מתקפת הסייבר שכוונה נגד המרכז הרפואי שמיר (אסף הרופא) באוקטובר 2025 לא דרשה הדי פיצוצים ולא לוותה באזעקה עולה ויורדת. היא התרחשה בשקט, מול מסכים כהים שקפאו באחת, אך תוצאותיה האפשריות איימו באופן ישיר ומיידי על חייהם של מטופלים. אולם, הגל החדש של ניסיונות התקיפה המתרחש בשבועות האחרונים נגד תשתיות מים, חשמל ומוסדות בריאות בישראל – לצד ממצאים עדכניים שחשף מערך הסייבר הלאומי – מוכיחים כי לא מדובר בתקרית נקודתית או חולפת. הנתונים המעודכנים מאשרים כי מאחורי מערכה מתמשכת זו עומדים גורמים איראניים ושלוחותיהם, ומסמנים תמורה אסטרטגית עמוקה ביעדי התקיפה: לא עוד התמקדות בלעדית במתקנים ביטחוניים מסווגים או בנכסים מודיעיניים, אלא פגיעה ממוקדת בבטן הרכה של העורף האזרחי – מבתי חולים ומערכות מים, ועד רשתות חשמל, פיננסים ותחבורה.
(צילום: Pingingz/shutterstock)
שינוי מגמה זה מציב את מערכת המשפט והממשל בפני אתגר נורמטיבי כפול, הדורש ניתוח חד ומענה משולב: מחד, בחינה נוקבת של גבולות הדין הבינלאומי הפומבי מול לוחמת סייבר מדינתית מבוזרת; ומאידך, הגדרה מחדש של חובת המדינה במשפט הציבורי, החוקתי והמנהלי הפנימי להגן על אזרחיה במרחב הקיברנטי.
הזירה הבינלאומית: פער האכיפה והפרת הריבונות
מנקודת המבט של המשפט הבינלאומי הפומבי, תקיפות סייבר המכוונות נגד תשתיות אזרחיות חיוניות אינן יכולות להיחשב עוד למעשי פשיעה קיברנטית גרידא או לפעולות איסוף מודיעין לגיטימיות. כאשר מדינה משתמשת בשלוחותיה או בקבוצות פרוקסי כדי לשתק מערכות רפואיות ואזרחיות של מדינה אחרת, פעולתה חוצה באופן מובהק את הרף של הפרת ריבונות. בנסיבות מסוימות, שבהן תוצאות התקיפה הקיברנטית שוות ערך להרס פיזי או לאובדן חיי אדם, הפעולה עשויה להגיע אף לכדי שימוש אסור בכוח (Use of Force) על פי סעיף 2(4) לאמנת האו"ם, ואף להקים זכות להגנה עצמית.
יתרה מזאת, המשפט הבינלאומי ההומניטרי (דיני הלחימה) מבוסס על עקרון היסוד של ההבחנה (Principle of Distinction), האוסר באופן מוחלט על כיוון התקפות נגד אזרחים ואובייקטים אזרחיים. החלת עקרון זה במרחב הווירטואלי מחייבת את המסקנה כי השבתת מערכות בית חולים היא מעשה אסור בתכלית, ללא קשר לצידוק פוליטי או אסטרטגי.
ואולם, זהו בדיוק המקום שבו נחשפת נקודת התורפה של המשפט הבינלאומי. הדין הבינלאומי הקיים סובל מפער אכיפה מבני חמור. הקושי הראייתי בשיוך משפטי חד-משמעי (Attribution) של תקיפת סייבר למדינה השולחת, לצד האופי המבוזר והאנונימי של רשתות התקיפה האיראניות, מאפשרים למדינות תומכות טרור לפעול באזור הדמדומים שבין מלחמה לשגרה תוך חסינות למעשה. בהיעדר מנגנוני אכיפה סנקציוניים אפקטיביים בזירה הבינלאומית, הקהילה הבינלאומית נדרשת לגיבוש נורמות מחייבות וחדשות שיגדירו תקיפת תשתיות אזרחיות קריטיות כקו אדום בלתי עביר.
