Keamanan siber kini bukan hanya persoalan teknis, tetapi juga bagian dari kepatuhan terhadap regulasi. Bagi penyelenggara yang berada dalam pengaturan dan pengawasan Bank Indonesia, penerapan Keamanan dan Ketahanan Siber (KKS) menjadi kewajiban yang perlu dikelola secara serius.
Melalui Peraturan Bank Indonesia (PBI) Nomor 2 Tahun 2024, Bank Indonesia mengatur tata kelola, pencegahan, penanganan, pengawasan, hingga kolaborasi terkait keamanan siber.
Tidak memenuhi ketentuan tersebut dapat meningkatkan risiko operasional, reputasi, dan pengawasan regulator. Bahkan, untuk pelanggaran tertentu terkait kewajiban pelaporan, terdapat sanksi PBI 2/2024 yang dapat memengaruhi keberlangsungan kegiatan organisasi.
Apa yang Diatur dalam PBI 2/2024?
PBI 2/2024 mengatur penerapan KKS bagi penyelenggara yang berada dalam lingkup pengaturan dan pengawasan Bank Indonesia, termasuk penyelenggara jasa pembayaran dan pihak lain sesuai cakupan regulasi.
Penerapan KKS mencakup beberapa area utama, seperti:
tata kelola keamanan dan ketahanan siber;
manajemen risiko siber;
perlindungan aset dan data;
pengelolaan kerentanan;
deteksi dan penanganan insiden;
keberlangsungan layanan;
audit KKS;
penilaian tingkat kematangan; serta
pelaporan kepada Bank Indonesia.
Organisasi karena itu tidak cukup hanya memiliki firewall, antivirus, atau perangkat keamanan. Compliance keamanan siber juga membutuhkan kebijakan, prosedur, pengendalian, pengujian, dokumentasi, serta bukti penerapan yang dapat diverifikasi.
Untuk memahami cakupan auditnya lebih lanjut, baca juga Audit KKS PBI 2/2024: Panduan Audit Keamanan dan Ketahanan Siber.
Apa Sanksi PBI 2/2024?
PBI 2/2024 mengatur sanksi administratif atas pelanggaran terhadap kewajiban penyampaian laporan tertentu kepada Bank Indonesia.
Berdasarkan Pasal 55 PBI 2/2024, bentuk sanksi dapat berupa:
1. Teguran
Penyelenggara dapat memperoleh teguran tertulis apabila tidak memenuhi kewajiban sebagaimana diatur dalam regulasi.
Teguran perlu dipandang serius karena dapat menunjukkan adanya kelemahan dalam proses kepatuhan dan kesiapan organisasi dalam memenuhi ketentuan regulator.
2. Kewajiban Membayar
Regulasi juga memungkinkan pemberian sanksi berupa kewajiban membayar paling banyak Rp5 juta untuk setiap laporan.
Istilah yang digunakan dalam regulasi adalah “kewajiban membayar”, meskipun dalam pencarian umum sering disebut sebagai denda PBI 2/2024.
3. Penghentian Kegiatan
Konsekuensi tidak berhenti pada aspek finansial. Sanksi administratif juga dapat berupa penghentian sementara atas sebagian atau seluruh kegiatan, termasuk kegiatan kerja sama tertentu.
Artinya, ketidakpatuhan berpotensi berdampak langsung terhadap aktivitas bisnis dan pelayanan organisasi.
4. Pencabutan Izin atau Persetujuan
Dalam ketentuan PBI 2/2024, pencabutan izin dan/atau persetujuan juga termasuk bentuk sanksi administratif yang dapat diterapkan.
Namun, penting dipahami bahwa tidak setiap temuan teknis dalam audit KKS otomatis dikenai seluruh sanksi tersebut. Sanksi yang diatur secara eksplisit dalam Pasal 55 berkaitan dengan kewajiban pelaporan kepada Bank Indonesia.
Kewajiban Pelaporan yang Perlu Diperhatikan
Compliance PBI 2/2024 tidak dapat dilepaskan dari kesiapan pelaporan.
