חוק התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון (הוראת שעה)

{{ח:התחלה}}
{{ח:כותרת|חוק התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון (הוראת שעה), התשפ״ד–2023}}

{{ח:פתיח-התחלה}}
{{ח:מאגר|2212973}} {{ח:תיבה|ס״ח תשפ״ד, 410|חוק התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון (הוראת שעה – חרבות ברזל)|https://fs.knesset.gov.il/25/law/25_lsr_3815292.pdf}}, {{ח:תיבה|1098|תיקון|https://fs.knesset.gov.il/25/law/25_lsr_4712389.pdf}}; {{ח:תיבה|תשפ״ה, 426|תיקון מס׳ 2|https://fs.knesset.gov.il/25/law/25_lsr_6165262.pdf}}; {{ח:תיבה|ק״ת, 1974|תקנות שעת חירום (חרבות ברזל) (סמכויות נוספות לשם התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון)|https://olaw.org.il/takanot/takanot-11914.pdf}}, {{ח:תיבה|2318|תקנות שעת חירום (חרבות ברזל) (סמכויות נוספות לשם התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון)|https://olaw.org.il/takanot/takanot-11986.pdf}}; {{ח:תיבה|ס״ח, 798, 805|תיקון מס׳ 3|https://fs.knesset.gov.il/25/law/25_lsr_8529139.pdf}}.
{{ח:סוגר}}
{{ח:מפריד}}

