האם NIS-2 חל על חברות ישראליות?

NIS-2 היא דירקטיבה של האיחוד האירופי ולא חלה ישירות על חברות ישראליות. אבל בפועל - כל חברה ישראלית שמספקת שירותים לגופים אירופאיים, או שנמצאת בשרשרת האספקה שלהם, מקבלת דרישות NIS-2 דרך סעיפי הסכם (חוזי, לא רגולטורי). זה מה שנקרא 'shadow reach'.

מה ההבדל בין NIS-2 ל-ISO 27001?

NIS-2 היא רגולציה מחייבת של האיחוד האירופי עם דרישות דיווח ספציפיות. ISO 27001 הוא תקן בינלאומי לניהול אבטחת מידע שמספק מסגרת בקרות. השניים חופפים בכ-70% מהבקרות המעשיות — כלומר הכנה לאחד מקדמת אוטומטית את ההיערכות לשני.

מה חידש תיקון 13 לחוק הגנת הפרטיות?

תיקון 13, שנכנס לתוקף ב-2025, חייב ארגונים להודיע לרשות להגנת הפרטיות ולנפגעים תוך 72 שעות מגילוי פרצת אבטחה. הוא גם הרחיב את הגדרות 'בעל מאגר' ו'מחזיק מאגר', הגדיל קנסות, ובמקרים מסוימים חייב מינוי ממונה הגנה על פרטיות (DPO).

כמה עולה הכנה ל-ISO 27001 לחברה של 100 עובדים?

עלות כוללת ריאלית לחברה של 100 עובדים נעה בין ₪80,000 ל-₪200,000 לתהליך הראשוני (כולל ייעוץ, הטמעת בקרות טכניות, הדרכות ואגרת ביקורת). תחזוקה שנתית לאחר מכן נמוכה משמעותית — בין ₪30,000 ל-₪70,000 לשנה.

מהם הקנסות על אי-עמידה ב-NIS-2?

ישויות חיוניות (Essential Entities) תחת NIS-2 חשופות לקנסות של עד €10 מיליון או 2% מהמחזור העולמי השנתי (הגבוה מביניהם). ישויות חשובות (Important Entities) — עד €7 מיליון או 1.4% מהמחזור. אלו קנסות מול הגופים המוסדרים באיחוד, אבל ספקים ישראלים שלהם מושפעים מסעיפי חוזה שיכולים לכלול פיצויים ובקרת ביקורות.

NIS-2 ו-ISO 27001 בישראל — מה חייבים לעשות 2026

דירקטיבת NIS-2 נכנסה לתוקף באיחוד האירופי באוקטובר 2024. ואם אתם מנהלים חברה ישראלית שמוכרת לגופים אירופאיים — או נמצאת בשרשרת האספקה שלהם — כבר עכשיו אתם כנראה מקבלים שאלות בחוזים: "האם אתה עומד בדרישות NIS-2? יש לכם ISO 27001?" זה לא תרגיל אקדמי. זה תנאי לעסקה.

המדריך הזה מחבר שלוש רגולציות שרוב עסקים מטפלים בהן בנפרד — NIS-2, ISO/IEC 27001:2022 ותיקון 13 לחוק הגנת הפרטיות — ומראה שבמציאות הן חופפות בכ-70% מהבקרות. זה אומר שהכנה חכמה לאחת מקדמת אוטומטית את השתיים האחרות.

€10Mקנס מקסימלי על ישות חיונית שלא עומדת ב-NIS-2

72 שעותזמן מקסימלי לדיווח פרצה — גם ב-NIS-2 וגם בתיקון 13

~70%חפיפה בין הבקרות של שלוש הרגולציות — לאחד תהליך אחד

למה עסק ישראלי בכלל צריך לדאוג ל-NIS-2

NIS-2 (Network and Information Security Directive 2, או בשמה הרשמי: EU Directive 2022/2555) היא דירקטיבה של האיחוד האירופי. היא לא חלה ישירות על חברות ישראליות שפועלות רק בשוק המקומי. אז למה כל כך הרבה CTO ו-CISO ישראלים מוצאים את עצמם עם שאלות על NIS-2 בדואל?

התשובה היא מה שמכונים "shadow reach clauses" — סעיפי ציות בחוזים עם לקוחות אירופאיים. הגוף האירופי שלכם — חברה, בנק, רשות ציבורית — כפוף ל-NIS-2. ה-NIS-2 מחייבת אותו לנהל את שרשרת האספקה שלו, כולל הספקים שלו מחוץ לאיחוד. אז הוא מוריד את הדרישה אליכם חוזית: "ספק שאינו עומד בדרישות ה-NIS-2 שלנו — לא ייחשב כספק מאושר."

דוגמה קונקרטית: חברת SaaS ישראלית שמוכרת לבנק גרמני. ה-BaFin (הרגולטור הגרמני) מחייב את הבנק לנהל סיכוני ספקים לפי NIS-2. הבנק שולח לכם שאלון: "האם יש לכם ISO 27001? האם יש לכם תהליך דיווח אירועים? מה זמן ההתאוששות שלכם?" אם אין — הבנק לא יכול להמשיך לעבוד איתכם.

