NIS2הדירקטיבה האירופית 2022/2555
הדירקטיבה האירופית NIS2 מחייבת ישויות חיוניות וחשובות באיחוד לנקוט אמצעי אבטחה, להביא בחשבון את הספקים הישירים שלהן ולשלוח התרעה מוקדמת על אירוע משמעותי בתוך 24 שעות. חברה ישראלית פוגשת אותה כשהיא פועלת באיחוד, ולרוב כספק של ישות כזו. Syteca מספקת את הבקרה ואת הראיות: מי ניגש, באיזה אישור, ומה בדיוק נעשה בסשן.
תחולה
NIS2 לא חלה על חברות ישראליות באופן כללי. הדירקטיבה מופנית למדינות החברות (סעיף 46): כל מדינה הייתה צריכה לאמץ ולפרסם חקיקה עד 17.10.2024 ולהחיל אותה מ-18.10.2024 (סעיף 41), ומותר לה לקבוע רמת אבטחה גבוהה יותר (סעיף 5). לכן הפרטים, הרשות המוסמכת ואופן הדיווח משתנים ממדינה למדינה.
הדירקטיבה חלה על ישויות מהסוגים שבנספח I (בהם אנרגיה, תחבורה, בנקאות, בריאות, מים, תשתיות דיגיטליות, ניהול שירותי ICT בין עסקים, מינהל ציבורי וחלל) ובנספח II (בהם דואר, פסולת, כימיקלים, מזון, ייצור, ספקים דיגיטליים ומחקר), בגודל של עסק בינוני ומעלה, שמספקות שירותים או פועלות באיחוד (סעיף 2(1)). חלק מהישויות בתחולה בלי קשר לגודלן (סעיפים 2(2) עד 2(4)).
ישות מנספח I שגדולה מתקרת העסק הבינוני היא ישות חיונית, וכך גם ישויות נוספות שסעיף 3(1) מונה. כל ישות אחרת מנספח I או II שבתחולה היא ישות חשובה (סעיף 3(2)). הסיווג קובע את אופן הפיקוח ואת תקרת הקנס.
המבחן הוא מתן שירותים או פעילות באיחוד (סעיף 2(1)). ספקי ענן, מרכזי נתונים, ספקי שירותים מנוהלים (MSP ו-MSSP) ועוד, שאינם מבוססים באיחוד אבל מציעים בו שירותים, חייבים למנות נציג באחת המדינות שבהן הם מציעים שירותים (סעיף 26(3)). אם חברה מסוימת בתחולה, זו שאלה ליועץ משפטי לפי הדין במדינה הרלוונטית.
הישות נדרשת לטפל באבטחת היחסים עם הספקים הישירים שלה (סעיף 21(2)(d)) ולהביא בחשבון את הפגיעויות ואת פרקטיקות האבטחה של כל ספק (סעיף 21(3)). המבוא לדירקטיבה מעודד לעגן את הדרישות בחוזה (מבוא, סעיף 85). כך NIS2 מגיעה לספק הישראלי: דרך החוזה והבדיקות של הלקוח.
סעיף 21(2)
סעיף 21(1) מחייב אמצעים טכניים, תפעוליים וארגוניים מתאימים ומידתיים, וסעיף 21(2) מונה את המינימום. Syteca נותנת בקרה וראיות לחלק מהאמצעים. השאר הוא מדיניות, תהליך והחלטות של הארגון.
נתונים לניתוח הסיכונים: מי ניגש לאילו מערכות, מתי ובאיזו הרשאה, כולל ספקים. גילוי אוטומטי של חשבונות פריבילגיים ברשת, ו-UEBA שמסמן סשנים בשעות עבודה חריגות (בהתקנה מקומית ובענן הפרטי של קונסיסט).
כתיבת המדיניות, הערכת הסיכונים עצמה ואישור ההנהלה (סעיף 20(1)).
התראות בזמן אמת עם קישור לרגע בהקלטה, צפייה חיה בסשן, תגובה אוטומטית (הודעת אזהרה, סגירת יישום ב-Windows וב-macOS, חסימת משתמש ב-Windows), חיפוש בהקלטות וייצוא פורנזי.
נוהל הטיפול, צוות התגובה והדיווח לרשות.
תפקיד מוגבל: בהתקנה מקומית, מצב High Availability שומר על הניטור ועל התיעוד זמינים גם כששרת יישום נופל.
הגיבוי, ההתאוששות וניהול המשבר של המערכות שלכם.
הקלטה של סשנים של ספקים, כולל RDP ו-SSH, אימות דו-שלבי, אימות משני שמשייך כל פעולה בחשבון משותף לאדם מסוים, גישה באישור ומוגבלת בזמן, וסיסמאות חד-פעמיות ב-Windows.
