תוכן העניינים
מדוע מסגרות ציות רגולטורי חשובות – ומדוע הן מבלבלות
ציות רגולטורי בסייבר אינו נועד רק למנוע קנסות, אף שהיקפם כיום מצדיק התייחסות רצינית בפני עצמו. מטרתו המרכזית היא להבטיח שהארגון מיישם בקרות אבטחה אפקטיביות להגנה על המערכות, המידע והפעילות העסקית מול האיומים הרלוונטיים.
האתגר הוא שהנוף הרגולטורי הפך למורכב יותר, כאשר מסגרות שונות חלות על ארגונים שונים, כוללות דרישות חופפות בחלקן ונאכפות על ידי גורמים שונים ובקצבי זמן שונים. ארגונים המנהלים ציות באופן אפקטיבי אינם מתייחסים אליו כאל משימה נקודתית לקראת ביקורת, אלא כתוכנית עבודה מתמשכת המשלבת את כלל הדרישות הרלוונטיות תחת מודל ממשל אחיד ומשולב.
ISO 27001: התקן הגלובלי לניהול אבטחת מידע
ISO 27001 הוא תקן ניהול אבטחת המידע המאומץ ביותר בעולם, המפורסם על ידי ארגון התקינה הבינלאומי (ISO) והנציבות הבינלאומית לאלקטרוטכניקה (IEC). נכון לשנת 2024, יותר מ־70,000 ארגונים ברחבי העולם מחזיקים בהסמכה לתקן, כאשר מספר זה ממשיך לצמוח בקצב דו־ספרתי בעשור האחרון. העלייה נובעת בעיקר מדרישות של לקוחות אנטרפרייז, השפעת שוק הביטוח והתגברות הציפיות הרגולטוריות בתחום אבטחת המידע.
מה ISO 27001 דורש
ISO 27001 הוא תקן של מערכת ניהול: הוא מחייב ארגונים להגדיר את היקף מערכת ניהול אבטחת המידע שלהם (ISMS), להעריך ולטפל בסיכוני אבטחת מידע, ליישם מערך בקרות אבטחה מתוך נספח A (הכולל 93 בקרות בארבע תמות במהדורת 2022), ולנטר, למדוד, לבקר ולשפר את ה-ISMS באופן מתמשך. הבקרות בנספח A מכסות בקרות ארגוניות (מדיניות, סקר סיכונים, קשרי ספקים), בקרות אנשים (בדיקות רקע, מודעות אבטחה), בקרות פיזיות (אבטחה היקפית, אזורים מאובטחים) ובקרות טכנולוגיות (ניהול הרשאות גישה, הצפנה, ניהול חולשות).ההסמכה מחייבת מבדק בלתי תלוי של צד שלישי על ידי גוף הסמכה מוסמך, המתבצע בשני שלבים: סקירת תיעוד והערכה פיזית באתר. ההסמכה תקפה לשלוש שנים, עם מבדקי מעקב שנתיים.
מה ISO 27001 איננו
ISO 27001 הוא תקן מבוסס-סיכון, לא תקן פרסקריפטיבי. הוא אינו מפרט בדיוק אילו בקרות טכניות ליישם, הוא מחייב ארגונים להעריך את הסיכונים שלהם וליישם בקרות מידתיות ביחס לאותם סיכונים. משמעות הדבר היא ששני ארגונים יכולים שניהם להיות מוסמכי ISO 27001 תוך יישום מערכי בקרות שונים מאוד. גמישות זו היא יתרון עבור ארגונים בשלים; עבור ארגונים חדשים לניהול אבטחה מובנה, היא מחייבת ליווי מומחה כדי ליישמה נכון.
