ה תקנת האיחוד האירופי בנושא ראיות אלקטרוניות (EU) 2023/1543 has applied directly across the participating Member States since 18 באוגוסט 2026. For online service providers, this is one of the most significant cross-border compliance shifts since the GDPR. From 18 August 2026, authorities in the participating Member States (all except Denmark) can issue European Production Orders (sent as EPOC certificates) and European Preservation Orders (sent as EPOC-PR certificates) directly to service providers once their national implementation is in place, with binding deadlines measured in hours, not weeks. Most Member States are still completing it: in September 2026 the Commission listed only six as legally ready and only Germany and Ireland as technically ready to receive orders through the system. Until the others are live, orders may arrive through secure alternative channels.
אם הארגון שלכם מציע שירותי תקשורת אלקטרונית, אחסון, ענן, רשתות חברתיות, זירות מסחר, דומיינים או הקצאת כתובות IP למשתמשים באיחוד האירופי, סביר להניח שאתם נכללים בתחום תחולת התקנות — גם אם המטה שלכם ממוקם מחוץ לאיחוד. אי-עמידה בדרישות עלולה לגרור קנסות בסך של עד 2% מהמחזור השנתי העולמי, enforcement by the authorities of the Member State where your designated establishment or legal representative is located, and serious reputational damage.
המדריך המקיף הזה רשימת בדיקה לעמידה בדרישות בנושא ראיות אלקטרוניות walks you through the legal, organisational, technical and operational requirements you should evaluate now, so you can identify gaps, prioritise remediation and be demonstrably ready now that the Regulation applies.
מהי תקנת האיחוד האירופי בנושא ראיות דיגיטליות?
Regulation (EU) 2023/1543 — together with its companion Directive (EU) 2023/1544 — establishes a harmonised legal framework that allows competent judicial authorities in one Member State to obtain electronic evidence directly from service providers established or represented in another Member State. It adds a fast, standardised mechanism designed for the realities of cloud-era investigations alongside the slower European Investigation Order and mutual legal assistance procedures.
התקנה מציגה שני כלים מרכזיים. ה- European Production Order מחייב ספק להציג נתונים אלקטרוניים ספציפיים, בעוד שה- European Preservation Order compels a provider to preserve data pending a follow-up production request or MLA procedure. Both are transmitted through the EU’s decentralised IT system, whose Member State access points use e-CODEX, as standardised certificates (EPOC and EPOC-PR forms). You connect through the national system of the Member State where your addressee is located, either through the web-based interface or through an API based on ETSI TS 104 144. Evidence above 25 MB is delivered by secure alternative means with a hash-protected manifest.
מי נכלל בתחום תחולתו של תקן הראיות האלקטרוניות?
התקנה מכוונת בכוונה תחילה לקהל רחב. סביר להניח שאתה נחשב לספק שירותים מוגדר אם אתה מציע למשתמשים הממוקמים באיחוד האירופי את אחד מהשירותים הבאים:
- שירותי תקשורת אלקטרונית — טלפוניה, העברת הודעות, דואר אלקטרוני, VoIP ותקשורת בין-אישית שאינה תלויה במספר טלפון.
- שירותי שמות מתחם באינטרנט ומספור כתובות IP — מאגרי שמות, רשמים, RIR, שירותי פרטיות/פרוקסי וספקי DNS.
- שירותי חברת המידע שבהן אחסון הנתונים הוא מרכיב מרכזי — רשתות חברתיות, אתרי מסחר מקוונים, כלי שיתוף פעולה ופלטפורמות תוכן.
- ספקי מחשוב ענן ואירוח — IaaS, PaaS, SaaS, אחסון מנוהל ורשתות להפצת תוכן.
חשוב לציין שהיקף המחקר עוקב אחר “מבחן ”הקשר המהותי": if EU users can use your service and you target the EU market (for example through localised pricing, language or marketing), you are in scope regardless of where your corporate entity is registered. Non-EU providers must appoint a legal representative in a Member State where they offer services (Directive (EU) 2023/1544).
