סיווג רמת סיכון תחת תיקון 13: המדריך התפעולי — לא המשפטי

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. החוק קובע ארבע רמות סיווג של מאגרי מידע, מחייב בקרות שונות לכל רמה, ומאפשר לרשות להגנת הפרטיות להטיל עיצומים של מאות אלפי שקלים ויותר על אי-עמידה בדרישות.

מה שהחוק לא אומר — ומה שהמדריך המקצועי של הרשות לא אומר — זה איזו טכנולוגיה צריך להטמיע בפועל.

המדריך הזה ממלא את החלל הזה. לא נסביר מה החוק אומר — את זה כבר עשו עורכי הדין. נסביר איך לסווג את רמת הסיכון של המידע שלך, מה זה אומר בפועל מבחינת מה שצריך להטמיע בארגון, ומתי מותר לא להטמיע — בתנאי שיש לכך הצדקה תפעולית מתועדת.

המדריך מיועד לבעלי עסקים קטנים ובינוניים שמנסים להבין במה הם נדרשים לעמוד, ל-CISO וממוני הגנת פרטיות שמחפשים מסגרת תפעולית סדורה, ו-MSP/MSSP שמייעצים ללקוחותיהם על תיקון 13 ולעיתים מסתבכים באותה שאלה בעצמם.

למה ה"מה" של החוק אינו ה"איך"

החוק כתוב בשפה משפטית. הוא דורש "בקרות הולמות לרמת הסיכון של המאגר". מה זה אומר?

עורך דין יגיד לך שזה תלוי. רגולטור יגיד לך "ראה תקנות 5777-2017". יועץ פרטיות יגיד לך לעשות סקר סיכונים. אף אחד מהם לא יגיד לך — תטמיע EDR, MFA, אבטחת מייל, גיבוי חיצוני, ומדיניות הרשאות מתועדת. כי זה לא תפקידם, וזה לא מקצועם.

זה תפקיד המומחה התפעולי — ה-MSSP, ה-CISO, או מי שאחראי בארגון על להמיר דרישה רגולטורית למערכת עובדת. וזה החלק שבו רוב הארגונים נתקעים.

ב-Fortress, אנחנו עוסקים בדיוק בתרגום הזה. צוות שלנו — מומחי GRC, סייבר, SOC ו-MDR — בנה מתודולוגיה תפעולית לסיווג מאגרים, מיפוי הבקרות הנדרשות, וקביעה איזו טכנולוגיה ריאלית לארגון בכל רמה. במדריך הזה נציג את המתודולוגיה הזו במלואה.

ארבע רמות הסיווג — מה הן אומרות בפועל

תקנות הגנת הפרטיות (אבטחת מידע) 5777-2017 מגדירות ארבע רמות אבטחה:

רמת אבטחה למאגר המנוהל בידי יחיד. מאגר המנוהל על-ידי אדם אחד ועד שני עוזרים. בקרות בסיסיות, חובת תיעוד מינימלית. דוגמה: רופאת שיניים עצמאית שמנהלת לבד את רשימת המטופלים שלה.

רמת אבטחה בסיסית. מאגר רגיל של עסק קטן עם מידע אישי שאינו רגיש במיוחד. נדרשים: נוהל אבטחת מידע מתועד, הגנת נקודות קצה, אימות רב-שלבי, ניהול הרשאות, הדרכת עובדים בסיסית, גיבוי. דוגמה: משרד עורכי דין של 8 אנשים שמנהל מערכת CRM.

רמת אבטחה בינונית. מאגר עם מידע בעל רגישות מיוחדת, או מאגר רגיל עם מעל 5,000 נושאי מידע. נדרשים: כל הבקרות של הרמה הבסיסית, בתוספת SIEM, שמירת לוגים ל-24 חודש, ניהול חולשות, בדיקות תקופתיות, מסמך הגדרות מאגר. דוגמה: קופת חולים פרטית קטנה.

רמת אבטחה גבוהה. מאגר עם מידע בעל רגישות מיוחדת בהיקפים גדולים, או מאגר עם נושאי מידע רבים. נדרשים: כל הבקרות של הרמה הבינונית, בתוספת בדיקות חדירות חיצוניות אחת ל-18 חודש, SOC פעיל 24/7, סקר סיכונים, בקרת ספקים מתועדת. דוגמה: בית חולים, חברת ביטוח, בנק.

