ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות — התיקון שהפך את הרשות להגנת הפרטיות מגוף שמוציא הנחיות לגוף שמוציא עיצומים כספיים. עד אז, בעל עסק קטן בישראל יכול היה לחיות עם ההנחה הסבירה שתקנות אבטחת המידע משנת 2017 הן בעיה של בנקים וקופות חולים. מאז, ההנחה הזאת עלולה לעלות עשרות אלפי שקלים.
בקצרה
- תקנות האבטחה חלות גם בלי רישום מאגר. הפטור מרישום אינו פטור מאבטחה — זו טעות נפוצה אצל עסקים קטנים.
- יש ארבע רמות: מאגר המנוהל בידי יחיד, בסיסית, בינונית וגבוהה. הסיווג נקבע לפי סוג המידע, מספר האנשים שבמאגר ומספר בעלי ההרשאה.
- ארבעה מסמכים כתובים הם ליבת הציות: מסמך הגדרות המאגר, נוהל אבטחת מידע, רשימת הרשאות ונוהל אירוע אבטחה, ולצידם נוהל גיבוי — חלוקה מעשית של דרישות תקנות 2, 4, 8, 11 ו-18.
- ISO 27001 אינו חובת חוק בישראל — ברוב המקרים זו דרישה של לקוח גדול, לא של רגולטור.
- מידע רפואי נחשב מידע בעל רגישות מיוחדת, ולכן מקפיץ את המאגר לרמה בינונית — אלא אם יש בו לכל היותר 10 בעלי הרשאה.
למה זה נהיה רלוונטי דווקא עכשיו: מה שינה תיקון 13
חוק הגנת הפרטיות עצמו ישן — 1981. תקנות הגנת הפרטיות (אבטחת מידע) נחקקו ב-2017 ונכנסו לתוקף ב-2018 (שנה מיום פרסומן, תקנה 22), והן אלה שקובעות בפועל מה עסק צריך לעשות: אילו מסמכים לכתוב, מי מקבל גישה למה, כמה זמן לשמור יומני גישה. לפני התיקון לא הייתה לרשות סמכות להטיל עיצום כספי על הפרתן — את הסמכות הזאת קיבלה לראשונה בתיקון 13.
תיקון 13 שינה את משוואת הכדאיות. הוא עדכן את מושגי היסוד של החוק, צמצם את חובת רישום המאגרים אבל יצר במקומה חובת הודעה על מאגרים גדולים ורגישים, קבע חובת מינוי ממונה על הגנת הפרטיות בגופים מסוימים, והרחיב מאוד את סמכויות הפיקוח: הרשות יכולה כיום לדרוש מסמכים וחומר מחשב, להיכנס למקום עסקי, לערוך בירור מנהלי, להטיל עיצום כספי, לתת הוראת תיקון ואף לבקש צו שיפוטי להפסקת עיבוד או למחיקת מידע. התיאור מבוסס על נוסח התיקון בספר החוקים (סעיפים 8א, 17ב1, 23י, 23יב, 23כה, 23כו ו-23מט לחוק) ועל סיכום הרשות להגנת הפרטיות.
ההקשר הרחב יותר לא מרגיע: לפי דוח מבקר המדינה מיוני 2026, בשנת 2024 התקבלו במערך הסייבר הלאומי 17,078 דיווחים מאזרחים ומארגונים שאומתו כאירועי סייבר, לעומת 13,040 ב-2023 ו-9,108 ב-2022. לפי הדוח השנתי של מערך הסייבר, הפנייה הנפוצה ביותר ב-2024 הייתה פישינג — מיילים והודעות שמתחזים לספק או לבנק — 41% מהדיווחים, ואחריה פריצה לרשתות חברתיות (22%). בדוח המבקר מצוין גם אומדן של מערך הסייבר מ-2024 לעלות שנתית של כ-12 מיליארד שקל למשק מנזקי מתקפות סייבר.
