פרוטוקול של ישיבת ועדה

הכנסת העשרים-וארבע

הכנסת



12
ועדת ביטחון פנים
06/04/2022


מושב שני


פרוטוקול מס' 78
מישיבת הוועדה לביטחון הפנים
יום רביעי, ה' בניסן התשפ"ב (6 באפריל 2022), שעה 10:00

הצעת צו להסדרת הביטחון בגופים ציבוריים (שינוי התוספות השנייה, השלישית והחמישית לחוק), התשפ"ב - 2022

חברי הוועדה: מירב בן ארי – היו"ר
זאב בנימין בגין
שרן מרים השכל
רות וסרמן לנדה
יום טוב חי כלפון
נעמה לזימי

סיגלית ברקאי - לשכה משפטית, משרד התחבורה והבטיחות בדרכים

דניאל פליקר - המחלקה למשפט ציבורי-מינהלי, משרד המשפטים

רועי הראל - לשכה משפטית, המשרד לביטחון הפנים

אלעד גולן - מנהל תחום רגולציה, משרד האנרגיה ומשאבי המים

אלי גזית - ראש אגף בכיר תמ"ק, מערך הסייבר הלאומי

טל מזרחי - לשכה משפטית, מערך הסייבר הלאומי

יאיר לוי - מנהל ביטחון, הרשות לניירות ערך

עודד שפירר - מנכ"ל, הרשות לניירות ערך

אסף למברטו - קמ"ד גופים, משטרת ישראל

יגאל סנקר - רמ"ד גו"צ ומ"ש, משטרת ישראל

עידן כץ - יועמ"ש אבטחה, משטרת ישראל

עוזי זית - רע"ן רישוי אבטחה, מחוז ירושלים, משטרת ישראל

נעמי ביליצר - אחראית סייבר במערכות התשלומים, בנק ישראל

יוחאי וג'ימה - ראש מינהל משפט וכנסת, מרכז השלטון המקומי

עודד סנדלר - מ"מ יועץ משפטית, שרות התעסוקה

עמנואל וייל - ממונה בלשכה המשפטית, שרות התעסוקה

שמואל שפט - ראש צוות בכיר לחקיקה, עיריית ירושלים

אלעד כהן - מנהל הביטחון של הרכבת הקלה בירושלים, עיריית ירושלים

מירי פרנקל-שור
איילת לוי נחום

לאה קריכלי

יפעת קדם

הצעת צו להסדרת הביטחון בגופים ציבוריים (שינוי התוספות השנייה, השלישית והחמישית לחוק), התשפ"ב - 2022

בוקר טוב לכולם, אני פותחת את הדיון של הוועדה לביטחון פנים. היום ה-6.4.2022, ה' בניסן התשפ"ב, הנושא: הצעת צו להסדרת הביטחון בגופים ציבוריים (שינוי התוספות השנייה, השלישית והחמישית לחוק), התשפ"ב-2022. היועצת המשפטית, בבקשה.

החוק שיש כרגע צו שמונח על שולחן הוועדה, עוסק בהנחיות של האבטחה לגופים שונים. הוא עוסק בארבעה תחומים עיקריים: אבטחת מידע, הנחיה בעניין אבטחה פיזית, מערכות ממוחשבות חיוניות ואבטחה ימית.

מה שמונח על שולחן הוועדה זה בקשה של השר לביטחון פנים - במסגרת צו - לערוך מספר שינויים בתוספת השנייה, השלישית והחמישית לחוק. אני מציעה, גברתי היושבת ראש, שנעבור גוף גוף והמשרד לביטחון הפנים ומערך הסייבר יסבירו, כשזה יהיה רלוונטי, מה ההצדקה להוספה או לעיתים גריעה של גופים מסוימים.

בתוספת השנייה לחוק נכללים מספר גופים שהאבטחה שלהם הפיזית היא על ידי משטרת ישראל, כשהפעולות להתאמה ביטחונית, הנושא הזה מוסדר על ידי השב"כ. כרגע יש בקשה לעריכת מספר שינויים בתוספת הזאת. שינוי ראשון זה שינוי בשמות של גופים שמצויים בתוספת, שינוי שני זה בקשה להוספת הרשות לניירות ערך.