זה ה-shadow reach: אתם לא כפופים ל-NIS-2 כחוק, אבל כל חוזה עם לקוח אירופאי יכול להפוך אותה לתנאי מחייב מסחרית. ולהפך — ISO 27001 הוא הכרטיס הכניסה המעשי ביותר להוכיח עמידה בדרישות אלו.

שלוש הרגולציות — מבט כולל

לפני שנכנסים למפת החפיפה, הנה סקירה קצרה של כל אחת. אם אתם כבר מכירים, קפצו ישר לטבלה.

NIS-2 — דירקטיבת האיחוד האירופי לאבטחת רשתות ומידע

NIS-2 מחליפה את NIS-1 (2016) ומרחיבה משמעותית את ההיקף. היא מסווגת ארגונים ל"ישויות חיוניות" (Essential) ו"ישויות חשובות" (Important) ומחייבת אותם ב: ניהול סיכונים סייברניים, בקרות טכניות ואירגוניות, דיווח אירועים בטווחי זמן ספציפיים, וניהול שרשרת האספקה. אכיפה: קנסות של עד €10 מיליון או 2% ממחזור עולמי לישויות חיוניות.

ISO/IEC 27001:2022 — תקן בינלאומי לניהול אבטחת מידע

ISO 27001 הוא תקן מרצון, אך בעל הכרה גלובלית. הגרסה של 2022 עדכנה את Annex A מ-114 בקרות (ב-2013) ל-93 בקרות מאורגנות ב-4 נושאים (Organizational, People, Physical, Technological). הוספת בקרות חדשות בתחומי cloud, threat intelligence ו-data masking. תהליך האישור: ביקורת חיצונית על ידי גוף מוסמך (כמו BSI, Bureau Veritas, SGS). תוקף: 3 שנים עם ביקורות מעקב שנתיות.

תיקון 13 לחוק הגנת הפרטיות — הרפורמה הישראלית

תיקון 13 (שנכנס לתוקף בשלבים ב-2025) הוא השינוי המשמעותי ביותר בחוק הגנת הפרטיות הישראלי מאז חקיקתו. הוא מחייב הודעה לרשות להגנת הפרטיות (PPA) ולנפגעים תוך 72 שעות מגילוי פרצה, מרחיב את הגדרת "מאגר מידע" ואת חובות "בעל המאגר", מגדיל קנסות ובמקרים מסוימים מחייב מינוי ממונה פנימי על הגנת הפרטיות (בדומה ל-DPO באירופה).

מפת חפיפה — 70% מהבקרות משותפות

הטבלה הבאה היא הלב של המדריך הזה. היא מראה שרוב העבודה שתעשו לקראת ISO 27001 תשרת גם את NIS-2 וגם את תיקון 13 — ולהפך.

נושא בקרה	NIS-2 — דרישה	ISO 27001:2022 — Annex A	תיקון 13 לחוק הגנת הפרטיות
בקרת גישה (Access Control)	חובה — גישה מינימלית לפי תפקיד, MFA לגישה מרחוק	A.5.15, A.5.18, A.8.2 — Identity mgmt, privileged access	חובה — הגבלת גישה למאגרי מידע אישיים לפי הרשאה
ניהול אירועים (Incident Response)	חובה — 24h Early Warning, 72h Notification, 30 יום Final Report	A.5.24, A.5.25, A.5.26 — Incident planning, reporting, learning	חובה — הודעה לרשות ולנפגעים תוך 72 שעות
הצפנה (Encryption)	חובה — הצפנת נתונים במנוחה ובתעבורה	A.8.24 — Use of cryptography	מומלץ — חובה לנתונים רגישים במיוחד
סיכוני ספקים (Supplier Risk)	חובה — ניהול שרשרת אספקה, בדיקת ספקי ICT	A.5.19, A.5.20, A.5.21, A.5.22 — Supplier relationships	מומלץ — חובת פיקוח על מעבדי מידע מטעמך
הדרכת מודעות (Awareness Training)	חובה — הכשרת עובדים על סיכוני סייבר	A.6.3 — Information security awareness	מומלץ — רלוונטי להוכחת מנגנוני הגנה סבירים
רישום ביקורת (Audit Logging)	חובה — שמירת לוגים לאיתור ולהוכחת אירועים	A.8.15, A.8.17 — Logging, clock synchronisation	חובה — תיעוד גישות למאגר מידע ופעולות בו
המשכיות עסקית (BCM)	חובה — תוכניות גיבוי, DR, BCP	A.5.29, A.5.30 — Business continuity, ICT readiness	מומלץ — להבטחת זמינות מאגרי מידע
ניהול סיכונים (Risk Management)	חובה — הערכת סיכונים תקופתית ומסמך מדיניות	Clause 6.1, A.5.7 — Risk assessment, threat intelligence	מומלץ — הוכחת "אמצעי אבטחה סבירים"

מה מסתתר בטבלה: שמונת הנושאים שמופיעים כאן מכסים את עיקר העבודה המעשית בכל שלוש הרגולציות. ב-5 מתוך 8 — כל שלוש הרגולציות מחייבות דרישות זהות או דומות מאוד. זה אומר שאם תבנו תוכנית עבודה אחת ממוקדת, אתם מטפלים ברוב הדרישות בבת אחת.