אירועי סייבר שאומתו על ידי מערך הסייבר הלאומי: 2022 עד 2024
דוח מבקר המדינה, יוני 2026 (נתוני מערך הסייבר) · נכון ל-29.10.2026
ההכרעה שכל השאר נגזר ממנה: באיזו רמת-אבטחה אתם נמצאים
כל שאר ההחלטות נגזרות מהסיווג. אין טעם לכתוב נהלים לפני שיודעים לאיזו רמה כותבים אותם — זה כמו להזמין רהיטים לפני שמדדתם את החדר. התקנות מגדירות ארבעה מסלולים, והמעבר ביניהם נקבע לפי שלושה משתנים: סוג המידע במאגר, מספר האנשים שעליהם נשמר מידע, ומספר בעלי ההרשאה שיש להם גישה.
| רמת אבטחה | מי נכנס לכאן | מה נדרש בפועל |
|---|---|---|
| מאגר המנוהל בידי יחיד | יחיד או תאגיד בבעלות יחיד; עד 2 בעלי הרשאה נוספים; פחות מ-10,000 אנשים; מסירת מידע אינה העיסוק; אין חובת סודיות מקצועית | חובות מצומצמות — אך לא פטור. עדיין נדרשת אבטחה בסיסית וטיפול באירועים |
| בסיסית | ברירת המחדל לכל מאגר שאינו יחיד, בינוני או גבוה | מסמך הגדרות מאגר, נוהל אבטחה, מיפוי מערכות, ניהול הרשאות, טיפול באירועים, אבטחת תקשורת והסדרת ספקים |
| בינונית | גוף ציבורי; מאגר שעיסוקו מסירת מידע לאחר; או מאגר הכולל סוגי מידע רגישים שבתוספת (ובהם מידע רפואי) | כל האמור לעיל ובנוסף: יומני גישה, בקרה פיזית על אתרי המערכות, הדרכה לפחות אחת לשנתיים, ביקורת אבטחה ודיון שנתי באירועים |
| גבוהה | מאגר מהקטגוריות המחמירות ובו לפחות 100,000 אנשים, או יותר מ-100 בעלי הרשאה | כל האמור לעיל ובנוסף: סקר סיכונים ומבדק חדירה אחת ל-18 חודשים לכל היותר, דיון רבעוני באירועים ובקרות מחמירות |
שתי נקודות שכדאי לא לפספס. הראשונה: קיים חריג בתוספת הראשונה לתקנות (פרט 2) שמאפשר למאגר עם סוגי מידע רגישים להישאר ברמה בסיסית כל עוד יש בו עד 10 בעלי הרשאה — אבל זה חריג מוגדר ולא פטור גורף. אותה הגדרה מופיעה גם בתוספת השלישית לחוק, שקובעת את סכומי העיצום לפי רמת האבטחה. מאגר של גוף ציבורי או מאגר שעיסוקו מסירת מידע אינו יורד אוטומטית לרמה בסיסית. השנייה: המסלול של "מאגר המנוהל בידי יחיד" נסגר ברגע שהמאגר חוצה 10,000 אנשים — גם אם מדובר בעוסק מורשה שעובד לבד מהסלון.
ליבת הציות: ארבעת המסמכים שחייבים להחזיק
אם מפשיטים את כל הרגולציה לשכבה המעשית ביותר, מה שנשאר זה נייר. בבירור מנהלי הרשות מוסמכת לדרוש כל מסמך (סעיף 23י לחוק), ומסמך הגדרות המאגר הוא הבסיס שממנו נגזר כל השאר. מסמך שלא קיים הוא הפרה בפני עצמה — ובמאגרים ברמה בינונית או גבוהה, טווח העיצומים הנקוב בחוק להפרות מסוג זה (מסמך הגדרות, נוהל, הרשאות) עומד על 40,000–160,000 שקל בסכומי הבסיס (מ-1.1.2026, אחרי העדכון למדד: 40,940–163,780 שקל), לפי התוספת השלישית לחוק והודעת העדכון בילקוט הפרסומים.