הבעיה: התקנות אומרות מה צריך, לא איך להטמיע. וגם לא אומרות מה לעשות כשארגון קטן לא יכול להטמיע SOC 24/7 על-פי דרישות הרמה הגבוהה.

מסגרת הסיווג של Fortress — שלוש שאלות לסיווג מדויק

הסיווג הנכון של מאגר מתחיל בשלוש שאלות, ובסדר הזה:

שאלה ראשונה: אילו סוגי מידע יש במאגר?

תיקון 13 מגדיר 12 קטגוריות של "מידע בעל רגישות מיוחדת" שגורמות להסלמה אוטומטית של רמת הסיכון, ללא קשר לגודל המאגר. הקטגוריות:

1. צנעת חיי המשפחה, צנעת אישות, נטייה מינית
2. מידע על מצב בריאותי (כולל מידע רפואי לפי חוק זכויות החולה)
3. מידע גנטי
4. מזהים ביומטריים המשמשים לזיהוי או אימות ממוחשב
5. מידע על מוצא של אדם
6. עבר פלילי
7. דעות פוליטיות, אמונות דתיות, השקפת עולם
8. הערכות אישיות מקצועיות (כולל הערכת יכולת שכלית או תפקוד בעבודה)
9. נתוני שכר ופעילות פיננסית
10. נתוני מיקום ותעבורה ממפעיל תקשורת מורשה
11. מיקום של אדם שמלמד על אחת מהקטגוריות לעיל
12. מידע שחלה עליו חובת סודיות בדין

הימצאות קטגוריה אחת מאלה במאגר מסלימה את רמת הסיכון אוטומטית.

הערה חשובה: "מידע על קטינים" לא מופיע ברשימה הזו. זוהי טעות נפוצה בחומרים הזמינים ברשת. החוק מתייחס לקטינים בהקשרים אחרים, אך לא כקטגוריה בפני עצמה של רגישות מיוחדת.

שאלה שנייה: כמה נושאי מידע יש במאגר?

נושא מידע הוא אדם, לא רשומה. אדם אחד עם 50 רשומות במאגר ספירת לקוחות הוא נושא מידע אחד, לא 50.

ספי הספירה:

• עד 100,000 נושאים, מאגר המכיל רק שם, מען ודרכי התקשרות — לא נחשב מאגר מידע על-פי החוק. תיקון 13 קבע פטור מפורש למאגר ש"רזה" ביותר.
• מעל 5,000 נושאים בצירוף מידע אישי בסיסי — סף להעלאה לרמה בינונית.
• מעל 100,000 נושאים בעלי מידע רגיש במיוחד — חובת הודעה לרשות תוך 30 יום (גם אם המאגר לא חייב ברישום).
• מעל מיליון נושאים — כל סכומי העיצומים מוכפלים אוטומטית.

שאלה שלישית: מי מנהל את המאגר?

מאגר המנוהל על-ידי אדם אחד ועד שניים נוספים נופל לרמת "יחיד" — בקרות מינימליות אך חובת תיעוד קיימת. מאגר המנוהל בארגון מובנה נופל לרמה הבסיסית או למעלה ממנה, לפי השאלות הקודמות.

דוגמה תפעולית: סיווג של שלושה ארגונים

ארגון א': משרד עורכי דין של 25 אנשים. מנהל מערכת CRM עם פרטי לקוחות, חשבונות, ותיקים פעילים. סך נושאי המידע: 8,000.

• שאלה 1 — סוגי מידע: שם, מען, דרכי התקשרות, ייתכן מידע פיננסי בסיסי. לא רגישות מיוחדת.
• שאלה 2 — היקף: 8,000 נושאים.
• שאלה 3 — ניהול: ארגון מובנה, לא יחיד.

תוצאה: רמת אבטחה בינונית (סף 5,000 נחצה).

ארגון ב': מרפאה משפחתית עם 6 רופאים. מערכת ניהול מטופלים. סך נושאי המידע: 3,500.

• שאלה 1 — סוגי מידע: מידע רפואי. כן רגישות מיוחדת (קטגוריה 2).
• שאלה 2 — היקף: 3,500 נושאים.
• שאלה 3 — ניהול: ארגון מובנה.