NIS-2 — מה חייב לדעת ספק ישראלי

אם לקוח שלכם הוא "ישות חיונית" או "ישות חשובה" לפי NIS-2 — הוא מחויב לנהל את הסיכונים של שרשרת האספקה שלו. כלומר: אתם.

ישויות חיוניות לעומת ישויות חשובות

ישויות חיוניות (Essential Entities) הן גופים גדולים (500+ עובדים, מחזור 100M+ יורו) בסקטורים קריטיים: אנרגיה, תחבורה, בנקאות, תשתיות דיגיטליות, בריאות ומים. הקנסות עבורן: עד €10 מיליון או 2% מהמחזור.

ישויות חשובות (Important Entities) הן גופים בינוניים בסקטורים פחות קריטיים: דואר, ניהול פסולת, ייצור, מחקר, שירותים דיגיטליים. הקנסות: עד €7 מיליון או 1.4% מהמחזור.

לוחות הזמנים לדיווח אירועים

NIS-2 קבעה שלושה שלבים מחייבים לדיווח אירועי סייבר:

Early Warning — תוך 24 שעות: דיווח ראשוני למרשות המוסמכת שאירוע "משמעותי" התרחש. אין צורך בפרטים מלאים — רק הודעה על קיום האירוע.
Incident Notification — תוך 72 שעות: דיווח מפורט יותר הכולל הערכת חומרה, היקף ההשפעה, והאם האירוע נגרם ממתקפה מכוונת.
Final Report — תוך 30 יום: דוח מלא הכולל סיבת שורש, השפעה, אמצעי תגובה שנוקטו ולקחים לעתיד.

אותם לוחות זמנים — 72 שעות — כבר הוטמעו גם בתיקון 13 הישראלי. כלומר: אם תבנו תהליך דיווח אחד שעומד בלוחות הזמנים של שתיהן, אתם מכסים שתי רגולציות בזמן אחד.

מלכודת שכיחה: חברות ישראליות רבות מניחות שאם אין ביקורת של הרגולטור האירופי — אין בעיה. אבל הבדיקה מגיעה מהלקוח, לא מהרגולטור. לקוח גדול שיחשוף שאין לכם תהליך תגובה מסודר עלול לשלוח Corrective Action Request (CAR) — ולתת לכם 90 יום להסדיר או לאבד את החוזה.

ISO 27001:2022 — הבקרות שמשפיעות הכי הרבה על IT

הגרסה של 2022 ארגנה מחדש את Annex A לארבעה נושאים. מבחינת IT operations, שלושה נושאים הם הדומיננטיים:

A.5 — בקרות ארגוניות (Organizational Controls)

37 בקרות המכסות את המדיניות, ניהול הזהויות, ניהול הסיכונים, ניהול ספקים ותכנון המשכיות. זה לב ה-ISMS (Information Security Management System). בלי A.5 מוסדר — אין ISO 27001. עיקר העבודה כאן הוא כתיבת מדיניות ונהלים ברורים וישימים, לא כאלה שיושבים בתיקייה ואף אחד לא קורא.

A.8 — בקרות טכנולוגיות (Technological Controls)

34 בקרות שהן הכי "מגעות" לצוות IT: ניהול נקודות קצה, הצפנה, ניהול פגיעויות, גיבוי, רישום ולוגים, אבטחת רשת, מסננים וסינון תקשורת, ניהול קוד מקור. A.8.7 (הגנה מ-malware), A.8.12 (מניעת דליפת נתונים / DLP) ו-A.8.15 (לוגים) הם המוקדים הנפוצים ביותר בביקורות.

A.6 — בקרות אנושיות (People Controls)

8 בקרות המכסות בדיקות רקע, תנאי העסקה, מודעות, הדרכה וניהול כוח אדם עוזב. בביקורות בישראל, A.6.3 (מודעות ואימון) ו-A.6.5 (אחריות עובדים עוזבים) הם שני המחדלים הנפוצים ביותר שמוצאים מבקרים חיצוניים.

לבדיקת שירותי אבטחת מידע של ITEAM — כולל vCISO, SIEM ו-MDR שתומכים ביישום ISO 27001.

תיקון 13 לחוק הגנת הפרטיות — מה השתנה ב-2025

תיקון 13 הוא הרפורמה הגדולה ביותר בחוק הגנת הפרטיות הישראלי מאז 1981. הוא נכנס לתוקף בשלבים: חלק מהסעיפים אכיף מיולי 2025, השאר מינואר 2026.