1. מסמך הגדרות המאגר
זה מסמך הבסיס. הוא עונה על השאלה "איזה מידע יש לנו, למה, ומי נוגע בו". לפי תקנה 2, הוא צריך לכלול לפחות:
- איסוף ושימוש — מאיפה מגיע המידע ואילו תהליכי עיבוד הוא עובר
- מטרות — המטרה העסקית והחוקית של כל שימוש במידע
- סוגי מידע — רגיל, רפואי, פיננסי, ביומטרי וכן הלאה
- העברה לחו"ל — מטרה, מדינת היעד, דרך ההעברה וזהות המקבל
- מחזיקים — ספקי ענן, מערכת ניהול לקוחות, חברת שכר, גורם שיווק ותמיכה
- סיכונים — הסיכונים העיקריים ואיך מטפלים בהם
- בעלי תפקידים — מנהל המאגר, המחזיק וממונה אבטחת מידע אם מונה
המסמך אינו חד-פעמי. יש לבחון את הצורך בעדכונו עד 31 בדצמבר בכל שנה, וכן לאחר כל שינוי משמעותי או אירוע רלוונטי. במקביל, אחת לשנה בודקים אם נשמר במאגר מידע רב מן הנדרש — חובת צמצום שרוב העסקים מגלים רק כשמישהו שואל למה יש במערכת לידים מ-2016.
2. נוהל אבטחת מידע
בעוד שמסמך ההגדרות מתאר את המצב, הנוהל קובע את הכללים. ברמה בסיסית ומעלה הוא צריך להסדיר אבטחה פיזית, ניהול הרשאות, אמצעי הגנה, הוראות לבעלי ההרשאה, התמודדות עם סיכונים והצפנה, טיפול באירועי אבטחה ושימוש בהתקנים ניידים. ברמות בינונית וגבוהה מתווספים זיהוי ואימות, יומני גישה, ביקורת, גיבוי וכללי גישה לאנשי פיתוח.
הנוהל נבדק לפחות אחת לשנה, וגם לאחר שינוי מהותי במערכות או גילוי סיכון טכנולוגי חדש. בפועל, הטעות השכיחה היא נוהל שהורד מהאינטרנט, כולל שם של חברה אחרת בכותרת. נוהל שאינו משקף את המערכות שבאמת פועלות בעסק אינו ראיית-ציות — הוא ראיה להפך.
3. נוהל הרשאות ורשימת בעלי ההרשאה
העיקרון פשוט: מינימום ההרשאה הדרוש לביצוע התפקיד. בפועל זה דורש רשימה כתובה שמציינת תפקיד, אילו הרשאות צמודות לו ומי בעלי ההרשאה בפועל. אלה הדרישות המרכזיות:
| חובה | מה זה אומר בפועל |
|---|---|
| התאמת עובד | בדיקה סבירה לפני מתן גישה, בהתאם לרגישות המידע |
| הדרכה לפני גישה | הדרכת פרטיות ואבטחה מתועדת — לפני היום הראשון במערכת |
| הדרכה מחזורית | לפחות אחת ל-24 חודשים ברמה בינונית או גבוהה |
| סיום העסקה | ביטול הרשאה מיידי, ושינוי סודות משותפים ככל האפשר |
| סיסמאות | מדיניות חוזק, הגבלת ניסיונות, ניתוק, והחלפה בתוך 6 חודשים לכל היותר ברמה בינונית/גבוהה |
| יומני גישה | תיעוד אוטומטי, שמירה 24 חודשים לפחות ברמה בינונית/גבוהה |
נקודת הכשל הקלאסית בעסק קטן היא דווקא השורה הרביעית. עובדת שעזבה לפני שנה ועדיין מופיעה כמשתמשת פעילה במערכת ניהול הלקוחות — זו הפרה של תקנה 9(ג), והיא נחשפת בקלות ביומן המשתמשים.
4. נוהל אירוע אבטחה — ונוהל גיבוי
אירוע אבטחה מוגדר כחשש לפגיעה בשלמות המידע, שימוש בו ללא הרשאה או חריגה מהרשאה. אירוע חמור מוגדר בהתאם לרמה (תקנה 1): במאגר ברמה גבוהה — כל שימוש בלתי מורשה או פגיעה בשלמות; ברמה בינונית — אירוע הנוגע לחלק מהותי מהמאגר. רצף הפעולות:
- זיהוי בודקים אם יש חשש לשימוש ללא הרשאה, חריגה מהרשאה או פגיעה בשלמות המידע.
- בלימה מבטלים הרשאות, חוסמים גישה — ובמקביל שומרים ראיות, לא מוחקים אותן.
- סיווג קובעים את רמת המאגר, היקף המידע שנחשף וסוגו.
- תיעוד מתעדים זמנים, מערכות מעורבות, אנשים, סוג המידע והפעולות שננקטו.