תוצאה: רמת אבטחה גבוהה. הסלמה אוטומטית בגלל קטגוריית מידע רפואי.

ארגון ג': בעלת קליניקה פרטית עצמאית, יוגה תרפיסטית. מנהלת לבד רשימה של 200 מטופלים, עם פרטי קשר ורשימת מפגשים.

• שאלה 1 — סוגי מידע: שמות, פרטי קשר, מועדי טיפול. ייתכן מידע על מצב בריאותי כללי.
• שאלה 2 — היקף: 200 נושאים.
• שאלה 3 — ניהול: יחיד.

תוצאה: מאגר המנוהל בידי יחיד + הסלמה לבינונית בגלל הקטגוריה הרפואית.

שלושה ארגונים, שלוש רמות שונות. אותה מסגרת.

מיפוי בקרות — מה כל רמה דורשת בפועל

כאן מתחיל החלק שאף אחד לא נותן לך תשובות עליו. הטבלה הבאה מתרגמת את הדרישות הרגולטוריות לקטגוריות טכנולוגיה אופרטיביות.

רמת יחיד. הגנת נקודת קצה בסיסית. סיסמה חזקה ואימות רב-שלבי לשירותי ענן. גיבוי קבוע (חודשי לפחות). תיעוד פעולות עיבוד בסיסי. ללא דרישה ל-SIEM, SOC, או ניהול חולשות פורמלי.

רמת אבטחה בסיסית. כל הבקרות לעיל, בנוסף ל:

• מסמך הגדרות מאגר מתועד (תקנה 2)
• נוהל אבטחת מידע כתוב (תקנה 4)
• ניהול הרשאות מתועד עם בקרת גישה (תקנות 8-9)
• מנגנון תיעוד גישה לפי הרשאות (תקנה 10)
• אבטחת חיבור רשת בסיסית (תקנה 14)
• הדרכת עובדים ראשונית (תקנה 7)
• תיעוד אירועי אבטחת מידע (תקנה 11)

קטגוריות טכנולוגיה ריאליות לרמה הבסיסית: EPP (Endpoint Protection), MFA על כל המערכות העסקיות, אבטחת מייל בסיסית, ניהול גיבוי מקצועי, פתרון בקרת זהויות פשוט. הוצאה חודשית טיפוסית: ₪50-150 לנקודת קצה.

רמת אבטחה בינונית. כל הבקרות לעיל, בנוסף ל:

• SIEM פעיל לאיסוף וקורלציה של לוגים (תקנה 11)
• שמירת לוגים ל-24 חודש (תקנות 17-18)
• מנגנון ניהול חולשות מתועד (תקנה 13)
• בדיקת מידע עודף תקופתית (תקנה 2)
• ביקורת תקופתית פנימית (תקנה 16)
• הדרכה תקופתית של עובדים (לא רק ראשונית)
• בקרה ופיקוח על ספקי שירות חיצוניים (תקנה 15)

קטגוריות טכנולוגיה ריאליות לרמה הבינונית: כל הבסיסית, בנוסף ל-SIEM (יכול להיות מנוהל), פתרון MDR בסיסי, סורק חולשות אוטומטי, מערכת ניהול ספקים. הוצאה חודשית טיפוסית: ₪150-400 לנקודת קצה.

רמת אבטחה גבוהה. כל הבקרות לעיל, בנוסף ל:

• סקר סיכונים מקיף תקופתי (תקנה 5)
• מבדקי חדירות חיצוניים אחת ל-18 חודש (תקנה 5)
• דיווח לרשות על אירועי אבטחה חמורים תוך 72 שעות (תקנה 11)
• SOC פעיל 24/7 לניטור (משתמע מהשילוב של דרישות SIEM + תגובה לאירועים)
• ביקורת חיצונית עצמאית

קטגוריות טכנולוגיה ריאליות לרמה הגבוהה: כל הבינונית, בנוסף ל-SOC מנוהל 24/7, MDR מלא עם תגובה אוטומטית, DLP, פתרון IRM/DRM למידע רגיש, מערכת ניהול אירועי סייבר (IR), ביצוע pen-test תקופתי. הוצאה חודשית טיפוסית: ₪400-1,200 לנקודת קצה.

האמת התפעולית — SMBs לא יכולים להטמיע הכל

עכשיו לחלק שאף יועץ ציות לא יגיד לך בקול רם.