חובת הודעה על פרצת אבטחה

זו החידוש הדרמטי ביותר. לפני התיקון, לא הייתה חובה חוקית ברורה לדווח על פרצת אבטחה. עכשיו, ארגון שגילה פרצה "משמעותית" חייב להודיע לרשות להגנת הפרטיות (PPA) תוך 72 שעות מגילויה, ובמקרים מסוימים — גם לאנשים שמידע שלהם הודלף.

הרחבת הגדרות ועלייה בקנסות

התיקון הרחיב את הגדרות "בעל מאגר" ו"מחזיק מאגר", כך שחברות שעד כה יכלו לטעון שהן "רק עיבדו מידע" עבור אחרים — כעת כפופות לחובות נוספות. גובה הקנסות עלה, וכעת הרשות רשאית לקנוס גם ביקשות פלילית נגד מנהלים בדירג בכיר במקרי הפרה חמורה.

ממונה הגנה על פרטיות (DPO פנימי)

בדומה ל-GDPR, התיקון מחייב מינוי ממונה פרטיות פנימי בארגונים שמעבדים מידע רגיש בהיקף נרחב. ארגונים שמחזיקים מאגרי בריאות, פיננסים, מיקום, ביומטריה וכדומה — צריכים לבחון אם הדרישה חלה עליהם.

Roadmap ב-12 חודשים — ממה מתחילים

זה לוח הזמנים הריאלי לחברה של 100-300 עובדים שמתחילה מאפס. אם כבר יש לכם מדיניות כתובה — חלק מהשלבים מתקצרים.

חודשים	שלב	תוצר מצופה	מוביל
1-2	Gap Analysis	מיפוי כל הפערים ביחס ל-ISO 27001, NIS-2 ותיקון 13. דו"ח ממצאים עם עדיפויות.	vCISO / יועץ חיצוני
2-3	Policy Drafting	כתיבת מדיניות אבטחת מידע, מדיניות גיבוי, מדיניות גישה, תוכנית IR, תסריט BCM.	CISO + IT + Legal
3-5	Technical Remediation	הטמעת בקרות טכניות: MFA, EDR, SIEM, גיבוי immutable, הצפנת נתונים, פילוח רשת, ניהול patch.	IT / MSP
5-6	Awareness Training	הדרכת כלל העובדים, סדנת tabletop exercise לניהול, הדרכה ממוקדת לצוות IT.	HR + CISO
7-9	Internal Audit	ביקורת פנימית על כל הבקרות. סגירת ממצאים. עדכון מסמכים. הכנת ה-Statement of Applicability.	Auditor פנימי / vCISO
10-12	External Audit / Certification	ביקורת Stage 1 (בדיקת תיעוד) ו-Stage 2 (בדיקת יישום) על ידי גוף מוסמך. קבלת תעודה.	BSI / Bureau Veritas / SGS

על הלוח הזה להיות ריאלי: 12 חודשים הוא לוח זמן אגרסיבי אבל ישים אם מתחילים עם gap analysis מקיף ויש מוביל פנימי ברור. חברות שמתחילות ללא ניסיון קודם ומנסות לעשות הכל in-house נוטות להאריך ל-18-24 חודשים ולצבור חובות טכניים בדרך.

ראו גם: מה עושים כשתקיפת כופר פוגעת בעסק — שכן תוכנית IR ותוכנית BCM הן גם חלק ממה שתסדירו בתהליך.

טבלת סיכונים — אם לא עושים כלום

תרחיש	השלכה	חומרה
לקוח אירופאי שולח שאלון NIS-2 ואין תשובה	הפסד עסקה או השהיית חוזה. לקוח גדול עלול לתת תקופת תיקון ואז לנתק.	גבוה
פרצת אבטחה ללא תהליך דיווח מסודר	הפרת תיקון 13 — קנס, ועלות תדמיתית גבוהה. אם הלקוח אירופאי — גם הפרת חוזה.	גבוה
מכרז ממשלתי ישראלי שדורש ISO 27001	פסילה אוטומטית מהגשה. כ-30% מהמכרזים הממשלתיים הגדולים כוללים דרישה זו (2026).	גבוה
לא קיים תהליך IR — מתקפת כופרה	ממוצע downtime ללא IR מוכן: 21 יום. עם IR מוכן: 5-7 ימים. פערי עלות: מאות אלפי שקלים.	גבוה
ספק ישראלי שעובר מיזוג / רכישה	Due diligence מצד הרוכש יבדוק ציות. חוסר ISO 27001 עלול להוריד הערכת שווי ב-10-20%.	בינוני
הפרת חובת DPO (תיקון 13)	קנס אזרחי. בהפרה חמורה — חשיפה פלילית של מנהלים. הרשות להגנת הפרטיות פרסמה שתגביר אכיפה ב-2026.	בינוני

תפקיד ה-MSP בתהליך הציות

חברה ישראלית של 100-300 עובדים לא תגייס צוות ציות מלא — זה יקר ומיותר. זה בדיוק איפה MSP עם יכולות אבטחה מדויקות נכנס לתמונה.

