- דף הבית
- רגולציה בישראל
רגולציה בישראל
תקנות אבטחת מידע ותיקון 13: מה חל עליכם
סיכום מעשי להנהלה ולצוותי ה-IT, וכיצד אנחנו מסייעים לעמוד בכל חובה.
התקנות משנת 2017
תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017
התקנות בתוקף מאז 8 במאי 2018. הן חלות על בעלי מאגרי מידע ועל מחזיקים, וקובעות חובות מדורגות לפי רמת אבטחה.
- רמות אבטחה
- בסיסית, בינונית או גבוהה, בהתאם לסוג המידע שבמאגר, וברמה הגבוהה גם בהתאם להיקף המאגר.
- ביקורת תקופתית
- ברמות הבינונית והגבוהה: ביקורת פנימית או חיצונית לפחות אחת ל-24 חודשים, בידי גורם בעל הכשרה מתאימה בביקורת אבטחת מידע (תקנה 16).
- סקר סיכונים ומבדקי חדירה
- ברמה הגבוהה: לפחות אחת ל-18 חודשים (תקנה 5).
- אירועי אבטחה חמורים
- ברמות הבינונית והגבוהה: דיווח מיידי לרשם ברשות להגנת הפרטיות (תקנה 11).
- תיעוד
- מסמך הגדרות מאגר ונוהל אבטחה, המעודכנים באופן שוטף.
תיקון 13
תיקון 13 לחוק הגנת הפרטיות
התיקון בתוקף מאז 14 באוגוסט 2025. הוא מעניק לרשות להגנת הפרטיות סמכויות פיקוח ואכיפה רחבות יותר, ובהן הטלת עיצומים כספיים, ומחייב ארגונים מסוימים למנות DPO.
- מי חייב למנות DPO
- גופים ציבוריים (ובהם בתי חולים, קופות חולים ואוניברסיטאות), סוחרי מידע המחזיקים מידע על 10,000 בני אדם לפחות, וארגונים שעיקר פעילותם כרוך בניטור שיטתי בהיקף ניכר או בעיבוד בהיקף ניכר של מידע בעל רגישות מיוחדת.
- הנחיית הרשות
- הרשות להגנת הפרטיות פרסמה ביולי 2026 את ההנחיה הסופית בנוגע לחובת מינוי DPO. ניתן למנות DPO חיצוני, ובלבד שהתפקיד מוחזק בידי אדם מסוים ששמו נקוב, העומד בדרישות המומחיות והזמינות שהרשות קבעה.
- אכיפה
- לנוכח העיצומים הכספיים וסמכויות הפיקוח הרחבות, פער בציות הוא היום סיכון כספי ולא רק משפטי.
מגזרים מפוקחים
בריאות, פיננסים, ביטוח, חינוך
מידע רפואי נמנה עם סוגי המידע שמציבים מאגר ברמת אבטחה בינונית לפחות. במגזרים אלה נפוץ גם השילוב של מאגרים גדולים ודרישות של רגולטור מגזרי.
אנחנו מביאים בחשבון בניתוח את הדרישות המגזריות שלכם, כאשר אתם משתפים אותנו בהן.
כיצד אנחנו מסייעים
ממיפוי ועד למחזור הביקורת הבא
מיפוי
מיפוי מאגרי המידע, הבעלים שלהם וספקי העיבוד שלכם.
סיווג
קביעת רמת אבטחה לכל מאגר ורשימת החובות החלות עליו.
ביקורת
הערכת העמידה בתקנות ובתיקון 13, בדוח מתועדף.
תיקון
סגירת הפערים, ואחר כך היערכות למחזור הבא של 24 חודשים.
שאלות נפוצות
רגולציה בישראל: השאלות שלכם
האם כל חברה חייבת בביקורת אחת ל-24 חודשים?
לא. הביקורת התקופתית חלה על מאגרים ברמת אבטחה בינונית או גבוהה. הצעד הראשון הוא לסווג כל מאגר.
האם אנחנו חייבים למנות DPO?
זה תלוי בפעילות שלכם ובהיקפה. החובה חלה על גופים ציבוריים, על סוחרי מידע מעל 10,000 בני אדם, ועל ארגונים שעיקר פעילותם כרוך בניטור בהיקף ניכר או בעיבוד בהיקף ניכר של מידע רגיש. אנחנו מסייעים לתעד את הניתוח; העמדה המשפטית הסופית היא של היועץ המשפטי שלכם.
איך מתחילים לעבוד יחד?
תחילה נברר את הדרישות, סביבת העבודה ולוחות הזמנים שלכם. לאחר מכן נגדיר יחד את היקף העבודה, הצוותים המעורבים והתוצרים, מההערכה הראשונית ועד לתיקון הממצאים.
האם גם ה-GDPR חל עלינו?
ייתכן, אם אתם מציעים מוצרים או שירותים לאנשים באיחוד האירופי או מנטרים את התנהגותם. לישראל יש החלטת הלימות של האיחוד האירופי, המקלה על העברת מידע אישי מהאיחוד לישראל. אנחנו יכולים למפות את שתי המסגרות יחד.
דף זה הוא סיכום כללי ואינו ייעוץ משפטי. הנוסח המחייב של החוק והתקנות הוא הנוסח העברי שפורסם ברשומות. עודכן לאחרונה: אוקטובר 2026.
מקור: הרשות להגנת הפרטיות, תרגום לאנגלית של תקנות אבטחת מידע (לידיעה בלבד).
מהם הצרכים של הארגון שלכם?
ספרו לנו על הביקורת, הדרישה או האירוע שלפניכם. יחד נגדיר את היקף העבודה, סדרי העדיפויות ואופן הליווי.
דברו עם מומחה