חובה:

את הרשימה בונים לפני האירוע. סמנו אילו שורות חלות עליכם, ולצד כל אחת רשמו איש קשר, ערוץ דיווח, מועד, ומי מחליט על הדיווח ושולח אותו. הוסיפו את תקופת ההודעה שבחוזה של כל לקוח ואת הקו החם של המבטח ומספר הפוליסה, ובדקו את הנוהל מחדש לפני שהוראת השעה פוקעת ב־31 בינואר 2027. אם אתם פועלים ברישיון של רגולטור אחר, בדקו גם בו אם יש חובת דיווח. רוב השעונים האלה מתחילים לרוץ ברגע שנודע לכם על האירוע, וכולם רצים במקביל, ולכן חשוב לתעד את הרגע הזה במדויק.

אירועי אבטחה