Laporan Tahunan KKS
Berdasarkan PADG Nomor 24 Tahun 2024, laporan tahunan KKS antara lain mencakup tingkat kematangan KKS dan hasil identifikasi Infrastruktur Informasi Vital.
Laporan tahunan disampaikan paling lambat 31 Januari untuk periode pelaporan tahun sebelumnya.
Karena proses audit, pengumpulan evidence, dan perbaikan temuan membutuhkan waktu, organisasi sebaiknya tidak baru mempersiapkan laporan menjelang tenggat waktu.
Pelaporan Insiden Siber
Ketentuan pelaporan insiden juga memiliki batas waktu yang ketat.
Penyelenggara perlu melakukan:
notifikasi awal paling lama 1 jam setelah insiden diketahui; dan
penyampaian laporan insiden paling lama 3 hari kalender setelah insiden terjadi.
Ketidaksiapan prosedur incident response dapat membuat organisasi kesulitan memenuhi batas waktu tersebut.
Risiko Ketidakpatuhan Selain Sanksi Administratif
Ketidakpatuhan terhadap ketentuan keamanan siber juga menimbulkan risiko yang lebih luas.
Risiko Operasional
Kelemahan pada proteksi, pemantauan, backup, incident response, atau disaster recovery dapat menyebabkan downtime dan terganggunya pelayanan.
Risiko Finansial
Insiden keamanan dapat menimbulkan biaya tambahan untuk investigasi forensik, pemulihan sistem, remediation, audit tambahan, dan pemulihan operasional.
Risiko Reputasi
Insiden siber yang tidak ditangani secara baik dapat menurunkan kepercayaan nasabah, mitra, manajemen, maupun pemangku kepentingan.
Risiko Pengawasan Regulator
Bank Indonesia dapat melakukan pengawasan secara langsung maupun tidak langsung terhadap penerapan KKS.
Karena itu, organisasi harus mampu menunjukkan bahwa kebijakan dan kontrol keamanan tidak hanya tersedia dalam dokumen, tetapi benar-benar diterapkan dan dapat dibuktikan.
Audit KKS Membantu Mengurangi Risiko Compliance
Salah satu langkah utama untuk meningkatkan kesiapan adalah melakukan audit KKS.
PADG 24/2024 mengatur audit KKS dilakukan paling sedikit satu kali dalam satu tahun dan dapat dilaksanakan oleh pihak internal dan/atau eksternal secara independen.
Audit dapat membantu organisasi:
mengidentifikasi gap terhadap PBI 2/2024 dan PADG 24/2024;
mengevaluasi efektivitas kontrol keamanan;
memeriksa kecukupan dokumentasi dan evidence;
menemukan kelemahan sebelum proses pengawasan;
menyusun prioritas remediation; dan
meningkatkan kesiapan pelaporan.
Baca juga Checklist Audit Keamanan Siber: Dokumen dan Kontrol yang Perlu Disiapkan serta KKS Maturity Assessment: Cara Mengukur Tingkat Kematangan Keamanan Siber.
Jangan Menunggu Deadline untuk Memastikan Compliance KKS
Compliance keamanan siber sebaiknya menjadi proses berkelanjutan, bukan aktivitas yang dilakukan hanya ketika mendekati audit atau batas waktu pelaporan.
Semakin awal gap ditemukan, semakin besar kesempatan organisasi melakukan remediation, pengujian ulang, serta melengkapi evidence yang diperlukan.
Untuk memastikan kesiapan terhadap PBI 2/2024 dan PADG 24/2024, organisasi dapat menggunakan Cyber Security Services dan audit KKS untuk mengevaluasi tata kelola, risiko, kontrol keamanan, incident response, business continuity, hingga kesiapan dokumentasi.
Konsultasikan kebutuhan audit KKS dan Cyber Security Services bersama tim kami untuk membantu organisasi membangun compliance keamanan siber yang lebih terukur, terdokumentasi, dan siap menghadapi pengawasan regulator.