ארבע הקטגוריות של ראיות אלקטרוניות
התקנה מבחינה בין ארבע קטגוריות של נתונים, שלכל אחת מהן ספים ואמצעי הגנה שונים. על מאגר הנתונים שלכם ועל תהליכי הגילוי שלכם להיות מסוגלים להבחין ביניהן באופן מדויק:
- נתוני מנויים — זהות, פרטי יצירת קשר, פרטי חיוב וסוג השירות שבו נעשה שימוש.
- נתונים המבוקשים אך ורק לצורך זיהוי המשתמש — IP addresses and, where necessary, source ports and timestamps, requested only to identify a person.
- נתוני תנועה (מלבד קטגוריה 2) — יומני חיבור, חותמות זמן, מקור/יעד, מזהי מכשירים.
- נתוני תוכן — תוכן התקשורת, הקבצים השמורים, ההודעות, התמונות והמסמכים.
ניתן לבקש נתוני מנויים ונתוני זיהוי בכל מקרה של עבירה פלילית. נתוני תעבורה ותוכן שמורים לעבירות שדינן עונש מאסר מרבי של שלוש שנים לפחות, או לרשימה מוגדרת של עבירות חמורות בתחום הפשיעה המקוונת, הטרור והתעללות מינית בילדים. מיפוי אילו מהמערכות שלכם מכילות איזו קטגוריה הוא אחד משלבי ההכנה החשובים ביותר — ולעתים קרובות גם המוזנחים ביותר.
מוכנות משפטית וארגונית
המשימה הראשונה שלך היא משימה פורמלית הערכת היקף. יש לתעד, תוך נימוק, אילו משירותיכם נכללים בתחום תחולת התקנה, אילו ישויות בקבוצתכם יקבלו הזמנות, ואילו מדינות חברות ישמשו כ“מדינות האכיפה” שלכם. הערכה זו צריכה להיות מאושרת על ידי היועץ המשפטי הראשי או ממונה הגנת המידע שלכם, ולהיבחן מחדש מדי שנה.
Next, designate one of your own EU establishments as the מפעל מוסמך (if you are established in the EU) or appoint a נציג משפטי in a Member State where you offer services (if you are not), and register them with the competent national authority. In Germany, this is the המשרד הפדרלי לצדק (BfJ); other Member States have equivalent designated authorities. Registration is not a formality — it is the legal address where all orders are served, and in Germany failing to notify, or notifying incorrect details, can be fined up to €500,000.
- למנות אדם מסוים מנהל תחום תאימות ראיות דיגיטליות בעל סמכויות חוצות-תחומים על מחלקות המשפט, האבטחה, ההנדסה והתפעול.
- לבנות או לשמר מומחיות משפטית capable of assessing each incoming order for formal defects, immunities or privileges to flag on the Annex III form, possible third-country conflicts (Article 17), and, if enforcement proceedings are started, the objection grounds in Article 16(4), points (a) to (f) (Article 16(5) for preservation orders).
- Build a workflow that recognises EPOCs notified to the enforcing State (traffic and content data) and handles their different timing: transmission at the end of the 10-day window unless a ground for refusal is raised. Integrate it with your case-management tooling.
- Document how you keep orders confidential from the affected user, and how you inform controllers when you act as a processor (Article 5(7)).
- עדכון תנאי שימוש, הודעות פרטיות והנחיות לאכיפת החוק כדי לשקף את המסגרת החדשה.
דרישות תשתית טכנית
Compliance is impossible without the right technical foundations. Service providers must receive, validate and respond to orders through the EU’s decentralised IT system (e-CODEX-based), accessed via their Member State’s national system — the workflow that purpose-built tooling such as the פלטפורמת ICS לציות בתחום הראיות האלקטרוניות supports, using the standardised EPOC and EPOC-PR certificates. Manual email or fax-based workflows will not meet the regulatory deadlines.
- ממשק קבלה מאובטח — an authenticated connection to your Member State’s national system (the web-based interface or an API based on ETSI TS 104 144) to receive, acknowledge and time-stamp every order.
- אימות זהות וסדר — בדיקות אוטומטיות של חתימות דיגיטליות, אישורי סמכות הנפקה, תקינות האישורים והתאמת הקטגוריות.
- איתור וחילוץ נתונים — כלים המסוגלים לאתר נתוני מנויים, זיהוי, תעבורה ותוכן בכל המערכות הרלוונטיות בתוך שעות ספורות, ולא ימים.