בחירת הספקים, החוזה איתם והערכת פרקטיקות האבטחה שלהם (סעיף 21(3)).
תיעוד של עבודות התחזוקה: מי מהצוות או מהספק התחבר ומה עשה. ב-Windows אפשר לחייב מספר קריאה פתוחה ב-SysAid או ב-ServiceNow כתנאי לכניסה.
פיתוח מאובטח, ניהול פגיעויות וגילוי שלהן.
יותר מ-30 סוגי דוחות על פעילות משתמשים, התראות, USB וצפייה בהקלטות, בהפקה מיידית או מתוזמנת, ויומן ביקורת מוגן.
הגדרת המדדים, הביקורת והמסקנות.
הודעת אזהרה על המסך כשמשתמש מבצע פעולה אסורה, ונראות לחריגות ממדיניות שמראה איפה צריך לחדד נהלים.
תוכנית ההדרכה לעובדים ולהנהלה (סעיף 20(2)).
הצפנת AES-256 לנתוני הניטור ולחיבור בין הסוכן לשרת, כספת סיסמאות מוצפנת, וקובץ ייצוא פורנזי מוצפן.
מדיניות ההצפנה של המערכות שלכם. Syteca מצפינה את הנתונים שהיא אוספת, לא את המערכות שלכם.
הרשאות מינימליות דרך ניהול גישה פריבילגית (PAM), אפשרות לחייב אישור לפני כל גישה, וניטור של פעולות במערכות קריטיות, של עובדים ושל ספקים.
תהליכי משאבי אנוש, מלאי הנכסים, ובחינה משפטית של ניטור העובדים.
אימות דו-שלבי בכניסה לנקודות קצה ב-Windows וב-Linux, עם קוד מ-Google Authenticator או מ-Microsoft Authenticator.
תקשורת קולית, וידאו וטקסט מאובטחת, ומערכת תקשורת לשעת חירום.
דיווח לפי סעיף 23
סעיף 23 קובע לוח זמנים לדיווח על אירוע משמעותי ל-CSIRT או לרשות המוסמכת. Syteca לא מדווחת במקומכם. היא נותנת את העובדות מהסשן: מי פעל, מאיפה, ומה בדיוק נעשה.
ספקים ישראלים
הלקוח באיחוד צריך להביא בחשבון את פרקטיקות האבטחה של כל ספק ישיר (סעיף 21(3)), והמבוא לדירקטיבה מעודד לעגן אותן בחוזה (מבוא, סעיף 85). לספקי ענן, למרכזי נתונים, לספקי שירותים מנוהלים (MSP ו-MSSP) ולעוד כמה סוגי ישויות, תקנת היישום (EU) 2024/2690 מפרטת: החוזה עם הספקים כולל, כשמתאים, דרישות אבטחה, חובה להודיע בלי דיחוי על אירוע וזכות ביקורת (סעיף 5.1.4 בנספח). גישה של ספקים מוגבלת בהיקף ובזמן (סעיף 11.2.2(d)), והיומנים כוללים, כשמתאים, כל גישה פריבילגית ואת הפעולות בחשבונות ניהול (סעיף 3.2.3(e)). Syteca, בשרת הקפיצה של הלקוח או בתחנות של הספק, מתעדת את הגישה ואת הפעולות האלה.
אחריות ההנהלה
לפי סעיף 20(1), הגופים המנהלים של ישויות חיוניות וחשובות מאשרים את אמצעי ניהול הסיכונים לפי סעיף 21, מפקחים על היישום ויכולים לשאת באחריות להפרות. חברי ההנהלה חייבים לעבור הדרכה (סעיף 20(2)). בישות חיונית שלא תיקנה ליקויים במועד שהרשות קבעה, הרשות רשאית לבקש השעיה זמנית של מנהל בדרג מנכ״ל או נציג משפטי מתפקידי ניהול (סעיף 32(5)(b)). פיקוח כזה דורש נתונים שחוזרים באופן קבוע, לא רק מצגת שנתית.
