בשנים האחרונות תעשיית התעופה, החלל והביטחון עוברת שינוי עמוק: איכות כבר אינה נמדדת רק לפי התאמה למפרט, עקיבות, בקרת ספקים או טיפול באי־התאמות. יותר ויותר, איכות נבחנת גם לפי היכולת של הארגון להגן על מידע, מערכות דיגיטליות, שרשרת אספקה ותהליכי עבודה קריטיים.

הסיבה לכך ברורה. מוצר תעופתי או ביטחוני אינו עומד היום בפני עצמו. הוא נשען על מודלים דיגיטליים, מערכות תכנון, קבצי ייצור, תוכנות, נתוני בדיקה, ספקי משנה, מערכות ERP, תיעוד הנדסי ומידע רגיש שעובר בין ארגונים. כאשר אחד מהמרכיבים האלה נפגע, זו כבר לא רק בעיית אבטחת מידע. זו עלולה להיות בעיית איכות, בטיחות, עמידה בדרישות לקוח ויכולת לספק מוצר אמין בזמן.

לכן השיח סביב AS9100, שצפוי להתפתח תחת המיתוג IA9100, וסביב CMMC בתעשיית הביטחון האמריקאית, חשוב גם לארגונים שאינם יצרני מטוסים. הוא מצביע על מגמה רחבה יותר: סייבר הופך לחלק בלתי נפרד ממערכת הניהול.

לא שני עולמות נפרדים, אלא מערכת אחת של אמון

אחת הטעויות הנפוצות בארגונים היא להתייחס לתקני איכות ולדרישות סייבר כאל שני פרויקטים שונים: צוות האיכות מטפל בנהלים, מבדקים, CAPA וספקים, וצוות ה-IT מטפל בהרשאות, גיבויים, אירועי אבטחה ובקרות טכניות.

אבל בתעשיות מפוקחות, ההפרדה הזו כבר לא מספיקה.

AS9100/IA9100 עוסק במערכת ניהול איכות לתעשיות תעופה, חלל וביטחון. CMMC, לעומתו, מתמקד בדרישות סייבר לקבלנים וספקים בשרשרת האספקה הביטחונית של משרד ההגנה האמריקאי, בעיקר סביב הגנה על מידע פדרלי ומידע בלתי מסווג מבוקר. על פניו אלה שני עולמות שונים. בפועל, הם נוגעים באותם תהליכים ארגוניים: ניהול סיכונים, שליטה במידע מתועד, בקרת ספקים, כשירות עובדים, המשכיות עסקית, בקרה על שינויים ותגובה לאירועים.

המסר החשוב למנהלי איכות הוא זה: CMMC אינו “עוד תקן סייבר” שמתווסף מבחוץ. הוא יכול להיות שכבת בקרה שמשתלבת בתוך מערכת האיכות הקיימת.

למה זה חשוב דווקא עכשיו?

נכון ליולי 2026, CMMC ממשיך להיות נושא פעיל ומשמעותי בשרשרת האספקה הביטחונית, גם לאחר ההודעה הרשמית על השעיית דרישות Phase II שתוכננו לנובמבר 2026. לפי הפרסום הרשמי, דרישות Phase I של self-assessment נותרו בתוקף. כלומר, גם אם חלק מהאכיפה מתעצב מחדש, הכיוון הכללי ברור: ספקים ביטחוניים נדרשים להוכיח שליטה טובה יותר בסיכוני סייבר.

במקביל, עולם AS9100 מתקדם לקראת IA9100 כחלק מעדכון רחב יותר של תפיסת האיכות בתעשיות תעופה, חלל וביטחון. גם כאן הכיוון אינו טכני בלבד. הדגש עובר ממערכת איכות “מסודרת על הנייר” למערכת שמסוגלת להוכיח שליטה, שקיפות, תרבות איכות, ניהול מידע והיערכות לסיכונים משתנים.

עבור ארגונים ישראליים שעובדים עם לקוחות בינלאומיים, ספקי משנה, פרויקטים ביטחוניים, ציוד רפואי, פארמה, בריאות דיגיטלית או מערכות טכנולוגיות קריטיות, זו אינה מגמה רחוקה. זו תזכורת לכך שהלקוח, הרגולטור והמבקר כבר לא שואלים רק “האם יש לכם נוהל?”, אלא גם “האם התהליך באמת מוגן, נשלט וניתן להוכחה?”.

איפה הסייבר פוגש את מערכת האיכות?

החיבור בין איכות לסייבר מתחיל בכמה אזורים מאוד מעשיים.

הראשון הוא שליטה במידע מתועד. אם נהלים, מפרטים, תיקי מוצר, רשומות בדיקה, קבצי תכן או נתוני ולידציה נשמרים במערכות דיגיטליות, נדרש לדעת מי ניגש אליהם, מי שינה אותם, האם קיימת עקיבות, האם יש גיבוי, ומה קורה במקרה של פגיעה בזמינות או בשלמות המידע.

השני הוא ניהול ספקים. בתעשיות מורכבות, ספק משנה אינו רק מי שמספק רכיב פיזי. הוא עשוי להחזיק מידע הנדסי, לבצע בדיקות, לפתח תוכנה, לתחזק מערכת או לקבל גישה לסביבת עבודה משותפת. לכן הערכת ספקים צריכה לכלול גם שאלות על אבטחת מידע, הפרדת גישות, טיפול באירועים, הגנה על נתונים ויכולת התאוששות.

