דיווח על ״אירוע אבטחה חמור״ לרשות להגנת הפרטיות: מתי חובה, מה מדווחים ומה קורה אחר כך

בעל שליטה במאגר מידע ברמת אבטחה בינונית או גבוהה חייב להודיע לרשות להגנת הפרטיות ״באופן מיידי״ על אירוע אבטחה חמור, ולדווח לה על הצעדים שנקט. כך קובעת תקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע). ההגדרה של ״אירוע אבטחה חמור״ תלויה ברמה. ברמה גבוהה זה כל שימוש במידע מהמאגר בלי הרשאה או בחריגה ממנה, או פגיעה בשלמות המידע. ברמה בינונית זה אירוע כזה לגבי חלק מהותי מהמאגר. הרשות יכולה גם להורות להודיע לנושאי המידע שעלולים להיפגע, אחרי התייעצות עם ראש הרשות הלאומית להגנת הסייבר. במאגר ברמה בסיסית אין חובת הודעה כזו לפי התקנות, אבל חובת התיעוד חלה על כל האירועים. מאז תיקון 13 (14.8.2025), לאי-הודעה יש עיצום כספי מוגדר.

המדריך הוא חלק מהמדריך לכשלי סייבר נפוצים. על השעות הראשונות של האירוע ראו מדריך הכופרה.

האם זה ״אירוע אבטחה חמור״? דוגמאות להמחשה

הטבלה מראה איך חושבים, היא לא קביעה משפטית. ״חלק מהותי״ לא מוגדר במספר. כשיש ספק, התייעצו מיד עם עורך דין או vCISO. ההודעה צריכה להיות ״מיידית״, ולכן אי אפשר לחכות שבועות לבירור מלא.

מה כדאי שיהיה בהודעה

התקנות לא מפרטות את תוכן ההודעה. הרשות מפרסמת טופס או הנחיות. בדרך כלל כדאי שיהיו מוכנים הפרטים הבאים:

• פרטי בעל השליטה במאגר ואיש קשר.
• זיהוי המאגר ורמת האבטחה שלו.
• מה קרה ומתי זה התגלה, לפי מה שידוע כרגע.
• סוגי המידע שנפגעו והיקף משוער של האנשים.
• הצעדים שננקטו ושיינקטו.
• אם היו מעורבים ספקים, למשל שירות מנוהל או ספק ענן.

ההודעה הראשונה יכולה להיות חלקית. אחריה מדווחים על הצעדים, כפי שהתקנה דורשת.

אחרי ההודעה

1. הוראה להודיע לנפגעים: הרשות רשאית, אחרי התייעצות עם ראש הרשות הלאומית להגנת הסייבר, להורות לבעל המאגר להודיע לנושאי המידע שעלולים להיפגע. יש חריג לגופים ביטחוניים מסוימים.
2. בירור או פיקוח: תיקון 13 נתן לרשות סמכויות לבירור מינהלי ולפיקוח. היא יכולה לבקש מסמכים, ובהם הגדרות המאגר, נוהל האבטחה, יומני גישה ותיעוד האירוע.
3. עיצום: אם יימצאו הפרות, למשל אין נוהל, אין תיעוד גישה או לא הייתה הודעה, ניתן להטיל עיצום לפי התוספת השלישית. ראו המדריך לעיצומים.

הקשר לעיצומים

בתוספת השלישית לחוק, הפרט ״דיווח לרשות אודות אירוע אבטחה חמור״ קובע עיצום בסיסי של 80,000 ₪ במאגר ברמה בינונית ו-320,000 ₪ במאגר ברמה גבוהה. הסכומים מתעדכנים מדי שנה לפי מדד. ב-2026 הם 81,890 ₪ ו-327,560 ₪, לפי הודעת הרשות בילקוט הפרסומים 15000 (7.10.2026). לעסק זעיר או קטן יש תקרות מופחתות, לבקשתו. בהפחתות שבתוספת החמישית, הפסקת ההפרה ודיווח עליה מיוזמת המפר מזכים ב-30%. כלומר, לדיווח מהיר יש משמעות גם בחשבון.

חובות נוספות שכדאי לבדוק באותו אירוע

ראו גם המדריך למערך הסייבר.

אירועים שאינם חמורים: עדיין מתעדים

תקנה 11(א) מחייבת לתעד כל מקרה שבו התגלה אירוע שמעלה חשש לפגיעה בשלמות המידע, לשימוש בו בלי הרשאה או לחריגה מהרשאה. זה נכון בכל רמה, וככל האפשר על בסיס רישום אוטומטי. ברמה בינונית מקיימים דיון באירועים לפחות פעם בשנה, וברמה גבוהה לפחות פעם ברבעון, ובוחנים אם צריך לעדכן את נוהל האבטחה. יומן אירועים פשוט יכול לכלול:

יומן כזה הוא גם הראיה לכך שבדקתם אם מדובר באירוע חמור, והחלטתם באופן מנומק.

איך מתכוננים מראש

• קבעו מי מחליט אם אירוע הוא ״חמור״, ומי שולח את ההודעה.
• החזיקו פרטים מוכנים: זיהוי המאגרים, רמות האבטחה, אנשי קשר.
• הכניסו את השאלה לדף החירום ולנוהל האבטחה. תקנה 4(ג)(6) מחייבת שהנוהל יכלול את אופן ההתמודדות עם אירועי אבטחה.
• ודאו שהספקים מתחייבים להודיע לכם מיד על אירוע אצלם. בלי זה, לא תוכלו לעמוד בדרישת המיידיות.

שאלות נפוצות

מה המשמעות של ״באופן מיידי״?

התקנות לא קובעות מספר שעות. הנחה סבירה היא שאסור לחכות לסיום החקירה. הודיעו ברגע שיש בסיס להניח שמדובר באירוע חמור, ועדכנו בהמשך.

האם ספק שירות מנוהל יכול לדווח בשמנו?

החובה מוטלת על בעל השליטה במאגר. הספק יכול לעזור בהכנת ההודעה. ודאו שהחוזה מחייב אותו לשתף פעולה.

האם מודיעים גם ללקוחות?

התקנות קובעות שהרשות רשאית להורות להודיע לנפגעים. גם בלי הוראה כזו, ייתכן שהודעה יזומה נכונה מבחינה עסקית ומשפטית. התייעצו עם עורך דין.

מקורות

• ויקיטקסט: תקנות הגנת הפרטיות (אבטחת מידע) — תקנה 1 (הגדרה) ותקנה 11
• ויקיטקסט: חוק הגנת הפרטיות — התוספת השלישית, פרט 21, והתוספת החמישית
• הרשות להגנת הפרטיות (gov.il) — דרך הדיווח העדכנית