הממשלה התקינה תקנות שעת חירום להתמודדות עם תקיפות סייבר במגזר השירותים הדיגיטליים ושירותי האחסון

29.11.2023 עו"ד נועה גבע

נוכח ריבוי מתקפות הסייבר בעת האחרונה ועל רקע מלחמת 'חרבות ברזל', ביום 27 בנובמבר 2023

התקינה הממשלה את תקנות שעת חירום (חרבות ברזל) (התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון), התשפ"ד - 2023 ("התקנות"). יצוין כי לאור הדחיפות המיוחדת בנסיבות המלחמה, התקנות לא עברו כל דיון ציבורי מקדים להתקנתן.

התקנות מקנות סמכויות מרחיקות לכת לגופי הביטחון ביחס לניהול הפנימי של חברות וארגונים הפועלים במגזר השירותים הדיגיטליים, במקרים של מתקפת סייבר חמורה.

במסגרת התקנות הוסמכו מערך הסייבר הלאומי, חטיבת איומי הסייבר בשב"כ והממונה על הביטחון במערכת הביטחון ("הגורמים המוסמכים") לפעול במקרים מסוימים ולתת הוראות מחייבות לספקי שירותי אחסון או שירותים דיגיטליים בעת חשש ממשי לתקיפת סייבר חמורה ("מתקפת סייבר").

התקנות חלות על כל חברה או ארגון בישראל המספק שירותי IT , שירותי ענן או כל שירות הקשור באחסון והעברה של מידע.

התקנות מגדירות מתקפת סייבר בצורה רחבה ביותר, שנועדה לחול על מתקפה בעלת השפעה משמעותית, המעלה חשש ממשי לפגיעה ביטחון המדינה ושלום הציבור, לרבות בדרך של פגיעה באספקה של שירותים חיוניים לציבור.

במקרה של מתקפה שכזו, יידרש ספק השירות למסור דיווח מפורט לגורם המוסמך על נסיבות המתקפה ואופן הטיפול בה. ככל שלפי שיקול דעתו של הגורם המוסמך המתקפה אינה מטופלת כיאות על ידי אותו ספק, יוכל הגורם המוסמך לתת לספק הוראות מחייבות כיצד לטפל במתקפה. החריג היחיד לסמכות זו חלה במקרה בו הספק העביר תצהיר חתום על יישום הוראות האבטחה בהתאם לתקן NIST 800-53.

במסגרת סמכותו כאמור יוכל הגורם המוסמך לדרוש מן הספק לנקוט באמצעי אבטחה ואמצעים אחרים על מנת לאתר, למנוע או לבלום את מתקפת הסייבר וכל הוראות אחרות לפי שיקול דעתו. זאת, במטרה להגן על האינטרס הציבורי ולהפחית את מידת הנזק אשר עשוי להיגרם נוכח מתקפת הסייבר.

התקנות כוללות סעיף שמירת סודיות המידע בידי הגורמים המוסמכים.

תוקף התקנות למשך חודש ממועד פרסומן, ובמקביל מקדמת הממשלה הצעת חוק שתחליף את התקנות ותחול עד לתום תקופת המלחמה (עד חודש לאחר מועד פקיעתה של הכרזה על מצב מיוחד בעורף שתחילתה ביום 7 באוקטובר 2023). הצעת החוק פתוחה להערות הציבור עד ליום 4.12.2023.

לפירוט נוסף ראו הודעת מערך הסייבר הלאומי.

___________________________________________________________________

עדכון זה אינו מהווה ייעוץ או חוות דעת משפטית בנושא, והוא מוגש כסקירה כללית. בכל נושא ספציפי יש לפנות למשרדנו לקבלת ייעוץ.