NIS2: דירקטיבת האיחוד האירופי לאבטחת רשתות ומערכות מידע
NIS2, הדירקטיבה האירופית המעודכנת לאבטחת רשתות ומערכות מידע, נכנסה לתוקף במדינות האיחוד האירופי באוקטובר 2024, והחליפה את דירקטיבת NIS המקורית שחלה מאז 2018. NIS2 מייצגת הרחבה יסודית של רגולציית הסייבר האירופית: היא חלה על מגוון רחב משמעותית של מגזרים וארגונים, מטילה חובות מפורשות על גופי הנהלה, ומכניסה סמכויות אכיפה משמעותיות מהותית לעומת קודמתה.
על מי NIS2 חלה
NIS2 מבחינה בין “ישויות חיוניות” (מגזרים הכוללים אנרגיה, תחבורה, בנקאות, תשתיות שוק פיננסי, בריאות, מי שתייה, שפכים, תשתיות דיגיטליות ומינהל ציבורי) לבין “ישויות חשובות” (שירותי דואר, ניהול פסולת, ייצור כימיקלים, ייצור מזון, תעשיית ייצור כללית, ספקי שירותים דיגיטליים ומחקר). ישויות חיוניות כפופות לפיקוח הדוק יותר ולעונשים כבדים יותר; ישויות חשובות כפופות לפיקוח בדיעבד קל יותר. הדירקטיבה גם מבטלת את חריג הגודל שהגן על ארגונים רבים תחת NIS1: מפעילים מעל 50 עובדים או 10 מיליון אירו מחזור שנתי במגזרים המכוסים נכללים כעת בתחולה ברוב המדינות החברות.
מה NIS2 דורשת
סעיף 21 של NIS2 מחייב ישויות שבתחולה ליישם “אמצעים טכניים, תפעוליים וארגוניים הולמים ומידתיים” לניהול סיכוני סייבר. הדירקטיבה מפרטת סט מינימלי של אמצעים, ובהם: ניתוח סיכונים ומדיניות אבטחת מערכות מידע; טיפול באירועים; המשכיות עסקית וניהול משברים; אבטחת שרשרת אספקה; אבטחת רשתות ומערכות מידע לרבות ניהול חולשות; בקרת גישה; שימוש בקריפטוגרפיה; אימות רב-שלבי; ותקשורת מאובטחת. חוקי ההטמעה של המדינות החברות מוסיפים דרישות לאומיות נוספות, ארגונים עם פעילות בכמה מדינות באיחוד האירופי חייבים לעקוב אחר כל היישומים הלאומיים הרלוונטיים.
אחריותיות הנהלה תחת NIS2
אחד השינויים המשמעותיים ביותר לעומת דירקטיבת NIS המקורית הוא ההתמקדות המפורשת של NIS2 באחריותיות ההנהלה. תחת סעיף 20, גופי ההנהלה של ישויות חיוניות וחשובות נדרשים לאשר את אמצעי ניהול סיכוני הסייבר, לפקח על יישומם, וניתן להטיל עליהם אחריות אישית בגין אי-ציות. הוראה זו הופכת מנהיגות אבטחה בכירה, בין אם CISO פנימי ובין אם vCISO, לדרישה רגולטורית ישירה, לא רק לפרקטיקה מומלצת.
קנסות NIS2
לישויות חיוניות: עד 10 מיליון אירו או 2% מסך המחזור השנתי העולמי, הגבוה מביניהם. לישויות חשובות: עד 7 מיליון אירו או 1.4% מסך המחזור השנתי העולמי.
DORA: תקנת החוסן התפעולי הדיגיטלי לגופים פיננסיים
תקנת החוסן התפעולי הדיגיטלי, DORA, נכנסה לתחולה ישירה בכל מדינות האיחוד האירופי ב-17 בינואר 2025. בשונה מ-NIS2, שהיא דירקטיבה המחייבת הטמעה לאומית, DORA היא תקנה (Regulation) של האיחוד האירופי, כלומר היא חלה באופן אחיד ללא וריאציות לאומיות. DORA חלה ספציפית על גופים פיננסיים ועל ספקי שירותי ICT קריטיים מצד שלישי שלהם.
