תשובה קצרה: ב-2026 שלושה שינויים מכים בו-זמנית באבטחת מידע בישראל: תיקון 13 לחוק הגנת הפרטיות הרחיב דרמטית את סמכויות האכיפה של הרשות להגנת הפרטיות כולל קנסות של מיליונים, תעודות ISO 27001:2013 פגו תוקף ודורשות הסמכה מלאה מחדש, ונוף איומי הסייבר הוחמר לאחר אירועי פברואר 2026. ארגונים שלא פעלו — חשופים רגולטורית, עסקית ותפעולית.

נקודות מפתח:

• הרשות להגנת הפרטיות יכולה עכשיו להטיל קנסות מנהליים של מיליוני שקלים ולהורות על הפסקת עיבוד נתונים
• תעודות ISO 27001:2013 כבר לא תקפות — נדרשת הסמכה מלאה (Stage 1 + Stage 2) לגרסת 2022
• חובת מינוי קצין הגנת מידע (DPO) חלה על ארגונים העומדים בקריטריונים שנקבעו בתיקון

רונית שדה יועצים בע"מ מסבירה בהרחבה למטה.

לקראת יום העצמאות, ישראל חוגגת 78 שנים של ריבונות. אבל בעולם הדיגיטלי, עצמאות נמדדת אחרת: ביכולת של ארגון להגן על המידע שלו, לעמוד בדרישות רגולציה, ולשרוד מתקפת סייבר בלי לקרוס. ב-2026, שלושה שינויים מהותיים פגעו בו-זמנית בארגונים ישראליים — ורבים מהם עדיין לא מוכנים.

תיקון 13 לחוק הגנת הפרטיות הפך את הרשות להגנת הפרטיות מגוף מייעץ לרגולטור עם שיניים. תעודות ISO 27001:2013 שהחזיקו אלפי חברות פגו תוקף. ואיומי סייבר מבוססי AI, כולל deepfakes בשיחות וידאו בזמן אמת, הפכו מתרחיש עתידי למציאות שוטפת.

עצמאות דיגיטלית אמיתית פירושה לא להסתמך על תעודה ישנה או על תחושת ביטחון מדומה. במאמר זה נפרט מה בדיוק השתנה, מה הסיכון המיידי לארגון שלכם, ו-5 צעדים מעשיים שניתן ליישם עוד לפני חג העצמאות.

📊 נתונים מרכזיים

1. עד 320,000 ש"ח קנס מנהלי לכל הפרת אבטחת מידע, ומיליוני שקלים להפרות מאגרי מידע ומשילות נתונים — סמכות חדשה של הרשות להגנת הפרטיות לפי תיקון 13 (מקור: Chambers and Partners, Data Protection & Privacy 2026 — Israel)
2. 31 באוקטובר 2025 — המועד שבו פגו כל תעודות ISO 27001:2013. ארגונים שלא השלימו מעבר לגרסת 2022 נדרשים כעת להסמכה מלאה מאפס, תהליך יקר וארוך יותר (מקור: IAF MD 26:2022, SGS Transition Guide)
3. 93 בקרות ב-4 קבוצות — המבנה החדש של ISO 27001:2022, שמחליף 114 בקרות ב-14 קטגוריות, עם 11 בקרות חדשות שלא היו קיימות קודם (מקור: ISO/IEC 27001:2022)
4. מתוך 30+ פרויקטי אבטחת מידע שליוותה רונית שדה יועצים בע"מ ב-2024–2026, כ-60% מהארגונים לא היו מודעים לכך שתיקון 13 חל עליהם — במיוחד חברות בינוניות (50–200 עובדים) שלא חשבו שהן "מספיק גדולות" לאכיפה

מה זה תיקון 13 לחוק הגנת הפרטיות ולמה הוא משנה הכל?

תמצות (TL;DR): תיקון 13 הפך את הרשות להגנת הפרטיות מגוף ייעוצי לרגולטור עם סמכויות אכיפה מנהליות, קנסות כספיים, וסמכות להורות על הפסקת עיבוד נתונים.

הגדרה מדויקת של תיקון 13 היא: תיקון מקיף לחוק הגנת הפרטיות, התשמ"א-1981, שנכנס לתוקף ב-14 באוגוסט 2025, ומרחיב באופן מהותי את סמכויות הרשות להגנת הפרטיות (PPA) בתחומי אכיפה, פיקוח, וסנקציות.