{{ח:סעיף|1|הגדרות|תיקון: ק״ת תשפ״ה, ק״ת תשפ״ה־2, תשפ״ה־2, תשפ״ה־3}}
{{ח:ת}} בחוק זה –
{{ח:ת|סוג=הגדרה}} ”ארגון מקושר“ – ארגון שקיים חיבור, פיזי או לוגי, קבוע או עיתי, בין מחשביו לבין מחשבי הספק, או שמתבצעת העברת חומר מחשב, קבועה או עיתית, בין מחשבי הספק למחשביו;
{{ח:ת|סוג=הגדרה}} ”חומר מחשב“, ”מחשב“, ”פלט“ ו”תוכנה“ – כהגדרתם {{ח:חיצוני|חוק המחשבים|בחוק המחשבים}};
{{ח:ת|סוג=הגדרה}} ”חוק המחשבים“ – {{ח:חיצוני|חוק המחשבים|חוק המחשבים, התשנ״ה–1995}};
{{ח:ת|סוג=הגדרה}} ”חוק להסדרת הביטחון“ – {{ח:חיצוני|חוק להסדרת הביטחון בגופים ציבוריים|חוק להסדרת הביטחון בגופים ציבוריים, התשנ״ח–1998}};
{{ח:ת|סוג=הגדרה}} ”מלמ״ב“ – הממונה על הביטחון במערכת הביטחון;
{{ח:ת|סוג=הגדרה}} ”מנהל מוסמך“ – אחד מאלה או ממלא מקומו:
{{ח:תתת|(1)}} ראש יחידת המודיעין וההכוונה בחטיבת איומי סייבר בשב״כ;
{{ח:תתת|(2)}} ראש מרכז תגובה (IR) במערך הסייבר;
{{ח:תתת|(3)}} לעניין ספק של הגופים המנויים {{ח:חיצוני|חוק להסדרת הביטחון בגופים ציבוריים#תוספת 1 פרט 2|בפרטים 2}} {{ח:חיצוני|חוק להסדרת הביטחון בגופים ציבוריים#תוספת 1 פרט 3|ו־3 בתוספת הראשונה לחוק להסדרת הביטחון}} – ראש יחידת הסייבר במלמ״ב;
{{ח:ת|סוג=הגדרה}} ”מערך הסייבר“ – מערך הסייבר הלאומי כהגדרתו {{ח:חיצוני|חוק להסדרת הביטחון בגופים ציבוריים|בחוק להסדרת הביטחון}};
{{ח:ת|סוג=הגדרה}} ”המרכז הלאומי“ – המרכז הלאומי לסיוע בהתמודדות עם איומי סייבר (CERT), שמפעיל מערך הסייבר;
{{ח:ת|סוג=הגדרה}} ”ספק“ – אחד מאלה:
{{ח:תתת|(1)}} מי שעיסוקו באספקת שירותי אחסון או שירותים דיגיטליים, ומתקיים חיבור פיזי או לוגי, קבוע או עיתי, או שמתבצעת העברת חומר מחשב קבועה או עיתית, ממחשביו למחשבי מקבל שירותיו;
{{ח:תתת|(2)}} מי שעיסוקו באספקת שירותי תחזוקה, ניהול או בקרה של שירותי אחסון או שירותים דיגיטליים;
{{ח:ת|סוג=הגדרה}} ”עובד מוסמך“ – כל אחד מאלה:
{{ח:תתת|(1)}} עובד השירות כהגדרתו {{ח:חיצוני|חוק שירות הביטחון הכללי|בחוק שירות הביטחון הכללי, התשס״ב–2002}}, שראש חטיבת איומי סייבר בשב״כ או ממלא מקומו הסמיך בכתב לעניין חוק זה;
{{ח:תתת|(2)}} עובד מערך הסייבר שראש חטיבת ההגנה במערך הסייבר הסמיך בכתב לעניין חוק זה;
{{ח:תתת|(3)}} לעניין ספק של הגופים המנויים {{ח:חיצוני|חוק להסדרת הביטחון בגופים ציבוריים#תוספת 1 פרט 2|בפרטים 2}} {{ח:חיצוני|חוק להסדרת הביטחון בגופים ציבוריים#תוספת 1 פרט 3|ו־3 לתוספת הראשונה לחוק להסדרת הביטחון}} – עובד המלמ״ב שראש יחידת הסייבר במלמ״ב הסמיך בכתב לעניין חוק זה;
{{ח:ת|סוג=הגדרה}} ”פעולה להגנת סייבר בחומר מחשב“ – מתן הוראות למחשב בשפה קריאת מחשב לשם הגנת סייבר, ובכלל זה הוראה לסריקה, לעיבוד, להסרה של חומר מחשב הנוגע לתקיפת סייבר, להתקנת סוג תוכנה שפעולתה מוגבלת לרשת הספק בלבד, לחסימה או לניתוק של מחשב, או ליצירת עותק של חומר המחשב;
{{ח:ת|סוג=הגדרה}} ”הפעולות הצבאיות המשמעותיות“ – {{ח:הערה|(נמחקה);}}
{{ח:ת|סוג=הגדרה}} ”צה״ל“ – צבא הגנה לישראל;
{{ח:ת|סוג=הגדרה}} ”שב״כ“ – שירות הביטחון הכללי;
{{ח:ת|סוג=הגדרה}} ”שירותי אחסון“ – שירותי אחסון של חומר מחשב הניתנים בעבור אחר, או שירותי אספקת תשתית לאחסון או לעיבוד של חומר מחשב;
{{ח:ת|סוג=הגדרה}} ”שירותים דיגיטליים“ – שירות שהוא אחד מאלה, הניתן בעבור אחר:
{{ח:תתת|(1)}} שירותי תוכנה, לרבות כתיבה, התאמה, שינוי, בדיקה, תמיכה, מחקר ופיתוח של תוכנה;
{{ח:תתת|(2)}} שירותי ניהול או הפעלה של מערכות מחשבים המשלבות חומרה, תוכנה וטכנולוגיות תקשורת;
{{ח:תתת|(3)}} שירותי עיבוד נתונים, הזנתם או שחזורם, התקנה והגדרת תצורה של מחשבים, התקנת תוכנה או שירותי הגנת סייבר;
{{ח:תתת|(4)}} אספקה או התקנה של מחשבים או של ציוד בקרה, המהווים חלק ממכונות וציוד תעשייתי;
{{ח:ת|סוג=הגדרה}} ”תקיפת סייבר“ – פעולה או חשש ממשי לפעולה שנועדה לפגוע שלא כדין בשימוש במחשב או בחומר מחשב השמור בו, לרבות –
{{ח:תתת|(1)}} שיבוש פעולתו התקינה של מחשב או הפרעה לשימוש בו;
{{ח:תתת|(2)}} מחיקת חומר מחשב, שינויו, שיבושו או הפרעה לשימוש בו;
{{ח:תתת|(3)}} אחסון או הצגה של מידע או פלט כוזב, או שיש בהם כדי להטעות, בהתאם למטרות השימוש בהם;
{{ח:תתת|(4)}} חדירה לחומר מחשב כהגדרתה {{ח:חיצוני|חוק המחשבים#סעיף 4|בסעיף 4 לחוק המחשבים}};
{{ח:תתת|(5)}} האזנת סתר לתקשורת בין מחשבים כמשמעותה {{ח:חיצוני|חוק האזנת סתר|בחוק האזנת סתר, התשל״ט–1979}};
{{ח:תתת|(6)}} גישה של גורם שאינו מורשה למידע השמור במחשב, ובכלל זה בדרך של פגיעה בתהליך הזדהות, או הוצאתו שלא כדין של מידע לרבות בדרך של העתקתו, על ידי גורם כאמור;
{{ח:תתת|(7)}} הפרעה או מניעה של חיבור של מחשב לרשת תקשורת.