- דיווח פנימי מפעילים הנהלה, אבטחת מידע, ממונה על הגנת הפרטיות אם קיים, יועץ משפטי וספקים.
- דיווח לרשות באירוע חמור במאגר ברמה בינונית או גבוהה — באופן מיידי (תקנה 11(ד)).
- השלמה מדווחים לרשות על הצעדים שננקטו בעקבות האירוע, ומעדכנים בממצאים נוספים ככל שמתגלים.
- הפקת לקחים דיון שנתי ברמה בינונית, רבעוני ברמה גבוהה, ועדכון הנהלים בהתאם.
נוהל הגיבוי מצטרף לכאן לא במקרה: היכולת לשחזר מידע היא מה שמבדיל בין אירוע כופר שעלה שבוע עבודה לבין אירוע כופר שסגר עסק. ברמות בינונית וגבוהה הגיבוי הוא רכיב מפורש בנוהל האבטחה, וכדאי שהוא יכלול לא רק את עצם הגיבוי אלא גם בדיקת שחזור תקופתית — גיבוי שלא נוסה לשחזור הוא הנחה, לא יכולת.
תקן בינלאומי מול חובת חוק: מה באמת נותן ISO 27001
כאן צריך להיות ישיר: ISO 27001 אינו חובה לפי הדין הישראלי — לא החוק ולא התקנות מחייבים אותו. הוא תקן בינלאומי (ISO/IEC 27001:2022) להקמת מערכת ניהול אבטחת מידע — כלומר שיטה מסודרת לזהות סיכונים, להחליט אילו בקרות מפעילים, ליישם אותן ולבדוק את עצמך מחדש באופן מחזורי. את ההסמכה לא נותן ארגון ISO עצמו אלא גופי הסמכה חיצוניים, אחרי מבדק, והיא מחייבת תחזוקה שוטפת.
אז למי זה באמת רלוונטי? התרחיש הטיפוסי: לקוח גדול דרש את זה בחוזה. חברה שמוכרת תוכנה לבנק, למוסד ממשלתי, לחברת ביטוח או לתאגיד בינלאומי תגלה שהתעודה היא תנאי כניסה למכרז או לשאלון הספקים. זו דרישה מסחרית, לא רגולטורית.
נקודה שחשוב להבהיר לפני שמישהו משלם: תעודת ISO 27001 אינה תחליף לציות לתקנות הגנת הפרטיות ואינה הגנה מפני עיצום. היא יכולה לשמש ראיה טובה לכך שהארגון מפעיל משטר ניהולי מסודר, אבל הרשות בוחנת את דרישות התקנות הישראליות — ואלה לא חופפות במדויק לתקן. התקנות עצמן מכירות בתקנים: לפי תקנה 20(ב), הרשם רשאי להורות שמי שעומד בתקן רשמי, ישראלי או בין-לאומי, או במסמך מנחה שאישר, ייחשב כמקיים את התקנות, כולן או חלקן — אם השתכנע שהדבר מבטיח את רמת האבטחה הנדרשת. בלי הוראה כזו, תעודה כשלעצמה אינה ציות. אפשר להיות מוסמך ועדיין להפר, ואפשר לא להיות מוסמך ולהיות בציות מלא.
למה קליניקה, מעבדה או אפליקציית-בריאות משחקות במגרש אחר: מידע רפואי
מידע רפואי מוגדר בחוק כמידע בעל רגישות מיוחדת — באותה קבוצה עם מידע גנטי, ביומטרי, פלילי, דעות פוליטיות, אמונה דתית ומידע פיננסי. ההגדרה הזו אינה הצהרתית; היא מזיזה את העסק בפועל בשלושה מישורים.
- רמת האבטחה קופצת. מאגר הכולל מידע רפואי נכנס לרמה בינונית לפי התוספת הראשונה לתקנות, ואינו יכול להישאר ברמה בסיסית אלא אם יש בו לכל היותר 10 בעלי הרשאה. בפועל: יומני גישה שנשמרים 24 חודשים, הדרכה מחזורית לעובדים, בקרה פיזית על חדר השרתים, דיון שנתי מתועד באירועים וביקורת אבטחה שנערכת אחת ל-24 חודשים לכל היותר.