בשם המשרד לביטחון פנים ומשרדי הממשלה הרלוונטיים אנחנו מודים ליושבת-ראש הוועדה על כינוס הדיון בזמן הפגרה. יש פה חלק מהגופים שמנסים הרבה זמן להכניס אותם לחוק, לכן אנחנו מודים על ההבנה של הדחיפות והדיון.

כלל השינויים שאנחנו רוצים להכניס לחוק בצו שלפניכם מתייחסים לגופים שכל אחד מהם נבחן על ידי אותו קצין מוסמך רלוונטי, אם מהמשטרה, השב"כ או ממערך הסייבר, שבוחן את הגוף, את הצרכים שלו בנושאי אבטחה שונים, כמו שאיילת פירטה, ואחרי תהליך בחינה מדוקדק ומפורט עולה בקשה לשר לפעול ולקדם את התיקונים הנדרשים כדי לכלול את אותו גוף בחוק. תהליך כזה מתבצע לגבי רשות ניירות ערך. יש פנייה של שירות הביטחון הכללי להכניס את רשות ניירות ערך לחוק, על מנת שיוכלו לבצע שם את ההתאמות הביטחוניות ואת כל הסיווגים הביטחוניים לחוקרי הרשות. מדובר בגוף שכיום לא ניתן להנחות דרך משרד האוצר כיוון שהוא הפך לרשות סטטוטורית בפני עצמו. על מנת שניתן לשב"כ את הסמכויות הנדרשות מבקשים לעגן אותו בחוק. הבקשה, כמובן, היא על דעתה והסכמתה של הרשות לניירות ערך.

אנחנו לא הפכנו לתאגיד סטטוטורי, אנחנו תמיד היינו תאגיד סטטוטורי. הבקשה שלנו לסיווגים ביטחוניים היא לא רק לחוקרי הרשות, אלא גם מפעם לפעם בכל מיני סוגיות של תשקיפים שעושות חברות ביטחוניות. כדי שהעובד הרלוונטי יהיה חשוף לאותו סוד ביטחוני וידע אם לחסות אותו או לפרסם אותו בתשקיף, צריך שיהיה לו סיווג ביטחוני ברמה מסוימת. אנחנו לא יכולים להידרש לסוגיות כאלו אם לא נעבור את הסיווג הביטחוני, לכן הבקשה הזאת נדרשת בעינינו.

הבקשה של הרשות לניירות ערך להיכנס לתוספת השנייה היא בגלל הסיווג הביטחוני, נכון?

נכון.

זה הגוף היחיד שמבקשים להוסיף בתוספת השנייה. שני הגופים האחרים זה רק שינוי שם.

אנחנו נעבור עכשיו לתוספת השלישית, שגם שם מבוקשים לעשות תיקונים. כאן מבוקש להוסיף את שירות התעסוקה.

לפני כשלוש שנים קיבלנו פנייה משר העבודה והרווחה דאז חיים כץ, שהיה אז השר הממונה על שירות התעסוקה, בעקבות צורך ששירות התעסוקה עצמו העלה. מדובר בגוף ממשלתי, ציבורי, עם פריסה ארצית מאוד רחבה, שאין לו תפיסת אבטחה כוללת שמאושרת על ידי הגורם המוסמך בנושא הזה - משטרת ישראל, כיוון שהוא לא מנוי בחוק. יש שם מאבטחים מכוח חוק סמכויות לשמירה על ביטחון הציבור אבל לא כתפיסת אבטחה ומערך אבטחה מוסדר ומונחה. הם פנו בהתחלה בבקשה להיכנס לכמה תוספות, אבל אחרי שעשינו בדיקות מול כל הקצינים המוסמכים והמשטרה קבעה שזה חשוב גם לה, החלטנו לקדם את זה בתוספת השלישית בינתיים. הבקשה נתמכה גם על ידי שר הכלכלה הקודם וגם על ידי שרת הכלכלה הנוכחית. גם מנכ"ל שרות התעסוקה פנה אלינו פעם או פעמיים כדי לנסות ולזרז את זה. מדובר בהנחיית מערך האבטחה של שירות התעסוקה, שזה מעבר לסמכות המאבטח, לגבי אמצעי האבטחה, תכנית האבטחה, בדומה לשאר משרדי הממשלה שמנויים היום בתוספת.

