פריט קצר לכל פרסום שמשנה משהו לעסק בישראל: הרשות להגנת הפרטיות, מערך הסייבר, רגולטורים מגזריים, האיחוד האירופי ותקינה. לכל פריט — תאריך, מקור ראשוני ו״מה זה אומר לכם״. פריטים שמבוססים על דיווח עיתונאי מסומנים כמקור משני.
עודכן לאחרונה: 26 באוקטובר 2026
ה-AICPA/ASEC פרסמו להערות הציבור הצעה לקריטריוני שירותי אמון (TSC) ולקריטריוני תיאור מעודכנים לשנת 2027. זו הצעה בלבד — הקריטריונים שבתוקף הם TSC 2017 עם נקודות המיקוד של 2022.
אם אתם בתהליך SOC 2 — אין מה לשנות עכשיו. לקוחות אמריקאים עשויים לשאול על ״הקריטריונים החדשים״; התשובה: טיוטה, מועד תחולה טרם נקבע.
הרשות להגנת הפרטיות הטילה על מנורה מבטחים ביטוח עיצום של 256,000 ₪ (סכום בסיס 640,000 ₪, אחרי הפחתה של 60%: 20% + 30% + 10% על מינוי ממונה כנדרש) בגין דיווח באיחור של כ-15 יום על אירוע אבטחה חמור, לפי תקנה 11(ד)(1). הרשות הבהירה שהפרדה טכנולוגית אינה משנה את רמת האבטחה של מאגר המקור. פרטים מדיווחים משניים (law.co.il, ice.co.il) — עמוד ההודעה ב-gov.il לא אותר לקישור ישיר.
חובת הדיווח קמה עם הידיעה על האירוע — דיווח ראשוני מיד, השלמה אחר כך. וגם: מנגנון ההפחתות עובד בפועל — מי שמדווח מיוזמתו, מתקן, ומינה ממונה בזמן, משלם פחות.
בוובינר של הרשות (ספטמבר 2026) הובהר, בהמשך להנחיה 3/2018, שהסמכת ISO 27001 אינה מקימה חזקת עמידה בתקנות: הרשות תבקש הצהרת תחולה (SoA), סקר סיכונים, תוכנית טיפול ודוחות ביקורת, והיקף ההסמכה ויישום הבקרות באחריות הארגון.
מי שמסתמך על התעודה בלבד — חשוף. יש לוודא שהיקף ה-ISMS מכסה את מאגרי המידע האישי ושהבקרות שבתקנות (תקנה 11 דיווח, תקנה 10 לוגים, ועוד) ממופות במפורש.
מ-11.9.2026 חל סעיף 14 לתקנה (EU) 2024/2847: יצרן של מוצר עם רכיבים דיגיטליים המשווק באיחוד — גם בחינם — חייב בהתרעה מוקדמת תוך 24 שעות ל-ENISA/CSIRT על חולשה מנוצלת או אירוע חמור. יתר הדרישות (אבטחה-בתכנון, סימון CE) חלות מ-11.12.2027.
חברת תוכנה/חומרה ישראלית שמוצריה זמינים בשוק האירופי היא ״יצרן״ לעניין התקנה. צריך נוהל דיווח 24 שעות ונקודת קשר — כבר היום.
הרשות הטילה עיצום של 12,000 ₪ (בסיס 20,000 ₪, הפחתה 40%) על עסק קטן שאסף פרטים בטופס רישום מקוון בלי הודעת יידוע לפי סעיף 11 לחוק. הרשות דחתה טענות ״זוטי דברים״ ותום לב, וקבעה שתיקון רק אחרי פתיחת הבדיקה אינו ״מיוזמת המפר״. מדיווחים משניים (JDN, ישראל היום).
הפרה שרואים מהדפדפן — טופס בלי הודעת יידוע — היא הראשונה שנאכפת גם נגד עסקים קטנים. לבדוק כל טופס באתר, באפליקציה ובדלפק.