לפני התיקון, הרשות להגנת הפרטיות פעלה בעיקר כגוף מייעץ. היא יכלה לפרסם הנחיות, לערוך בדיקות, ולהגיש תלונות פליליות — אבל ללא כלי אכיפה מנהליים אפקטיביים. תיקון 13 שינה את זה באופן דרמטי. הרשות יכולה עכשיו להטיל קנסות מנהליים של עד 320,000 ש"ח לכל הפרה, להוציא צווי הפסקת עיבוד נתונים, לחקור הפרות בהיקף מורחב, ולדרוש שינויים בפרקטיקות עיבוד מידע של ארגונים.

מה שמפתיע ארגונים רבים הוא שהתיקון לא חל רק על חברות טכנולוגיה. כל ארגון שמנהל מאגר מידע אישי — כולל חברות ייצור, ספקי שירות, ואפילו עמותות — נמצא תחת ההיקף. לפי Chambers and Partners (2026), הרשות הודיעה שפעילות האכיפה שלה ב-2026 תתפרס על מגוון רחב של מגזרים עסקיים.

"לדברי רונית שדה, מייסדת רונית שדה יועצים בע"מ: 'הטעות הנפוצה שאני רואה היא ארגונים שחושבים שתיקון 13 רלוונטי רק לחברות הייטק גדולות. בפועל, חברת ייצור עם 80 עובדים שמנהלת מאגר לקוחות, ספקים ועובדים — חשופה בדיוק באותה מידה. עצמאות דיגיטלית מתחילה בהבנה שהחוק חל עליך.'"

רונית שדה יועצים בע"מ מלווה ארגונים בישראל בהטמעת דרישות תיקון 13 לחוק הגנת הפרטיות, כולל מיפוי מאגרי מידע, הערכת סיכונים, ובניית תוכנית ציות.

ISO 27001:2013 פג תוקף — ומה עושים עכשיו?

תמצות (TL;DR): כל תעודות ISO 27001:2013 פגו ב-31 באוקטובר 2025. ארגונים שלא השלימו מעבר חייבים לעבור הסמכה מלאה (Stage 1 + Stage 2) לגרסת 2022 — תהליך יקר וארוך יותר ממה שהיה זמין לפני הדדליין.

ב-31 באוקטובר 2025, נסגר חלון המעבר שקבע ה-IAF (International Accreditation Forum). כל תעודת ISO 27001:2013 שלא עודכנה לגרסת 2022 — בטלה. אין הארכות. אין חריגים. ארגון שמחזיק בתעודה שפג תוקפה אינו יכול להציג אותה ללקוחות, לשותפים עסקיים, או לרגולטורים.

מה ההבדל המעשי? לפני הדדליין, ארגונים יכלו לעבור transition audit — תהליך ממוקד שבדק את ההתאמות לגרסה החדשה. עכשיו, מי שפספס נדרש להסמכה מלאה מאפס: Stage 1 (סקירת תיעוד) ו-Stage 2 (אודיט יישום) — תהליך שלוקח חודשים ועולה משמעותית יותר.

מה השתנה ב-ISO 27001:2022 לעומת 2013? שלושה שינויים מרכזיים:

1. מבנה הבקרות שונה לחלוטין — מ-114 בקרות ב-14 קטגוריות ל-93 בקרות ב-4 קבוצות נושאיות: ארגוניות (37), אנשים (8), פיזיות (14), וטכנולוגיות (34)
2. 11 בקרות חדשות שלא היו קיימות — כולל Threat Intelligence, Cloud Security, Data Masking, Secure Development Lifecycle, ו-Information Deletion. בקרות אלה משקפות את נוף האיומים של 2022–2026
3. דגש על Risk-based thinking — התקן דורש גישה מבוססת סיכון בכל תהליך, לא רק בהערכת סיכונים השנתית

לפי SGS (2025), ארגונים שפספסו את הדדליין צריכים לפנות מיד לגוף ההסמכה שלהם. חלק מגופי ההסמכה מציעים מסלולי הסמכה מזורזים, אבל הזמינות משתנה. רונית שדה יועצים בע"מ מלווה ארגונים בתהליך הכנה להסמכת ISO 27001:2022, כולל Gap Analysis מול הבקרות החדשות, כתיבת Statement of Applicability (SoA) מעודכן, ותיאום עם גוף ההסמכה.