- Standardised delivery — delivery through the decentralised IT system (web interface or API) or, where that is not possible, by secure alternative means, with integrity hashes and in formats the issuing authority can process.
- ערוצי העברה מוצפנים — encrypted transmission of evidence to the requesting authority through the decentralised IT system, with verifiable receipt (evidence above 25 MB goes by secure alternative means with a hash-protected manifest).
- תיעוד ביקורת המעיד על חבלה — יומנים חתומים קריפטוגרפית של כל פעולה, מהקליטה ועד המסירה, התומכים בשלמות הראיות ובביקורת בדיעבד.
- עמידות וזמינות גבוהה — תשתית יתירה המסוגלת לעמוד בדרישת זמן התגובה למקרי חירום של 8 שעות, 24 שעות ביממה, 7 ימים בשבוע, 365 ימים בשנה.
- בקרות לצמצום נתונים והגבלת המטרה — תוך הקפדה על חשיפת מידע רק בהתאם להוראות הספציפיות, בהתאם לסעיף 5 לתקנת ה-GDPR.
תהליכים תפעוליים וזמני תגובה
התקנה מטילה מועדי תגובה קפדניים ובלתי ניתנים למשא ומתן אלה הם הגורמים שצריכים להנחות את עיצוב המודל התפעולי שלכם:
- הזמנות ייצור סטנדרטיות: יש להעביר את הנתונים בתוך 10 ימים עם קבלתו.
- הזמנות ייצור דחופות: במקרים של סכנה מיידית לחיים, לשלמות הגופנית או לתשתיות חיוניות, יש להעביר את הנתונים בתוך 8 שעות.
- צווי שימור: יש לשמור את הנתונים למשך 60 יום, הניתן להארכה ב-30 ימים נוספים, עד להגשת צו גילוי מסמכים או בקשת סיוע משפטי.
עמידה בלוחות הזמנים הללו דורשת יותר מסתם טכנולוגיה — היא מחייבת תהליכים מתורגלים ומתועדים היטב. מדריך התפעול שלכם צריך לכלול:
- קבלת מטופלים ומיון 24 שעות ביממה, 7 ימים בשבוע עם נציגים משפטיים והנדסיים תורנים שנקבעו מראש.
- סיווג חומרה הבחנה בין צווי חירום, צווים רגילים וצווי שימור.
- מסלולי הסלמה במקרים שבהם הצו מעורר חששות בנוגע לזכויות יסוד, חסינות, חופש העיתונות, או כאשר נראה כי הרשות המנפיקה פועלת חריגה מסמכות.
- בקרת איכות בביקורת כפולה לפני שהנתונים עוזבים את הסביבה שלכם.
- מעקב אחר החזר הוצאות כאשר החוק הלאומי מאפשר החזר הוצאות בגין עמידה בדרישות.
- תרגילים תיאורטיים ביצוע תרגילים המדמים מצבי חירום לפחות פעמיים בשנה.
- הכשרה מתמשכת לצוותים המשפטיים, האבטחה, תמיכת הלקוחות וההנדסה שעשויים להיתקל בהזמנות.
עילות לסירוב והגנה על המשתמש
The Regulation is not a blank cheque for issuing authorities. Where notified, the enforcing authority has specific, limited grounds to refuse an order, including manifest infringements of the Charter of Fundamental Rights and immunities and privileges under its law. Service providers themselves flag immunities, privileges and formal defects on the Annex III form, raise conflicts with the law of a third country through a reasoned objection (the so-called Article 17 review), and can object to enforcement only on the grounds in Article 16(4)(a)–(f) or 16(5)(a)–(e). Building the legal capacity to identify and invoke these grounds quickly is critical, both to protect your users and to limit your own liability.
הקשר בין תקנות ה-GDPR, NIS2 ו-DSA
ראיות אלקטרוניות אינן קיימות במנותק. הגילוי חייב להישאר תואם ל- התקנה הכללית להגנה על מידע (GDPR) (חוקיות, צמצום, תיעוד העיבוד וחובות ה-DPIA), ה- הנחיית NIS2 (incident handling and security of network and information systems) and, for intermediary service providers (other than micro and small enterprises), the חוק השירותים הדיגיטליים (transparency reporting on orders from authorities). Your compliance programme should treat e-Evidence as an additional layer woven into existing privacy, security and transparency frameworks rather than a stand-alone silo.