הבקשה להוסיף את שירות התעסוקה לתוספת השלישית היא כדי שהמשטרה תוכל לתת הנחיה לגוף שפרוס בפריסה ארצית בהמון המון אתרים. אנחנו מכירים את המקומות האלה, אלה מקומות שמעבר לסמכויות הנדרשות היום צריך שתהיה הנחיה ברורה ואחידה של הקצין המוסמך המשטרתי. הסמכויות שאנחנו מבקשים שונות מהסמכויות שניתנות היום, כי הן מקנות סמכויות אחרות גם למנהל הביטחון של הגוף עצמו וגם למאבטחים. הסמכויות ניתנות ונדרשות לצורך הפיקוח והבקרה. אחת לתקופה יש פיקוח ובקרה של המשטרה על הגופים האלה, על אופן האבטחה. אנחנו יודעים שהגופים האלה בתקופות של הקורונה וגם בתקופות אחרות נתנו מענה בהיבטים כאלה ואחרים. לאורך כל השנה אנחנו מכירים את ההתנהלות, אנחנו חושבים שזה נכון שתהיה אבטחה אחידה לכלל האתרים של הגוף הזה.

התפיסה של החוק להסדרת הביטחון הייתה ביטחונית ברגע שהוא חוקק. כאן אנחנו מכניסים איזה שהוא גוף שהתפיסה לגביו היא ביטחון פנים, כי הסמכויות למאבטחים קבועות בחוק סמכויות לשם שמירה על ביטחון הציבור. בגלל הצורך של תפיסת האבטחה הכוללת אנחנו מבקשים להוסיף את הגוף הזה בתוספת כאן.

גוף נוסף שאנחנו מבקשים להכניס לתוספת היא הרכבת הקלה. הצורך עלה גם מעיריית ירושלים, שזה הגוף שהוטלה עליו האחריות לאבטחת הרכבת הקלה, וגם על ידי משטרת ישראל. מערך הרכבת הקלה של העיר פרוס בעשרות תחנות ברחבי העיר, ממשיך להיות נסלל ונבנה. מדובר במערך תחבורתי רחב היקף שכל ביטחון הנוסעים בו והאבטחה מוטלים על העירייה שאמורה להדריך ולהנחות. יחידת הביטחון של העירייה היא גוף עירוני, היא לא גוף פרטי, והם ביחד עם המשטרה העלו את הבקשה שהמשטרה, בדומה לבקשה הקודמת של שירות התעסוקה, תנחה ותקבע את תכנית האבטחה ולאיזה איומים האבטחה צריכה להתייחס.

אנחנו היום פועלים במסגרת הסכם שנחתם בין העירייה למשרד התחבורה, כשבהסכם הזה כתוב שהמשטרה היא הגוף שאמור להנחות את המאבטחים. הרכבת הקלה בתל אביב היא גוף מונחה בתוספת השלישית והחמישית.

הרכבת הקלה בתל אביב שעוד לא בנו בכלל?

נכון.

רכבת שכבר עובדת לא מונחית?

בדיוק, אנחנו מנסים לתקן פה עוול היסטורי.

בהחלטת הממשלה הבסיסית משטרת ישראל הייתה אמורה לעשות את זה, רק אחר כך העבירו את זה מכאן לשם. לאורך כל הדרך אנחנו מונחים על ידי המשטרה. מה שביקשנו פה זה לעשות את זה בצורה נכונה, שמה שמתבצע לאורך כל הזמן יתבצע לפי החוק.

קורה הרבה בחוק להסדרת הביטחון שההנחיה היא וולונטרית.

כשגופי הביטחון שלנו מזהים צורך הם מתחילים לטפל בו. הרבה פעמים הגופים שמנחים נדרשים להקצות משאבים, אבל כל עוד הגופים לא כתובים בחוק הם לא יכולים לבקש, למשל, שיפוי ממשרד האוצר בתקציב הגוף.

הגופים בתוספת החמישית הם תחת האחריות של מערך הסייבר. הגופים שמצויים גם בתוספת השנייה וגם בתוספת החמישית הם בהנחיית מערך הסייבר ויש איזו שהיא חלוקה מבחינת רמת הסיווג ואיך זה מופעל, כשעד שמור זה לפי חוק השב"כ, מסודי ומעלה - לפי הנחיות השב"כ. יש פה שינוי שם לגבי תשתיות נפט, שזה גוף שמצוי בתוספת החמישית. יש פה בקשה למחיקת פרטים 17 ו-23, כשפריט 17 בחוק מתייחס למחיקת חיפה כימיקלים, פריט 23 לחוק מבקש למחוק את משרד התחבורה מהתוספת החמישית.