- יש סף של הודעה לרשות. מאגר שאינו חייב ברישום אך כולל מידע בעל רגישות מיוחדת על יותר מ-100,000 בני אדם — חייב בהודעה לרשות בתוך 30 ימים, בצירוף מסמך הגדרות המאגר (סעיף 8א(ב) לחוק). אפליקציית בריאות או רשת קליניקות יכולות לחצות את הסף הזה מהר יותר ממה שנדמה.
- החשיפה הכספית גבוהה יותר. גם בעיצומים — אם המאגר מגיע לרמה גבוהה, הסכום הנקוב להפרות מסוימות, כמו אי-דיווח על אירוע חמור או אי-עריכת סקר סיכונים ומבדק חדירות, הוא 320,000 שקל (327,560 מ-1.1.2026) — וגם בתביעות: החוק קובע פיצוי של עד 50,000 שקל ללא הוכחת נזק בגין פגיעה בפרטיות (סעיף 29א לחוק), ועד כפל הסכום כשהפגיעה נעשתה בכוונה.
מעבר לכך, על נותני שירותי בריאות עשויות לחול חובות נוספות מכוח דיני הבריאות וחובת הסודיות המקצועית — שכבה נפרדת מתקנות האבטחה. קליניקה שמעלה תיקי מטופלים לענן זר, שולחת תזכורות דרך מערכת דיוור חיצונית ומנהלת יומן בשירות מקוון — עובדת בפועל עם שלושה מחזיקים חיצוניים שכל אחד מהם דורש הסכם, הערכת סיכונים ודיווח שנתי.
סדר הפעולות המומלץ: תוכנית יישום לעסק קטן
הרצף הזה בנוי כך שכל שלב מייצר תוצר שאפשר להציג. המטרה אינה "להרגיש בטוחים" אלא להחזיק תיק ציות — אוסף ראיות שמוכיח שהחובות בוצעו.
- ממפים איפה המידע יושב כל מערכת, גיליון, תיקייה משותפת, מצלמה וגיבוי. התוצר: גיליון מאגרים.
- ממפים את הספקים ענן, מערכת לקוחות, שכר, דיוור, תמיכה — וגם לאן המידע עובר אם הוא יוצא מישראל.
- כותבים מסמך הגדרות לכל מאגר: מטרה, סוגי מידע, מחזיקים, סיכונים, בעלי תפקידים.
- מסווגים רמה סופרים אנשים במאגר ובעלי הרשאה, בודקים סוגי מידע, מכריעים בין ארבע הרמות ומתעדים את ההנמקה.
- בודקים חובות מוסדיות האם נדרש רישום, האם נדרשת הודעה, האם נדרש מינוי ממונה.
- מצמצמים מוחקים מידע עודף והרשאות מיותרות. זה השלב הזול ביותר שמוריד הכי הרבה סיכון.
- כותבים נהלים נוהל אבטחה, נוהל הרשאות, נוהל אירוע, נוהל גיבוי — ומאשרים אותם בהנהלה.
- סוגרים בקרות טכניות הצפנה, אימות דו-שלבי, עדכוני אבטחה, הפרדת מערכות, גיבוי שנבדק בשחזור.
- מעדכנים חוזים הסכמי ספקים, מדיניות פרטיות באתר, הודעת היידוע בטפסים.
- מדריכים ומתרגלים הדרכת עובדים מתועדת ותרגיל אירוע אחד, ולו קצר.
- קובעים לוח בקרה בדיקה שנתית, ביקורת, ובמאגר ברמה גבוהה — סקר סיכונים ומבדק חדירה כל 18 חודשים.
- סוגרים מול ההנהלה דיווח, תעדוף ליקויים ותוכנית עבודה חתומה.
כשמגיעים לשלב 8 — הבקרות הטכניות — נכנסת שאלת התקציב והספקים: מה באמת צריך לקנות, ממי, וכמה זה עולה. זה נושא נפרד שאינו מכוסה כאן, ושווה לגשת אליו רק אחרי שהסיווג והנהלים סגורים, כי הסיווג הוא שקובע את היקף הקנייה.
שני נושאים משיקים שנכון להמשיך אליהם אחרי שהסיווג סגור: אבטחת מידע לעסקים קטנים ובינוניים — מה באמת צריך, באיזה סדר ומה מזיז את המחיר; וממי קונים אבטחת מידע — ההבדל בין חברת אבטחה, יועץ עצמאי ושירות מנוהל, ומה שואלים לפני חתימה.
