הדירקטוריון אחראי: מה חברות ציבוריות חייבות לדעת על ניהול סיכוני סייבר ב-2026

הלחץ על חברות ציבוריות בנושא ניהול סיכוני סייבר הולך ומתגבר משלושה כיוונים בו זמנית.

שלושה גלים שמגיעים בו זמנית

הנתונים של השנים האחרונות מצביעים על מגמה אחת ברורה: הלחץ על חברות ציבוריות בנושא ניהול סיכוני סייבר הולך ומתגבר משלושה כיוונים בו זמנית.

מהשטח: מערך הסייבר הלאומי דיווח שב-2024 הגיעו אליו כ-17,000 דיווחים על אירועי סייבר, עלייה של 24% לעומת השנה הקודמת. עלויות הטיפול בתקיפות סייבר בישראל אותה שנה מוערכות בכ-12 מיליארד שקל. ב-2025 המצב התחריף: זינוק של 350% בהתראות ממוקדות שנשלחו לארגונים, ו-26,500 דיווחים על אירועים, עלייה של 55%.

מהרגולטור: רשות ניירות ערך פרסמה לקראת דוחות שנת 2024 דרישות גילוי מעודכנות, ובהן דרישה חדשה שלא הייתה קודם: חברות ציבוריות נדרשות לפרט האם לדירקטורים ולנושאי משרה יש ניסיון, מומחיות או מיומנות ספציפית בתחום אבטחת המידע והסייבר. הדרישה הזו אינה עניין פורמלי. היא מסמנת שהרגולטור מצפה שהדירקטוריון יהיה מסוגל לנהל שיחה מהותית בנושא, לא רק לחתום על פרוטוקול.

ממבקר המדינה: דוח מבקר המדינה מנובמבר 2024 חשף ממצאים חמורים: מאגרי מידע פרוצים, דליפת מסמכים, והרשאות פעילות לעובדים שעזבו מזמן. הדוח הצביע על תרבות ארגונית רשלנית ופער טכנולוגי מתמשך כגורמים מרכזיים לכשלים. הממצאים עסקו בגופים ציבוריים, אבל השיעור רלוונטי לכל ארגון מדווח.

כל אחד מהכשלים האלה ניתן לתרגם לשאלה אחת: מי היה אמור לנהל את הסיכון, לדווח לדירקטוריון ולוודא שהארגון מוכן? התשובה, בחברות שעושות זאת נכון, היא מנהל אבטחת מידע בכיר או בז'רגון המקצועי CISO (Chief Information Security Officer)ובחברות שלא עשו זאת, ברוב המקרים, לא היה כזה כלל.

מה הרגולציה מחייבת ומי אמור לממש

בינואר 2023 פרסמה רשות ניירות ערך דוח ביקורת שממצאיו חשפו את הפער: ב-90% מהחברות הציבוריות שנבדקו לא אושר כל נוהל אבטחת מידע על ידי הדירקטוריון, ב-70% לא קיבלו חברי הדירקטוריון דיווחים שוטפים בנושא, וב-40% לא בוצע כלל סקר סיכוני סייבר בשלוש השנים שקדמו לביקורת. בעקבות הדוח עדכנה הרשות את עמדתה המשפטית 105-33 בנושא גילוי סייבר.

הדרישות לדוחות 2024 שפורסמו ב-2025 מעמיקות את אותה מגמה: כעת על החברה לפרט לא רק מה היא עושה בנושא סייבר, אלא גם מי בדירקטוריון מסוגל לפקח על כך ברמה מקצועית.

איגוד הדירקטורים בישראל גיבש כלל שהפך לציטוט: "לא תיעדת, לא פיקחת." לחברות הרשומות גם בנאסד"ק, כללי ה-SEC האמריקאיים מחייבים גילוי אירועי סייבר מהותיים תוך ארבעה ימי עסקים.
כל דרישה כזו מניחה שיש בחברה גורם שמייצר את התמונה, מנהל את התיעוד ומדווח בצורה מסודרת. בפועל, גיוס CISO פנימי עולה בין מאות אלפי שקלים בשנה ונמשך חודשים רבים. עבור חלק גדול מהחברות הציבוריות הבינוניות, זו אפשרות שאינה מתממשת. ומכאן הכשל שהרגולטור ממשיך לגלות.

הפתרון שנולד מהפרצה - CISO as a Service

CISO as a Service הוא מודל שבו חברה חיצונית מבצעת את תפקיד ה-CISO במלואו, תוך שהיא מתממשקת עם ההנהלה והדירקטוריון בדיוק כמו עובד בכיר פנימי, אבל ללא עלויות הגיוס, השימור והפיתוח המקצועי.

