איגוד האינטרנט הישראלי מגיש את התייחסותו והמלצותיו המקצועיות לתזכיר חוק הגנת הסייבר הלאומית שפורסם להערות הציבור בינואר 2026. לעמדתנו, מדובר ביוזמה מבורכת המבקשת לעגן מסגרת חקיקתית ייעודית, להבטיח סטנדרט הגנה מחייב לארגונים שבלעדיהם המדינה אינה יכולה לתפקד, וליישר קו עם הנורמות המקובלות בעולם. עם זאת, נדרשת הוספת מנגנוני בקרה ואיזון, לרבות התניית חדירה לרשתות פרטיות באישור שיפוטי מוקדם והקפדה על איסוף מידע מינימלי, על מנת למנוע פגיעה בזכויות האדם והאזרח, בפרטיות הציבור ובוודאות העסקית במשק.
רקע
ביום 22 בינואר 2026 פורסם להערות הציבור תזכיר חוק הגנת הסייבר הלאומית, התשפ"ו-2026. לפי דברי ההסבר לתזכיר החוק, הצורך העומד בבסיסו נובע מכך שמרחב הסייבר מהווה כיום תשתית אסטרטגית בעלת השפעה מכרעת על הביטחון הלאומי, הכלכלה והחברה בישראל. צורך זה התחדד במיוחד מאז פרוץ מלחמת "חרבות ברזל" באוקטובר 2023, לאור העלייה החדה והמדאיגה בהיקף ובעוצמת תקיפות הסייבר המכוונות נגד גופים אזרחיים במשק, מתוך מטרה לפגוע בחוסן הלאומי וברציפות התפקודית של שירותים חיוניים לציבור. העקרונות המרכזיים שמציגים מנסחי התזכיר כוללים עיגון של מסגרת חקיקתית ייעודית ומקיפה, קביעת סטנדרט הגנה מחייב לארגונים שהמדינה תלויה בתפקודם ומתן סמכויות אסדרה, פיקוח ואכיפה למערך הסייבר הלאומי. תזכיר החוק נפתח להערות הציבור בין התאריכים 22 לינואר ל-21 לפברואר 2026. איגוד האינטרנט הישראלי הגיש את התייחסותו ביום 19 בפברואר 2026.
תמצית העמדה המקצועית של איגוד האינטרנט לתזכיר החוק
תזכיר החוק עושה שימוש בהגדרות רחבות ונעדרות רף מינימלי ברור, כגון "ספק שירותים דיגיטליים" או "נכס מידע משמעותי". ניסוח גורף זה עלול להחיל חובות רגולטוריות כבדות על ספקים אזרחיים שאינם מהווים בשגרה סיכון ממשי לתשתית הלאומית או לרציפות התפקודית של המשק. מעבר לעומס הבירוקרטי, מצב זה מייצר כפילות והתנגשות סמכויות מול הוראות חוק הגנת הפרטיות. לעמדתנו, נדרש דיוק של ההגדרות והחלתן באופן דיפרנציאלי, כך שהרגולציה תמוקד אך ורק בשירותים המהווים סיכון מובהק ומרכזי לביטחון המדינה.
ריכוז סמכויות אכיפה וענישה במערך הסייבר בהעדר מנגנוני פיקוח הולמים: החוק מבקש להסמיך את מערך הסייבר הלאומי, אשר פעל עד כה כגוף טכנולוגי-מבצעי מייעץ, כרגולטור עליון בעל סמכויות אכיפה והטלת עיצומים כספיים נרחבים. סמכויות דרמטיות אלו ניתנות בתזכיר ללא הבטחת אי-תלות מוסדית, כגון קציבת כהונת ראש המערך בחוק, וללא דרישות סף מחמירות ותנאי כשירות להפעלתן. בנוסף, חסרים בנוסח מנגנוני פיקוח פרלמנטרי וציבורי מספקים, בדומה לאלו המקובלים ביחס לגופי אכיפה ורגולציה אחרים בישראל, עובדה העלולה להוביל להפעלת כוח שלטוני ללא בקרה מספקת.