תיקון ה-AI Omnibus (בתוקף 27.7.2026) דחה את תחולת החובות למערכות בסיכון גבוה: נספח III ל-2.12.2027 ונספח I (מוצרים) ל-2.8.2028. האיסורים, חובת אוריינות AI וחובות מודלי GPAI כבר חלים; התחולה הכללית והאכיפה — מ-2.8.2026.
חברה ישראלית שמוכרת מערכת AI לאירופה קיבלה זמן לנספח III — אבל חובות השקיפות וה-GPAI בתוקף. כדאי להתחיל ממיפוי: איזו מערכת, באיזו קטגוריה.
הרשות להגנת הפרטיות הטילה על מאוחדת עיצום של 256,000 ₪ בגין אי-דיווח מיידי על אירוע אבטחה חמור (ידעה בנובמבר 2025, דיווחה בינואר 2026) — תקנה 11(ד). הרשות הגדירה זאת כעיצום הראשון מאז כניסת תיקון 13 לתוקף.
״ללא דיחוי״ פירושו עם הידיעה, לא בסיום התחקיר. ארגון שממתין לתמונה מלאה לפני שמדווח — מפר.
מסמך המלצות (תמוז תשפ״ו) לציבור על סוכני AI שפועלים בשם המשתמש: שלושה סיכונים מרכזיים (איסוף יתר, הסקה מחוץ להקשר, פעולות אוטונומיות), הרשאות מינימום/צפייה בלבד, בקרה אנושית על פעולות בלתי הפיכות, ותיקיות ייעודיות במקום גישה לתיבה שלמה.
גם אם המסמך מופנה לציבור — ארגון שמאמץ סוכני AI לעובדים יישאל בביקורת אם יישם את אותם עקרונות. בסיס טוב למדיניות שימוש ב-AI.
הנוסח הסופי (14.7.2026, פורסם למחרת) מחליף את הטיוטה מיולי 2025. עיקריו: ארבע קבוצות החובה שבס׳ 17ב1(א); ל״היקף ניכר״ אין סף כמותי חד-ערכי (ס׳ 9.10); מחזיק שמעבד עבור לקוחות רבים נבחן במצטבר (ס׳ 9.12); הממונה חייב להיות אדם יחיד; ניגודי עניינים — מנהל מערכות מידע ככלל פסול, CISO בבחינה מתועדת, יועמ״ש מותר עם הפרדה; ההפחתה של 10% בעיצום — רק למי שחב במינוי לפי קבוצות 3–4 ומינה לפני הודעת כוונת חיוב.
כל ארגון שהחליט ״אנחנו מתחת לסף״ על סמך מספר רשומות — צריך לבחון מחדש לפי סוג העיסוק. ספקי SaaS: ההיקף נספר על פני כל הלקוחות.
הרשות פרסמה טיוטה המדרגת אמצעי אימות גיל לפי מידת הפגיעה בפרטיות (הצהרה עצמית, כרטיס אשראי, ביומטריה/ת״ז), עם דרישות צמצום, יידוע, בסיס חוקי/הסכמה ומחיקה אצל ספק צד ג׳. טיוטה — לא מחייב עדיין.
שירותים שפונים לקטינים או מגבילים גיל: לא לבנות אימות ביומטרי ״ליתר ביטחון״. לעקוב אחרי הנוסח הסופי.
ה״ח הממשלה 1955 (27.5.2026) אושרה בקריאה ראשונה ב-8.6.2026. ההצעה מגדירה ״ארגון חיוני״ לפי ספי מגזר, קובעת רמת הגנה בסיסית מחייבת, חובת דיווח על תקיפה משמעותית למערך הסייבר ולרגולטור המגזרי, ועיצומים. ההליך נעצר עם פיזור הכנסת ה-25 (יולי 2026) ותלוי בדין רציפות בכנסת הבאה.
כיום אין חובה כללית על עסק פרטי לדווח למערך הסייבר (119) — זה וולונטרי. אם החוק יחוקק, ארגונים חיוניים יקבלו חובת דיווח מדורגת (24 שעות–30 יום). כדאי להיערך בנוהל כבר עכשיו.
