הגנת סייבר: חובה רגולטורית חדשה בענף הביטוח הישראלי
ענף הביטוח בישראל עומד בפני שינויים רגולטוריים משמעותיים בתחום הגנת הסייבר ואבטחת המידע, כאשר רשות שוק ההון, ביטוח וחיסכון מחדדת את דרישותיה מסוכנויות הביטוח. ההנחיות החדשות, שהתפרסמו בחודשים האחרונים, באות על רקע עלייה מדאיגה בהיקף ובתחכום של מתקפות הסייבר, ומטרתן להגן על המידע הרגיש של המבוטחים והחוסכים.
התמודדות עם איום מתגבר
מאז אוקטובר 2023, נרשמה מגמת עלייה בניסיונות לבצע תקיפות סייבר כלפי סוכנויות ביטוח, וכן עלייה בשיעור ההצלחה של מתקפות אלו. סוכנויות הביטוח מחזיקות במידע בעל רגישות גבוהה, הכולל נתונים פיננסיים, רפואיים ואישיים של אלפי לקוחות. פריצת אבטחה עלולה לחשוף מידע זה ולגרום נזקים תדמיתיים וכלכליים חמורים, לא רק לסוכנויות אלא גם למבוטחים עצמם ולמערכת הפיננסית כולה.
בתגובה לאיום המתפתח, רשות שוק ההון, ביטוח וחיסכון שיגרה בחודש מרץ 2026 מכתב לכלל הגורמים המפוקחים, הכוללים גם סוכנים וסוכנויות ביטוח, ובו קריאת אזהרה והנחיה להגביר את ההיערכות. המכתב הדגיש את החובה לבחון מחדש את הערכות הסיכונים הקיימות ולבצע התאמות נדרשות לאור מתאר האיומים הנוכחי.
רגולציה חדשה בפתח
במקביל להנחיות המיידיות, תוכנית העבודה של רשות שוק ההון לשנת 2026, אשר פורסמה בחודש ינואר, כוללת פרסום חוזר חדש שיתמקד באופן ספציפי ב"ניהול סיכוני סייבר ואבטחת מידע" בקרב סוכנים ויועצים, הן יחידים והן תאגידים. חוזר זה צפוי לקבוע הוראות מפורטות לניהול סיכונים אלו, במטרה לשפר את הפיקוח והאכיפה בענף.
המהלך הרגולטורי הנוכחי מתיישר גם עם תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025. תיקון זה מעניק לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים משמעותיים, שיכולים להגיע עד מאות אלפי שקלים להפרה. בכך, שני רגולטורים מרכזיים מתכנסים לדרישה אחידה להגנה מוגברת על מידע לקוחות.
דרישות מרכזיות מסוכנויות הביטוח
ההיערכות הנדרשת מסוכנויות הביטוח היא רחבה וכוללת מספר היבטים מרכזיים:
- הערכת סיכונים ודיווח: סוכנויות נדרשות לבחון מחדש את הערכות הסיכונים שלהן באופן שוטף ולדווח לרשות באופן מיידי על אירועי סייבר חריגים, במיוחד כאלה הפוגעים בפעילות התפקודית.
- אבטחת מערכות ומידע: יש להבטיח את שלמות, זמינות וסודיות מערכות הטכנולוגיה והמידע, ולשמור נתונים ומסמכים של לקוחות אך ורק במערכות בעלות רמת הגנת סייבר גבוהה.
- עדכוני אבטחה: חובה להשלים את כלל עדכוני האבטחה לשרתים ולעמדות הקצה, ובפרט למערכות ההפעלה, לגרסה העדכנית ביותר.
- מדיניות ונהלים: יישום תהליכים פורמליים לניהול סיכוני סייבר, לרבות מדיניות אבטחת מידע מתועדת ומעודכנת, בקרות טכנולוגיות למניעת פריצות ודליפות מידע, ותהליכי זיהוי וטיפול באירועי סייבר.
- הדרכת עובדים: ביצוע הדרכות תקופתיות קבועות לעובדים בנושאי פרטיות ואבטחת מידע, והגברת מודעותם לאיומים.
- ניהול הרשאות: יישום עקרון "הצורך לדעת" (Need to Know) בניהול הרשאות גישה למידע, כך שלכל עובד תהיה גישה רק למידע הנדרש לתפקידו.
- ממשק עם ספקים: לוודא קיום הסכמים מפורטים עם ספקים חיצוניים הכוללים סעיפי אבטחת מידע ברורים, ולפקח על עמידתם בדרישות.
השפעה על שוק ביטוח הסייבר
ההתפתחויות הרגולטוריות והגידול באיומים משפיעים באופן ישיר גם על שוק ביטוחי הסייבר. פוליסות ביטוח סייבר הופכות כמעט חובה עבור עסקים, וחברות הביטוח מקשיחות את תנאי החיתום שלהן. הן דורשות כיום בקרות מחמירות, כגון אימות רב-שלבי (MFA) לכל החשבונות, שימוש בפתרונות אבטחה מתקדמים (EDR), גיבוי בשיטת 3-2-1 ועדכוני תוכנה שוטפים. סוכנויות שלא יעמדו בדרישות אלו עלולות למצוא את עצמן משלמות פרמיות גבוהות משמעותית או אף נדחות מכיסוי ביטוחי.
עלות תביעת כופרה ממוצעת כמעט הכפילה את עצמה בשנה האחרונה, והגיעה לכ-713,000 דולר בממוצע גלובלי. למרות זאת, חברות רבות מתקשות לקבל החזר מלא על נזקי פריצה, וחברות הביטוח בוחנות בקפדנות את עמידת המבוטחים בנהלי האבטחה המוצהרים.
היערכות לעתיד הדיגיטלי
המעבר מגישת "ציות מינימלי" ל"ניהול סיכונים פרואקטיבי" דורש הקצאת משאבים אמיתיים – תקציב, זמן ותשומת לב ניהולית. סוכנויות הביטוח בישראל נדרשות להפנים שאבטחת מידע אינה עוד הוצאה טכנית, אלא חלק בלתי נפרד מחוויית הלקוח ומהמנהיגות העסקית. היערכות נכונה היום תאפשר להן לא רק לעמוד בדרישות הרגולטוריות ולמנוע קנסות, אלא גם לבנות אמון עם לקוחותיהן ולהבטיח את המשך פעילותן התקינה והבטוחה בעידן דיגיטלי מאתגר.
כנסים מקצועיים, כמו "ועידת סוכני המחר 2026" שהתקיימה בתל אביב ביולי 2026, מדגישים את חשיבות הרגולציה החדשה, לצד דיונים על השפעת הבינה המלאכותית על הענף והזדמנויות עסקיות. המגמה ברורה: ענף הביטוח הישראלי חייב להגביר את חוסנו הדיגיטלי כדי להמשיך ולשרת את ציבור המבוטחים בצורה בטוחה ויעילה.