על מי DORA חלה
תחולת DORA כוללת: מוסדות אשראי; מוסדות תשלומים; ספקי שירותי מידע על חשבונות; מוסדות כסף אלקטרוני; חברות השקעות; ספקי שירותי נכסי קריפטו; מרכזי משמורת ניירות ערך; צדדים נגדיים מרכזיים; זירות מסחר; מאגרי מסחר; מנהלי קרנות השקעה אלטרנטיביות; חברות ניהול; חברות ביטוח וביטוח משנה; מתווכי ביטוח; קרנות פנסיה; חברות דירוג; מנהלי מדדי ייחוס קריטיים; ספקי שירותי מימון המונים; מאגרי איגוח; ובאופן קריטי — ספקי שירותי ICT מצד שלישי המסווגים כקריטיים על ידי הרשויות המפקחות של האיחוד האירופי.
מה DORA דורשת
DORA מגדירה חמישה עמודי תווך מרכזיים של דרישות חוסן תפעולי דיגיטלי:
- ניהול סיכוני ICT – גופים פיננסיים חייבים ליישם מסגרת מקיפה לניהול סיכוני ICT, בהתאם לעקרון ניהול מלא של מחזור חיי סיכוני ה-ICT, לרבות המשכיות של פונקציות קריטיות
- ניהול אירועי ICT – סיווג מובנה, דיווח וניתוח שורש (Root Cause) של אירועי ICT, לרבות דיווח חובה לרשויות המוסמכות בלוחות זמנים מוגדרים
- בדיקות חוסן תפעולי דיגיטלי – מבחני חדירה מונחי-איום (TLPT) לישויות משמעותיות לפחות אחת לשלוש שנים, ובדיקות חוסן בסיסיות לכלל הישויות מדי שנה
- ניהול סיכוני צד שלישי ב-ICT – בדיקת נאותות מקיפה, דרישות חוזיות וניטור שוטף של כל ספקי ה-ICT מצד שלישי
- שיתוף מידע – השתתפות בהסדרי שיתוף מודיעין על איומי סייבר
דרישת מבחני החדירה מונחי האיום (TLPT) של DORA, המעוגנת בסעיף 26, נחשבת לאחת מדרישות בדיקות החדירה המחמירות ביותר במסגרת הרגולציה האירופית. המבחן נדרש להתבצע על ידי בודקים מוסמכים, מול מערכות ייצור (Production), תוך הסתמכות על מודיעין איומים עדכני המותאם לפרופיל הסיכון של הארגון, ובחינה משולבת של אנשים, תהליכים וטכנולוגיה.
קנסות DORA
קנסות DORA נקבעים ברמה הלאומית; התקנה מסמיכה את הרשויות המפקחות להטיל קנסות על גופים פיננסיים ולהשעות או לשלול רישיונות. לגבי ספקי ICT קריטיים מצד שלישי, רשויות הפיקוח האירופיות רשאיות להטיל תשלומי קנס תקופתיים של עד 1% מהמחזור היומי העולמי הממוצע, למשך עד שישה חודשים.
GDPR: תקנת הגנת המידע והפרטיות של האיחוד האירופי
תקנת הגנת המידע הכללית (GDPR) נכנסה לתוקף ב־25 במאי 2018 ונחשבת עד היום לאחת ממסגרות הגנת הפרטיות המשפיעות ביותר בעולם. התקנה מסדירה את עיבוד המידע האישי של תושבים באזור הכלכלי האירופי, ובשל תחולתה האקסטריטוריאלית היא חלה גם על ארגונים מחוץ לאיחוד האירופי, כאשר הם מעבדים מידע אישי של תושבי האיחוד במסגרת הצעת מוצרים או שירותים, או לצורך ניטור התנהגותם.