עונשים בגין אי-עמידה בדרישות
Member States are required to impose effective, proportionate and dissuasive penalties for breaches of the Regulation. Article 15 requires Member States to make pecuniary penalties of up to 21% מהמחזור השנתי הכולל של הספק ברחבי העולם in the preceding financial year available. In Germany, for example, fines reach €500,000, or up to 2% of turnover for providers with turnover above €25 million. Beyond fines, repeated or systemic failures can result in court orders, reputational damage, customer churn, and — for regulated sectors — knock-on consequences for licences and authorisations.
A Practical 6-Month Remediation Roadmap
- חודשים 1–2 — גילוי והערכת פערים. לאשר את היקף הפעילות, למפות את הנתונים, לבצע ביקורת על תהליכי אכיפת החוק הקיימים, ולהשוות אותם לדרישות התקנה.
- חודשים 2–3 — יסודות משפטיים. יש למנות נציג או גוף מייצג, להירשם אצל הרשות הלאומית, לגבש את המדיניות ולעדכן את החוזים.
- חודשים 3–4 — פיתוח טכני. Connect to your Member State’s national system (web-based interface or ETSI TS 104 144 API), implement validation, extraction and delivery tooling, harden audit logging.
- חודשים 4–5 — מוכנות מבצעית. לגייס ולהכשיר את צוות התגובה, לסיים את גיבוש תוכנית הפעולה, לערוך תרגילים תיאורטיים ותרגילי חירום.
- חודש 6 — ביטחון. Independent compliance audit, board-level sign-off and a go-live rehearsal.
שאלות נפוצות
למידע מפורט יותר, ראו את העמוד הייעודי שלנו שאלות נפוצות בנושא ראיות דיגיטליות.
מתי חלה תקנת האיחוד האירופי בנושא ראיות אלקטרוניות?
Regulation (EU) 2023/1543 has applied directly in all participating EU Member States (all except Denmark) since 18 באוגוסט 2026. There is no further national transposition required for the Regulation itself, although the accompanying Directive (EU) 2023/1544 had to be transposed into national law by 18 February 2026, and many Member States were late.
האם התקנה חלה על נותני שירותים שאינם מהאיחוד האירופי?
כן. כל ספק המציע שירותים באיחוד האירופי נכלל בהוראות אלה, ללא תלות במקום שבו הוא פועל. ספקים שאינם מהאיחוד האירופי חייבים למנות נציג משפטי במדינה חברה כדי לקבל הזמנות ולפעול לפיהן.
מה יקרה אם לא אעמוד במועד של 8 השעות למקרי חירום?
אי עמידה במועד עלולה להוביל לצעדי אכיפה מצד הרשות המוסמכת במדינת האכיפה, לרבות קנסות מנהליים בגובה של עד 21% מהמחזור השנתי העולמי. מאמצים מתועדים והולמים לעמידה בדרישות — וכן ראיות ברורות לסיבת העיכוב — חיוניים לצמצום החשיפה.
האם אני יכול להודיע למשתמשים כאשר מתבקשים הנתונים שלהם?
No. For a European Production Order, the EPOC states that the addressee must not inform the person whose data are requested. The issuing authority informs them, and it may delay doing so. If you process the data on behalf of another company (as a processor), you must inform that controller unless the order tells you not to.
איך ICS יכולה לעזור לכם להתכונן
אם אינכם יכולים לשמור על מוכנות 24/7 באופן פנימי, או אם אתם פשוט מעוניינים באישור חיצוני שהתוכנית שלכם תעמוד בבדיקה קפדנית, ICS מספקת שירות מלא שירות להערכת תאימות בתחום הראיות האלקטרוניות וניהול תפעול. We help you map your scope, close legal and technical gaps, connect to the decentralised IT system, train your response team and, for providers established outside the EU, act as your appointed legal representative.
צרו קשר עם ICS עוד היום לקביעת מועד להערכת המוכנות שלכם לניהול ראיות אלקטרוניות and put a clear, defensible remediation plan in place.