SIEM ו-MDR — רישום ואיתור מתמשך

NIS-2 ו-ISO 27001 מחייבים שמירת לוגים ויכולת גילוי חריגות. SIEM (Security Information and Event Management) מרכז לוגים מכל המקורות. MDR (Managed Detection and Response) מוסיף שכבת ניטור אנושי מעל הכלים. MSP שמנהל SIEM עבורכם מספק גם את הראיות לביקורת וגם את יכולת הגילוי המהיר.

גיבוי Immutable — הגנה מכופרה

BCM ו-NIS-2 מחייבים יכולת שחזור. גיבוי immutable (שלא ניתן לשינוי, מחיקה או הצפנה על ידי תוקף) הוא תנאי סף. MSP שמנהל גיבויים off-site עם בדיקות שחזור תקופתיות — מספק גם את הבקרה הטכנית וגם את התיעוד לביקורת.

Tabletop Exercises — תרגול ניהול משבר

ISO 27001 Clause 8.2 מחייב בדיקה תקופתית של תוכניות ה-IR וה-BCM. tabletop exercise — תרגול שולחן עם הנהלה בכירה — הוא הכלי המקובל. MSP שמנהל תרגולים אלו מספק גם ניסיון וגם תיעוד לביקורת.

vCISO — CISO ללא משרה מלאה

ISO 27001 דורש בעלות ברורה על ה-ISMS. עבור חברות מתחת ל-300 עובדים, vCISO — CISO במשרה חלקית, בדרך כלל 2-4 ימים בחודש — הוא הפתרון הנפוץ ביותר. הוא מנהל את תהליך הציות, מכין לביקורות, ומספק נקודת קשר לגופי הבדיקה.

תבניות מדיניות ונהלים

כתיבת כל מסמכי ה-ISMS מאפס לוקחת חודשים. MSP שעבד עם עשרות חברות על ISO 27001 מחזיק תבניות מוכחות שמסייעות לקצר משמעותית את שלב ה-Policy Drafting — מבלי לפגום בתהליך או ביכולת לעמוד בביקורת.

ראו גם: מדוע העובד הוא החוליה החלשה בסייבר — ואיך תכנית הדרכה מסודרת היא חלק מ-ISO 27001 A.6.3.

כמה זה באמת עולה — תקציב ריאלי לחברה של 100 עובדים

לא קיים מחיר קבוע — הוא תלוי בנקודת הפתיחה שלכם, בכמה בקרות טכניות כבר יש לכם, ובאיזה גוף מוסמך תבחרו. אבל אפשר לתת טווחים ריאליים:

Gap Analysis ותוכנית עבודה: ₪15,000-₪35,000 (תלוי בעומק ובניסיון היועץ)
כתיבת מדיניות ונהלים: ₪20,000-₪50,000 (תבניות קיימות מורידות משמעותית)
הטמעת בקרות טכניות (EDR, SIEM, גיבוי immutable, MFA): ₪30,000-₪80,000 (תלוי מה קיים)
הדרכות ו-tabletop exercises: ₪8,000-₪20,000
ביקורת חיצונית וקבלת תעודה (Stage 1 + Stage 2): ₪25,000-₪60,000
תחזוקה שנתית (surveillance audit + vCISO): ₪30,000-₪70,000 לשנה

סה"כ ראשוני: בין ₪100,000 ל-₪245,000 לתהליך השלם. ₪30,000-₪70,000 לשנה לשמירת התעודה.

מקרה לדוגמה (ייצוגי, ללא זיהוי): חברת SaaS ישראלית בינונית, כ-120 עובדים, מוכרת לגופים פיננסיים בגרמניה ובשוויץ. בתחילת 2024 קיבלה הודעה שחוזה חידוש בשווי מעל 10 מיליון שקל מותנה בהצגת ISO 27001 בתוך שנה. הם התחילו בגאפ אנליזה, מינו vCISO חלקי, בנו ISMS בשותפות עם MSP. עלות כוללת: כ-₪180,000. החוזה נחתם. הסיכום שלהם: "ה-ISO 27001 עלה לנו פחות מדמי הסוכן שהיינו משלמים להחליף את הלקוח הזה."

Gap Assessment חינם — 45 דקות עם יועץ סייבר בכיר

מוכנים לדעת איפה אתם עומדים?

45 דקות עם יועץ סייבר בכיר מ-ITEAM — נמפה את הפערים ביחס ל-NIS-2, ISO 27001 ותיקון 13, ונצא עם תוכנית עבודה ממוקדת. ללא עלות, ללא מחויבות.

קבלת Gap Assessment חינם

The NIS-2 Directive (EU 2022/2555) took effect across the European Union in October 2024. If your Israeli company sells to European customers — or sits anywhere in their supply chain — you have almost certainly started receiving compliance clauses in contracts: "Do you comply with NIS-2? Do you hold ISO 27001?" This is not an academic exercise. In many cases, it is a condition of the deal.

This guide connects three regulations that most businesses handle separately — NIS-2, ISO/IEC 27001:2022, and Israel's Privacy Protection Law Amendment 13 — and shows that in practice they share roughly 70% of their underlying controls. A smart, unified approach to one regulation advances the other two simultaneously.