מה GDPR דורשת בהקשר אבטחתי
סעיף 32 של GDPR מחייב בעלי שליטה במידע (Controllers) ומעבדי מידע (Processors) ליישם “אמצעים טכניים וארגוניים הולמים” כדי להבטיח רמת אבטחה התואמת את סיכון העיבוד, ובכלל זה: פסאודונימיזציה והצפנה של מידע אישי; היכולת להבטיח סודיות, שלמות, זמינות וחוסן מתמשכים של מערכות העיבוד; היכולת לשחזר זמינות וגישה למידע אישי לאחר אירוע דלף; ותהליך לבדיקה, הערכה ובחינה סדירה של אפקטיביות האמצעים הטכניים והארגוניים.
סעיף 33 של GDPR מחייב הודעה לרשות המפקחת על דלף מידע אישי בתוך 72 שעות מגילויו. סעיף 34 מחייב הודעה לנושאי המידע שנפגעו כאשר הדלף עלול לגרום לסיכון גבוה לזכויותיהם ולחירויותיהם.
קנסות GDPR
קנסות GDPR פועלים בשני רבדים. הפרות חמורות פחות (למשל, הפרות של חובות תיעוד או חובות הנוגעות לממונה על הגנת המידע): עד 10 מיליון אירו או 2% מסך המחזור השנתי העולמי. הפרות חמורות יותר (למשל, הפרות של עקרונות העיבוד הבסיסיים, זכויות נושאי המידע, דרישות העברה בינלאומית): עד 20 מיליון אירו או 4% מסך המחזור השנתי העולמי.
השוואת מסגרות: ISO 27001 מול NIS2 מול DORA מול GDPR
| ממד | ISO 27001 | NIS2 | DORA | GDPR |
|---|---|---|---|---|
| סוג | תקן בינלאומי (הסמכה וולונטרית) | דירקטיבה אירופית (חקיקה לאומית) | תקנה אירופית (תחולה ישירה) | תקנה אירופית (תחולה ישירה) |
| על מי חל | כל ארגון המבקש הסמכה | ישויות חיוניות וחשובות ב-18 מגזרים מכוסים | גופים פיננסיים וספקי ICT קריטיים מצד שלישי | כל ארגון המעבד מידע אישי של תושבי האיחוד האירופי |
| מוקד מרכזי | מערכת ניהול אבטחת מידע | ניהול סיכוני סייבר ודיווח אירועים | חוסן תפעולי דיגיטלי למגזר הפיננסי | הגנת מידע אישי וזכויות פרטיות |
| דרישות מרכזיות | ISMS מבוסס-סיכון, 93 בקרות בנספח A, שיפור מתמיד | אמצעי סיכון, טיפול באירועים, שרשרת אספקה, אחריותיות הנהלה | מסגרת סיכוני ICT, TLPT, סיכוני צד שלישי, דיווח אירועים | עיבוד כדין, זכויות נושאי מידע, אמצעי אבטחה, הודעה על דלף |
| בתוקף / חל מ- | מתמשך (מהדורת 2022 עדכנית) | אוקטובר 2024 | 17 בינואר 2025 | 25 במאי 2018 |
| מבדק / אכיפה | מבדק של גוף הסמכה חיצוני | פיקוח רשות מוסמכת לאומית | רשויות פיקוח אירופיות (EBA, ESMA, EIOPA) + לאומיות | רשויות הגנת מידע לאומיות |
| קנס מרבי | ללא קנס רגולטורי (השלכה חוזית / שוקית) | 10 מיליון אירו או 2% מהמחזור הגלובלי (ישויות חיוניות) | עד 1% מהמחזור היומי לספקי ICT (6 חודשים) | 20 מיליון אירו או 4% מהמחזור הגלובלי |
| אחריות הנהלה | ללא אחריות אישית מפורשת | מפורשת — אחריותיות הנהלה בסעיף 20 | משתמעת דרך סמכויות הרשות המפקחת | חובות DPO; הנחיות רגולטוריות בדבר אחריותיות דירקטוריון |
| מבחני חדירה | משתמע תחת A.8.8 | נדרש במסגרת אמצעי סעיף 21 | TLPT מחייב תחת סעיף 26 | נדרש במסגרת אמצעי האבטחה של סעיף 32 |
| חפיפה עם אחרים | תומך בציות ל-NIS2, DORA, GDPR | הלימה ל-ISO 27001 מאיצה ציות | ISO 27001 + NIS2 כבסיס; GDPR למידע אישי | חל לצד כל האחרים בכל מקום שבו מעובד מידע אישי |
מה חברות ישראליות עם פעילות באיחוד האירופי צריכות לדעת
חלק זה מיועד לארגונים ישראליים, המהווים פלח מרכזי בשוק של IPV Security, אשר פועלים מול לקוחות באיחוד האירופי, מבצעים פעילויות עיבוד מידע באיחוד האירופי או מקיימים קשרים עסקיים עם גופים הכפופים לרגולציה האירופית.