הערה חשובה לפני שאתם מסתמכים על העמוד הזה: מתי פונים לעורך דין
זהו מידע כללי ולא ייעוץ משפטי. העמוד מסכם את מסגרת הדין כפי שהיא עולה מחוק הגנת הפרטיות, מתיקון 13 ומתקנות אבטחת המידע, ואינו מהווה חוות דעת לגבי מקרה מסוים. סיווג מאגר, פרשנות של סוגי מידע, שאלות רישום והודעה והערכת חשיפה לעיצום — כל אלה תלויים בנסיבות הקונקרטיות של העסק.
בנוסף: סכומי העיצומים מתעדכנים ב-1 בינואר בכל שנה לפי המדד, והסכומים לפי סעיף 29א מתעדכנים מדי חודש. הסכומים שמופיעים כאן הם הסכומים הנקובים בחוק (בסכומי הבסיס, ובמקום שצוין — כפי שעודכנו ל-2026), לא תחזית לסכום שיוטל בפועל. לסכומים המעודכנים — אתר הרשות להגנת הפרטיות.
מתי כדאי באמת לשים כסף על עורך דין שמתמחה בפרטיות, ולא להסתפק במדריכים? בארבעה מצבים: כשיש במאגר מידע בעל רגישות מיוחדת בהיקף משמעותי; כשאתם מעבירים מידע אל מחוץ לישראל; כשקרה אירוע אבטחה וצריך להכריע אם הוא "חמור" לצורך דיווח; וכשהתקבלה פנייה מהרשות להגנת הפרטיות. בשלושת הראשונים העלות היא מניעתית; ברביעי היא כבר תגובתית, וזה תמיד יקר יותר.
בצד השני של המשוואה, החוק עצמו מכיר בעסקים קטנים: התוספת החמישית מגדירה "עסק זעיר" כמי שמחזורו עד 4 מיליון שקל ו"עסק קטן" כמי שמחזורו מעל 4 ועד 10 מיליון שקל, וקובעת להם, לבקשת המפר, תקרות עיצום מופחתות — 20,000–70,000 שקל לעסק זעיר ו-40,000–140,000 שקל לעסק קטן, לפי קבוצת ההפרה (בסכומי הבסיס). כמו כן קיימות עילות הפחתה שמצטברות עד 70% מסכום העיצום. בלשון פשוטה: ארגון שיכול להראות תיק ציות מסודר, גם אם לא מושלם, נמצא במקום אחר לגמרי מארגון שלא הציג דבר.
מקורות
- תיקון 13 לחוק הגנת הפרטיות אושר בכנסת — הרשות להגנת הפרטיות, משרד המשפטים (פורסם 5.8.2024, עודכן 17.8.2025). נכון ל-29.10.2026.
- חוק הגנת הפרטיות (תיקון מס' 13), התשפ"ד-2024 — ספר החוקים 3287, 14.8.2024, עמ' 1430 (תחילה: שנה מיום הפרסום, כלומר 14.8.2025). נכון ל-29.10.2026.
- תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 — הרשות להגנת הפרטיות ונוסח התקנות בקובץ התקנות 7809 (רשומות), 8.5.2017. נכון ל-29.10.2026.
- חוק הגנת הפרטיות, התשמ"א-1981 — נוסח משולב עדכני (כולל התוספות השלישית והחמישית וסעיפים 8א, 17ב1, 23י, 23יב, 23כה, 23כו, 23מט ו-29א). נכון ל-29.10.2026.
- הודעה על עדכון סכומי העיצומים הכספיים לפי חוק הגנת הפרטיות — ילקוט הפרסומים 15000, 7.10.2026, עמ' 654. נכון ל-29.10.2026.
- דוח מבקר המדינה — היערכות המדינה לאירועי סייבר ותפקודה במהלך מלחמת חרבות ברזל (יוני 2026). נכון ל-29.10.2026.
- עלייה של 24% בדיווחים על אירועי סייבר ב-2024 — הדוח השנתי של מערך הסייבר הלאומי (17.2.2025). נכון ל-29.10.2026.
- ISO/IEC 27001:2022 — Information security management systems — ISO ו-ISO — Certification. נכון ל-29.10.2026.