גריעה של גופים מהחוק מתבצעת אחרי שמערך הסייבר בוחן גוף שהוא ביקש להכניס בעבר ומכל מיני סיבות תבחיני הנזק שבגינם אותו גוף נכנס כבר לא מתקיימים. חברת חיפה כימיקלים, למשל, הפעילה את מכלי האמוניה בצפון, כשהיום כבר אין מכלי אמוניה שם. מכיוון שהמכלים החדשים מוטמנים ולא מתקיימים לגביהם תרחישי נזק, לא ביקשנו להכניס אותם במקום. הגוף הזה הוא גוף שלא קיים, או שאם תיפגע בו תשתית היא לא תהיה תשתית קריטית שבגינה אני צריך להנחות את הגוף. כנ"ל לגבי גוף של משרד התחבורה שהופיע בחוק ואחרי בחינה של מערך הסייבר בשנתיים, שלוש האחרונות הגיעו למסקנה שתרחישי הנזק שהוא מנחה לגביהם ומתייחס אליהם לא מתקיימים בגוף הזה.

האיום שבגינו חיפה כימיקלים נכנסה לחוק לפני שנים הוסר, לכן אנחנו ממליצים להוריד אותה מהחוק, אין בזה יותר צורך. זה לא אומר שהיא לא תקבל שום הנחיה, זה אומר שהיא פשוט מפסיקה להיות מוגדרת כקריטית ועוברת להנחיה מגזרית, כשהמגזרית עוסק בהגנת הסביבה וכן הלאה.

בחוק כתבנו משרד התחבורה, אבל בפועל זה בגין מערכת ספציפית שבעבר הנחנו שהיא כן קריטית אבל בבחינה נוספת בוועדה הבנו שגם אם תוקף אוחז בה הוא לא מצליח לממש את פוטנציאל הנזק שמוגדר כאיום ייחוס, הוא צריך לעשות מהלך נוסף שהוא פיזי לחלוטין. בכל הגופים אנחנו מקפידים שהתממשות איום הייחוס תהיה על בסיס תקיפה במימד הסייבר, קרי שיושב תוקף על מקלדת, לוחץ בסוף הקוד אנטר והאיום מתממש. במקרה הספציפי הזה זה לא אפשרי, לכן אנחנו מבקשים להסיר את המערכת הספציפית עצמה. משרד התחבורה כמשרד ממשיך לקבל הנחיה דרך יה"ב, שזאת היחידה המגזרית שמנחה את כל משרדי הממשלה, כדי להיות מוגן בכל שאר המערכות שלו.

אם אפשר לפרט, כי לגבי משרד התחבורה עברתם איזה שהוא תהליך אצלכם בוועדה עד שהחלטתם להסיר או להמליץ להסיר את המערכת הזאת ואת הגוף שאנחנו מדברים עליו. האם אתה יכול להרחיב לגבי עמדת משרד התחבורה בעניין הזה?

משרד התחבורה חשש שאם נסיר אותו מהיותו מוגדר קריטי בהקשרי הסייבר זה אולי יסגור את המערכת ואת הגוף הפנימי שלו שעוסק באותו עניין. הבהרנו שאין לנו שום המלצה לסגור את התהליך המבצעי שקורה, אנחנו בסך הכל מבינים עניינית ומקצועית שגם תקיפת סייבר שתשבית את המערכת או תאחוז במערכת לא תגרום לאיום מתממש. נשמעו דעות לכאן ולכאן בדיון, אבל בסוף מרבית האנשים הסכימו שאין פה מצב שדרך הסייבר מממשים את האיום.

אנחנו מבקשים לשמוע את עמדת משרד התחבורה, מכיוון שלפי המידע שהובא בפנינו בדיונים הפנימיים שהתקיימו לא ברור שדעתו של משרד התחבורה הייתה נוחה מכך. לפני ההחלטה להסיר את ההנחיה אנחנו מבקשים לשמוע את עמדת משרד התחבורה.

חששנו שיהיה איזה שהוא קושי עם זה. שוכנענו שההנחיה יכולה לעבור ליחידה המגזרית, לכן אין לנו התנגדות.

אם כבר מדברים, מה לגבי הרכבת הקלה בירושלים? זאת גם אחריותכם.

