כמה עולה הגנת סייבר לעסק קטן ובינוני בישראל: רכיבי העלות, גורמי המחיר ודרישות 2026

בעסק קטן או בינוני, עלות הגנת הסייבר מורכבת משלושה חלקים. הראשון הוא בסיס שכמעט לא עולה כסף, כמו אימות דו-שלבי, עדכונים, הרשאות ונוהל לתשלומים. השני הוא כלים ושירותים חודשיים שהמחיר שלהם תלוי בעיקר במספר העמדות ובשעות הניטור: EDR או MDR, חומת אש מנוהלת, גיבוי, אבטחת דואר. השלישי הוא פרויקטים תקופתיים: סקר סיכונים, מבדק חדירה, ביקורת וליווי של CISO במיקור חוץ. מה שקובע אילו רכיבים חובה אצלכם הוא בעיקר רמת האבטחה של מאגרי המידע לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017. מאז 14 באוגוסט 2025 תיקון 13 לחוק הגנת הפרטיות מגבה את התקנות בעיצומים כספיים. המדריך מפרק את העלות ומראה מה שואלים לפני שמקבלים הצעה.

שלוש שכבות של עלות

ההבחנה הזו חשובה כי הצעות של ספקים מערבבות לעיתים את השכבות. אז קשה להבין על מה בדיוק משלמים. כשמפרידים, מגלים בדרך כלל שחלק מהבעיות נפתרות בשכבה הראשונה, בלי לקנות כלום. ההסבר המלא על כל שירות נמצא במדריך ל-MSSP, MDR ו-SOC כשירות, והתמחור של עמדות וחומות אש במדריך לחומת אש ו-EDR מנוהלים.

גורמי המחיר העיקריים

1. מספר העמדות או המשתמשים. רוב השירותים החודשיים מתומחרים ליחידה: עמדה, שרת, משתמש או תיבת דואר. ספרו גם מחשבים ניידים של עובדים מהבית, שרתים בענן וטלפונים שניגשים לדואר.
2. שעות ניטור ותגובה. ניטור בשעות העבודה זול משמעותית מניטור 24/7. אבל מתקפות כופרה רבות מתחילות בלילה או בסוף שבוע. השאלה היא לא רק ״האם יש התראה״, אלא מי רואה אותה ומה הוא רשאי לעשות.
3. היקף התגובה. שירות שרק מתריע שונה משירות שמבודד עמדה ונועל משתמש. טיפול מלא באירוע (Incident Response) מתומחר לעיתים בנפרד, לפי שעות.
4. מספר מקורות היומנים. ב-SOC כשירות המחיר תלוי לעיתים בנפח היומנים או במספר המקורות: חומת אש, שרתים, ענן, אפליקציות.
5. רמת האבטחה לפי התקנות. מאגר ברמה גבוהה מחייב סקר סיכונים ומבדק חדירה אחת ל-18 חודשים לפחות. מאגר ברמה בינונית או גבוהה מחייב ביקורת אחת ל-24 חודשים. ראו המדריך לרמות האבטחה.
6. מטבע ומע״מ. מחירון בדולר מוסיף סיכון שער ועמלות. ספק ישראלי מוסיף מע״מ 18%. ראו מחירון בדולר ומע״מ.
7. מצב קיים. רשת לא מתועדת, מערכות שהיצרן כבר לא תומך בהן או חשבונות משותפים מייקרים את ההקמה.

דוגמה להמחשה: עסק עם 40 עמדות

משרד שירותים עם 35 עובדים, 40 עמדות ושני שרתים בענן מחזיק מידע פיננסי על לקוחות. לכן המאגר שלו ברמת אבטחה בינונית לפחות. התמחור להלן הוא להמחשה בלבד:

בשנה זה 9,720 × 12 = 116,640 ₪. מוסיפים פרויקט ביקורת אחת לשנתיים, נניח 24,000 ₪ (12,000 ₪ לשנה בממוצע), ומגיעים לכ-128,640 ₪ לשנה לפני מע״מ. כולל מע״מ 18% זה 151,795 ₪. את החשבון אפשר להריץ במחשבון המע״מ. אותו עסק יכול להחליט שבשנה הראשונה הוא מוותר על הסימולציות ומצמצם את שעות ה-CISO ל-4. זו החלטה עסקית, אבל את החובות שבתקנות הוא צריך למלא בכל מקרה.

את הרכיב העיקרי, העמדות ודמי הבסיס, אפשר לחשב במחשבון העלות החודשית. דוגמאות לגדלים אחרים, 10 ו-120 עמדות, נמצאות במדריך הדוגמאות.