{{ח:סעיף|2|תקיפת סייבר חמורה|תיקון: ק״ת תשפ״ה, ק״ת תשפ״ה־2, תשפ״ה־2, תשפ״ה־3}}
{{ח:תת|(א)}} מנהל מוסמך רשאי לקבוע כי תקיפת סייבר שמתרחשת או שיש חשש ממשי כי עומדת להתרחש היא תקיפת סייבר חמורה, אם מצא כי יש חשש ממשי שיש בה כדי לפגוע בביטחון המדינה או בביטחון הציבור, או לפגוע באופן חמור ברציפות אספקתם של שירותים חיוניים לציבור, ובשל כל אלה (בחוק זה – תקיפת סייבר חמורה):
{{ח:תתת|(1)}} התרחשותה במהלך תקופת הפעולות הצבאיות המשמעותיות;
{{ח:תתת|(2)}} קיומו של חשש ממשי שהיא בעלת השפעה משמעותית שאינה מוגבלת לספק הנתקף;
{{ח:תתת|(3)}} מאפייניה, לרבות מיתאר התקיפה או זהות התוקף.
{{ח:תת|(א1)}} היה למנהל מוסמך יסוד סביר להניח כי תקיפת סייבר שמתרחשת או שיש חשש ממשי כי היא עומדת להתרחש, היא תקיפת סייבר חמורה נגד ספק או תקיפה כאמור הנעשית באמצעות ספק, רשאי הוא, בעצמו או באמצעות עובד מוסמך, לדרוש מהספק להציג לו כל ידיעה או מסמך, לרבות פלט, כדי להבטיח או להקל את ביצועו של סעיף זה; הוראות סעיף קטן זה לא יחולו לעניין ספק שהגיש תצהיר כאמור {{ח:פנימי|סעיף 3|בסעיף 3(א)(3)}}.
{{ח:תת|(ב)}} הסמכות הנתונה למנהל מוסמך לפי סעיף קטן (א) תהיה נתונה לראש חטיבת הגנה בסייבר בצה״ל, לעניין תקיפת סייבר שהוא מצא שמתרחשת או שיש חשש ממשי כי עומדת להתרחש, אם מצא כי יש חשש ממשי שיש בה כדי לפגוע ברציפות התפקוד המבצעי של צה״ל, בשל האמור בפסקאות (2) ו־(3) של אותו סעיף קטן.