המציאות האקסטריטוריאלית. כל ארבע המסגרות עשויות לחול על חברות ישראליות גם ללא ישות משפטית באיחוד האירופי. GDPR חלה במפורש: אם החברה שלכם מציעה מוצרים או שירותים לתושבי האיחוד האירופי, או מנטרת את התנהגותם, אתם Controller או Processor תחת GDPR ללא קשר למקום ההתאגדות שלכם. דירקטיבת NIS2, אף שהיא בנויה סביב יישום במדינות החברות באיחוד, חלה על ישויות המספקות שירותים דיגיטליים לשוק האירופי – ספקי ענן ישראליים, ספקי שירותים דיגיטליים וספקי שירותים מנוהלים עם לקוחות אירופיים צפויים להיכלל בתחולה לפחות בחלק מהמדינות החברות. DORA חלה על כל גוף פיננסי הפועל בשוק הפיננסי האירופי, לרבות חברות פינטק שמטה פעילותן בישראל ובידיהן אישור רגולטורי אירופי.
ההלימה למסגרת מערך הסייבר הלאומי. מערך הסייבר הלאומי (INCD) פרסם הנחיות סייבר מגזריות, בפרט לתשתיות קריטיות ולשירותים פיננסיים, הדומות במבנן ל-NIS2 ול-DORA. ארגונים שכבר עומדים בדרישות מערך הסייבר הלאומי ימצאו חפיפה משמעותית עם המסגרות האירופיות, בעיקר סביב ניהול סיכונים, דיווח אירועים ואבטחת שרשרת אספקה. עם זאת, המסגרת של מערך הסייבר הלאומי אינה מהווה תחליף לציות רגולטורי אירופי, ויש לנהלה כמחויבות מקבילה.
השלכות מעשיות לחברות ישראליות:
- אם אתם מעבדים מידע אישי של תושבי האיחוד האירופי לכל מטרה, כולל נתוני לקוחות, נתוני עובדים אירופיים או מידע אנליטי, אתם עשויים להיות כפופים ל־GDPR. במקרים שבהם אין לארגון ישות משפטית באיחוד האירופי, ייתכן שתידרשו למנות נציג מקומי באיחוד.
- אם אתם מספקים שירותי ICT לגופים פיננסיים באיחוד האירופי, אתם עשויים להיות מסווגים כספק צד שלישי קריטי בהתאם ל־DORA, סיווג שעשוי להוביל לפיקוח ישיר מצד רשויות רגולטוריות באירופה.
- אם אתם מספקים שירותים דיגיטליים, כגון שירותי ענן, פלטפורמות מקוונות או מנועי חיפוש, ועומדים בתנאי התחולה של NIS2, אתם עשויים להיות כפופים לדרישות הדירקטיבה בכל מדינה חברה שבה אתם פועלים.