מה החוק דורש ב-2026, בקצרה

• חובת אבטחה כללית: לפי סעיף 17 לחוק הגנת הפרטיות, בעל השליטה במאגר מידע והמחזיק בו אחראים כל אחד לאבטחת המידע.
• תקנות אבטחת מידע (2017): בתוקף מ-8 במאי 2018. הן קובעות שלוש רמות ומאגר המנוהל בידי יחיד, ולכל אחת רשימת חובות: מסמך הגדרות מאגר, נוהל אבטחה, הרשאות, עדכונים, הצפנה בתקשורת, מיקור חוץ, ובמאגרים בינוניים וגבוהים גם תיעוד גישה, ביקורת ודיווח על אירוע חמור.
• תיקון 13 (בתוקף מ-14.8.2025): סמכות לעיצומים כספיים לפי טבלה, עם סכומים שונים לכל רמה ותקרות מופחתות לעסק זעיר ולעסק קטן. ראו המדריך לעיצומים.
• מערך הסייבר הלאומי: מפעיל את קו 119 ומפרסם הנחיות. הצעת חוק הגנת הסייבר הלאומית אושרה בקריאה ראשונה ביוני 2026 ועדיין אינה חוק. אחרי הבחירות של אוקטובר 2026 היא תמשיך רק אם יוחל עליה דין רציפות. ראו המדריך למערך ולהצעת החוק.
• גופים מפוקחים (בנקים, מבטחים, גופים מוסדיים ובעלי רישיון מסוימים) כפופים גם להוראות של הרגולטור שלהם, ואלה בדרך כלל מחמירות יותר.

איפה עסקים משלמים יותר מדי, ואיפה פחות מדי

יותר מדי: קונים חבילה רחבה לפני שמיפו את מה שיש, ומשלמים על מודולים שלא מפעילים. משלמים על ״24/7״ שבפועל הוא ניטור אוטומטי בלבד. ממשיכים לשלם על רישוי לכלי ישן במקביל לשירות החדש.

פחות מדי: אין גיבוי מנותק. אין MFA בדואר של ההנהלה. אין מי שמסתכל על ההתראות. אין הסכם עם הספקים שניגשים למידע. אלה פערים שעולים מעט לסגור, ושעלולים לעלות הרבה כשהם מנוצלים. ראו המדריך לכשלים נפוצים.

סדר עבודה מומלץ

1. מיפוי: אילו מאגרי מידע יש לכם, באיזו רמת אבטחה, ומי ניגש אליהם.
2. בסיס: עברו על צ׳קליסט הבסיס וסגרו את מה שלא עולה כסף.
3. החלטה על שירותים: מה עושים בעצמכם ומה במיקור חוץ. ראו צוות פנימי מול שירות מנוהל.
4. הצעות: בקשו הצעות על בסיס אחיד לפי שיטת הבחירה.
5. חוזה: בדקו SLA, תקנה 15, מחיר החידוש ויציאה.

שאלות נפוצות

האם יש מחיר ״סטנדרטי״ לעמדה?

לא. מחיר לעמדה תלוי במה שכלול: שעות ניטור, תגובה, ענן ודואר. ספקים מגדירים חבילות בצורה שונה, ולכן משווים לפי רשימת יכולות כתובה ולא לפי המספר בלבד.

האם עסק של 8 עובדים צריך MDR?

לא בהכרח. עסק כזה יכול להתחיל מבסיס חזק, EDR עם התראות שמישהו רואה, וגיבוי מנותק. MDR מתאים כשאין מי שיגיב בזמן אמת וכשנזק של השבתה גבוה. ההחלטה תלויה בסיכון ולא במספר העובדים בלבד.

האם ההוצאה מוכרת לצורכי מס?

הוצאה שוטפת לשירות שמשמש את העסק היא בדרך כלל הוצאה עסקית. רכישת ציוד, כמו חומת אש פיזית, עשויה להיות מטופלת כנכס בפחת. בדקו עם רואה החשבון.

מאיפה מתחילים אם אין תקציב?

מאימות דו-שלבי, עדכונים, גיבוי מנותק ונוהל לשינוי פרטי בנק. ארבעת אלה כמעט לא עולים כסף, והם סוגרים חלק גדול מהסיכון.

מקורות

• ויקיטקסט: חוק הגנת הפרטיות ותקנות אבטחת מידע (נוסח משולב) — הנוסח של התקנות, התוספות והעיצומים
• הרשות להגנת הפרטיות (gov.il) — הנחיות, טפסים ודיווח על אירוע אבטחה
• מערך הסייבר הלאומי (gov.il) — הנחיות לעסקים וקו 119
• רשות המסים (gov.il) — מע״מ והוצאות מוכרות