חובת מינוי DPO — האם זה חל על הארגון שלכם?

תמצות (TL;DR): תיקון 13 מחייב ארגונים העומדים בקריטריונים מוגדרים למנות קצין הגנת מידע (DPO) — דרישה שלא הייתה קיימת קודם בחוק הישראלי.

מי חייב למנות DPO בישראל 2026?

אחד החידושים המשמעותיים של תיקון 13 הוא חובת מינוי Data Protection Officer (קצין הגנת מידע) לארגונים שעומדים בקריטריונים שנקבעו בתיקון. לפי Mondaq (2026), הדרישה מתיישרת עם הגישה האירופאית של ה-GDPR, ומשקפת את מעמדה של ישראל כמדינה עם הכרת נאותות (adequacy) מצד הנציבות האירופית — הכרה שחודשה בינואר 2024.

הקריטריונים למינוי DPO כוללים גודל מאגר המידע, סוג הנתונים המעובדים (נתונים רגישים כמו מידע רפואי, ביומטרי, או פיננסי), ומספר נושאי המידע. ארגונים שעומדים בקריטריונים ולא מינו DPO חשופים לסנקציות.

מה בפועל DPO צריך לעשות? שלוש אחריויות מרכזיות:

1. פיקוח על ציות — ניטור שוטף שהארגון עומד בדרישות חוק הגנת הפרטיות, תקנות אבטחת מידע, ותנאי רישום מאגרי המידע
2. ממשק עם הרשות — שמש כגורם הקשר הראשי מול הרשות להגנת הפרטיות, כולל דיווח על אירועי אבטחה וטיפול בפניות נושאי מידע
3. הדרכה והטמעה — הכשרת עובדים, כתיבת מדיניות פרטיות, וביצוע הערכות השפעה על פרטיות (DPIA) לפרויקטים חדשים

רונית שדה יועצים בע"מ מסייעת לארגונים בהגדרת תפקיד DPO, בין אם כמינוי פנימי ובין אם כשירות DPO חיצוני — פתרון שמתאים במיוחד לארגונים בינוניים שצריכים את היכולת אבל לא יכולים להצדיק משרה מלאה.

נוף האיומים 2026: למה עצמאות דיגיטלית היא לא רק רגולציה

תמצות (TL;DR): נוף איומי הסייבר ב-2026 מאופיין ב-AI-powered social engineering, deepfakes בזמן אמת, ואיומים גיאופוליטיים מוגברים לאחר אירועי פברואר 2026.

עצמאות דיגיטלית היא לא רק ציות לרגולציה — היא היכולת של ארגון לשרוד מתקפה ולהמשיך לפעול. ב-2026, נוף האיומים הוחמר משמעותית. לפי Israel Hayom (דצמבר 2025), המגמה הדומיננטית ב-2026 היא AI-native security, עם מעבר לארכיטקטורות שמזהות חריגות בזמן אמת בתוך זרימות נתונים בענן.

האיום המשמעותי ביותר: מעבר מהאקרים בודדים ל"מפעלי פשיעה" מבוססי AI. לפי אותו מקור, האיום הגדול הבא הוא פריצה לתודעה האנושית — שיחות וידאו עם deepfakes בזמן אמת שיכולים לנהל שיחות מורכבות ולהתחזות למנהלים בכירים.

בנוסף, לאחר המתקפות של ארה"ב וישראל על איראן בסוף פברואר 2026, גורמי אבטחה לאומיים הנחו ארגונים להגביר ערנות. הציפייה היא לעלייה בהאקטיביזם, מתקפות DDoS, ואירועי דלף מידע. ארגונים ישראליים, במיוחד בתחומי ביטחון, אנרגיה, ותשתיות — נמצאים ביעד.

