NIS2 למפעילי מערכות בקרה תעשייתיות

הרבה מנהלי מפעלים מתייחסים ל-NIS2 כנושא של IT, משהו בשביל מנהל אבטחת המידע והמחלקה המשפטית. אצל מפעילים של תחנות כוח, מים, גז, כימיקלים ותעשייה, זו טעות. המערכות שנפילה שלהן תכאב הכי הרבה הן מערכות הבקרה, ו-NIS2 חלה גם עליהן.

ולמה זה מעניין קורא ישראלי? כי חברות ישראליות רבות מתכננות, מספקות ומתחזקות מערכות בקרה למתקנים באירופה, וכי הצעת חוק הסייבר הישראלית הולכת בכיוון דומה. על שני אלה בהמשך.

מה זה NIS2

NIS2 היא דירקטיבה של האיחוד האירופי, (EU) 2022/2555, שעוסקת באמצעים לרמה גבוהה ואחידה של אבטחת סייבר. היא החליפה את דירקטיבת NIS הראשונה והרחיבה מאוד את התחולה. היא חלה על גופים חיוניים וגופים חשובים במגזרים קריטיים במיוחד, כמו אנרגיה, תחבורה, מי שתייה, שפכים, בריאות ותשתיות דיגיטליות, ובמגזרים קריטיים נוספים, כמו כימיקלים, מזון, פסולת ותעשייה. ככלל היא חלה על חברות בינוניות וגדולות במגזרים האלה, ועל חלק מהגופים בלי קשר לגודלם.

דירקטיבה פועלת דרך חקיקה מקומית. המדינות היו צריכות להטמיע אותה עד 17 באוקטובר 2024. חלק איחרו, וחלק עדיין עבדו על החוק ב-2026. בגרמניה, למשל, החוק המטמיע נכנס לתוקף ב-6 בדצמבר 2025. הפרטים המדויקים, המועדים והרשויות משתנים ממדינה למדינה.

מה היא דורשת

שלושה סעיפים חשובים במיוחד למפעיל. סעיף 21 מונה את אמצעי ניהול הסיכונים, סעיף 23 את חובות הדיווח, וסעיף 20 את אחריות ההנהלה. בקיצור:

מדיניות לניתוח סיכונים ולאבטחת מערכות המידע
טיפול באירועים, המשכיות עסקית, גיבויים וניהול משברים
אבטחת שרשרת האספקה, כולל היחסים עם ספקים ונותני שירות
אבטחה ברכש, בפיתוח ובתחזוקה של מערכות, כולל טיפול בפגיעויות
דרכים לבדוק אם האמצעים באמת עובדים
היגיינת סייבר בסיסית והדרכות, והצפנה במקום שמתאים
אבטחת כוח אדם, בקרת גישה, ניהול נכסים, ואימות רב-שלבי במקום שמתאים
דיווח על אירועים משמעותיים בשלבים: התרעה מוקדמת תוך 24 שעות, הודעה תוך 72 שעות ודוח סופי תוך חודש
הנהלה שמאשרת את האמצעים, מפקחת על יישומם ומשתתפת בהדרכות, ויכולה לשאת באחריות

הדירקטיבה קובעת קנסות מרביים של לפחות 10 מיליון אירו או 2 אחוזים מהמחזור השנתי העולמי לגופים חיוניים, ולפחות 7 מיליון אירו או 1.4 אחוזים לגופים חשובים. השאר נקבע בחוק המקומי.

מה משתנה ב-OT

אין ב-NIS2 פרק על טכנולוגיה תפעולית. היא חלה על מערכות רשת ומידע, ורשת בקרה היא כזו. בפועל משתנים במפעל חמישה דברים.

מערכת הבקרה בתוך התחולה

ניתוח סיכונים שנעצר ברשת המשרדית לא עומד בדרישות. שרתי ה-HMI, תחנות ההנדסה, הבקרים והקישורים ביניהם הם חלק מהמערכות שהמפעיל חייב להגן עליהן.

ניהול הנכסים מגיע עד הבקר

אי אפשר להגן על מה שלא נרשם. מיפוי מלא ועדכני של רשת הבקרה, שנאסף מהרכיבים עצמם ולא משרטוטים ישנים, הוא הבסיס לכל השאר.

הספקים הופכים לחלק מהסיכון שלכם

אינטגרטורים, יצרני מכונות וקבלני תחזוקה מתחברים למתקן, לעיתים קרובות מרחוק. אבטחת שרשרת האספקה פירושה לדעת מי מתחבר, איך ובאיזה חוזה, ולקבוע דרישות אבטחה בכתב.

חובה לדווח על אירועים במפעל

התרעה תוך 24 שעות מחייבת שני דברים שחסרים בהרבה מתקנים: יכולת לזהות בכלל אירוע ברשת הבקרה, כלומר ניטור, ומישהו עם סמכות להחליט מהר שהאירוע משמעותי.

