חוק התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון (הוראת שעה – חרבות ברזל) (תיקון מס' 3), התשפ"ה-2025

תקציר AI מלא

החוק מאריך את תוקפו של חוק קיים העוסק בהתמודדות עם תקיפות סייבר חמורות בשירותים דיגיטליים ושירותי אחסון. תוקפו של החוק, שהיה קשור במקור למבצע "חרבות ברזל", הוארך עד ל-31 בינואר 2026, והוא ימשיך לעמוד בתוקפו ללא קשר למצב הלחימה. החוק מסמיך מנהל מוסמך, הפועל מטעם מערך הסייבר הלאומי או משרד הביטחון, לדרוש מספק שירותים דיגיטליים או אחסון להציג כל מידע או מסמך, כולל פלט מחשב, אם יש יסוד סביר להניח שמתרחשת או עומדת להתרחש תקיפת סייבר חמורה נגדו או באמצעותו. בנוסף, החוק מטיל על ספק שהותקף חובה ליידע באופן מיידי ארגונים מקושרים שעלולים להיפגע ישירות מהתקיפה, אלא אם כן גורם מוסמך הורה אחרת. החוק קובע גם חובת דיווח לספק למערך הסייבר על תקיפות משמעותיות. הדיווחים כוללים פרטים על הספק, מועד התקיפה, מאפייניה, השפעתה, וכן מידע על הטיפול בתקיפה. ישנם מועדים שונים להגשת דיווחים ראשוניים ועדכונים, הנעים בין 24 ל-72 שעות ממועד גילוי התקיפה, וכן דיווח ביניים ודיווח מסכם. כדי להקל על הספקים, החוק מרחיב את רשימת תקני אבטחת המידע הבינלאומיים המאפשרים לספק לקבל פטור ממרבית החובות בחוק, אם יצהיר שהוא עומד בהם. רשימה זו כוללת תקנים כמו NIST 800-53, ISO/IEC 27001, SOC 2 Type 2, CMMC Level 3, וכן תקנים נוספים בתחומי אבטחת מידע, פרטיות, וניהול סיכונים. לבסוף, החוק מרחיב את חובת הדיווח התקופתי לוועדת החוץ והביטחון של הכנסת. הדיווחים יכללו כעת גם נתונים על מספר דרישות המידע שהופנו לספקים, מספר הדיווחים העצמיים שהתקבלו, ומספר המקרים שבהם נאסר על ספק לעדכן ארגון מקושר בדבר תקיפה.