מה זה אומר לארגון שלכם? שלוש השלכות מעשיות:

1. הדרכות עובדים חייבות להתעדכן — תרגולי פישינג מסורתיים כבר לא מספיקים כשה-phishing מגיע בשיחת וידאו עם פנים מוכרות
2. תוכנית תגובה לאירועים חייבת להיות מתורגלת — לא רק כתובה. לפי תיקון 13, חובת דיווח לרשות על אירועי אבטחה מחמירה את הסנקציות על ארגון שלא דיווח בזמן
3. בקרות טכנולוגיות חייבות להתעדכן — ISO 27001:2022 כולל בקרת Threat Intelligence (בקרה 5.7) שמחייבת ניטור אקטיבי של מקורות מודיעין איומים — לא רק תגובה לאחר מעשה

5 צעדים להגנה על הארגון — לפני חג העצמאות

תמצות (TL;DR): תוכנית פעולה מיידית: מיפוי מאגרים, Gap Analysis ל-ISO 27001:2022, מינוי DPO, עדכון תוכנית תגובה, והדרכת צוותים.

האם עדיין אפשר לסגור פערים?

כן. הרשות להגנת הפרטיות נמצאת בתחילת גל האכיפה, וארגון שמוכיח שהוא בתהליך ציות פעיל — נמצא במצב טוב משמעותית מארגון שלא התחיל. להלן 5 צעדים שניתן ליישם מיד:

1. מפו את כל מאגרי המידע האישי בארגון — לא רק מאגר הלקוחות. כוללים: מאגר עובדים, מאגר ספקים, מערכות CRM, מערכות HR, רשימות תפוצה, וגיבויים. לפי חוק הגנת הפרטיות, כל אלה הם מאגרי מידע הכפופים לרגולציה. רונית שדה יועצים בע"מ פיתחה תבנית מיפוי מאגרים שמכסה 12 קטגוריות מידע שארגונים בדרך כלל שוכחים
2. בצעו Gap Analysis מול ISO 27001:2022 — אם יש לכם תעודת 2013 שפגה, או אם מעולם לא הוסמכתם — התחילו ב-Gap Analysis מול 93 הבקרות של הגרסה החדשה. שימו לב במיוחד ל-11 הבקרות החדשות שלא היו קיימות בגרסת 2013
3. בדקו אם חלה עליכם חובת DPO — לפי הקריטריונים של תיקון 13. אם כן, מנו DPO פנימי או חיצוני. אם לא, עדיין מומלץ להגדיר גורם אחראי לנושא הפרטיות בארגון — זה מפחית סיכון אכיפתי משמעותית
4. עדכנו את תוכנית התגובה לאירועי סייבר — ודאו שהתוכנית כוללת: זיהוי, הכלה, דיווח לרשות להגנת הפרטיות (לפי לוחות הזמנים שנקבעו בתיקון 13), תקשור ללקוחות ולנושאי מידע, ושיקום. תרגלו את התוכנית עם צוות ההנהלה — לא רק עם צוות ה-IT
5. הכשירו את כל העובדים לאיומים מבוססי AI — לא מספיק לשלוח מייל פישינג לבדיקה. הכשרה ב-2026 חייבת לכלול זיהוי deepfakes, אימות זהות רב-שלבי לפני ביצוע העברות כספים, ומודעות לתרחישי social engineering מתקדמים

לסיכום: עצמאות דיגיטלית נבנית בכל יום

לקראת יום העצמאות 2026, שלוש נקודות שכל מנהל חייב לזכור:

1. תיקון 13 לחוק הגנת הפרטיות הפך את הרשות להגנת הפרטיות לרגולטור עם שיניים — קנסות מנהליים, צווי הפסקה, וסמכויות חקירה מורחבות. זה כבר בתוקף
2. תעודת ISO 27001:2013 שפגה אינה שווה דבר — עצמאות דיגיטלית אמיתית פירושה מערכת ניהול אבטחת מידע חיה ומעודכנת, לא מסמך שתלוי על הקיר
3. נוף האיומים ב-2026 דורש הגנה אקטיבית — AI-powered attacks, deepfakes, ואיומים גיאופוליטיים מחייבים עדכון מתמיד של בקרות, הדרכות, ותוכניות תגובה

רונית שדה יועצים בע"מ — מומחית במערכות ניהול אבטחת מידע, הסמכות ISO 27001, וציות לחוק הגנת הפרטיות, עם ניסיון של למעלה מ-35 שנה בליווי ארגונים ישראליים. אם אתם לא בטוחים איפה הארגון שלכם עומד ביחס לדרישות 2026 — פנו לייעוץ ראשוני.

