דיווח על אירועי כשל טכנולוגי, אירועי אבטחת מידע ומתקפת סייבר

מבוא

1. ב – 18/11/24 פרסם הפיקוח על הבנקים את הוראת נ.ב.ת. מס' 364 בנושא: "ניהול סיכוני טכנולוגיית המידע, אבטחת מידע והגנת הסייבר" (להלן: "הוראה 364"). בהתאם לחוזר מס' ח- 2799-06 (להלן: "החוזר") שליווה את פרסום ההוראה, הוראה 364 צפוייה להיכנס לתוקף ביום 18/5/26.

2. בסעיף 8 לחוזר נכתב כי "... על מנת ליצור אחידות בשימוש במונחים שנקבעו בהוראה זו גם במסגרת הרגולטורית הנוכחית בתחום טכנולוגיית המידע, בכוונת הפיקוח על הבנקים לפרסם התאמות להוראות הרלבנטיות, כמו הוראת נ.ב.ת. מס' 366 בנושא: "דיווח על אירועי כשל טכנולוגי וסייבר"...". העדכון הנוכחי להוראה כולל בין היתר את ההתאמות הנדרשות כאמור.

3. בנוסף, בוצעו עדכונים בהוראה שמקורם בלקחים שנלמדו ובתובנות שהתגבשו בפיקוח על הבנקים הנובעים מסקירה של תהליכי העבודה שהונהגו בתאגידים בנקאיים שונים לצורך היערכותם לקראת אירועי כשל טכנולוגי ואירועי אבטחת מידע, ומאופן יישום ההוראה בפועל על ידי התאגידים הבנקאיים בעת התרחשות אירועים כאמור.

4. האסדרה לא לוותה בפרסום דו"ח לפי חוק עקרונות האסדרה, התשפ"ב - 2021 (להלן בסעיף זה - "החוק") וזאת לאור הפטור הקבוע בסעיף 34(ג)(2) בהיות ההשפעות הישירות והעקיפות שצפויות להיות לאסדרה על הגורמים שעליהם היא נועדה לחול, לרבות עלות הציות לה, אינן מהותיות.

האסדרה תהיה נתונה לבחינה בדיעבד על פי סעיף 36 לחוק, בתום 10 שנים ממועד כניסתה לתוקף.

5. לאחר התייעצות עם הוועדה המייעצת בעניינים הנוגעים לעסקי בנקאות ובאישור הנגיד, החלטתי על עדכון הוראת ניהול בנקאי תקין מס' 366 בנושא "דיווח על אירועי כשל טכנולוגי ואירועי אבטחת מידע".

6. התיקונים להוראה

תחולה

סעיף 3 –

תאגידים כהגדרתם בסעיפים 11(א)(3א) ו – 3(ב) בחוק הבנקאות (רישוי), התשמ"א 1981 ובסעיף 11 (ב)(2), נמחקו מתחולת ההוראה, כך שדיווח במקרה של התרחשות אירועי כשל טכנולוגי ואירועי אבטחת מידע ובכלל זה מתקפות סייבר (להלן: "אירוע") בתאגידים אלו, יינתן רק בהתאם לנדרש בסעיף 6.5 להוראה. דהיינו, מפאת היקף ההשפעה המצומצם באופן יחסי של תאגידים אלו על המערכת הבנקאית, רק אירוע בתאגידים אלו שהיה נדרש בדיווח בהתאם לסעיפים 6.1-6.4 להוראה, ואשר יש לו השפעה מהותית, בין היתר, בהיבטי טכנולוגיה, מוניטין ופיננסים, על התאגיד הבנקאי השולט בתאגידים אלו, על הקבוצה הבנקאית או על המערכת הבנקאית, נדרש בדיווח לפיקוח על הבנקים. אירועים בתאגידים אלו אשר היקף השפעתם מוגבל לתאגיד עצמו ולא מעבר לכך, אינם נדרשים בדיווח לפיקוח על הבנקים.

בנוסף, בוצעו עדכונים לסעיף כך שיתאם את הנוסח העדכני של חוק בנקאות (רישוי), התשמ"א 1981, והמונח "סולק" כהגדרתו בעבר בסעיף 36ט לחוק, הוחלף במונח "בעל רישיון נותן שירותי תשלום בעל חשיבות יציבותית" כהגדרתו בסעיף 36ט לחוק. למען שלמות התמונה, לעניין חברות בנות של בעל רישיון נותן שירותי תשלום בעל חשיבות יציבותית תחול הוראת סעיף 6.5 להוראה.

להמשך לחצו כאן