Standar keamanan apa yang diminta BSSN untuk penyelenggara sistem elektronik?

Peraturan Badan Siber dan Sandi Negara (BSSN) Nomor 8 Tahun 2020 mewajibkan penyelenggara sistem elektronik (PSE) menerapkan Sistem Manajemen Pengamanan Informasi (SMPI). Standar intinya adalah SNI ISO/IEC 27001. Tingkat kewajiban tambahan ditentukan oleh kategori sistem elektronik—yaitu strategis, tinggi, atau rendah—berdasarkan Penilaian Mandiri yang diverifikasi oleh BSSN (Pasal 6 sampai Pasal 9).

Dasar hukum dan siapa yang wajib mematuhi

Peraturan BSSN 8/2020 merupakan aturan pelaksana dari Pasal 24 ayat (1), (2). Selain itu, (4) PP 71/2019 yang mewajibkan PSE memiliki prosedur serta sarana pengamanan sistem elektronik. Kewajiban ini berlaku bagi PSE Lingkup Publik maupun PSE Lingkup Privat (Pasal 5 ayat (1) dan (2)). Di lingkup privat, cakupan ini meliputi PSE yang diatur atau diawasi kementerian/lembaga. Selain itu, PSE yang mengoperasikan portal, situs, atau aplikasi daring pemroses data pribadi untuk melayani masyarakat terkait transaksi elektronik. Klinik atau rumah sakit swasta perlu mencocokkan sistem elektroniknya dengan kriteria lingkup privat tersebut.

Tiga kategori sistem dan standar wajibnya (Pasal 6–11)

PSE wajib melakukan Penilaian Mandiri memakai format Lampiran Peraturan BSSN 8/2020. Selain itu, Melaporkannya ke BSSN untuk diverifikasi paling lama 10 hari kerja (Pasal 7 dan 8). Berdasarkan dampak risikonya, Pasal 9 menetapkan standar berikut:

• Sistem Elektronik Strategis (berdampak serius pada kepentingan umum, layanan publik, atau pertahanan negara). Wajib menerapkan SNI ISO/IEC 27001, ditambah standar keamanan siber BSSN dan standar kementerian/lembaga pengawas;
• Sistem Elektronik Tinggi (berdampak terbatas pada sektor atau daerah tertentu): wajib menerapkan SNI ISO/IEC 27001 dan/atau standar BSSN, ditambah standar kementerian/lembaga pengawas;
• Sistem Elektronik Rendah (sistem lainnya): wajib menerapkan SNI ISO/IEC 27001 atau standar BSSN.

Apabila standar tambahan dari BSSN atau kementerian/lembaga belum ditetapkan, sistem strategis dan tinggi tetap wajib menerapkan SNI ISO/IEC 27001 (Pasal 10 dan 11). Sebelum sertifikasi, PSE dapat mengukur tingkat kesiapan pengamanannya memakai instrumen Indeks KAMI (Pasal 12).

SDM, sertifikasi SMPI, dan sanksi administratif

• Ketentuan tenaga ahli (Pasal 13 dan 14): Penerapan SMPI dilakukan dengan SDM berkewarganegaraan Indonesia. Tenaga ahli asing hanya boleh dipakai bila tenaga ahli Indonesia belum tersedia, wajib diikat perjanjian kerahasiaan. Selain itu, Harus diajukan ke BSSN paling lambat 14 hari kerja sebelum kontrak ditandatangani.
• Sertifikasi dan audit pengawasan (Pasal 26, 28, 33, dan 34): Sertifikasi dilakukan oleh Lembaga Sertifikasi yang diakui BSSN. Sertifikat SMPI berlaku paling lama tiga tahun, dengan audit pengawasan minimal setahun sekali dan masa perbaikan temuan maksimal 90 hari kalender.
• Sanksi (Pasal 37): Pelanggaran seperti tidak melaporkan Penilaian Mandiri atau tidak menerapkan standar dikenai sanksi administratif berupa teguran tertulis dari BSSN.

Dasar hukum

• Peraturan Badan Siber dan Sandi Negara Nomor 8 Tahun 2020 tentang Sistem Pengamanan dalam Penyelenggaraan Sistem Elektronik. Pasal 1 angka 2 dan 3, Pasal 2, Pasal 4, Pasal 5 sampai Pasal 14. Pasal 26, Pasal 28, Pasal 33, Pasal 34, Pasal 37, dan Lampiran.
• Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik: Pasal 24 ayat (1), (2), dan (4).