מבחינת הסייבר?

כן.

הנושא הזה לא עלה.

לא פנינו למשרד התחבורה. הרכבת הקלה היא בסמכות יחידת הביטחון של עיריית ירושלים. כיוון שהשרה הממונה על עיריית ירושלים היא שרת הפנים, פנינו אליה.

הרכבת הקלה היא גם באחריותה של שרת הפנים?

לא. הרכבת הקלה היא גוף פרטי שזכה במכרז של משרד התחבורה, כאשר מערך האבטחה של הרכבת מופעל על ידי העירייה והשרה הממונה על הרשות המקומית היא שרת הפנים. קיבלנו את אישורה.

קצת מוזר, אבל בסדר.

בגופי תשתיות משרד התחבורה הוא המשרד הרלוונטי, אבל ביחידת ביטחון של רשות מקומית - משרד הפנים.

גם אתם הבנתם את זה תוך כדי תנועה.

עשינו את הבירור.

אתם מבקשים להוסיף את תנין 16 וכריש 17 לתוספת. האם אתם יכולים להתייחס לצורך בהוספת חברת אנרגיה לישראל, כי אני מבינה שמדובר בכפילות מסוימת, או שיכולה להתפרש כפילות.

נכון, לכן יכול להיות שנוותר על פרט 32. התהליך התחיל לפני משהו כמו שנתיים, אחרי שחברת אנרג'יאן התחילה להפעיל את הקידוחים והאסדות. משרד האנרגיה דייקו אותנו לומר שלאו דווקא צריך להכניס את השם הפרטי של החברה, אלא את המאגרים ואת הקידוחים עצמם, כמו אלה שמנויים היום ופועלים ברישיון משרד האנרגיה. יכול להיות שיהיה יותר נכון לכתוב את התוספת שכתבנו לפרט 19 במקום פרט 32, כי אם מחר חברת אנרג'יאן תפסיק לפעול, תימכר או לא תעמוד בתרחישי האיום, יהיה צריך לגרוע אותה. ברגע שאנחנו מכניסים את רישיונות הקידוח עצמם מי שיחזיק ברישיון לאותו מאגר יהיה מונחה, לא משנה הזהות הפרטית שלו.

אז מה אתה רוצה לתקן?

בפרט 19 נשאיר את מה שכתוב כאן, את תנין וכריש, ואת אותה חברה מאותם קידוחים בפרט 32, ככל שמערך הסייבר מאשר ואומר שאין צורך בהוספה פרטנית, נמחק.

אבל זאת אותה חברה, לא?

כן, זו החברה שמפעילה את הקידוחים תנין וכריש.

אז אפשר למחוק את חברת אנרג'יאן?

אפשר למחוק.

על מערך הסייבר זה מקובל, נכון?

כן, זו טכניקה שהוכיחה את עצמה באסדות האחרות.

השינוי הבא הוא הוספת חנ"י - חברת נמלי ישראל, והוספת קו מוצרי דלק.

מדובר בשני גופים שבתוכם יש מערכות כאלו ואחרות שפגיעה בהן או שיתוק שלהן תגרום לתרחישי נזק. מערך הסייבר קבע שזה דורש את הנחייתו, אם בגלל שהן בעלות ממשקים לתשתיות ממוחשבות אחרות של המדינה, אם בגלל שיכול להיגרם נזק למדינה מהשיתוק שלהן.

קמ"ד זה תיקון טכני לגמרי, זה תת חברה של מה שקודם נקרא תש"ן – תשתיות נפט ואנרגיה. הורדנו את המילה "נפט", נשאר תשתיות אנרגיה. זאת חברה בת שהיא זאת שבסוף עושה את שינוע הדלקים במדינת ישראל.

קו מוצרי דלק.

בדיוק.

זה אותו דבר.

כיוון שהיא קיבלה ח.פ עצמאי, אמרנו שנרשום אותה בחוק. שנים אנחנו מנחים אותה רק בלי שהיא תהיה עצמאית.