מבחינת רגולציה, זהו פתרון שעונה ישירות על הנקודות שרשות ניירות ערך זיהתה כחסרות:
נהלים מאושרים: הצוות בונה מדיניות אבטחת מידע ארגונית ומביא אותה לאישור פורמלי של הדירקטוריון, מה שיוצר את שכבת התיעוד שהרגולטור דורש.

דיווח תקופתי לדירקטוריון: אחד הערכים המרכזיים של שירות מנהל אבטחת מידע הוא ייצור דיווחים מובנים שמתאימים לפורמט דיוני דירקטוריון, בשפה עסקית ולא טכנית, שמאפשרים לחברי הדירקטוריון לקיים דיון מהותי ומתועד.

סקרי סיכון שוטפים: הצוות מבצע הערכות סיכון תקופתיות, מתעד אותן ומציג את הממצאים להנהלה ולדירקטוריון. בדיוק הפריט שחסר ב-40% מהחברות שנבדקו.

נוהל גילוי לאירועים: CISO as a Service כולל בניית פרוטוקול ברור לזיהוי, הערכה ודיווח של אירועי סייבר, כולל הנחיות מתי ואיך להודיע לרגולטורים ולשוק בהתאם לדרישות.

מענה לדרישת המומחיות החדשה: כאשר חברה מתקשרת עם צוות CISO חיצוני מקצועי, היא יכולה לפרט בדוחותיה את המומחיות שהצוות מביא, ובכך לענות על דרישת הגילוי העדכנית של הרשות לגבי רמת הידע המקצועי בנושא סייבר המוצגת לדירקטוריון.

מדוע "לא ידעתי" לא יספיק עוד

פסיקת Caremark האמריקאית, שהפכה לאבן יסוד בדיני הדירקטורים, קובעת שדירקטור שנמנע מלבסס מנגנוני בקרה ופיקוח אפקטיביים חשוף לאחריות אישית. בית המשפט לא שואל אם ידעת מה קרה. הוא שואל אם עשית כל שביכולתך כדי לדעת.

ישראל הולכת באותה מגמה. הנחיות רשות ניירות ערך, בשילוב עם תיקון 13 לחוק הגנת הפרטיות שדורש פיקוח דירקטוריוני על הגנת מידע, בונות מסגרת שבה חברה שאין בה ממשל סייבר פעיל ומתועד מסתכנת לא רק בנזק מהאירוע עצמו, אלא גם בחשיפה רגולטורית ובתביעות אזרחיות.

CISO as a Service יוצר בדיוק את שכבת ההגנה הזו: תהליך מתועד, דיווח מובנה, ומומחיות שמייצרת תמונה אמיתית של מצב האבטחה, לא רק עמידה פורמלית בטופס.

מה נדרש מחברה ציבורית בפועל ב-2026

על בסיס עמדות הרגולציה הקיימות, אלה ארבעת הנדבכים שחברה ציבורית צריכה להציג:
ממשל מתועד: פרוטוקולי דיוני דירקטוריון בנושא סייבר שמוכיחים מעורבות פעילה ומהותית, לפחות אחת לרבעון.

סקר סיכונים עדכני: הערכת חשיפות המוצגת להנהלה ולדירקטוריון, לא רק לצוות הטכני.
נהלים מאושרים: מדיניות אבטחת מידע שעברה אישור פורמלי של הדירקטוריון, לא רק ניהולי.

פרוטוקול גילוי: מנגנון ברור לדיווח על אירועים לרגולטורים ולשוק בפרק הזמן הנדרש.
CISO as a Service נועד לספק את כל ארבעת הנדבכים האלה במבנה אחד, גמיש ומותאם לגודל החברה ולמאפייני הסיכון שלה.

ממשל סייבר הוא כבר לא בחירה

ב-2026, חברה ציבורית שאין בה ממשל סייבר פעיל אינה עומדת רק בסיכון של מתקפה. היא עומדת בסיכון של אי-עמידה בדרישות הגילוי, בחשיפה לאחריות דירקטוריון, ובנזק תדמיתי מהמשקיעים שמעריכים ממשל תאגידי כחלק אינטגרלי מהערכת החברה. כשמערך הסייבר מעביר 350% יותר התראות לארגונים ועלויות הסייבר הלאומיות עברו את רף ה-12 מיליארד שקל, השאלה אינה עוד אם יקרה, אלא מתי ואיך הארגון יהיה מוכן.

חברת פורס מאז'ור מלווה חברות ציבוריות ופרטיות בבניית מערך CISO as a Service שעונה במלואו על דרישות רשות ניירות ערך, תיקון 13 לחוק הגנת הפרטיות, ועל ציפיות המשקיעים המוסדיים.
לפרטים נוספים על שירות CISO as a Service של פורס מאז'ור