€10MMaximum fine for an Essential Entity that fails to comply with NIS-2

72 hoursMaximum breach notification window under both NIS-2 and Amendment 13

~70%Overlap in controls across all three regulations - unified remediation works

Why an Israeli Business Should Care About NIS-2

NIS-2 is European Union law. It does not directly govern Israeli companies operating exclusively in the Israeli market. Yet CISOs, CTOs, and COOs across Israel are fielding compliance questions from their European accounts. Why?

The mechanism is what practitioners call "shadow reach clauses" - contractual compliance obligations flowing down from regulated European entities to their suppliers, regardless of geography. A German bank is subject to NIS-2. The NIS-2 directive explicitly requires that bank to manage the cybersecurity risks of its supply chain, including suppliers outside the EU. That obligation travels down the contract chain to you: "Suppliers who cannot demonstrate NIS-2-equivalent controls will not be approved vendors."

Concrete example: An Israeli SaaS company selling to a German financial institution. Germany's BaFin regulator requires the bank to manage supplier risk per NIS-2. The bank sends a security questionnaire: "Do you hold ISO 27001? What is your incident response timeline? What is your recovery time objective?" Without satisfactory answers, the bank cannot continue the relationship under its own compliance obligations.

The commercial reality is clear: NIS-2 may not be a legal requirement for Israeli companies, but every contract with a regulated European customer can make it a practical one. ISO 27001 is the most widely accepted evidence of NIS-2-equivalent controls, and it is increasingly the entry ticket to enterprise deals in Europe.

Three Regulations - A Clear Overview

Before the overlap matrix, here is a precise summary of each framework. If you know them well, skip to the table.

NIS-2 - The EU Network and Information Security Directive

NIS-2 replaces NIS-1 (2016) and substantially expands scope and enforcement. It classifies organizations as "Essential Entities" or "Important Entities" and imposes obligations covering: cybersecurity risk management, technical and organizational controls, incident reporting within defined timelines, and supply chain security management. Sanctions reach €10 million or 2% of global annual turnover for Essential Entities.

ISO/IEC 27001:2022 - The International ISMS Standard

ISO 27001 is a voluntary standard, but it carries global recognition. The 2022 revision restructured Annex A from 114 controls (in 2013) to 93 controls organized across four themes: Organizational, People, Physical, and Technological. New controls address cloud security, threat intelligence, and data masking. Certification requires a Stage 1 documentation audit and Stage 2 implementation audit by an accredited body. Certificates are valid for three years, with annual surveillance audits.

Privacy Protection Law Amendment 13 - Israel's Privacy Reform

Amendment 13 is the most significant change to Israel's Privacy Protection Law since its enactment. It came into force in stages through 2025. Key changes: mandatory breach notification to the Privacy Protection Authority (PPA) and to affected individuals within 72 hours of discovery; expanded definitions of "database owner" and "database holder"; increased penalties; and in certain cases, a mandatory internal privacy officer role analogous to a GDPR Data Protection Officer.

The Control Overlap Matrix - 70% in Common

This table is the practical center of this guide. It demonstrates that most of the work required by any one of the three frameworks also satisfies substantial obligations under the other two.

Control Theme	NIS-2 Requirement	ISO 27001:2022 Annex A	Amendment 13 Requirement
Access Control	Mandatory - least privilege by role, MFA for remote access	A.5.15, A.5.18, A.8.2 - Identity mgmt, privileged access	Mandatory - restrict access to personal data by authorization
Incident Response	Mandatory - 24h Early Warning, 72h Notification, 30-day Final Report	A.5.24, A.5.25, A.5.26 - Incident planning, reporting, learning	Mandatory - notify PPA and affected parties within 72 hours
Encryption	Mandatory - encrypt data at rest and in transit	A.8.24 - Use of cryptography	Required for sensitive data categories; recommended elsewhere
Supplier Risk Management	Mandatory - supply chain security, ICT supplier evaluation	A.5.19, A.5.20, A.5.21, A.5.22 - Supplier relationships	Required oversight of data processors acting on your behalf
Awareness Training	Mandatory - cybersecurity training for staff	A.6.3 - Information security awareness	Relevant for demonstrating "reasonable security measures"
Audit Logging	Mandatory - retain logs for detection and audit evidence	A.8.15, A.8.17 - Logging, clock synchronisation	Mandatory - document all access to personal data databases
Business Continuity (BCM)	Mandatory - backup plans, DR, BCP	A.5.29, A.5.30 - Business continuity, ICT readiness	Recommended - to ensure availability of personal data systems
Risk Management	Mandatory - periodic risk assessment, documented policy	Clause 6.1, A.5.7 - Risk assessment, threat intelligence	Required to demonstrate "reasonable security measures"

What the matrix reveals: Five of the eight control themes carry mandatory requirements under all three frameworks simultaneously. Three more are mandatory under two and strongly recommended under the third. Building one unified remediation plan covers the vast majority of compliance obligations across all three — at a fraction of the cost of treating them separately.

