רגולציה אירופית · יצוא

CRA ותקנת AI Act: מה חברה ישראלית שמוכרת לאירופה צריכה לעשות

שתי רגולציות אירופיות חלות לפי השוק שבו המוצר נמכר ולא לפי מקום ההתאגדות של החברה. עבור יצרנית ישראלית שמוכרת לאירופה, זו דרישה אירופית שמטפלים בה מישראל.

חלק מהחובות כבר בתוקף, והמועד הגדול הבא הוא דצמבר 2027 - בשתיהן.

סקר תחולה ראשוני לעמוד אבטחת המידע

למה זה חל עליכם

שתי הרגולציות בנויות על אותו עיקרון: מה שקובע הוא השוק, לא הכתובת.

Cyber Resilience Act חל על כל גורם כלכלי שמעמיד מוצר עם רכיבים דיגיטליים בשוק האירופי, בלי קשר למקום שבו הוא מאוגד. ההגדרה רחבה וכוללת חומרה ותוכנה כאחד. גם מפיץ או יבואן יכול להיחשב ליצרן, אם הוא משווק את המוצר תחת שמו או מבצע בו שינוי מהותי.

AI Act חל על ספקים שמעמידים מערכת בשוק האירופי או מפעילים אותה שם, וגם על ספקים ומשתמשים מחוץ לאיחוד כאשר התוצר של המערכת משמש בתוך האיחוד. כלומר חברה ישראלית יכולה להיות בתחולה גם בלי ישות אירופית וגם בלי שהמערכת שלה נמכרת באירופה, אם הפלט שלה מגיע לשם.

המשמעות המעשית

השאלה אינה האם יש לכם חברה באירופה. השאלה היא אילו מוצרים נמכרים שם, ואיפה הפלט של מערכות הבינה המלאכותית שלכם נוחת. שתי השאלות האלה נענות במיפוי, והמיפוי הוא תמיד הצעד הראשון.

Cyber Resilience Act - מה כבר בתוקף

זו הטעות הנפוצה: רבים מתייחסים לתקנת CRA כאל משהו שמתחיל בשנת 2027. חלק ממנו כבר חל.

מועד	מה חל
11 בספטמבר 2026	חובות הדיווח. יצרן חייב לדווח על פגיעות שמנוצלת בפועל ועל אירוע אבטחה חמור, דרך פלטפורמת הדיווח הייעודית שמפעילה ENISA. החובה חלה גם על מוצרים שכבר בשוק
11 בדצמבר 2027	עיקר החובות - דרישות האבטחה למוצר, הטיפול בפגיעויות לאורך מחזור החיים, התיעוד הטכני, הערכת ההתאמה וסימון CE

לוח הזמנים לדיווח מדורג ומהיר: התרעה מוקדמת תוך 24 שעות, הודעה מלאה תוך 72 שעות, ודוח סופי תוך 14 יום לפגיעות שמנוצלת או תוך חודש לאירוע חמור.

זה המקום שבו ארגונים מגלים שהפער אינו מסמך. 24 שעות הן לא לוח זמנים לכתיבה אלא לתהליך: מי מחליט שפגיעות "מנוצלת בפועל", מי מוסמך לדווח בשם החברה, ומה קורה אם זה נופל בחמישי בערב. תהליך שלא תורגל לא יעמוד בזה.

AI Act - לוח המועדים אחרי חבילת Digital Omnibus

מועדי מערכות הסיכון הגבוה נדחו בשנת 2026. שאר החובות לא.