חנ"י הוא הגוף שמפעיל את המערכת שדרכה עושים את הייבוא ואת הייצוא למדינת ישראל, בדגש על מגזר הים אבל לא רק. כל התהליך מהרגע שסוחר מזמין מכולה ועד הרגע שהוא מקבל אותה קורה בצורה ממוכנת, כלומר, חברת ההובלות תקבל אס.אם.אס מתי לשלוח את המוביל שיגיע בדיוק לנמל, יעצור מתחת למנוף והמנוף יוריד על הגב שלה את המכולה הנכונה. פגיעה במערכת המרכזית הזאת שחנ"י מפעילה יגרום לפגיעה מאוד משמעותית במרחב הזה, לכן היה קונצנזוס מלא שהיא צריכה להיות קריטית לדיון.

לגבי קו מוצרי דלק שאמרת שזה טכני, יש מבחינתכם הצדקה להשאיר גם את תש"ן שהיא חברת האם וגם את קו מוצרי דלק?

נכון.

שני הגופים הבאים הם חברת שב"א – שירותי בנק אוטומטיים בע"מ, וחברת מרכז סליקה בנקאי בע"מ.

חברה אחת עוסקת בכל נושא הכספומטים, כסף מזומן ועוד שירותים, וחברה אחת מפעילה כמעט את כל מערך המשכורות במדינת ישראל וסליקות האשראי. פגיעה באחת מהן או בשתיהן תביא לשיתוק כלכלי של מדינת ישראל.

אני מבקשת שתרחיבו על ההצדקה להוספה של המרכז למיפוי ישראל בתוספת החמישית, שכל עניינה הוא בהנחיה של מערך הסייבר.

מפ"י מחזיקה את המיפוי הגרנדיוזי במדינת ישראל, היא עוסקת בתחום הזה. בשנים האחרונות היא נכנסה לפרויקט של מיפוי כל התשתיות במדינת ישראל בצורה ממוכנת כדי להיטיב ולקצר את התהליכים מול האזרחים שרוצים לבנות מרפסת או להתקין משהו, או מול גופי תכנון שצריכים לתכנן. פה נכנס אתגר הסייבר, כי מצד אחד אוגרים לתוך מערכת מסווגת המון מידע מסווג, מצד שני מנגישים במערכת גלויה לאזרח את השירות בצורה ממוכנת, כשיש כבר לא מעט רשויות שעושות את זה. המערכת הגלויה שעובדת מול האזרח יודעת לתשאל את המערכת המסווגת אם יש אישור או אין אישור. עד היום האזרחים היו עושים מעבר אנושי בין כל הגופים השונים שהיו חותמים להם שבאותו מקום שהם רוצים לבנות אין איזו תשתית שממתינה. השירות הזה יהפוך עם השנים לשירות שאם הוא ייפגע אנחנו נפגע באזרחים וביכולות התכנון. אנחנו עובדים איתם למעלה משנתיים על העניין הזה והמערכת מתקדמת ומאובטחת יותר.

יש הבדל גם בחוק להסדרת הביטחון בין החזקה של מידע מסווג לבין ההגדרה של אותו גוף כתשתית חיונית קריטית. ההצדקה שאתם מתארים כרגע היא הצדקה להחזקת מידע מסווג שהוא לכשעצמו לא מחייב כניסה של מערך הסייבר להנחיה. תסבירו למה מפ"י היא תשתית חיונית קריטית לא רק לעניין ההחזקה של מידע מסווג.

זה בדיוק מה שניסיתי לחדד. את צודקת במאה אחוז שאילו היה מדובר רק בלהחזיק מידע מסווג אין לי יתרון יחסי שם, לא צריך אותי בשביל זה, אבל מדובר במערכת שבתוכה המידע הזה נמצא והיא יכולה לא לעבוד או חס וחלילה לתת נתונים שגויים, כמו אישור לטרקטוריסט לקדוח במקום שיש תשתית שעוברת רק כי מישהו פגע בה או מחזיק אותה סייברית וגורם לתשובות לא נכונות. המערכת, הזמינות שלה למשרדי הממשלה, לגופי התכנון, לרשויות המקומיות ולאזרח, זו הסיבה, לא המידע.

הפריצה של מידע מסווג יכולה לגרום נזק גם אם הנושא לא מטופל על ידי מערך הסייבר הלאומי. איפה מבחינתכם עובר הקו?

לא עניין של מידע מסווג. אם המערכת לא עובדת בלי שנגנב ממנה מידע את לא יכולה להגיש בקשות לרשות המקומית, הכל נתקע. כל התהליכים הסטטוטוריים שאליהם הולכים כדי שהכל יהיה דיגיטלי - -

זה הופך את העניין לתשתית חיונית קריטית?

