עקב מתקפות הסייבר: תאגידים יידרשו להציג הערכת סיכון בדו"חות

נוכח מתקפות סייבר מתגברות ומתוחכמות יותר, רשות ניירות ערך מחדדת היום (א') את המדיניות בתחום ומעדכנת כי על התאגידים המדווחים תחול חובת גילוי באשר לסיכוני הסייבר והתממשותם.

היקף החשיפות לאיומי סייבר משתנה מתאגיד לתאגיד ותלוי בגורמים רבים ומגוונים. בין השאר ניתן לציין מצב פוליטי-מדיני, תחומי פעילות, גודל, רגישות המידע הקיים בתאגיד, תלות התאגיד בכלים מחשוביים, אופן שמירת הנתונים וזרימת המידע בתאגיד ועוד.

הנזק הפוטנציאלי לתאגידים עשוי להיות רחב היקף ולהתבטא באופן ישיר או עקיף. כך למשל, ייתכנו אובדן הכנסות, פגיעה ברכוש מוחשי (כגון גניבת כסף, אובדן מלאי) וברכוש בלתי מוחשי (כגון גניבת פטנטים או זכויות יוצרים), צורך בפיצוי לקוחות נפגעים, עלויות משפטיות בשל תביעות צדדי ג' שניזוקו וכדומה. כמו כן, התאוששות התאגיד וחזרתו לפעילות תקינה, אם בכלל, עשויה להימשך זמן רב. 

בין דרישות הגילוי העיקריות לגורמי הסיכון או להתממשותם, במקרה של תקיפות סייבר מהותיות בתקופת הדו"ח נדרש התאגיד למסור תיאור אודות האירועים. "התיאור יכלול, בהתאם לנסיבות ולעובדות ולמיטב ידיעת התאגיד, פרטים כגון – זהות או סוג התוקפים, נסיבות התקיפה, כמות התקיפות ומשך זמן התקיפה, האם להערכת התאגיד היא הסתיימה, היקף וסוג הנזק שאירע לרבות השלכות עקיפות, הערכת התאגיד האם אותר מלוא הנזק הישיר, התמודדות התאגיד עם התקיפה, הפקת לקחים והאמצעים שננקטו כדי למנוע תקיפה חוזרת מסוג זה ועוד".

כמו כן, בהתאם להנחיות הרשות לני"ע נדרש גילוי בדו"ח הדירקטוריון אם "ככל שסבור תאגיד שחשיפתו לסיכוני סייבר הפכה בשנת הדוח למהותית יותר להבנת פעילותו באופן כללי, או אם אירעו תקיפה או תקיפות סייבר בעלי השפעה מהותית על אחד או יותר מסעיפי הדוחות הכספיים (מאזני או תוצאתי), יובאו הסברי הדירקטוריון בעניין זה. במסגרת ההסברים תינתן התייחסות להשפעת האירועים על סעיפים מהדוחות הכספיים שהושפעו מהותית בשל סיכוני סייבר או תקיפות סייבר, ככל שמדובר בהשפעה מהותית".