NIS-2 - What Israeli Suppliers Need to Know

If your customer is classified as an Essential or Important Entity under NIS-2, they are legally required to manage the cybersecurity risks in their supply chain. That means you are inside their compliance perimeter, whether or not you signed anything that says so explicitly.

Essential vs. Important Entities

Essential Entities are large organizations (500+ employees, €100M+ turnover) in critical sectors: energy, transport, banking, digital infrastructure, healthcare, and water. Fines: up to €10 million or 2% of global annual turnover.

Important Entities are medium-sized organizations in less critical sectors: postal services, waste management, manufacturing, research, digital services. Fines: up to €7 million or 1.4% of global annual turnover.

The Three-Stage Reporting Timeline

NIS-2 established three mandatory reporting stages for "significant" cybersecurity incidents:

Early Warning - within 24 hours: Initial notification to the competent authority that a significant incident has occurred. Full details are not required at this stage.
Incident Notification - within 72 hours: A more detailed report including severity assessment, scope of impact, and whether the incident appears to be the result of a deliberate attack.
Final Report - within 30 days: A complete report covering root cause, full impact, remediation actions taken, and lessons learned.

Critically, the same 72-hour reporting window is now embedded in Israel's Amendment 13. A single, well-designed incident response procedure can satisfy both simultaneously.

A common misconception: Israeli companies often assume that without a European regulator knocking on their door, there is no enforcement risk. The pressure comes from customers, not regulators. A significant European customer that discovers you lack a documented incident response process can issue a Corrective Action Request (CAR), giving you 90 days to resolve it — or face contract termination.

ISO 27001:2022 - The Controls That Most Affect IT Operations

The 2022 revision reorganized Annex A into four domains. From an IT operations perspective, three domains carry the heaviest practical weight:

A.5 - Organizational Controls

37 controls covering policy, identity management, risk management, supplier relationships, and business continuity. This is the backbone of any ISMS. Without a functioning A.5, no certification is possible. The most common audit gap here is not the absence of policies, but policies that exist as documents no one follows. Every A.5 control must be demonstrably operative.

A.8 - Technological Controls

34 controls that are the most operationally tangible: endpoint management, encryption, vulnerability management, backup, logging, network security, and filtering. A.8.7 (malware protection), A.8.12 (data leakage prevention / DLP), and A.8.15 (logging) are the three most frequently cited findings in ISO 27001 Stage 2 audits for companies of this size.

A.6 - People Controls

8 controls covering background checks, employment terms, awareness, training, and offboarding. A.6.3 (security awareness and training) and A.6.5 (responsibilities after termination) are the two most common gaps found in external audits of Israeli organizations. Both are also highly relevant to NIS-2 and Amendment 13.

See ITEAM's cybersecurity services - including SIEM, MDR, and vCISO that directly support ISO 27001 implementation.

Amendment 13 - What Changed in 2025

Amendment 13 is the most significant reform to Israeli privacy law since the original act. Its provisions came into force in stages: some from July 2025, others from January 2026.

Mandatory Breach Notification

Before Amendment 13, Israeli law had no clear statutory obligation to report a data breach. Now, any organization that discovers a "significant" security breach must notify the Privacy Protection Authority (PPA) within 72 hours of discovery, and in certain cases must also notify affected individuals directly. Failure to notify is itself a regulatory violation, independent of the breach that caused it.

Expanded Definitions and Higher Penalties

The amendment expanded the definitions of "database owner" and "database holder," bringing previously excluded entities into scope. Penalties increased substantially. In serious cases, the PPA now has authority to pursue criminal liability against senior executives - not just civil fines against the organization.

Privacy Officer Requirement

Mirroring the GDPR's DPO requirement, Amendment 13 mandates an internal privacy officer role for organizations that process sensitive data at scale - including health, financial, location, and biometric data. Organizations in these categories should assess whether the requirement applies to them before the relevant provisions come into force.

12-Month Roadmap - A Month-by-Month Plan

This is a realistic timeline for a 100-300 employee company starting from scratch. If you already have documented policies, some phases will compress.

Months	Phase	Deliverable	Lead
1-2	Gap Analysis	Map all gaps against ISO 27001, NIS-2, and Amendment 13. Findings report with prioritized remediation.	vCISO / External consultant
2-3	Policy Drafting	Information security policy, backup policy, access policy, incident response plan, BCM scenario planning.	CISO + IT + Legal
3-5	Technical Remediation	Deploy: MFA, EDR, SIEM, immutable backup, data encryption, network segmentation, patch management.	IT / MSP
5-6	Awareness Training	All-staff security training, tabletop exercise for senior management, targeted IT team training.	HR + CISO
7-9	Internal Audit	Internal audit of all controls. Close findings. Update documentation. Prepare Statement of Applicability.	Internal Auditor / vCISO
10-12	External Audit / Certification	Stage 1 (documentation review) and Stage 2 (implementation audit) by an accredited certification body.	BSI / Bureau Veritas / SGS

On timeline realism: 12 months is aggressive but achievable when you begin with a thorough gap analysis and have a clear internal owner. Companies that attempt the entire process in-house without prior experience typically extend to 18-24 months and accumulate technical debt along the way.