מועד	מה חל
2 בפברואר 2025	האיסורים על שימושים בסיכון בלתי מתקבל, ודרישת אוריינות הבינה המלאכותית בקרב העובדים
2 באוגוסט 2025	חובות ספקי מודלי בינה מלאכותית לשימוש כללי - GPAI
2 באוגוסט 2026	חובות השקיפות: המשתמש צריך לדעת שהוא מתקשר עם מערכת AI, וסימון תוכן מיוצר. למערכות שכבר היו בשוק ניתנה ארכה עד 2 בדצמבר 2026 לחלק מדרישות הסימון
2 בדצמבר 2027	מערכות בסיכון גבוה לפי נספח III - מערכות עצמאיות בתחומים כמו גיוס, אשראי וחינוך
2 באוגוסט 2028	מערכות בסיכון גבוה לפי נספח I - AI המשובץ במוצרים שכבר מוסדרים ברגולציה אירופית

הדחייה נעשתה במסגרת חבילת Digital Omnibus, שאושרה בפרלמנט האירופי ביוני 2026. חשוב לקרוא אותה נכון: היא קנתה זמן למערכות הסיכון הגבוה בלבד. כל מה שלמעלה מהן כבר חל.

ספק או משתמש - ההבחנה שקובעת את היקף העבודה

בתקנת AI Act, רוב החובות נופלות על הספק. רוב החברות הן גם וגם.

על ספק של מערכת בסיכון גבוה חלות הדרישות הכבדות: ניהול סיכונים, ממשל נתונים, תיעוד טכני, תיעוד אירועים, הוראות שימוש, תכנון לפיקוח אנושי, דיוק ועמידות, מערכת ניהול איכות, הערכת התאמה, סימון CE ורישום במאגר האירופי.

על משתמש מקצועי חלות פחות חובות, אך לא אפס. הבלבול נפוץ משום שאותה חברה היא לרוב ספק של המוצר שלה ומשתמשת בכלים של אחרים באותו הזמן - ולכל תפקיד נגזרת אחרת.

שימו לב לפריט אחד ברשימה: מערכת ניהול איכות. זו לא מטאפורה אלא בדיוק מה שהמילים אומרות, וזה בדיוק מה שתקן ISO 42001 בנוי לספק.

מה עושים בשנה הקרובה

מיפוי תחולה. אילו מוצרים נמכרים לאירופה, אילו מהם נושאים רכיבים דיגיטליים, ואילו מערכות AI מעורבות בהם או בתהליכים שמשרתים לקוחות אירופיים.
סיווג. לכל מוצר ומערכת: מה מעמדכם - יצרן, מפיץ, ספק או משתמש - ולאיזו קטגוריית סיכון היא שייכת.
ניתוח פערים מול מה שכבר קיים. ברוב החברות שמחזיקות ISO 27001 חלק ניכר מהבקרות כבר קיים, והעבודה היא התאמה ולא בנייה.
תהליך הדיווח, ותרגול שלו. זו החובה היחידה שכבר בתוקף, והיחידה שנמדדת בשעות.
תיעוד טכני והערכת התאמה. החלק הכבד, והסיבה להתחיל בשנת 2026 ולא בשנת 2027.

המסקנה המעשית: מדצמבר 2027 אחורה נשארים כארבעה עשר חודשים, מתוכם חלק משמעותי הוא עבודה מול ספקים וצדדים שלישיים שלא נמצאים בשליטתכם.

מה כולל הליווי

סקר תחולה: אילו מוצרים ואילו מערכות AI נכנסים לגדר שתי הרגולציות
סיווג מעמד וקטגוריית סיכון לכל פריט, כבסיס לכל מה שאחריו
ניתוח פערים מול מערכות הניהול הקיימות - ISO 27001, ISO 42001 ותקן ISO 22301 היכן שהוא קיים
בניית תהליך הדיווח ולוחות הזמנים שלו, כולל תרגול מול תרחיש
תהליך טיפול בפגיעויות לאורך מחזור חיי המוצר
בניית התיעוד הטכני הנדרש והיערכות להערכת ההתאמה
שילוב הכול במחזור הקיים של סקר ההנהלה והמבדקים הפנימיים, במקום מסלול נפרד

הערה על היקף: ארגון שכבר מחזיק מערכת ניהול אבטחת מידע מתפקדת מגיע עם חלק ניכר מהתשתית. הפער אינו בדרך כלל בבקרות אלא בהוכחה - תיעוד, מעקב אחר גרסאות, והיכולת להראות מה נעשה ומתי.