מרפאת המשפחה שדיברנו עליה — 6 רופאים, סווגה כרמה גבוהה — לא יכולה ריאלית להפעיל SOC פנימי 24/7. אין לה תקציב, כוח אדם, או מומחיות. אם החוק דורש SOC ניטור והארגון לא יכול להטמיע אותו פנימית, מה עושים?

התשובה היא לא "מפרים את החוק". התשובה היא:

אופציה 1: outsourcing למתן שירות מנוהל. SOC כשירות, MDR כשירות, vCISO כשירות. הדרישה הרגולטורית מתקיימת — הבקרה פעילה — אבל לא צריך לבנות אותה פנימית. זה הקייס הקלאסי שבו ארגון משלם חודשי במקום להעסיק 5 אנשי אבטחה.

אופציה 2: בקרות מפצות (Compensating Controls). במקרה חריג שבו טכנולוגיה ספציפית אינה ישימה, ניתן לתעד בקרה חלופית שמגיעה לאותה תכלית. דוגמה: ארגון שלא יכול להטמיע DLP מלא יכול לתעד נוהל הרשאות מחמיר ובקרת גישה מבוססת תפקיד. זה לא תחליף לטווח ארוך אבל לעיתים הכרחי כשלב ביניים. הבקרה המפצה חייבת להיות מתועדת, מבוקרת, ומבוצעת בפועל.

אופציה 3: צמצום היקף. ארגון יכול לבחור להוריד את רמת הסיווג של המאגר על-ידי הסרת קטגוריות מידע רגיש שאינן הכרחיות. דוגמה: עסק שאוסף תאריך לידה גם כשאינו זקוק לו — מסיר את השדה ומוריד את רמת הסיכון של המאגר. הסרת מידע עודף היא לא רק חיסכון תפעולי, היא דרישה רגולטורית בפני עצמה (תקנה 2).

החוק לא דורש מסט"ארטאפ של 10 אנשים להפעיל SOC ארגוני. הוא דורש שהבקרה הרלוונטית תהיה פעילה. איך — זה החלטה תפעולית.

השירותים הניתנים כ-Managed Services

אצל Fortress הגישה היא: כל בקרה רגולטורית יכולה להינתן כשירות מנוהל. החלק הקשה הוא להחליט מה הארגון צריך לקנות כשירות, ומה הוא יכול לבנות לבד.

vCISO כשירות. ממונה הגנת פרטיות / CISO חיצוני, פעיל באופן חלקי. מתאים לארגון שחייב למנות DPO על-פי תיקון 13 (סעיף 17ב1) אבל אינו זקוק ל-CISO במשרה מלאה. עלות טיפוסית: ₪3,000-15,000 לחודש בהתאם להיקף.

GRC כשירות. הכנת המסמכים שהחוק דורש — מסמך הגדרות מאגר, נוהל אבטחת מידע, מסמכי הסכמה, נהלי טיפול בפניות נושאי מידע. בקרה תקופתית על עמידה. מתאים לכל רמת סיווג. עלות טיפוסית: ₪2,000-10,000 לחודש.

SOC כשירות. ניטור לוגים 24/7, זיהוי אירועים, תגובה ראשונית. מחליף בניית SOC פנימי. מתאים לרמה בינונית ומעלה. עלות טיפוסית: ₪50-200 לנקודת קצה לחודש בהתאם להיקף.

MDR כשירות. ניטור פעיל + תגובה אוטומטית + תיעוד מלא. שילוב של טכנולוגיה ואנליסטים. מתאים לרמה בינונית ומעלה. עלות טיפוסית: ₪80-300 לנקודת קצה לחודש.

TPRM כשירות. ניהול סיכוני ספקים — ביצוע בדיקות תקופתיות על ספקים חיצוניים שמעבדים מידע, תיעוד הסכמים, ניטור הפרות בצד הספק. מתאים לארגונים עם 5+ ספקי שירות. עלות טיפוסית: ₪1,500-5,000 לחודש.

חלק מהשירותים האלה מנוהלים אצלנו על-ידי בני אדם. חלק על-ידי AI Agents שמבצעים את העבודה הריפטטיבית באוטומציה (סיווג ראשוני של אירועים, בדיקות תאימות בסיסיות, איסוף ראיות לאודיט). זה משלב — לא תחליף.