הזירה הפנימית: מחובה טכנית לחובה חוקתית ומנהלית
היעדר המענה המספק בזירה הבינלאומית מעביר את מרכז הכובד באופן מידי אל המשפט הציבורי הפנימי. המדינה אינה רשאית עוד להסתפק בתפיסה ביטחונית סבילה או בתגובה צבאית ומודיעינית בדיעבד. על פי תפיסת המשפט החוקתי המודרני, מוטלת על המדינה חובה פוזיטיבית (Positive Obligation) להגן על זכויות היסוד של אזרחיה – ובראשן הזכות לחיים, לשלמות הגוף, לפרטיות ולביטחון אישי – מפני איומים המופנים כלפיהם מצד גורמים זרים, גם כאשר האיום מתממש במרחב הווירטואלי.
חובה חוקתית זו אינה מושג מופשט; היא מחייבת תרגום מעשי ומיידי למישור המנהלי והרגולטורי:
ראשית, קביעת אמות מידה מחייבות בחוק: נדרש עיגון בחוק של אמות מידה מחייבות וקשיחות של הגנת סייבר עבור כלל הגופים המנהלים תשתיות קריטיות, הציבוריים והפרטיים כאחד. כפי שהמדינה כופה תקני בטיחות מחמירים בבנייה או במזון, כך עליה לכפות תקני בטיחות קיברנטיים על מוסדות רפואיים, חברות תשתיות וגופים פיננסיים. הפקרת מערכות מידע רגישות אינה יכולה להיחשב עוד לשיקול עסקי פנימי של הנהלת מוסד כזה או אחר.
שנית, הרחבת האחריות התאגידית והפלילית: נושאי משרה בגופים ציבוריים ופרטיים המתרשלים ברמה חמורה בתחזוקת מערכות הגנה, או הנמנעים מיישום הנחיות בטיחות מוכרות, חייבים לשאת באחריות משפטית למחדליהם. כשהתרשלות בתחזוקת תשתית מחשוב של בית חולים מסכנת חיי אדם, אין הבדל מהותי בינה לבין התרשלות באחזקת מבנה פיזי.
שלישית, איזון חוקתי בערבויות האכיפה: עיגון סמכויות האכיפה והאיסוף של מערך הסייבר הלאומי חייב להיעשות תוך קביעת ערבויות חוקתיות קשיחות. הענקת סמכויות רחבות למדינה לנטר תעבורה ברשת ולכפות הנחיות הגנה היא הכרחית, אך היא טומנת בחובה סכנה מוחשית של פגיעה בזכות לפרטיות ובחופש העיסוק. המשפט המנהלי נדרש לקבוע מנגנוני פיקוח שיפוטי ועצמאי הדוקים, שיבטיחו כי השימוש בסמכויות אלו ייעשה אך ורק לתכלית הראויה של הגנת תשתיות ולא יזלוג לניטור אזרחים.
פרופ' מוחמד ותדרביעית, הרחבת חובת השקיפות והדיווח: יש להרחיב את חובת הדיווח הציבורית והמנהלית מעבר להסדרים המצומצמים הקיימים כיום בדיני הגנת הפרטיות או בהנחיות מבוזרות. כיום, חובת הדיווח מתמקדת בעיקרה בזליגת מידע אישי ומתבצעת הרחק מעין הציבור, בעוד שגופים מותקפים נוטים להסתיר השבתת שירותים חיוניים משיקולי תדמית. נדרשת חובה חוקית מפורשת לדיווח מידי ולשקיפות ציבורית על עצם החדירה והפגיעה בתפקוד התשתיות; הסתרת אירועי תקיפה מונעת מענה לאומי מתואם ומפקירה גופים מקבילים להדבקה בשרשרת.
שילוב זרועות משפטי
התמודדות אפקטיבית עם לוחמת הסייבר האיראנית המופנית כלפי הטווח האזרחי בישראל אינה יכולה להישאר זירה טכנולוגית או מבצעית בלבד. היא מחייבת תפיסה משפטית כוללת ושלמה: ביסוס נורמות בינלאומיות נוקשות המוקיעות פגיעה באזרחים ובמתקנים אזרחיים במרחב הווירטואלי, לצד הידוק הרגולציה, האכיפה והאחריות המנהלית מבית. רק שילוב זרועות הדוק בין הדין הבינלאומי למשפט הציבורי הפנימי יבטיח כי מדינת ישראל לא רק תגן על גבולותיה הפיזיים, אלא גם תמלא את חובתה החוקתית הבסיסית ביותר – הגנה על ביטחונם, חייהם ורווחתם של אזרחיה בשגרה ובחירום.
פרופ' מוחמד ותד הוא פרופסור מן המניין (משפטים), נשיא המכללה האקדמית רמת גן וחוקר בכיר אורח במכון למחקרי ביטחון לאומי (INSS)