שאלות נפוצות

אנחנו חברה ישראלית בלי ישות באירופה. האם CRA חל עלינו?

כן, אם אתם מעמידים מוצר עם רכיבים דיגיטליים בשוק האירופי. הרגולציה חלה על הגורם הכלכלי בלי קשר למקום ההתאגדות שלו. גם מפיץ או יבואן נחשב ליצרן אם הוא משווק את המוצר תחת שמו או מבצע בו שינוי מהותי.

אנחנו רק משתמשים בכלי AI, לא מפתחים. האם AI Act רלוונטי?

ייתכן. התקנה מבחינה בין ספק למשתמש מקצועי, ולמשתמש יש פחות חובות - אבל לא אפס. בנוסף, התקנה חלה על ספקים ומשתמשים מחוץ לאיחוד כאשר התוצר של מערכת הבינה המלאכותית משמש בתוך האיחוד. השאלה הראשונה שצריך לענות עליה היא מי אתם ביחס לכל מערכת: ספק, משתמש, או שניהם בהקשרים שונים.

מה בעצם נכנס לתוקף בספטמבר 2026?

חובות הדיווח של תקנת CRA. יצרן חייב לדווח על פגיעות שמנוצלת בפועל ועל אירוע אבטחה חמור, לפי לוח זמנים מדורג: התרעה מוקדמת תוך 24 שעות, הודעה מלאה תוך 72 שעות, ודוח סופי תוך 14 יום לפגיעות או תוך חודש לאירוע. הדיווח מוגש בפלטפורמת הדיווח הייעודית שמפעילה ENISA, והחובה חלה גם על מוצרים שכבר נמצאים בשוק.

התאריכים של AI Act השתנו?

כן. במסגרת חבילת Digital Omnibus, שאושרה בפרלמנט האירופי ביוני 2026, נדחו מועדי מערכות הסיכון הגבוה: נספח III ליום 2 בדצמבר 2027 ונספח I ליום 2 באוגוסט 2028. חובות אחרות לא נדחו - האיסורים חלים מפברואר 2025, חובות מודלי GPAI מאוגוסט 2025, וחובות השקיפות מאוגוסט 2026.

יש לנו ISO 27001. זה עוזר לנו מול CRA?

מאוד, אבל לא מספיק. התשתית הניהולית קיימת: ניהול נכסים, ניהול שינויים, תהליך טיפול בפגיעויות, תגובה לאירועים ומבדק פנימי. מה שתקנת CRA מוסיפה הוא התמקדות במוצר עצמו לאורך מחזור חייו ובלוח זמנים לדיווח, ושם בדרך כלל נמצא הפער.

מאיפה מתחילים?

ממיפוי. איזה מוצרים נמכרים לאירופה, אילו מהם נושאים רכיבים דיגיטליים, ואילו מערכות AI מעורבות בהם או בתהליכים שמשרתים לקוחות אירופיים. בלי המיפוי הזה אי אפשר לדעת אם מדובר בעבודה של חודשיים או של שנה.

הנוסחים הרשמיים

לפני החלטה כדאי לקרוא את הנוסח המחייב עצמו ולא סיכום שלו:

שני הקישורים מובילים למאגר הרשמי של חקיקת האיחוד. בדף של תקנת AI Act מוצגת גם גרסה מאוחדת שמשקללת את התיקונים שבוצעו מאז הפרסום, והיא הנוסח שכדאי לעבוד מולו.

העמוד הזה הוא סקירה מקצועית ואינו ייעוץ משפטי. המועדים נכונים לנוסחים שפורסמו עד אוקטובר 2026; לפני קבלת החלטה כדאי לאמת אותם מול הנוסח הרשמי ומול יועץ משפטי.

סקר תחולה ראשוני

הצעד הראשון הוא סקר קצר שקובע מה בכלל חל עליכם. כבר בו מתברר אם מדובר בעבודה של חודשיים או של שנה.

romy@romy.co.il 052-3375029