Komponen Harga, Jenis Layanan & Aturan 2026
PP 71/2019, BSSN, dan pelaporan insiden siber: kewajiban penyelenggara sistem elektronik, Peraturan BSSN 1/2024, dan status RUU KKS
Kewajiban pengamanan dan pelaporan PP 71/2019 Pasal 24, peran BSSN, tim tanggap insiden menurut Peraturan BSSN 1/2024, Perpres 47/2023, dan status RUU KKS.
Bila usaha Anda menjalankan situs, aplikasi, atau sistem yang dipakai pelanggan, Anda adalah penyelenggara sistem elektronik (PSE). PP 71/2019 Pasal 24 mewajibkan PSE memiliki dan menjalankan prosedur dan sarana pengamanan, menyediakan sistem pencegahan dan penanggulangan serangan, dan bila terjadi gangguan serius akibat perbuatan pihak lain, mengamankan informasi dan segera melaporkan kepada aparat penegak hukum serta kementerian atau lembaga terkait. Peraturan BSSN 1/2024 tentang Pengelolaan Insiden Siber menambahkan bahwa setiap PSE membentuk tim tanggap insiden siber organisasi dan melaporkan insiden yang paling sedikit berisiko tinggi. Undang-undang khusus keamanan siber belum ada: per pemberitaan awal Oktober 2026, RUU Keamanan dan Ketahanan Siber masih dibahas di Panja Komisi I DPR.
Panduan ini bagian dari panduan harga layanan keamanan siber terkelola. Kewajiban terkait data pribadi ada di UU PDP dan keamanan siber, dan urutan tindakan saat insiden di langkah 72 jam pertama. Ini bukan nasihat hukum.
PP 71/2019: kewajiban pengamanan dan pelaporan
PP 71/2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik adalah peraturan pelaksana UU ITE. Ketentuan yang paling dekat dengan layanan keamanan:
| Ketentuan | Isi pokok |
|---|---|
| Pasal 24 ayat (1) | PSE wajib memiliki dan menjalankan prosedur dan sarana pengamanan untuk menghindari gangguan, kegagalan, dan kerugian |
| Pasal 24 ayat (2) | PSE wajib menyediakan sistem pengamanan yang mencakup prosedur dan sistem pencegahan dan penanggulangan ancaman dan serangan |
| Pasal 24 ayat (3) | Bila kegagalan atau gangguan sistem berdampak serius akibat perbuatan pihak lain, PSE wajib mengamankan informasi dan dokumen elektronik dan segera melaporkan dalam kesempatan pertama kepada aparat penegak hukum dan kementerian atau lembaga terkait |
| Pasal 24 ayat (4) | Ketentuan lebih lanjut tentang sistem pengamanan diatur oleh kepala lembaga di bidang keamanan siber, yaitu BSSN |
| Pasal 14 ayat (5) | Bila terjadi kegagalan pelindungan data pribadi, PSE wajib memberitahukan secara tertulis kepada pemilik data |
Kewajiban pemberitahuan kepada pemilik data kini juga diatur lebih rinci dalam UU PDP Pasal 46 (3 × 24 jam). PSE lingkup privat juga memiliki kewajiban pendaftaran ke Komdigi; cek ketentuan dan portalnya di situs Komdigi.
Peran BSSN dan kerangka nasional
- Perpres 28/2021 tentang BSSN: BSSN bertugas melaksanakan tugas pemerintahan di bidang keamanan siber dan sandi untuk membantu Presiden.
- Perpres 82/2022 tentang Pelindungan Infrastruktur Informasi Vital (IIV): Pasal 4 menyebut sektor IIV: administrasi pemerintahan, energi dan sumber daya mineral, transportasi, keuangan, kesehatan, teknologi informasi dan komunikasi, pangan, pertahanan, dan sektor lain yang ditetapkan Presiden. Penyelenggara IIV memiliki kewajiban yang lebih ketat.
- Perpres 47/2023 tentang Strategi Keamanan Siber Nasional dan Manajemen Krisis Siber: diundangkan 20 Juli 2023, menetapkan arah kebijakan nasional dan cara menangani krisis siber.
- Peraturan BSSN 2/2024 tentang Manajemen Krisis Siber: mengatur penanganan insiden yang meningkat menjadi krisis di tingkat nasional.
Bagi UMKM dan perusahaan menengah yang bukan penyelenggara IIV, kerangka ini terutama berarti: BSSN dan tim tanggap insiden nasional adalah tempat melapor dan meminta bantuan, dan klien Anda di sektor IIV kemungkinan akan menuntut standar lebih tinggi dari pemasoknya. Lihat persyaratan klien sektor keuangan dan pemerintah.