בוודאי.

זה שיתוק של כל התכנון בישראל, שיתוק של רשויות התכנון.

תוסיפי לזה תרחיש שבו מישהו לא גרם רק למערכת לא לעבוד אלא גם לתת תשובות לא נכונות. האתגר של לשמור על המידע הוא עוד משהו שאני צריך לעשות, אבל בשביל זה לא צריך אותי שם, את זה יודעים לעשות גם בלעדיי. אני ממליץ על מערכת כקריטית כשהמערכת עצמה היא קריטית, כשעצם השירות שהיא נותנת והתלות שיש בה הוא מצד כל כך הרבה גופים. המערכת היא בתהליכי עלייה בשימוש. יבוא יום ששום דבר לא יוכל להיעשות בלעדיה ולא נדע לחזור לניירות.

הנימוק המרכזי הוא הרציפות התפקודית של המערכת. זה מקבל משנה תוקף, כי יש גם את המידע המסווג.

האם אתם יכולים להרחיב לגבי ההצדקה להוסיף את שב"א ומס"ב והחשש של הגופים האלה לגבי ההוספה שלהם?

הם חוששים? הבנתי שהם רוצים.

הם חוששים.

הם חששו בתחילת הדרך מזה שהמדינה תנחה אותם בשני קולות – גם של הרגולטור המגזרי וגם שלנו כתשתית קריטית. החשש הזה איננו כבר. אנחנו עובדים למעלה משנתיים והמגזרי הפסיק להנחות אותם, רק אנחנו מנחים אותם. כל הטרנזקציות הכספיות מקניות ועד תשלום לספקים, משכורות וכך הלאה, הכל קורה דרך שתי החברות האלו. כשדנו בהן הן היו חברה אחת אחודה בתהליך של פיצול לאור החלטת הרגולטור. אנחנו עובדים עם הרגולטור בבנק ישראל בצמידות מוחלטת, לכן כל החששות שהם יקבלו הנחיות כפולות נעלמו. אנחנו כבר למעלה משנתיים עובדים כציר יחיד שעובד מולם.

כשבחנו יחד עם מערך הסייבר הלאומי את התבחינים של שב"א ומס"ב כתמ"ק, הבנו את המשמעות ואת הקריטיות שלהם למשק הפיננסי. אנחנו היינו חלק מליזום את הבחינה הזאת, ביקשנו ממערך הסייבר להיכנס לתמונה מאחר והבנו באמת את הקריטיות של המערכות האלו.

יש כאן תהליך שבו הוועדה מתבקשת לאשר את הגופים מבלי שהעבודה האמיתית מוצגת כאן. הדילמה שלנו בנושאים האלה היא בין זה שהתהליך מסווג לבין זה שאנחנו צריכים לשאוף שהדיון יהיה כמה שיותר שקוף. ההתפתחות של החוק מ-1998 הוא טלאי על טלאי. הייתה תפיסה בהתחלה של גופים ציבוריים, אחר כך גופים פרטיים. בימיו של חבר הכנסת דוד אזולאי יושב ראש ועדת הפנים, עוד לפני שקמה בכלל רשות הסייבר, זיהינו את הצורך בגוף של רשות הסייבר. מביטחוני זה הפך להיות לביטחון פנים ושלום הציבור. יש כאן איזה שהוא עירוב של תחומים. גם הייתה חקיקה משלימה, כמו שאיילת הזכירה, של חוק סמכויות לשם שמירה על ביטחון הציבור. אני חושבת שכרגע הגיע איזה שהוא זמן לפאוזה. אני פונה למשרד לביטחון פנים לעשות איזה שהוא סדר בתפיסה של החוק הזה. יכול להיות שזה קשור לחוק הסייבר שאנחנו עדיין ממתינים לו, הצעת חוק שתבוא לאישור הכנסת. יש דברים שמעוגנים בהחלטת ממשלה שמבחינתנו צריכים להיות מעוגנים כעקרונות בחוק, כדי שהוועדה תבין את הקריטריונים של גוף להיות תשתית קריטית. אני חושבת שיש איזו שהיא התפתחות וזליגה בין תשתית קריטית אמיתית כמו חשמל, מים, תשתית קריטית של מדינת ישראל, לבין גופים שיש בהם רציפות תפקודית אבל הם לא תשתית קריטית במהות האמיתית שאנחנו ראינו בזמנו כתשתית קריטית.