{{ח:סעיף|2א|חובת דיווח|תיקון: ק״ת תשפ״ה, ק״ת תשפ״ה־2, תשפ״ה־2, תשפ״ה־3}}
{{ח:תת|(א)}} נודע לספק על כך שמתרחשת נגדו, בפועל, תקיפת סייבר משמעותית שמתקיים לגביה אחד מהמפורטים להלן, ידווח על כך למנהל המוסמך, בהתאם להוראות סעיף קטן (ב):
{{ח:תתת|(1)}} יש חשש ממשי שהיא אינה מוגבלת לספק הנתקף;
{{ח:תתת|(2)}} היא עלולה לפגוע באופן משמעותי בזמינות, ברציפות או במהימנות השירות של הספק, בהתחשב, בין השאר, באלה:
{{ח:תתתת|(א)}} מספר או סוג המשתמשים בשירות, שעלולים להיות מושפעים מהתקיפה;
{{ח:תתתת|(ב)}} סוג הפגיעה והיקפה;
{{ח:תתתת|(ג)}} משך הפגיעה.
{{ח:תת|(ב)}} לשם מילוי חובת הדיווח כאמור בסעיף קטן (א), יפעל ספק באחת הדרכים שבפסקאות (1) או (2) להלן, בציון הדרך שבה בחר לפעול:
{{ח:תתת|(1)}} יגיש, באופן מיידי, דיווח הכולל את הפרטים שלהלן, אם הם ידועים לו, וכל מידע אחר שיש בו כדי לסייע להערכת חומרתה של תקיפת הסייבר והשלכותיה:
{{ח:תתתת|(א)}} פרטי הספק והשירותים שהוא מספק, ובכלל זה פרטי קשר שלו;
{{ח:תתתת|(ב)}} מועד תחילתה של תקיפת הסייבר ומועד גילויה;
{{ח:תתתת|(ג)}} מידע לגבי מאפייני תקיפת הסייבר והשפעתה על הספק;
{{ח:תתתת|(ד)}} מידע הנוגע לאפשרות שתקיפת הסייבר תשפיע באופן ממשי על ארגון מקושר;
{{ח:תתת|(2)}} יגיש את הדיווחים בהתאם למפורט להלן:
{{ח:תתתת|(א)}} יגיש, בלא דיחוי ולא יאוחר מחלוף 24 שעות מהמועד שבו נודע לספק על תקיפת הסייבר, דיווח ראשוני עליה הכולל מידע שיש בו כדי לסייע בהערכת חומרת התקיפה והשלכותיה, אם הוא ידוע לו, וכן את פרטי הספק והשירותים שהוא מספק, ובכלל זה פרטי קשר שלו;
{{ח:תתתת|(ב)}} יגיש, בלא דיחוי ולא יאוחר מחלוף 72 שעות מהמועד שבו נודע לספק על תקיפת הסייבר, דיווח הכולל עדכון לגבי המידע שנמסר בדיווח הראשוני כאמור בפסקת משנה (א), הערכה ראשונית בדבר חומרת התקיפה והשלכותיה, ומידע הנוגע למאפייני תקיפת הסייבר ולמזהי התקיפה, והכול אם המידע האמור ידוע לו;
{{ח:תתתת|(ג)}} יגיש, לפי דרישה מאת המנהל המוסמך, בעצמו או באמצעות עובד מוסמך, ובמועד שיקבע המנהל המוסמך, דיווח ביניים הכולל עדכון לגבי המידע שנמסר לפי פסקאות משנה (א) או (ב);
{{ח:תתתת|(ד)}} יגיש, לא יאוחר מחלוף 30 ימים מהמועד שבו הגיש את הדיווח לפי פסקת משנה (ב), דיווח הכולל את הפרטים שלהלן (להלן – דיווח מסכם):
{{ח:תתתתת|(1)}} תיאור מפורט על אודות תקיפת הסייבר, לרבות חומרתה והשלכותיה;
{{ח:תתתתת|(2)}} סוג תקיפת הסייבר והגורמים שהיוו מקור להתרחשותה, לפי מיטב ידיעתו של הספק;
{{ח:תתתתת|(3)}} אופן הטיפול בתקיפת הסייבר, לרבות פירוט בדבר אמצעים שננקטו או שעדיין ננקטים לשם כך, למעט סוד מסחרי הנוגע ישירות לאופן הטיפול בתקיפת הסייבר ולאמצעים כאמור;
{{ח:תתתת|(ה)}} על אף האמור בפסקת משנה (ד), אם לא הסתיים הטיפול בתקיפת הסייבר במועד הדיווח כאמור באותה פסקת משנה, יגיש הספק, באותו מועד, דיווח על התקדמות הטיפול בתקיפת הסייבר, הכולל את הפרטים לפי אותה פסקת משנה, אם הם ידועים לו; הסתיים הטיפול בתקיפת הסייבר, יגיש הספק, לא יאוחר מ־30 ימים לאחר סיום הטיפול בתקיפה, דיווח מסכם כאמור באותה פסקת משנה.
{{ח:תת|(ג)}} דיווח לפי סעיף זה יוגש למנהל המוסמך באמצעות המרכז הלאומי באופן מקוון באתר האינטרנט של מערך הסייבר, בהודעה טלפונית למרכז הלאומי או בדרך אחרת שהורה עליה ראש מערך הסייבר ופורסמה באתר האינטרנט כאמור.
{{ח:תת|(ד)}} על אף האמור בסעיף קטן (ג), ספק של גוף מהגופים המנויים {{ח:חיצוני|חוק להסדרת הביטחון בגופים ציבוריים#תוספת 1 פרט 2|בפרטים 2}} {{ח:חיצוני|חוק להסדרת הביטחון בגופים ציבוריים#תוספת 1 פרט 3|ו־3 לתוספת הראשונה לחוק להסדרת הביטחון}}ן, יגיש את הדיווח לפי סעיף זה למלמ״ב, באופן שיורה לו ראש המלמ״ב.