Peraturan BSSN 1/2024 tentang Pengelolaan Insiden Siber
Peraturan ini diundangkan 18 Januari 2024 dan mencabut Peraturan BSSN 10/2020 tentang Tim Tanggap Insiden Siber (Pasal 29). Pokok-pokoknya:
- Tim tanggap insiden siber organisasi. Penyelenggara IIV membentuknya (Pasal 7), dan setiap PSE selain penyelenggara IIV juga membentuk tim tanggap insiden siber organisasi (Pasal 8). Tim ini bisa sangat kecil, tetapi peran, kontak, dan prosedurnya harus jelas. Pasal 9–11 mengatur registrasi tim tanggap insiden sektoral dan organisasi ke tim tanggap insiden nasional, sampai terbit surat tanda register.
- Pelaporan. Setiap insiden yang paling sedikit berisiko tinggi dilaporkan oleh tim organisasi kepada tim sektoral dengan tembusan ke tim nasional (Pasal 15 ayat (1) dan (3)). Laporan paling sedikit memuat kontak pelapor, deskripsi, kronologi, dan dampak serangan (ayat (4)).
- Batas waktu untuk IIV. Insiden pada IIV dilaporkan paling lambat 1 × 24 jam setelah ditemukan (ayat (5)).
- Kesiapan. Ada kewajiban menyusun perencanaan penanggulangan dan pemulihan insiden.
Penyedia MDR atau SOC bisa menjalankan sebagian besar pekerjaan tim tanggap insiden, tetapi keputusan dan pelaporan tetap atas nama organisasi Anda. Tuliskan di kontrak siapa yang menyiapkan laporan, dalam berapa jam, dan siapa yang menandatanganinya.
Status RUU Keamanan dan Ketahanan Siber
RUU Keamanan dan Ketahanan Siber (RUU KKS) sudah lama dibicarakan. Pemberitaan Juni–Agustus 2026 menyebut Komisi I DPR membahasnya bersama pemerintah dan membentuk Panja sejak akhir Juni 2026, dan sejumlah pihak meminta pembahasan diperdalam. Pada 6 Oktober 2026 Panja masih menggelar rapat dengar pendapat umum dengan pakar, antara lain soal masa transisi bagi industri (eMedia DPR, 7 Oktober 2026). Sampai akhir Oktober 2026 kami tidak menemukan catatan pengesahannya. Jangan menyusun kontrak berdasarkan isi draf; pantau situs DPR dan BSSN.
Apa artinya untuk memilih layanan keamanan terkelola
| Kewajiban | Pertanyaan untuk penyedia |
|---|---|
| Prosedur dan sarana pengamanan (PP 71/2019 Pasal 24 ayat (1) dan (2)) | Dokumen prosedur apa yang Anda serahkan, dan bagaimana kami membuktikan sarana pengamanan berjalan? |
| Mengamankan informasi saat insiden (ayat (3)) | Apakah Anda mengamankan bukti digital (log, citra disk) sesuai praktik forensik? |
| Melapor dalam kesempatan pertama (ayat (3)) | Berapa jam sejak deteksi sampai kami menerima ringkasan yang bisa dipakai untuk laporan? |
| Tim tanggap insiden organisasi (Perban BSSN 1/2024 Pasal 8) | Peran apa dalam tim tanggap insiden yang Anda isi, dan apa yang tetap kami pegang? |
| Laporan insiden berisiko tinggi (Pasal 15) | Apakah Anda membantu menyusun laporan berisi deskripsi, kronologi, dan dampak? |
Pertanyaan yang sering diajukan
Apakah usaha kecil dengan toko online termasuk PSE?
Umumnya ya, bila menyediakan atau mengoperasikan sistem elektronik untuk pengguna. Bila Anda hanya berjualan di marketplace, platform itulah PSE utamanya, tetapi akun dan data Anda tetap perlu dilindungi.
Ke mana melaporkan insiden siber?
Ke tim tanggap insiden sektor Anda bila ada, dengan tembusan ke tim tanggap insiden nasional di BSSN. Untuk tindak pidana, lapor juga ke kepolisian. Kontak resmi ada di situs BSSN.
Apakah pelaporan ke BSSN menggantikan pemberitahuan UU PDP?
Tidak. Pemberitahuan kepada subjek data dan lembaga menurut UU PDP Pasal 46 adalah kewajiban terpisah dengan batas 3 × 24 jam.
Apakah RUU KKS akan mewajibkan sertifikasi penyedia keamanan?
Belum bisa dipastikan karena RUU belum disahkan dan drafnya masih bisa berubah.
Sumber resmi
- BSSN — peraturan BSSN, tim tanggap insiden nasional, dan kanal pelaporan
- Pasal.id — PP 71/2019, Perpres 28/2021, Perpres 47/2023, dan Peraturan BSSN 1/2024 beserta statusnya
- JDIH Komdigi — peraturan tentang penyelenggara sistem elektronik
- DPR RI — status pembahasan RUU Keamanan dan Ketahanan Siber