הוראה 364 (פורסמה 18.11.2024, חוזר 2799) מאחדת ומחליפה את הוראות 357/361/363 בנושא ניהול סיכוני IT, אבטחת מידע והגנת סייבר בתאגידים בנקאיים, ותחילתה 18.5.2026. אתר בנק ישראל חסם אימות אוטומטי — התאריכים מסקירות משפטיות; לאמת מול הנוסח.
ספקים של בנקים (SaaS, מיקור חוץ, פינטק) יקבלו דרישות מעודכנות בשאלוני ספקים ובחוזים. להיערך עם ISO 27001/SOC 2 ותיעוד בקרות.
התקנות (ק״ת 12361) קובעות את הנסיבות שבהן ראש הרשות רשאי למסור התראה מינהלית במקום להטיל עיצום כספי — השלמת ארגז הכלים של תיקון 13.
ארגון שמתקן מהר ומתעד — יכול לסיים הליך בהתראה. זה תמריץ ממשי לנוהל תגובה מסודר לפניות הרשות.
הרשות קבעה שהסכם העברה לפי תקנה 2(4) חייב לכלול התחייבויות מהותיות זהות או דומות לדין הישראלי: מטרה, זכויות עיון/תיקון/מחיקה, סודיות ואבטחה (תקנות 2017 או ISO 27001 עם הבקרות הרלוונטיות). המבחן אובייקטיבי, ובעל השליטה נשאר אחראי.
DPA גנרי של ספק ענן לא בהכרח מספיק. לבדוק שההסכם מכסה את רשימת ההתחייבויות של הרשות — במיוחד מול ספקים בארה״ב.
עמידה בלשון סעיף 11 היא דרישת מינימום; שכבות גילוי; אין להתנות שירות בהסכמה גורפת; שינוי מהותי במטרות מחייב הסכמה חדשה; נטל ההוכחה על הארגון.
מדיניות פרטיות וטופסי הסכמה שנכתבו לפני 2026 צריכים ריענון: הסכמה לכל מטרה, לא ״אני מסכים לתנאים״ אחד.
ההנחיה (סופית, אחרי טיוטה מנובמבר 2025) קובעת מספר מצלמות מינימלי, איסור הקלטת קול, זיהוי פנים רק מכוח חוק, שהסכמת הורים אינה מכשירה התקנה בלתי חוקית, וצפיית הורים כשיקול המפעיל.
מפעילי מעונות — חובה; כל מפעיל מצלמות אחר — זה הסטנדרט שהרשות מצפה לו.
התקנה קובעת לוחות זמנים מחייבים לחקירת תלונות חוצות-גבולות (15 חודשים, +12 במקרים מורכבים; 12 בהליך מפושט) וקריטריוני קבילות אחידים. אושרה 26.11.2025, פורסמה ב-OJ 12.12.2025, חלה מ-2.4.2027.
ספק ישראלי בתחולת GDPR צריך להיערך להליכים מהירים יותר מול רשויות אירופיות.
לפי IAF MD 26 (Issue 2), תקופת המעבר של 36 חודשים הסתיימה ב-31.10.2025; כל ההסמכות לפי גרסת 2013 פגו או נמשכו. (IAF חדל לפעול ב-1.1.2026; המסמכים מנוהלים כיום על ידי Global ACI.)
מי שעדיין מציג תעודת 2013 ללקוחות — מציג תעודה שאינה תקפה. המסלול: הסמכה מלאה לפי 2022.
המהדורה השנייה הופכת את ה-PIMS לתקן מערכת ניהול עצמאי (Type A MSS) שאינו תלוי ב-ISO 27001, לצד ISO/IEC 27706:2025 לגופי הסמכה. לפי גופי הסמכה לאומיים (SAC), יעד המעבר למוסמכים לפי 2019 הוא 31.10.2028.
ארגון שרוצה הסמכת פרטיות בלי מסלול 27001 מלא — יש עכשיו דרך. למוסמכי 2019: לתאם מעבר עם גוף ההסמכה.
האמור בעמוד זה הוא תקציר מידע ואינו מהווה ייעוץ משפטי. כל פריט נבדק מול המקור המצוין בתאריך הפרסום; לפני הסתמכות — קראו את המקור. מצאתם טעות או פרסום שחסר כאן? כתבו לנו.