הענקת סמכויות חדירה לחומר מחשב תוך סכנה לפרטיות ולזכויות האזרח: התזכיר מעניק למערך סמכויות נרחבות לביצוע "פעולות אקטיביות" בחומר מחשב של גופים פרטיים, אך נעדר ממנו מדרג פעולה מובנה וברור (Step-by-step escalation). על מנת לשמור על חוקיות ומידתיות האכיפה, אנו ממליצים להתנות הליכי חדירה וחיפוש מרחוק ברשתות פרטיות באישור שיפוטי מוקדם, בדומה לצווי חיפוש בעולם הפלילי. כמו כן, חובה לעגן בחקיקה דרישות להטמעת מנגנוני "התממה" (Anonymization) במידע המדווח, להגביל את תקופות שמירת המידע בהתאם לסוגו, ולהבטיח איסוף מידע מינימלי למניעת חשיפת זהותם של משתמשי הקצה אל מול רשויות המדינה.
חוסר הדדיות בשיתוף מידע והיעדר חובת דיווח מצד המדינה: תזכיר החוק מתמקד באופן כמעט בלעדי בחובות הדיווח של הארגונים והמשק כלפי מערך הסייבר הלאומי, אך שותק באשר לחובות המערך כלפי המשק. אנו סבורים כי הצלחת המאמץ הלאומי מבוססת על הדדיות. לפיכך, ראוי לעגן בחוק גם חובה מפורשת של מערך הסייבר לשתף תמונת מצב ומידע מודיעיני רלוונטי (כגון חתימות איומים וטכניקות תקיפה) עם הארגונים החיוניים המפוקחים. מודל זה של שיתוף מידע הדדי מעוגן בהצלחה במסגרות אסדרה מובילות בעולם, דוגמת ה-CISA בארצות הברית, והוא חיוני כדי לסייע לגופים האזרחיים להתגונן מראש באופן אפקטיבי.
נטל רגולטורי לא שוויוני העלול לפגוע בתחרותיות חברות ההייטק הישראליות: ספי הכניסה שנקבעו בתזכיר להגדרת ארגונים מפוקחים (כגון 50 עובדים או מחזור שנתי של 40 מיליון ש"ח) נמוכים יחסית, ועלולים להכניס תחת כנפי החוק חלק ניכר מתעשיית ההייטק המקומית. במקביל, קיים חשש ממשי כי אכיפת הוראות אלו על תאגידי טכנולוגיה רב-לאומיים ענקיים תהיה מורכבת ובלתי שוויונית בפועל. מצב זה עלול ליצור אכיפה סלקטיבית שתפגע בוודאות העסקית ובתחרותיות של החברות הישראליות. הפתרון הראוי, לעמדתנו, הוא אימוץ מנגנון של הכרה בתקינה בינלאומית מחמירה (כגון ISO 27001 ,SOC 2 ,FedRAMP) כחלופה לדרישות הדיווח המקומיות.
היעדר דיוק מקצועי בהגדרת תשתיות הליבה של האינטרנט בישראל: התוספות לחוק כוללות אי-דיוקים טכנולוגיים ומשפטיים הנוגעים להגדרתם של רכיבי תשתית אינטרנט קריטיים וייחודיים. קיימת הבנה שגויה של אופן הפעולה של מחלפי אינטרנט (IXP) ושירותי ה-DNS, והיעדר הבחנה נדרשת בין רשמי שמות המתחם (Registrars) לבין מנהל המרשם הלאומי (Registry). אנו מתריעים כי החלת דרישות טכניות ומשפטיות שאינן תואמות את ארכיטקטורת הרשת, עלולה לפגוע בעצמאות גופים אלו ואף לשבש את פעילותן התקינה של תשתיות האינטרנט.