{{ח:סעיף|3|התמודדות עם תקיפת סייבר חמורה|תיקון: ק״ת תשפ״ה, ק״ת תשפ״ה־2, תשפ״ה־2, תשפ״ה־3}}
{{ח:תת|(א)}} קבע מנהל מוסמך או ראש חטיבת הגנה בסייבר בצה״ל לפי הוראות {{ח:פנימי|סעיף 2|סעיף 2}} כי תקיפת סייבר שמתרחשת או עומדת להתרחש, נגד ספק או באמצעותו, היא תקיפת סייבר חמורה, והודיע על כך עובד מוסמך לספק, לאחר שהזדהה לפניו, יחולו הוראות אלה:
{{ח:תתת|(1)}} העובד המוסמך יפרט לפני הספק את התשתית העובדתית והמקצועית לקביעה כאמור, ככל שאין בכך כדי לחשוף מקורות מידע, שיטות או אמצעים;
{{ח:תתת|(2)}} העובד המוסמך ייתן לספק הזדמנות לפעול באופן הולם לאיתור התקיפה, מניעתה או בלימתה, בתוך פרק זמן סביר שיימסר לספק, והכול בהתחשב במאפייני תקיפת הסייבר;
{{ח:תתת|(3)}} הספק יעדכן את העובד המוסמך בדבר הפעולות שביצע לאיתור התקיפה, מניעתה או בלימתה או ימסור לעובד המוסמך תצהיר בנוסח שפרסם ראש מערך הסייבר באתר האינטרנט של מערך הסייבר בדבר אספקת שירותי האחסון או השירותים הדיגיטליים ללקוחותיו או בדבר אספקת שירותי תחזוקה, ניהול או בקרה של שירותים כאמור, תוך יישום הנחיות אבטחה בהתאם לאמור {{ח:פנימי|תוספת|בטור א׳ לתוספת}}, לעניין כלל השירותים שהוא מספק, או לעניין השירותים כאמור שנגדם בוצעה התקיפה, ואם {{ח:פנימי|תוספת|בטור ב׳ לתוספת}} מנוי לצידו מסמך – בצירוף המסמך, והכול בתוך פרק זמן סביר כאמור בפסקה (2);
{{ח:תתת|(4)}} לא מסר הספק תצהיר כאמור בפסקה (3), ומצא העובד המוסמך כי הספק לא פעל באופן הולם לאיתור התקיפה, מניעתה או בלימתה, כאמור בפסקה (2), רשאי העובד המוסמך, אם מצא שהדבר נדרש לאיתור התקיפה, מניעתה או בלימתה, ולאחר שהודיע לספק על כוונתו לתת לו הוראות לפי פסקה זו ונתן לו הזדמנות להשמיע את טענותיו, לתת לספק הוראות, בכתב או בעל פה, שיבצע הספק, ובכלל זה הוראות לביצוע פעולות להגנת סייבר בחומר מחשב או הוראות למסירת ידיעה או מסמך, לרבות העתק מחומר מחשב, לידי העובד המוסמך;
{{ח:תתת|(5)}} במתן הוראות לספק לפי פסקה (4) –
{{ח:תתתת|(א)}} ישקול העובד המוסמך את השפעתן האפשרית על הזכות לפרטיות, על פעילות הספק ועל צד שלישי, וכן את העלות הכלכלית המוערכת של יישום ההוראות והשפעתן האפשרית על הרציפות התפקודית של הספק, למיטב ידיעתו של העובד המוסמך, ואם הספק מסר הערכה לעניין זה – בהתחשב בהערכה שמסר;
{{ח:תתתת|(ב)}} יורה העובד המוסמך לנקוט אמצעי שפגיעתו פחותה לאיתור התקיפה, מניעתה או בלימתה;
{{ח:תתתת|(ג)}} יפרט העובד המוסמך את המועד האחרון לביצוע ההוראה;
{{ח:תתת|(6)}} נתן עובד מוסמך לספק הוראה לפי פסקה (4), יפעל הספק בהתאם לה עד המועד האחרון שנקבע לביצועה כאמור בפסקה (5)(ג), וידווח על אופן ביצועה לעובד המוסמך עד המועד האמור.
{{ח:תת|(ב)|(1)}} מסר העובד המוסמך לספק הודעה כאמור בסעיף קטן (א), ימסור הספק, בלא דיחוי, עדכון בדבר תקיפת הסייבר החמורה לכל ארגון מקושר אשר עלול להיפגע ממנה ישירות ובאופן ממשי, וידווח על כך בכתב לעובד המוסמך, והכול אלא אם כן הורה העובד המוסמך אחרת; הוראות סעיף קטן זה לא יחולו לעניין ספק שהגיש תצהיר כאמור בסעיף קטן (א)(3).
{{ח:תתת|(2)}} המנהל המוסמך רשאי, לפי בקשה בכתב מאת הספק, אם שוכנע כי קיימות נסיבות חריגות המצדיקות זאת, לפטור את הספק מחובת היידוע כאמור בפסקה (1) או לדחות את מועד היידוע.

{{ח:סעיף|3א||תיקון: ק״ת תשפ״ה, ק״ת תשפ״ה־2, תשפ״ה־3}}
{{ח:ת}} {{ח:הערה|(פקע).}}

{{ח:סעיף|4|תיעוד|תיקון: ק״ת תשפ״ה, ק״ת תשפ״ה־2, תשפ״ה־2, תשפ״ה־3}}
{{ח:ת}} עובד מוסמך יתעד בכתב את ההוראות שניתנו לספק לפי {{ח:פנימי|סעיף 2|סעיפים 2(א1)}}, {{ח:פנימי|סעיף 2א|2א(ב)(2)(ג)}} {{ח:פנימי|סעיף 3|או 3}} וימסור לו נוסח כתוב של ההוראות שאינו מכיל מידע מסווג, בהקדם האפשרי לאחר מתן ההוראה; בסעיף זה, ”מידע מסווג“ – מידע שסיווגו הביטחוני נקבע בידי מערך הסייבר, שב״כ, צה״ל או מלמ״ב, לפי העניין, כסיווג ברמת ’שמור‘ ומעלה.

{{ח:סעיף|5|אופן הפעלת סמכויות}}
{{ח:ת}} הסמכויות לפי {{ח:פנימי|סעיף 3|סעיף 3}} לעניין תקיפת סייבר מסוימת נגד ספק, או לעניין כמה תקיפות כאמור המתרחשות באותו מועד, יופעלו כלפי הספק בידי עובד מוסמך מקרב גוף אחד בלבד.