ה-MSP/MSSP — האדם שמספק לך את זה

רוב בעלי העסקים הקטנים והבינוניים אינם רוכשים את השירותים האלה ישירות מ-Fortress או מספק טכנולוגיה בודד. הם רוכשים אותם מספק שירותי IT וסייבר — MSP או MSSP — שמנהל את כל הסביבה הטכנולוגית שלהם.

עבור MSPs המתמודדים עם תיקון 13, האתגר כפול: גם להבין מה הלקוח שלהם צריך, וגם להיות מסוגלים לספק את זה כשירות. רוב ה-MSPs אינם מומחי סייבר — הם מומחי IT כללי. כלים כמו Fortress (פלטפורמת Channel Enablement OS) מאפשרים ל-MSP להפעיל את כל סל השירותים האלה — vCISO, GRC, SOC, MDR, TPRM — תחת המותג שלו, ללא צורך להעסיק צוות סייבר פנימי.

זה הקייס הקלאסי שבו ה-MSP אינו מתחרה עם פלטפורמת ה-Channel Enablement, אלא משתמש בה כדי להעניק שירות עמוק יותר ללקוחותיו.

חמש טעויות סיווג נפוצות

מתוך מאות הערכות שביצענו, אלה החמש הטעויות שכמעט כל ארגון עושה לפני שמייצרים סיווג מסודר:

1. "אין לי מאגר מידע." "יש לי רק טופס יצירת קשר באתר." טופס יצירת קשר שאוסף שם, מייל וטלפון של 100 אנשים בחודש — הוא מאגר מידע. אם הוא נשמר במערכת חיצונית, הוא מאגר. אם הוא נשלח למייל ונשמר שם, הוא עדיין מאגר.

2. החמצת הסלמה לפי קטגוריה רגישה. מאגר עם 1,000 לקוחות נחשב לעיתים "קטן" — עד שמגלים שאחת השאלות בטופס ההזמנה היא "מצב משפחתי" או "מין". זה מספיק כדי להסלים את הסיווג.

3. ספירת רשומות במקום נושאי מידע. מאגר מכירות עם 100,000 רשומות שמכיל מידע על 8,000 לקוחות חוזרים — הוא 8,000 נושאי מידע, לא 100,000.

4. שכחת מאגר העובדים. ארגונים זוכרים את מאגר הלקוחות אבל שוכחים שמאגר משכורות + רשומות משאבי אנוש הוא בעצמו מאגר נפרד, ולעיתים ברמה גבוהה יותר בגלל מידע פיננסי וייתכן רפואי.

5. ההנחה ש"לא חייב ברישום = לא חייב לעמוד בחוק". תיקון 13 צמצם את חובת הרישום דרמטית. רוב המאגרים אינם חייבים יותר ברישום. אבל זה לא משחרר אותם מקיום כל שאר חובות החוק — מסמך הגדרות מאגר, נוהל אבטחת מידע, בקרות תקנה 5777-2017, חובת היידוע, וזכויות נושאי המידע. אי-רישום אינו פטור מציות.

שאלות נפוצות

איך אדע אם המאגר שלי דורש הודעה לרשות לפי סעיף 8א(ב)?

חובת הודעה (לא רישום) חלה על מאגרים עם מעל 100,000 נושאי מידע בעלי רגישות מיוחדת, גם אם המאגר עצמו לא חייב ברישום. אם יש לך מאגר כזה, יש להודיע לרשות תוך 30 יום מהתקיימות התנאי.

האם ממונה אבטחת מידע ו-DPO זה אותו אדם?

לא. ברוב המקרים אסור. הם שני תפקידים שונים מהותית. ה-DPO ממוקד בעמידה בחוק והגנת הפרטיות. ממונה האבטחה (CISO) ממוקד בטכנולוגיית האבטחה ונושא באחריות אישית לפי סעיף 17ב. רק במקרים חריגים מאוד ניתן לאחד את התפקידים, ובדרך כלל זה לא מומלץ.

אם אני עסק זעיר עם מחזור של 3 מיליון ₪, האם העיצומים חלים עליי במלואם?

