Законопроект о национальной киберзащите: Израиль равняется на мировые стандарты | Адвокат Адиэль Кляйн

8 июня 2026 года на пленарном заседании Кнессета в первом чтении был утвержден законопроект о национальной киберзащите 2026 года. Европа уже сделала это, давно приняв директиву о киберзащите (NIS, NIS2); Великобритания, Австралия и Канада также находятся на этом этапе. Израиль, который является одной из наиболее атакуемых в киберпространстве стран мира, особенно с момента начала операции «Железные мечи», на фоне резкого роста масштабов и интенсивности атак на гражданские структуры, до сегодняшнего дня оставался без всеобъемлющей национальной законодательной базы в этой области. Возможно, это изменится.

Цель будущего закона — прежде всего, повысить уровень осведомленности о киберзащите в общественном и частном секторах, создать единую линию для обеспечения функциональной непрерывности в организации, переживающей киберинцидент, и закрепить статус Национального кибернетического управления (пункты 2-4) как органа, координирующего национальную защиту, наряду с «секторальными подразделениями» (пункт 5), которые будут действовать при каждом из регуляторов — от Министерства связи до местных органов власти.

Ядром закона является понятие «жизненно важная организация» (пункт 8): любой государственный орган и любая организация, соответствующая критериям в третьем приложении — связь, энергетика, здравоохранение, водоснабжение, транспорт, химическая промышленность, сельское хозяйство и другие. Регулирующий орган в секторе также имеет полномочия включать или исключать организацию из списка в индивидуальном порядке на основании обоснованного решения (пункт 8(б)).

В частном секторе вопрос о применимости закона к «поставщикам цифровых услуг и услуг хранения» (пункт 9 третьего приложения) вызывает удивление своим охватом — от облачных провайдеров и центров обработки данных до IT-услуг и кибербезопасности, всего около 20 различных видов услуг. Такой поставщик подпадет под действие закона, если он предоставляет одну из этих услуг и его годовой оборот составляет 40 миллионов шекелей и более, если он нанимает 50 и более сотрудников или если он предоставляет услуги правительству. Таким образом, в этот список могут попасть не только технологические гиганты, но и многие компании, которые не обязательно считают себя «критической инфраструктурой».

Законопроект обязывает каждую организацию принимать надлежащие меры киберзащиты. Кроме того, от жизненно важных организаций требуется принятие разумных мер с использованием международных стандартов, например ISO 27001, NIST 800-53 и т.д. Также существует обязанность немедленного уведомления о значительной кибератаке (пункт 11), включая механизмы освобождения от ответственности.

За нарушение закона предусмотрена немалая цена: денежные штрафы в сотни тысяч шекелей, а в тяжелых случаях — уголовная ответственность и личная ответственность должностных лиц, не осуществлявших надлежащий надзор (пункты 44-45).

В Национальном кибернетическом управлении сообщили:

«Законопроект о национальной киберзащите призван повысить национальную устойчивость и сохранить рутину в тылу в части жизненно важных услуг на благо граждан. Предложение было сформулировано с учетом баланса между оперативными потребностями и продолжением нормальной деятельности организаций. Закон сохраняет и закрепляет децентрализованно-управляемую модель, при этом полномочия передаются секторальным регуляторам, которые глубоко знают свой сектор, в то время как Управление осуществляет профессиональное руководство киберзащитой на национальном уровне. Законопроект фокусируется на жизненно важных организациях в ключевых секторах, как это принято в европейской директиве NIS2, а уровень защиты опирается на признанные международные стандарты, которым многие организации уже соответствуют, наряду с закреплением специальных механизмов баланса и контроля. Наряду со всем этим, Национальное кибернетическое управление продолжит работать над укреплением киберзащиты в израильском пространстве».

Возможно, предложение претерпит изменения на пути к утверждению, и для организаций будет предусмотрен период подготовки. Но направление ясно — мир киберзащиты и национальное понимание необходимости его обеспечения переходят на ступень выше. Это также дополняет поправку 13 к Закону о защите частной жизни, которая повысила осведомленность об обязанностях в сферах информационной безопасности. Мое исходное предположение заключается в том, что будут последствия в косвенных аспектах, включая операционные, страховые и, возможно, трудовые отношения. Направление ясно — происходит национальное выравнивание с международными нормами и понимание того, что сегодня киберзащита и информационная безопасность являются неотъемлемой частью бизнес-цикла.

Адвокат Адиэль Кляйн является экспертом в области защиты информации и кибербезопасности и выступает в качестве внешнего DPO для организаций.