{{ח:סעיף|6|סודיות, הגבלת שימוש ומחיקה|תיקון: ק״ת תשפ״ה, ק״ת תשפ״ה־2, תשפ״ה־2, תשפ״ה־3}}
{{ח:תת|(א)}} אדם שהגיע לידיו מידע שהתקבל מספק לפי חוק זה ישמור אותו בסוד, לא יגלה אותו לאחר ולא יעשה בו כל שימוש, אלא לאיתור תקיפת סייבר חמורה, מניעתה או בלימתה.
{{ח:תת|(ב)}} מידע שהתקבל מספק לפי חוק זה יימחק בסמוך לאחר סיום הטיפול בתקיפת הסייבר החמורה, ולעניין תקיפת סייבר שנקבע, לפי הוראות {{ח:פנימי|סעיף 2|סעיף 2}}, שהיא אינה תקיפת סייבר חמורה – בסמוך לאחר קבלת החלטה על כך שהתקיפה אינה תקיפת סייבר חמורה, אלא אם כן קבע מנהל מוסמך שהמידע כאמור חיוני לזיהוי מאפייני תקיפת הסייבר; מידע שנקבע לגביו כאמור יישמר בהיקף המזערי הנדרש.
{{ח:תת|(ג)}} פרסום פומבי ברבים של זהות הספק, שהתקבלה לפי חוק זה, יהיה באישור מנהל מוסמך לאחר שנתן לספק הזדמנות להשמיע את טענותיו.
{{ח:תת|(ד)}} בסעיף זה, ”מידע“ – למעט מידע על התוקף, התקיפה, מאפייני התקיפה או אמצעי הטיפול בה.

{{ח:סעיף|7|עונשין}}
{{ח:ת}} אדם שגילה מידע שהתקבל מספק לפי חוק זה או עשה שימוש במידע שהתקבל מספק לפי חוק זה, תוך כדי מילוי תפקידו או במהלך מילוי תפקידו, בניגוד להוראות {{ח:פנימי|סעיף 6|סעיף 6(א)}}, דינו – מאסר שלוש שנים.

{{ח:סעיף|8|דיווח|תיקון: תשפ״ד, ק״ת תשפ״ה, ק״ת תשפ״ה־2, תשפ״ה־2, תשפ״ה־3}}
{{ח:תת|(א)}} מערך הסייבר, שב״כ ומלמ״ב ידווחו ליועץ המשפטי לממשלה ולוועדת החוץ והביטחון של הכנסת, אחת לחודש, על כל אלה:
{{ח:תתת|(1)}} המקרים שבהם ניתנו הוראות לספק לפי {{ח:פנימי|סעיף 3|סעיף 3(א)(4)}}, הנימוק למתן ההוראות וסוגן, ומספר המקרים שבהם ספק לא מילא אחר הוראות כאמור;
{{ח:תתת|(1א)}} מספר המקרים שבהם ניתנה לספק הזדמנות להשמיע את טענותיו לפי {{ח:פנימי|סעיף 3|סעיף 3(א)(4)}} וסוג הספק;
{{ח:תתת|(2)}} מספר המקרים שבהם העובד המוסמך סייע לספק במילוי ההוראות שניתנו לו לפי {{ח:פנימי|סעיף 3|סעיף 3(א)}};
{{ח:תתת|(3)}} סוגי הספקים שמנהל מוסמך קבע כי תקיפתם היא תקיפת סייבר חמורה לפי {{ח:פנימי|סעיף 2|סעיף 2(א)}};
{{ח:תתת|(4)}} מספר המקרים שבהם מנהל מוסמך קבע כי תקיפת סייבר היא תקיפת סייבר חמורה לפי {{ח:פנימי|סעיף 2|סעיף 2(א)}}, בפילוח בשל פגיעה בביטחון המדינה, פגיעה בביטחון הציבור או פגיעה בקיום האספקה והשירותים החיוניים;
{{ח:תתת|(5)}} מספר הספקים שנדרשו להציג למנהל מוסמך ידיעה או מסמך לפי הוראות {{ח:פנימי|סעיף 2|סעיף 2(א1)}};
{{ח:תתת|(6)}} מספר המקרים שבהם דיווח ספק, לפי הוראות {{ח:פנימי|סעיף 2א|סעיף 2א}}, על כך שמתרחשת נגדו תקיפת סייבר כאמור {{ח:פנימי|סעיף 2א|באותו סעיף}};
{{ח:תתת|(7)}} מספר המקרים שבהם הורה עובד מוסמך לספק שלא למסור לארגון מקושר עדכון בדבר תקיפת סייבר חמורה, לפי הוראות {{ח:פנימי|סעיף 3|סעיף 3(ב)(1)}}.
{{ח:תת|(ב)}} דיווח לפי חוק זה יהיה חסוי ופרסומו אסור.