לא. תיקון 13 קבע תקרות מיוחדות לעסקים קטנים (מחזור 4-10 מיליון ₪) וזעירים (מחזור עד 4 מיליון ₪). בכל מקרה, עיצום כספי כולל לא יעלה על 5% מהמחזור השנתי.

מה ההבדל בין "בעל מאגר" ל"בעל שליטה במאגר"?

המונח הישן "בעל מאגר" בוטל בתיקון 13 והוחלף ב"בעל שליטה במאגר מידע" — בהתאמה לדיני GDPR. בעל שליטה הוא הארגון (לא אדם פרטי) שקובע את מטרת עיבוד המידע. זה משחק תפקיד גם לעניין אחריות וגם לעניין מי שעל-פי חוק נדרש למנות DPO.

מה ההבדל בין רישום, הודעה, ופטור?

שלוש קטגוריות נפרדות:

• חובת רישום: מאגרים של גופים ציבוריים, ומאגרים שמטרתם העיקרית מסחר במידע אישי עם מעל 10,000 נושאים.
• חובת הודעה: מאגרים עם מעל 100,000 נושאי מידע בעלי רגישות מיוחדת שאינם חייבים ברישום.
• פטור מלא: מאגר אישי שאינו למטרות עסק, או מאגר רזה (שם + כתובת + פרטי קשר בלבד) עם פחות מ-100,000 נושאים.

אם אני מתחיל עכשיו לעמוד בחוק — ב-2026 — האם אני יכול לקבל הקלות?

כן. תיקון 13 קובע מנגנון הפחתת עיצומים של עד 70% במצטבר. הגורמים העיקריים: אין הפרה קודמת (10%-20%), הפסקה ודיווח עצמי על הפרה (30%), נקיטת פעולות תיקון (20%), מינוי DPO אם רלוונטי (10%). בנוסף, יש תקרות מיוחדות לעסקים קטנים וזעירים. הגישה הפרואקטיבית — להגיע לעמידה בחוק לפני אכיפה — שווה כסף ממשי.

האם אני יכול לבחור בעצמי את רמת הסיווג של המאגר שלי, או שזה ייקבע על-ידי הרשות?

הסיווג הוא אחריות בעל השליטה במאגר. הרשות לא קובעת אותו מראש. אבל אם הסיווג שגוי — למשל, ארגון סיווג כרמה בסיסית מאגר שכלל לפי החוק להיות ברמה גבוהה — וקורית הפרה, הרשות תקבע את הסיווג בדיעבד ותחשב את העיצום על-פיו. סיווג שגוי "כלפי מטה" אינו הגנה.

אילו מסמכים אני חייב להחזיק לבדיקה?

המינימום בכל רמה: מסמך הגדרות מאגר (תקנה 2), נוהל אבטחת מידע (תקנה 4 — חובה ברמה הבסיסית ומעלה), הסכמי סודיות עם עובדים וספקים, רישום הרשאות גישה, ותיעוד אירועי אבטחת מידע. ברמה הגבוהה: גם תוצאות סקר סיכונים, דוחות בדיקות חדירות, ופרוטוקולים של ביקורת תקופתית.

סיכום

תיקון 13 מציב את הארגון בפני שאלה תפעולית פשוטה: באיזו רמת סיווג אני, ומה אני צריך לעשות בפועל בכל רמה.

המסגרת לסיווג נכון: סוגי מידע ← היקף נושאים ← אופן ניהול. הסלמה אוטומטית בנוכחות אחת מ-12 קטגוריות הרגישות המיוחדות.

המסגרת לבחירת טכנולוגיה: מיפוי הבקרות הרגולטוריות לקטגוריות תפעוליות, החלטה איזה מהן לבנות פנימית ואיזה לקנות כשירות, ותיעוד בקרות מפצות כשהטמעה מלאה אינה ישימה.

המסגרת לקיום החוק: בקרות פעילות > חתימות על מסמכים. הרשות בודקת מה קיים בפועל, לא מה כתוב בנייר.

אם אתה לא בטוח באיזו רמה אתה — או איזה שילוב של בקרות פנימיות ושירותים מנוהלים מתאים לארגון שלך — ההערכה האינטראקטיבית של Fortress לתיקון 13 מסווגת את המאגרים שלך, מזהה את הפערים, ובונה תוכנית עבודה מותאמת. שלוש דקות, בחינם, ללא צורך להירשם מראש.