פיקוח וקנסות
הסכומים בסעיף 34 הם רף מינימום לתקרת הקנס שכל מדינה חברה קובעת בחוק שלה. הקנס בפועל נקבע לפי נסיבות המקרה (סעיף 34(1) ו-(3)).
| נושא | ישות חיונית | ישות חשובה |
|---|---|---|
| מי | ישות מסקטור בנספח I שגדולה מתקרת העסק הבינוני, וישויות נוספות לפי סעיף 3(1) | כל ישות אחרת מנספח I או II שבתחולת הדירקטיבה (סעיף 3(2)) |
| פיקוח | מקיף, מראש ובדיעבד: בדיקות באתר, ביקורות אבטחה סדירות וממוקדות ודרישה לראיות ליישום (סעיף 32(2); מבוא, סעיף 122) | בדיעבד בלבד, כשיש ראיה, אינדיקציה או מידע על אי-עמידה (סעיף 33(1); מבוא, סעיף 122) |
| תקרת קנס על הפרת סעיף 21 או 23 | 10 מיליון אירו לפחות, או 2% לפחות מהמחזור העולמי השנתי של המיזם שהישות שייכת אליו, הגבוה מביניהם (סעיף 34(4)) | 7 מיליון אירו לפחות, או 1.4% לפחות מהמחזור העולמי השנתי של המיזם שהישות שייכת אליו, הגבוה מביניהם (סעיף 34(5)) |
| השעיה זמנית של מנהל | אפשרית, אם ליקויים לא תוקנו במועד שהרשות קבעה (סעיף 32(5)(b)) | הדירקטיבה לא קובעת סמכות כזו לישות חשובה (סעיף 33(5)) |
| אחריות אישית של מי שמייצג את הישות | המדינה מבטיחה שאפשר להטיל אחריות על מי שמייצג את הישות, מחליט בשמה או שולט בה (סעיף 32(6)) | אותו כלל חל (סעיף 33(5) מחיל את סעיף 32(6)) |
הגבול הכן
שאלות נפוצות
לא מצאתם תשובה? ארכיטקט פתרונות של קונסיסט יענה, בעברית.
לא באופן כללי. היא חלה על ישויות מהסוגים שבנספחים I ו-II, בדרך כלל בגודל של עסק בינוני ומעלה, שמספקות שירותים או פועלות באיחוד (סעיף 2(1)). ספקי ענן, מרכזי נתונים, MSP, MSSP ועוד, שאינם מבוססים באיחוד אבל מציעים בו שירותים, חייבים למנות נציג באחת המדינות (סעיף 26(3)). אם חברה מסוימת בתחולה, זו שאלה ליועץ משפטי. רוב החברות הישראליות פוגשות את NIS2 כספקים, דרך דרישות של לקוחות באיחוד.
ישות מסקטור בנספח I שגדולה מתקרת העסק הבינוני היא חיונית, וכך גם ישויות נוספות לפי סעיף 3(1). כל ישות אחרת מנספח I או II שבתחולה היא חשובה (סעיף 3(2)). ישות חיונית נתונה לפיקוח מקיף, מראש ובדיעבד, ולתקרת קנס של 10 מיליון אירו או 2% מהמחזור העולמי לפחות. ישות חשובה נתונה לפיקוח בדיעבד ולתקרה של 7 מיליון אירו או 1.4% לפחות (סעיפים 32 עד 34).
התרעה מוקדמת בתוך 24 שעות מהרגע שנודע לכם על האירוע, הודעה על האירוע בתוך 72 שעות, ודוח סופי עד חודש אחרי ההודעה. ה-CSIRT או הרשות רשאים לבקש גם דוח ביניים (סעיף 23(4)). כשמתאים, מודיעים בלי דיחוי גם למקבלי השירות שעלולים להיפגע (סעיף 23(1)).
לפי סעיף 4 והמבוא לדירקטיבה (סעיף 28), DORA, תקנה (EU) 2022/2554, היא החקיקה הייעודית לישויות פיננסיות. הוראות NIS2 על ניהול סיכוני סייבר, דיווח, פיקוח ואכיפה לא מוחלות על ישויות פיננסיות שכפופות ל-DORA, ו-DORA חלה במקומן.
לא. Syteca תומכת בחלק מהאמצעים של סעיף 21 ובדיווח לפי סעיף 23: בקרה על גישה, הקלטה של סשנים, התראות וראיות. ההחלטה על התחולה, המדיניות, ההמשכיות העסקית, ההדרכה, החוזים עם ספקים והדיווח עצמו נשארים אצל הארגון.
בהתקנה מקומית, ברשת שלכם. ב-SaaS של Syteca, במופע ייעודי ללקוח על AWS, באזור שנבחר לפי מיקום הלקוח. בענן הפרטי של קונסיסט, במופע ייעודי ונפרד לכל לקוח בחוות השרתים של בזק. בכל המודלים נתוני הניטור מוצפנים ב-AES-256.
ארכיטקט פתרונות של קונסיסט יעבור איתכם על התרחישים שלכם, בעברית.
התוכן בעמוד נועד למטרות מידע ושיווק בלבד. היכולות והזמינות לפי האתר והתיעוד של Syteca, אוקטובר 2026.