{{ח:סעיף|9|שמירת דינים}}
{{ח:תת|(א)}} הוראות חוק זה באות להוסיף על הוראות כל דין אחר ולא לגרוע מהן.
{{ח:תת|(ב)}} בלי לגרוע מהוראות סעיף קטן (א), הוראות חוק זה באות להוסיף על כל הוראה בעניין הנוגע להגנת סייבר, לפי החלטת הממשלה או הסכם, אולם במקרה של סתירה, יגברו הוראות חוק זה.

{{ח:סעיף|10||תיקון: תשפ״ה־2}}
{{ח:ת}} {{ח:הערה|הנוסח שולב {{ח:חיצוני|חוק בתי משפט לעניינים מינהליים|בחוק בתי משפט לעניינים מינהליים, התש״ס–2000}} כהוראת שעה.}}

{{ח:סעיף|11|ביטול {{ח:חיצוני|תקנות שעת חירום (חרבות ברזל) (התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון)|תקנות שעת חירום (חרבות ברזל) (התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון)}}}}
{{ח:ת}} {{ח:חיצוני|תקנות שעת חירום (חרבות ברזל) (התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון)|תקנות שעת חירום (חרבות ברזל) (התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון), התשפ״ד–2023}} – בטלות.

{{ח:סעיף|12|תוקף|תיקון: תשפ״ד, תשפ״ה, תשפ״ה־2}}
{{ח:ת}} {{ח:פנימי|סעיף 1|סעיפים 1 עד 10 לחוק זה}} יעמדו בתוקפם עד יום י״ג בשבט התשפ״ו (31 בינואר 2026).

{{ח:סעיף|13|הוראת מעבר}}
{{ח:ת}} הוראות שניתנו ופעולות שבוצעו לפי {{ח:חיצוני|תקנות שעת חירום (חרבות ברזל) (התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון)|תקנות שעת חירום (חרבות ברזל) (התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון), התשפ״ד–2023}}, לפני יום תחילתו של חוק זה, יראו אותן כאילו נעשו לפי חוק זה והוראותיו יחולו עליהן.

{{ח:קטע2|תוספת|תוספת|תיקון: ק״ת תשפ״ה, ק״ת תשפ״ה־2, תשפ״ה־2, תשפ״ה־3}}
{{ח:קטע4||{{ח:הערה|({{ח:פנימי|סעיף 3|סעיף 3(א)(3)}})}}}}

{{ח:סעיף*}}
{{ח:ת}} {{טורים שווים ממורכז | {{מוקטן|טור א׳}} {{ש}} התקן | {{מוקטן|טור ב׳}} {{ש}} המסמך }}

{{ח:סעיף*}}
{{ח:ת}} {{טורים שווים |
{{ח:תת|1.}} הספק מיישם את הדרישות לצורך עמידה בתקן NIST 800-53 Security and Privacy Controls for Information Systems and Organizations (high) | }}

{{ח:סעיף*}}
{{ח:ת}} {{טורים שווים |
{{ח:תת|2.}} הספק מיישם את הדרישות לצורך עמידה בשניים מתקני הליבה שלהלן: | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתת|(1)}} ISO/IEC 27001 או ת״י 27001 | תעודת הסמכה בתוקף }}
{{ח:ת}} {{טורים שווים |
{{ח:תתת|(2)}} SOC 2 Type 2 | תעודת הסמכה או דוח Attestation בתוקף }}
{{ח:ת}} {{טורים שווים |
{{ח:תתת|(3)}} CMMC Level 3 | תעודת הסמכה או דוח הערכה (Assessment) על ידי DCMA DIBCAC (Defense Contract Management Agency – Defense Industrial Base Cybersecurity Assessment Center) }}
{{ח:ת}} {{טורים שווים |
{{ח:תתת|(4)}} NIST 800-53 Security and Privacy Controls for Information Systems and Organizations (Moderate) | מסמך Authorization To Operate (ATO) קבוע ובתוקף, החתום על ידי Authorizing Official (AO) מוסמך מטעם סוכנות פדרלית, משרד ממשלתי או גוף ציבורי אחר בארצות הברית, ומצורף בלי תנאים מגבילים (ATO with Conditions) ובלי פריטי Plan of Action and Milestones (POA&M), שמועד הטיפול בהם חלף במועד הגשת התצהיר, וזאת בהתאם לרמת Moderate }}