- הסמכת ISO 27001, אף שאינה חובה רגולטורית ברוב המקרים, הפכה בפועל לדרישת שוק מקובלת עבור חברות טכנולוגיה ישראליות המעוניינות לעבוד עם לקוחות אנטרפרייז באירופה, במיוחד בתחומים מפוקחים כגון שירותים פיננסיים, בריאות ורכש במגזר הציבורי.
כיצד לבנות תוכנית ציות רגולטורי משולבת
הגישה הגרועה ביותר לציות מרובה-מסגרות היא ניהול כל מסגרת בנפרד – פרויקט נפרד להסמכת ISO 27001, התקשרות נפרדת לציות ל-NIS2 ותרגיל נפרד למיפוי נתונים ל-GDPR. גישה זו יוצרת כפילות מאמצים, ראיות לא עקביות, פערי בקרות בין המסגרות ומבנה ממשל שקורס תחת לחץ של מבדק.
תוכנית ציות רגולטורי משולבת בנויה סביב ארבעה עקרונות:
1. מסגרת בקרות משותפת כעמוד השדרה. בקרות נספח A של ISO 27001 משמשות כבסיס משותף אפקטיבי: יישומן הנכון מספק כיסוי משמעותי לדרישות סעיף 21 של NIS2, לחובות ניהול סיכוני ה-ICT של DORA ולאמצעי האבטחה של סעיף 32 ב-GDPR. פערי המסגרת שנותרים הם ספציפיים וניתנים לניהול.
2. מאגר ראיות אחד. כל יישום בקרה מייצר ראיות, מדיניות, קונפיגורציות, תוצאות בדיקות, רשומות הדרכה, יומני ביקורת. מאגר אחד ומאורגן (לא תיקייה ב-SharePoint ששלושה אנשים יודעים עליה) מאפשר לענות על כל שאלה של מבקר במהירות, בדיוק וללא פאניקה. CISOteria Cyber OS™ ממלאת פונקציה זו עבור לקוחות IPV Security.
3. ניטור מתמשך במקום תמונות מצב שנתיות. כל ארבע המסגרות מניחות ציות מתמשך, לא ציות נקודתי. ארגונים המתייחסים לציות כמחזור מבדקים שנתי מחזיקים בתוכנית ציות שעובדת שלושה שבועות בשנה. תוכנית אמיתית מנטרת את אפקטיביות הבקרות באופן רציף, עוקבת אחר שינויים במערכות ובתהליכים שעלולים ליצור פערים, ומתחזקת את בסיס הראיות כרשומה חיה.
4. מבנה אחריותיות הנהלה. הוראות אחריותיות ההנהלה של NIS2 (והדרישות המקבילות של DORA) הפכו את מעורבות הדירקטוריון וההנהלה הבכירה בממשל האבטחה לחובה משפטית, לא לשאיפה תרבותית. תוכנית הציות חייבת לכלול דיווח פורמלי לדירקטוריון, אישורי הנהלה מתועדים למדיניות האבטחה ואחריותיות ברורה לתיקון ליקויים.
הגישה של IPV Security לציות רגולטורי
פרקטיקת הציות הרגולטורי של IPV Security מבוססת על ההבנה שארגונים הכפופים ל־NIS2, DORA, GDPR ו־ISO 27001 במקביל אינם יכולים לנהל כל מסגרת בנפרד. כל התקשרות מתחילה בניתוח פערים רב־מסגרתי, הממפה את מצב הבקרות הקיים, מזהה חפיפות בין דרישות ומגדיר את הפערים שיש לטפל בהם.
הניהול השוטף מתבצע באמצעות CISOteria Cyber OS™, המאפשר מעקב רציף אחר סטטוס הציות, בעלי אחריות, יעדי ביצוע וראיות תומכות. כך הארגון מחזיק תמונת מצב עדכנית ומוכנות לביקורות ללא איסוף נתונים מאוחר ומבוזר.