ההנהלה אחראית

ההנהלה צריכה לאשר את האמצעים ולהבין אותם מספיק כדי לפקח עליהם. זה הופך את הסייבר ב-OT לנושא ניהולי, עם תקציב וסדרי עדיפויות, ולא רק לנושא הנדסי.

הקשר בין NIS2 ל-IEC 62443

NIS2 אומרת מה צריך להשיג ומשאירה למפעיל את ה"איך", במסגרת "מצב הטכנולוגיה העדכני". למערכות בקרה, סדרת התקנים ISA/IEC 62443 היא הדרך הישירה ביותר להראות מה זה אומר. כהכוונה הנדסית, לא כחוות דעת משפטית:

ניתוח סיכונים ומדיניות: IEC 62443-2-1, תוכנית האבטחה לבעלי מתקנים, ו-IEC 62443-3-2, סקר סיכונים ואזורים וערוצים
אבטחת המערכות עצמן: IEC 62443-3-3, דרישות מערכת ורמות אבטחה
שרשרת אספקה: IEC 62443-2-4 לאינטגרטורים ולנותני שירות, IEC 62443-4-1 ו-4-2 ליצרני מוצרים
טיפול באירועים והמשכיות: תוכנית האבטחה, ותוכנית תגובה שבאמת תורגלה

רגולטורים מקומיים יכולים לציין תקנים או הנחיות משלהם לצד זה, ולכן כדאי לבדוק מה הרגולטור שלכם מצפה לראות.

הצעדים הראשונים

לברר אם אתם גוף חיוני או חשוב, ולהירשם ברשות המקומית אם החוק במדינה דורש זאת.
למפות את רשת הבקרה, בכלים שמתשאלים את הרכיבים ולא משרטוטים ישנים.
לשרטט אזורים וערוצים, ולרשום כל נתיב גישה מרחוק וכל ספק שמשתמש בו.
להעריך את הפער מול סעיף 21, עם IEC 62443 כקנה מידה, ולדרג לפי השלכות.
להרחיב את תוכנית התגובה לתוך המפעל: מי מחליט ב-24 השעות הראשונות, מי מדווח לרשות, ואיך התהליך נשאר בטוח בינתיים. ואז לתרגל.
לעדכן את ההנהלה ולתכנן את ההדרכות שהחוק מצפה שיעברו.
לבדוק את החוזים עם הספקים: דרישות אבטחה ותנאים לגישה מרחוק.

מה זה אומר בגרמניה ובישראל

בגרמניה NIS2 הוטמעה בחוק NIS2UmsuCG, שנכנס לתוקף ב-6 בדצמבר 2025 וכתב מחדש את חוק ה-BSI. המשרד הפדרלי לאבטחת מידע (BSI) אחראי על הרישום, הדיווחים והפיקוח. חוק KRITIS-Dachgesetz, בתוקף ממרץ 2026, מוסיף חובות של חוסן פיזי למתקנים קריטיים, בפיקוח המשרד הפדרלי להגנה אזרחית (BBK). מפעילי רשתות אנרגיה עובדים גם לפי קטלוג אבטחת המידע של סוכנות הרשתות הפדרלית.

ישראל אינה חלק מהאיחוד, ו-NIS2 לא חלה בה ישירות. ובכל זאת היא נוגעת לחברות ישראליות בשתי דרכים. אינטגרטורים, יצרנים ונותני שירות ישראלים שתומכים במתקנים באירופה נכנסים לדרישות שרשרת האספקה של הלקוחות שלהם, ויתבקשו להראות איך הם עומדים בהן. ובנוסף, הצעת חוק הגנת הסייבר הלאומית, שעברה קריאה ראשונה בכנסת ביוני 2026, הולכת בהיגיון דומה: ארגונים חיוניים, רף הגנה מחייב, דיווח על מתקפות משמעותיות, ופיקוח של יחידות מגזריות במשרדי הממשלה בהנחיה מקצועית של מערך הסייבר הלאומי. הנוסח עוד יכול להשתנות לפני שיהפוך לחוק.

לספקים ישראליים, ההכנה המעשית דומה למה שנדרש מהמפעיל עצמו: תיעוד מסודר של כל גישה מרחוק ללקוח, טיפול מוגדר בפגיעויות במוצרים ובפרויקטים, מדיניות לפיתוח ולתחזוקה מאובטחים, ויכולת להראות ללקוח איך כל אלה עומדים מול IEC 62443-2-4 ו-4-1. לקוח באירופה שנדרש להוכיח אבטחת שרשרת אספקה יעביר את השאלות האלה אליכם, ועדיף שהתשובות יהיו מוכנות מראש. התמונה המלאה של הרגולציה בישראל נמצאת בעמוד הגנת סייבר OT לתשתיות קריטיות בישראל.

במה אני יכול לעזור

חלק גדול ממה ש-NIS2 מבקשת ממפעל הוא עבודה שאני עושה כבר שנים: מיפוי וסקר סיכונים, כמו בתחנות הכוח של כימיקלים לישראל, שהדוח שלהן הוגש לרגולטור; ארכיטקטורת ההגנה; והדרכה לאנשים שיפעילו את התוכנית ביום האירוע.