{{ח:סעיף*}}
{{ח:ת}} {{טורים שווים |
{{ח:תת|3.}} הספק מקיים את שני אלה: | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתת|(1)}} הספק מיישם את הדרישות לצורך עמידה בתקן אחד מתקני הליבה שלהלן ומצורף אישור כמפורט לצידו, וכמו כן הספק מקיים את הבקרות הנדרשות בהתאם לתקן נוסף מתקני הליבה שלהלן: | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(א)}} ISO/IEC 27001 או ת״י 27001 | תעודת הסמכה בתוקף }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ב)}} SOC 2 Type 2 | תעודת הסמכה או דוח אימות תאימות (Attestation) בתוקף }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ג)}} CMMC Level 3 | תעודת הסמכה או דוח הערכה (Assessment) על ידי DCMA DIBCAC (Defense Contract Management Agency – Defense Industrial Base Cybersecurity Assessment Center) }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ד)}} NIST 800-53 Security and Privacy Controls for Information Systems and Organizations (Moderate) | מסמך Authorization To Operate (ATO) קבוע ובתוקף, החתום על ידי Authorizing Official (AO) מוסמך מטעם סוכנות פדרלית, משרד ממשלתי או גוף ציבורי אחר בארצות הברית, ומצורף בלי תנאים מגבילים (ATO with Conditions) ובלי פריטי Plan of Action and Milestones (POA&M), שמועד הטיפול בהם חלף במועד הגשת התצהיר, וזאת בהתאם לרמת Moderate }}
{{ח:ת}} {{טורים שווים |
{{ח:תתת|(2)}} הספק מיישם את הדרישות לצורך עמידה בתקן אחד מהתקנים המשלימים שלהלן: | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(א)}} תקן ISO/IEC 27017 | תעודת הסמכה }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ב)}} תקן ISO/IEC 27018 | תעודת הסמכה }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ג)}} תקן ISO/IEC 27034 | תעודת הסמכה }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ד)}} תקן ISO/IEC 27035 | תעודת הסמכה }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ה)}} תקן ISO/IEC 27701 | תעודת הסמכה }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ו)}} תקן PCI DSS | תעודת הסמכה }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ז)}} תקן IEC 62443 | תעודת הסמכה }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ח)}} תקן ISO 22301 | תעודת הסמכה }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ט)}} תקן SOC 2 Type 1 | תעודת הסמכה }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(י)}} תקן ”רב מגן“ ברמה 2 | אישור בכתב מאת המלמ״ב }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(יא)}} תקן CIS – Critical Security Control (IG3) | דוח אימות תאימות מאת CIS Securesuite Members }}

{{ח:סעיף*}}
{{ח:ת}} {{טורים שווים |
{{ח:תת|4.}} הספק מקיים את כל אלה: | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתת|(1)}} הספק מיישם את הדרישות לצורך עמידה בתקן אחד מהתקנים שלהלן: | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(א)}} CMMC Level 3 | תעודת הסמכה או דוח הערכה (Assessment) על ידי DCMA DIBCAC (Defense Contract Management Agency – Defense Industrial Base Cybersecurity Assessment Center) }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ב)}} NIST 800-53 Security and Privacy Controls for Information Systems and Organizations (Moderate) | מסמך Authorization To Operate (ATO) קבוע ובתוקף, החתום על ידי Authorizing Official (AO) מוסמך מטעם סוכנות פדרלית, משרד ממשלתי או גוף ציבורי אחר בארצות הברית, ומצורף בלא תנאים מגבילים (ATO with Conditions) ובלי פריטי Plan of Action and Milestones (POA&M), שמועד הטיפול בהם חלף במועד הגשת התצהיר, וזאת בהתאם לרמת Moderate }}
{{ח:ת}} {{טורים שווים |
{{ח:תתת|(2)}} הספק מקיים את הבקרות הנדרשות בהתאם לתקן אחד מתקני הליבה שלהלן: | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(א)}} ISO/IEC 27001 או ת״י 27001 | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ב)}} SOC 2 Type 2 | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתת|(3)}} הספק מקיים את הבקרות הנדרשות בהתאם לתקן אחד מהתקנים המשלימים שלהלן: | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(א)}} תקן ISO/IEC 27017 | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ב)}} תקן ISO/IEC 27018 | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ג)}} תקן ISO/IEC 27034 | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ד)}} תקן ISO/IEC 27035 | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ה)}} תקן ISO/IEC 27701 | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ו)}} תקן 800-161 NIST SP | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ז)}} תקן 800-218 NIST SP | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ח)}} תקן PCI DSS | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(ט)}} תקן IEC 62443 | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(י)}} תקן ISO 22301 | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(יא)}} תקן SOC 2 Type 1 | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(יב)}} תקן ”רב מגן“ ברמה 2 | }}
{{ח:ת}} {{טורים שווים |
{{ח:תתתת|(יג)}} תקן CIS – Critical Security Control (IG3) | דוח אימות תאימות מאת CIS Securesuite Members }}

{{ח:קטע2|תוספת 2|תוספת שנייה {{ח:הערה|(פקעה)}}|תיקון: ק״ת תשפ״ה, ק״ת תשפ״ה־2, תשפ״ה־3}}

{{ח:חתימות|התקבל בכנסת ביום י״ג בטבת התשפ״ד (25 בדצמבר 2023).}}
* '''בנימין נתניהו'''
ראש הממשלה
* '''יצחק הרצוג'''
נשיא המדינה
* '''אמיר אוחנה'''
יושב ראש הכנסת
{{ח:סוגר}}
{{ח:סוף}}
[[קטגוריה:בוט חוקים]]