אנחנו רואים איזה שהיא ערבוב תחומים בין מידע מסווג לבין תשתית קריטית. זה דבר שאני לא סתם מתעכבת לגביו, כיוון שההנחיה היא של שני גופים שונים. גוף שנכלל רק בתוספת השנייה לחוק הסדרת הביטחון מונחה שב"כ, וגוף שנכלל גם בתוספת השנייה וגם בתוספת החמישית עובר להנחיית רשות הסייבר. אני חושבת שמ-1998 עד היום עברו מספיק שנים וצריך לעשות רביזיה מהבחינה של איום הייחוס מבחינה ביטחונית וביטחון הפנים. מה שהיה בביטחון פנים ב-1998 הוא לא מה שקיים היום בשנת 2022. החוק הוא מיושן, לכן צריך להביא חוק משלים לחוק הסייבר, צריך לעשות סדר בכל העניינים האלה.

אנחנו שם, אנחנו מחכים.

אנחנו גם יכולים להציע.

אנחנו עובדים על נוסח בעניין הזה.

צו להסדרת הביטחון בגופים ציבוריים (שינוי התוספות השנייה, השלישית והחמישית לחוק), התשפ"ב-2022


בתוקף סמכותי לפי סעיף 18(א) לחוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח-1998
(להלן – החוק), בהתייעצות עם שר האוצר, השרה להגנת הסביבה, שרת התחבורה והבטיחות בדרכים, שרת האנרגיה, שר הבינוי והשיכון, שרת הכלכלה והתעשייה ושרת הפנים כשרים הממונים, לפי העניין, באישור ראש הממשלה לעניין שינוי התוספות השנייה והחמישית ובאישור הוועדה לביטחון פנים של הכנסת, אני מצווה לאמור:

תיקון 1. בתוספת השנייה לחוק -
התוספת
השנייה

(1) בפרט 10, במקום "פי גלילות מסופי נפט וצינורות בע"מ" יבוא "דלק פי
גלילות – שותפות מוגבלת";

(2) בפרט 12, במקום "חברת תשתיות נפט ואנרגיה בע"מ" יבוא "תשתיות
אנרגיה בע"מ";

(3) אחרי פרט 23 יבוא:

"24. רשות ניירות ערך."

תיקון 2. בתוספת השלישית לחוק, אחרי פרט 7 יבוא:
התוספת
השלישית

"8. שירות התעסוקה.

9. עיריית ירושלים – לעניין יחידת הביטחון של הרכבת הקלה."

תיקון 3. בתוספת החמישית לחוק -
התוספת
החמישית
(1) בפרט 15, במקום "תשתיות נפט ואנרגיה בע"מ" יבוא "תשתיות
אנרגיה בע"מ";

(2) פרטים 17 ו-23 – יימחקו;

(3) בפרט 19, אחרי "לוויתן דרום" יבוא "תנין 16 וכריש 17";

(4) אחרי פריט 26 יבוא:

"27. חברת נמלי ישראל – פיתוח ונכסים בע"מ (חנ"י);

28. חברת קו מוצרי דלק בע"מ;

29. חברת שירותי בנק אוטומטיים בע"מ (שב"א);

30. חברת מרכז סליקה בנקאי בע"מ (מס"ב);

31. המרכז למיפוי ישראל (מפ"י);

מי בעד, מי נגד, מי נמנע?


הצבעה
הצו אושר.

יש קצת וואקום מבחינת הסייבר בכל מה שיוצא מהעולם הביטחוני. אני מציעה לכל הגורמים שעוסקים לבוא עם חקיקה שמתאימה יותר למה שקורה היום, כי לצערי אנחנו רואים שרק לגבי הגופים הביטחוניים יש הגנה. אני שמחה שהכנסנו עוד גופים כדי לתת להם את ההגנה הזאת כי הם די פרוצים, אבל יש לנו עוד הרבה ארגונים, גם ממשלתיים, שלא מוגנים כראוי. ראינו את זה בבית חולים הלל יפה ובעוד חברות. אני מציעה שתלכו כל אחד לעניינים שלו ובאמת תעשו עבודה. אנחנו כבר עובדים על מתווה סייבר בכל מה שקשור לעולם האזרחי שנביא כוועדה. אני מודה לכולם על ההגעה.


הישיבה ננעלה בשעה 10:55.