Related: What to do when ransomware hits your business - because a documented IR plan and BCM procedure are both part of what you will build in this process.

Risk Table - The Cost of Doing Nothing

Scenario	Consequence	Severity
European customer sends NIS-2 questionnaire - no satisfactory answer	Contract suspension or loss. Large customers typically give a 90-day cure period, then terminate.	High
Security breach with no documented response process	Amendment 13 violation - civil fine. If customer is European - contractual breach. Reputational damage.	High
Israeli government tender requiring ISO 27001	Automatic disqualification from bidding. Roughly 30% of large Israeli government tenders include this requirement (2026).	High
No IR process - ransomware attack	Average downtime without a prepared IR plan: 21 days. With a prepared plan: 5-7 days. Cost differential: hundreds of thousands of NIS.	High
Company undergoing merger or acquisition	Acquirer due diligence will assess compliance posture. Absence of ISO 27001 may reduce valuation by 10-20% in technology sector deals.	Medium
Failure to appoint required privacy officer (Amendment 13)	Civil fine. In serious violations - personal criminal exposure for senior executives. The PPA has stated intent to increase enforcement in 2026.	Medium

The MSP's Role in the Compliance Process

A 100-300 person Israeli company is not going to build a full compliance team. That would cost more than the compliance program itself. This is exactly where an MSP with mature security capabilities delivers disproportionate value.

SIEM and MDR - Continuous Logging and Detection

Both NIS-2 and ISO 27001 require log retention and anomaly detection capabilities. A SIEM centralizes logs from all sources. MDR adds a human monitoring layer on top of the tooling. An MSP that manages SIEM on your behalf provides both the audit evidence required by the standard and the detection capability required to respond to incidents in time.

Immutable Backup - Ransomware Protection

BCM requirements under NIS-2 and ISO 27001 demand a tested recovery capability. Immutable backup — storage that cannot be altered, deleted, or encrypted by an attacker — is a baseline requirement. An MSP that manages off-site immutable backups with periodic restore testing provides both the technical control and the audit documentation.

Tabletop Exercises - Crisis Management Practice

ISO 27001 Clause 8.2 requires periodic testing of IR and BCM plans. A tabletop exercise — a structured walk-through with senior management — is the standard method. An MSP that facilitates these exercises brings scenario experience and provides the written record that an auditor will request.

vCISO - Part-Time CISO

ISO 27001 demands clear ownership of the ISMS. For companies under 300 employees, a virtual CISO at 2-4 days per month is the most practical solution. The vCISO manages the compliance program, prepares for audits, and serves as the primary point of contact with certification bodies.

Policy Templates and Documentation

Writing all ISMS documentation from scratch takes months. An MSP that has guided dozens of companies through ISO 27001 certification holds proven templates that materially compress the policy drafting phase — without compromising the rigor that an external auditor expects to see.

See also: Why employees are the weakest link in cybersecurity — and how a structured awareness program satisfies ISO 27001 A.6.3 directly.

Realistic Budget - What It Costs for a 100-Person Company

There is no fixed price. The starting point matters enormously — a company that already has MFA, documented policies, and EDR deployed will spend far less than one starting with none of these. But realistic ranges for the full certification process look like this:

Gap analysis and remediation plan: NIS 15,000-35,000 (depends on consultant depth)
Policy and procedure writing: NIS 20,000-50,000 (templates reduce this significantly)
Technical controls deployment (EDR, SIEM, immutable backup, MFA): NIS 30,000-80,000 (depends on what exists)
Training and tabletop exercises: NIS 8,000-20,000
External audit and certification (Stage 1 + Stage 2): NIS 25,000-60,000
Annual maintenance (surveillance audit + vCISO): NIS 30,000-70,000 per year

Total initial investment: NIS 100,000-245,000. Annual maintenance thereafter: NIS 30,000-70,000.

Case example (representative, no identifying details): A mid-sized Israeli SaaS company, approximately 120 employees, selling to financial institutions in Germany and Switzerland. In early 2024, they received notice that a contract renewal worth over NIS 10 million was conditional on ISO 27001 certification within one year. They began with a gap analysis, appointed a part-time vCISO, and built the ISMS in partnership with their MSP. Total cost: approximately NIS 180,000. The contract was signed. Their own summary: "The ISO 27001 program cost less than the sales commission we would have paid to replace that customer."

Free Gap Assessment - 45 Minutes with a Senior Cyber Consultant

Ready to find out exactly where you stand?

A free 45-minute Gap Assessment with a senior ITEAM cyber consultant. We map your current posture against NIS-2, ISO 27001, and Amendment 13 - and leave you with a focused action plan. No cost, no commitment.

Book a Free Gap Assessment

NIS-2 ו-ISO 27001:מה חייב עסק ישראלי לעשות ב-2026