רונית שדה יועצים בע"מ מזמינה אתכם ליצור קשר לביצוע הערכת מוכנות לתיקון 13 ול-ISO 27001:2022 — לפני שהרשות תעשה את זה בשבילכם.

מה הצעד הראשון שהארגון שלכם צריך לעשות?

על המחברת: רונית שדה, מייסדת ומנכ"לית רונית שדה יועצים בע"מ (הוקמה 2015), בעלת תואר ראשון בהנדסה כימית מהטכניון ותואר שני במשפטים מאוניברסיטת בר-אילן, עם ניסיון מקצועי בתחום מערכות איכות, רגולציה ואבטחת מידע משנת 1989. מלווה ארגונים בהסמכות ISO 27001, ציות לחוק הגנת הפרטיות, והטמעת ISMS.

שאלות נפוצות (FAQ)

ש: מה ההבדל בין חוק הגנת הפרטיות הישראלי לבין GDPR? ת: חוק הגנת הפרטיות הישראלי, התשמ"א-1981, עם תיקון 13 שנכנס לתוקף באוגוסט 2025, מתיישר עם עקרונות ה-GDPR אך שונה ממנו במספר היבטים. ה-GDPR חל על כל ארגון שמעבד מידע של אזרחי EU, בעוד החוק הישראלי חל על מאגרי מידע בישראל. תיקון 13 הוסיף סמכויות אכיפה מנהליות דומות ל-GDPR, כולל קנסות וצווי הפסקה. ישראל מחזיקה בהכרת נאותות (adequacy) מצד הנציבות האירופית, שחודשה בינואר 2024.

ש: כיצד לבצע מעבר ל-ISO 27001:2022 כאשר תעודת 2013 כבר פגה? ת: אם תעודת ISO 27001:2013 פגה לאחר 31 באוקטובר 2025, נדרשת הסמכה מלאה מחדש לגרסת 2022 — לא transition audit. התהליך כולל Stage 1 (סקירת תיעוד ומוכנות) ו-Stage 2 (אודיט יישום בשטח). צפו לתהליך של 4–8 חודשים מתחילת ההכנה ועד קבלת תעודה, תלוי בגודל הארגון ובמוכנותו. פנו לגוף ההסמכה שלכם מיד לבדיקת זמינות.

ש: האם חברה קטנה בישראל חייבת למנות DPO לפי תיקון 13? ת: חובת מינוי DPO לפי תיקון 13 לחוק הגנת הפרטיות תלויה בקריטריונים שנקבעו בתיקון — גודל מאגר המידע, סוג הנתונים (רגישים או לא), ומספר נושאי המידע. חברה קטנה שמעבדת כמות מוגבלת של מידע לא-רגיש עשויה להיות פטורה. עם זאת, גם ארגון שאינו חייב ב-DPO מומלץ שיגדיר גורם אחראי לנושא פרטיות — זה מפחית סיכון אכיפתי ומשדר רצינות מול הרשות.

ש: מה הקנסות על הפרת חוק הגנת הפרטיות בישראל 2026? ת: לפי תיקון 13 לחוק הגנת הפרטיות, הרשות להגנת הפרטיות רשאית להטיל קנסות מנהליים של עד 320,000 ש"ח לכל הפרה בתחום אבטחת מידע, ומיליוני שקלים להפרות בתחומי מאגרי מידע ומשילות נתונים אישיים. בנוסף, הרשות יכולה להוציא צווי הפסקת עיבוד — סנקציה שעלולה לשתק פעילות עסקית שלמה.

ש: מה ההבדל בין ISO 27001:2013 ל-ISO 27001:2022 בפועל? ת: ISO 27001:2022 שינה את מבנה הבקרות מ-114 בקרות ב-14 קטגוריות ל-93 בקרות ב-4 קבוצות: ארגוניות, אנשים, פיזיות, וטכנולוגיות. נוספו 11 בקרות חדשות כולל Threat Intelligence, Cloud Security, Data Masking, ו-Information Deletion — שמשקפות את נוף האיומים העדכני. הגרסה החדשה מדגישה Risk-based thinking כפרקטיקה שוטפת, לא כפעילות תקופתית בלבד.