השלישי הוא ניהול שינויים. שינוי בתוכנה, במערכת מידע, בגישה לקובץ, בספק שירותי ענן או בתהליך דיגיטלי יכול להשפיע על איכות המוצר לא פחות משינוי בחומר גלם או בתהליך ייצור. מערכת איכות בוגרת צריכה לזהות גם שינויים דיגיטליים כבעלי פוטנציאל להשפיע על התאמה, בטיחות ואמינות.

הרביעי הוא CAPA וניתוח שורש. אירוע סייבר, אובדן מידע, הרשאה שגויה או תקלה בגיבוי אינם צריכים להישאר רק בדוח IT. במקרים רבים יש להם משמעות איכותית: האם המידע ששימש לקבלת החלטה היה נכון? האם רשומות נשמרו? האם הייתה השפעה על מוצר, לקוח, רגולציה או אספקה?

מה מנהלי איכות יכולים לעשות כבר עכשיו?

הצעד הראשון הוא לא לבנות מערכת כפולה. במקום ליצור סט נהלים נפרד לסייבר וסט נהלים נפרד לאיכות, כדאי למפות את נקודות המפגש: מידע מתועד, ספקים, סיכונים, הדרכות, הרשאות, בקרת שינויים, המשכיות עסקית ומבדקים פנימיים.

הצעד השני הוא להכניס סייבר לשפה של ניהול סיכונים. לא כל בקרת סייבר צריכה להיות מתוארת במונחים טכניים. אפשר לשאול שאלות פשוטות וברורות: איזה מידע קריטי לתהליך? מי אחראי עליו? מה יקרה אם הוא ישתנה ללא אישור? האם יש ראיה שהבקרה פועלת? האם הספקים מבינים את הדרישות?

הצעד השלישי הוא לשלב את הנושא במבדקים פנימיים. מבדק איכות טוב יכול לבדוק לא רק אם קיימת רשומה, אלא גם אם הרשומה מוגנת, נגישה, מבוקרת ועדכנית. כך הסייבר הופך לחלק מהשגרה הניהולית ולא לפרויקט חד־פעמי לפני ביקורת.

הצעד הרביעי הוא לחבר בין בעלי תפקידים. מנהל איכות, מנהל IT, מנהל רגולציה, מנהל תפעול ורכש צריכים לעבוד יחד סביב אותם סיכונים. כאשר כל אחד רואה רק את החלק שלו, נוצרים פערים. כאשר כולם מסתכלים על התהליך מקצה לקצה, קל יותר לזהות חולשות לפני שהן הופכות לאירוע.

סיכום

המעבר מחשיבה של “איכות” מול “סייבר” לחשיבה של assurance משולב הוא אחד השינויים החשובים ביותר בניהול מערכות מפוקחות. AS9100/IA9100 ו-CMMC אינם בהכרח מסלולים מתחרים או כפולים. נכון יותר לראות בהם שתי שכבות של אותה אחריות: להבטיח שהארגון מסוגל לספק מוצר או שירות בטוח, איכותי, מבוקר ועמיד גם בסביבה דיגיטלית מורכבת.

ארגונים שיתחילו לחבר בין נהלי איכות, בקרות סייבר, ניהול ספקים ותיעוד כבר עכשיו יהיו מוכנים יותר למבדקים, לדרישות לקוח ולשינויים רגולטוריים עתידיים. ובעיקר, הם יבנו מערכת ניהול אמינה יותר - לא רק כדי לעבור ביקורת, אלא כדי לפעול נכון ביום־יום.

מה הקשר בין AS9100/IA9100 לבין סייבר?
AS9100/IA9100 עוסק במערכת ניהול איכות לתעשיות תעופה, חלל וביטחון. ככל שתהליכי איכות נשענים על מידע דיגיטלי, ספקים ומערכות תוכנה, אבטחת מידע הופכת לחלק מהיכולת להבטיח שליטה, עקיבות ואמינות.

האם CMMC מחליף את AS9100?
לא. CMMC אינו תקן איכות ואינו מחליף מערכת QMS. הוא מתמקד בדרישות סייבר בשרשרת האספקה הביטחונית. עם זאת, ניתן לשלב חלק גדול מהבקרות שלו בתוך תהליכי איכות קיימים.

למה מנהלי איכות צריכים להתעניין בסייבר?
כי פגיעה במידע, בהרשאות, בגיבויים או במערכות תומכות יכולה להשפיע ישירות על תיעוד, שחרור מוצר, ניהול שינויים, ספקים ועמידה בדרישות לקוח או רגולציה.

איך מתחילים לשלב סייבר במערכת האיכות?
מומלץ להתחיל ממיפוי תהליכים קריטיים, זיהוי מידע רגיש, בדיקת הרשאות, שילוב שאלות סייבר במבדקים פנימיים והרחבת הערכת ספקים כך שתכלול גם היבטי אבטחת מידע.

האם הנושא רלוונטי גם מחוץ לתעשיית התעופה?
כן. גם בציוד רפואי, פארמה, מזון, כימיה ובריאות דיגיטלית קיימת תלות הולכת וגוברת במידע דיגיטלי, ספקים ומערכות ממוחשבות. לכן העיקרון של שילוב סייבר בתוך ניהול איכות רלוונטי מאוד.