עבור חברות ישראליות המשלבות דרישות INCD עם רגולציות אירופיות, IPV Security מספקת ניסיון בניהול תוכניות ציות משולבות ובהתמודדות עם דרישות דיווח ואירועי סייבר חוצי גבולות.
גלו את שירות ה-Compliance as a Service של IPV Security ←
למדו על תוכנית ה-vCISO המלאה ←
הכירו את סקר הסיכונים ב-18 דומיינים ←
על הכותב
עידו גנור הוא המייסד והמנכ”ל של IPV Security, פירמת ייעוץ ישראלית לאבטחת סייבר ארגונית המשרתת חברות בשוק הביניים בישראל ובאיחוד האירופי. הוא מביא ניסיון של למעלה מ-21 שנים כ-CISO ארגוני בתעשיות מפוקחות, ובהן שירותים פיננסיים, תשתיות קריטיות וטכנולוגיה. הוא יוצר פלטפורמת CISOteria Cyber OS™ והארכיטקט של מודל ההפעלה בן ארבעת עמודי התווך של IPV Security למנהיגות אבטחה מנוהלת.
מאמרים קשורים
- מהי תוכנית vCISO? המדריך המלא 2026 ←
- מבחני חדירה מונחי-תוצאה: המדריך המלא ←
- סקר הסיכונים ב-18 דומיינים ←
זקוקים לעזרה בניווט בעולם הציות הרגולטורי? ISO 27001, NIS2, DORA ו-GDPR – כל אחת מהמסגרות דורשת מענה שונה, אך כולן חולקות בסיס בקרות משותף. IPV Security בונה תוכניות ציות משולבות העונות על כל המסגרות הרלוונטיות ללא כפילות מאמצים, במעקב רציף באמצעות פלטפורמת CISOteria Cyber OS™.
שאלות נפוצות
מה ההבדל בין ISO 27001 ל-NIS2?
ISO 27001 הוא תקן בינלאומי וולונטרי שארגונים יכולים להסמיך את עצמם מולו כדי להדגים יישום של מערכת ניהול אבטחת מידע מובנית. לעומתו, NIS2 היא דירקטיבה אירופית מחייבת, החלה על ארגונים במגזרים מוגדרים ועומדת בפני עצמה כחובה רגולטורית, ללא קשר להסמכה כלשהי.
הסמכת ISO 27001 מספקת בסיס משמעותי להדגמת עמידה בדרישות NIS2, שכן רבות מהבקרות חופפות לדרישות סעיף 21 בדירקטיבה. עם זאת, הסמכה לתקן אינה מהווה עמידה מלאה ב־NIS2. ההבדלים המרכזיים הם ש־NIS2 כוללת חובות דיווח אירועים בלוחות זמנים מוגדרים, מטילה אחריות ישירה על ההנהלה ונאכפת על ידי רשויות לאומיות בעלות סמכויות פיקוח וענישה.
האם DORA חלה על החברה שלנו אם אנחנו לא בנק?
DORA חלה על מגוון רחב של גופים פיננסיים ולא רק בנקים. מוסדות תשלומים, מוסדות כסף אלקטרוני, חברות השקעות, חברות ביטוח, קרנות פנסיה, ספקי שירותי נכסי קריפטו, פלטפורמות מימון המונים ורבים אחרים – כולם בתחולה. באופן מהותי, DORA חלה גם על ספקי ICT מצד שלישי, בהם ספקי ענן, מרכזי נתונים, ספקי תוכנה ושירותי אבטחה מנוהלים, המספקים שירותים לגופים פיננסיים הכפופים לרגולציה ומסווגים כספקים קריטיים על ידי רשויות האיחוד האירופי. לכן, חברות טכנולוגיה המספקות שירותים לגופים פיננסיים באירופה עשויות להיות כפופות לדרישות DORA כספקיות צד שלישי, גם אם אינן גוף פיננסי בעצמן.
כיצד GDPR מתקיימת לצד שלוש המסגרות האחרות?
GDPR פועלת לצד ISO 27001, NIS2 ו-DORA ואינה מחליפה אף אחת מהן. תחולתה מוגדרת לפי סוג המידע המעובד (מידע אישי של תושבי האיחוד האירופי) ולא לפי מגזר. משמעות הדבר היא שגוף פיננסי הכפוף ל-DORA ול-NIS2 כפוף גם ל-GDPR אם הוא מעבד מידע אישי וכמעט כל גוף פיננסי עושה זאת. אמצעי האבטחה הנדרשים תחת סעיף 32 של GDPR חופפים במידה משמעותית לבקרות ISO 27001 ולדרישות האבטחה של NIS2 ו-DORA, ולכן תוכנית ציות משולבת מונעת כפילות מאמצים. הייחוד של GDPR הוא במסגרת זכויות נושאי המידע שלה (עיון, מחיקה, ניידות), בדרישות הגנת הפרטיות כברירת מחדל ומעצם התכנון (Data Protection by Design), בחובות הסכמי עיבוד המידע שלה ובלוח הזמנים של 72 שעות להודעה על דלף לרשויות המפקחות.
מהי הדרך המהירה ביותר להשיג הסמכת ISO 27001?
הדרך היעילה ביותר אינה קיצור מלאכותי של התהליך, אלא ביצוע ניתוח פערים מקיף, הגדרת היקף מדויק והימנעות מהרחבות לא מבוקרות. IPV Security מלווה ארגונים בתהליכי הסמכה ל־ISO 27001 תוך שילוב מוכנות ל־NIS2, ובכך מצמצמת כפילויות ומאפשרת בניית תוכנית ציות ואבטחה משולבת.
האם אנחנו מחויבים למנות ממונה על הגנת המידע (DPO) לפי GDPR?
סעיף 37 של GDPR מחייב מינוי ממונה על הגנת המידע (DPO) בשלושה תרחישים: ה-Controller או ה-Processor הוא רשות או גוף ציבורי; פעילויות הליבה של ה-Controller או ה-Processor מורכבות מפעולות עיבוד אשר, מטבען, היקפן או מטרותיהן, מחייבות ניטור סדיר ושיטתי של נושאי מידע בהיקף נרחב; או שפעילויות הליבה מורכבות מעיבוד בהיקף נרחב של קטגוריות מידע מיוחדות (מידע בריאותי, מידע על הרשעות פליליות, מידע ביומטרי וכדומה). חברות רבות בשוק הביניים אינן חוצות את סף ה-DPO המחייב, אך עליהן לבחון זאת בקפידה – המונח “היקף נרחב” אינו מוגדר בתקנה ופורש בהרחבה על ידי רשויות הגנת המידע. ארגונים שאינם מחויבים למנות DPO עדיין כפופים במלואם לכל שאר חובות ה-GDPR, לרבות דרישות האבטחה של סעיף 32.
כיצד CISOteria מסייעת בניהול ציות על פני מספר מסגרות?
CISOteria Cyber OS™ מספקת סביבת מעקב ציות מאוחדת שבה בקרות ממופות בו-זמנית מול ISO 27001, NIS2, DORA ו-GDPR. במקום לתחזק ארבעה מעקבי ציות נפרדים, הלקוחות רואים דשבורד אחד המציג את מצב הציות הכולל שלהם, את הבקרות העונות על מספר מסגרות בו-זמנית ואת הפערים הספציפיים שיש לטפל בהם עבור כל מסגרת. הפלטפורמה מתחזקת מאגר ראיות מרכזי המקושר לכל בקרה, מפיקה דוחות סטטוס ציות מוכנים לדירקטוריון ומספקת תמיכה בהכנה למבדקים ומעניקה ללקוח את היכולת להדגים ציות בפני כל רגולטור או מבקר בכל עת, ללא מרוץ של הרגע האחרון לפני מבדק.