LEXmedia. Transformasi digital di Indonesia berkembang pesat setiap tahun. Namun, pertumbuhan ini turut membawa ancaman siber yang semakin kompleks. Oleh karena itu, pemerintah mewajibkan Audit Keamanan Informasi bagi setiap Penyelenggara Sistem Elektronik (PSE) Lingkup Privat. Kewajiban ini bertujuan melindungi data pengguna sekaligus menjaga keandalan layanan digital. Selain itu, regulasi ini memperkuat kepercayaan publik terhadap ekosistem digital nasional.
Sayangnya, banyak pelaku usaha belum memahami cakupan kewajiban tersebut secara utuh. Akibatnya, risiko sanksi administratif dan kerugian reputasi tetap mengintai perusahaan yang lalai. Artikel ini mengulas dasar hukum dan mekanisme audit tersebut. Selain itu, artikel ini memberikan rekomendasi kepatuhan atas Audit Keamanan Informasi PSE Lingkup Privat berdasarkan peraturan terbaru di Indonesia.
Dasar Hukum Kewajiban Audit Keamanan Informasi PSE
Dasar hukum kewajiban ini tersebar dalam beberapa produk hukum.
Pertama, UU ITE sebagaimana diubah terakhir dengan Undang-Undang No. 1 Tahun 2024 mewajibkan setiap PSE menyelenggarakan sistem elektronik secara andal, aman, dan bertanggung jawab. Selain itu, Pasal 40A UU No. 1/2024 menegaskan peran Pemerintah dalam mendorong ekosistem digital yang aman dan akuntabel. Dengan demikian, keamanan sistem menjadi tanggung jawab bersama antara PSE dan negara.
Kedua, Undang-Undang No. 27 Tahun 2022 tentang Pelindungan Data Pribadi turut memperkuat kewajiban ini. Pasal 39 UU tersebut mewajibkan Pengendali Data Pribadi mencegah akses tidak sah melalui sistem keamanan yang andal. Oleh sebab itu, Audit Keamanan Informasi PSE menjadi instrumen penting untuk membuktikan kepatuhan terhadap ketentuan ini.
Ketiga, Pasal 24 Peraturan Pemerintah No. 71 Tahun 2019 mewajibkan PSE melakukan Uji Kelaikan Sistem Elektronik. PSE dapat melaksanakan uji ini secara mandiri maupun melalui lembaga berwenang. Ayat (4) pasal tersebut kemudian menjadi dasar penyusunan Peraturan BSSN No. 8 Tahun 2020 tentang sistem pengamanan informasi.
PSE Lingkup Privat dan Kewajiban Pendaftaran
Permenkominfo No. 5 Tahun 2020 mengatur secara khusus PSE Lingkup Privat. Regulasi ini merupakan turunan dari PP No. 71 Tahun 2019. PSE Lingkup Privat mencakup perusahaan atau badan yang menyelenggarakan layanan digital komersial di Indonesia. Contohnya meliputi platform e-commerce, media sosial, dan aplikasi transportasi daring.
Selain kewajiban pendaftaran, Permenkominfo ini juga mengatur tata kelola sistem elektronik. Tata kelola tersebut mencakup hak dan kewajiban pengguna, pertanggungjawaban atas data, serta kewajiban menjaga keamanan sistem. Dengan kata lain, pendaftaran hanyalah langkah awal. Setelah itu, PSE tetap harus memenuhi kewajiban Audit Keamanan Informasi PSE secara menyeluruh dan berkelanjutan.
Mekanisme Audit Keamanan Informasi
Peraturan BSSN No. 8 Tahun 2020 menjadi acuan teknis pelaksanaan audit. Regulasi ini mewajibkan PSE menerapkan Sistem Manajemen Keamanan Informasi atau SMKI yang merujuk pada standar ISO 27001. Selanjutnya, BSSN mengklasifikasikan PSE berdasarkan tingkat risiko, yaitu strategis, tinggi, dan rendah. Semakin tinggi kategori risiko, semakin ketat pula kewajiban penerapan SMKI tersebut.
Lembaga Sertifikasi yang diakui BSSN melaksanakan proses audit ini. Lembaga tersebut memeriksa kesesuaian penerapan SMKI dengan standar yang berlaku. Jika PSE memenuhi seluruh syarat audit, Lembaga Sertifikasi kemudian menerbitkan sertifikat keamanan informasi. Namun, PSE harus memperbarui sertifikat tersebut sebelum masa berlakunya habis, yaitu paling lama tiga tahun sejak diterbitkan.
Selain audit sertifikasi awal, PSE juga wajib menjalani audit pengawasan secara berkala. Lembaga Sertifikasi melaksanakan audit pengawasan ini minimal satu kali setiap tahun. Dengan demikian, Audit Keamanan Informasi PSE bukan kewajiban sekali jalan. Sebaliknya, kewajiban ini merupakan proses berkelanjutan yang harus dipelihara secara konsisten oleh setiap PSE.
Sanksi Administratif Bagi PSE yang Tidak Patuh
Ketidakpatuhan terhadap kewajiban ini membawa konsekuensi hukum. Permenkominfo No. 5/2020 mengatur sanksi administratif secara bertingkat. Sanksi tersebut meliputi teguran tertulis, denda administratif, penghentian sementara, hingga pemutusan akses. Pemutusan akses membuat masyarakat Indonesia tidak dapat lagi mengakses layanan PSE bersangkutan.
Di sisi lain, pelanggaran terhadap kewajiban keamanan data pribadi juga membawa konsekuensi berdasarkan UU No. 27/2022. Otoritas pengawas dapat menjatuhkan peringatan tertulis, penghentian sementara pemrosesan data, hingga denda administratif. Oleh karena itu, PSE sebaiknya tidak menunggu terjadinya insiden. Sebagai gantinya, PSE perlu melaksanakan Audit Keamanan Informasi PSE secara rutin dan terjadwal.
Rekomendasi Kepatuhan Hukum bagi PSE Lingkup Privat
Berdasarkan uraian di atas, kepatuhan hukum memerlukan langkah konkret.
Pertama, PSE wajib mendaftarkan sistem elektroniknya sesuai Permenkominfo No. 5/2020.
Kedua, PSE perlu menerapkan SMKI berbasis ISO 27001 sesuai kategori risikonya masing-masing.
Ketiga, PSE sebaiknya menjadwalkan Audit Keamanan Informasi PSE secara berkala melalui Lembaga Sertifikasi yang diakui BSSN.
Selanjutnya, PSE juga disarankan menunjuk petugas pelindungan data pribadi sesuai UU No. 27/2022. Petugas ini bertugas memastikan kepatuhan pemrosesan data secara berkelanjutan. Terakhir, PSE perlu menyiapkan prosedur tanggap insiden agar dapat merespons kebocoran data secara cepat dan tepat.
Dengan menjalankan langkah-langkah tersebut, PSE tidak hanya terhindar dari sanksi. Lebih dari itu, PSE turut membangun kepercayaan pengguna terhadap layanan digital yang dikelolanya secara berkelanjutan.
FAQ (Frequently Asked Questions)
1. Apa itu Audit Keamanan Informasi PSE?
Audit Keamanan Informasi PSE adalah proses penilaian objektif terhadap sistem elektronik milik Penyelenggara Sistem Elektronik. Proses ini memastikan sistem berjalan secara aman, andal, dan sesuai standar ISO 27001. Peraturan BSSN No. 8/2020 mewajibkan audit ini dilaksanakan oleh Lembaga Sertifikasi yang diakui negara, baik saat sertifikasi awal maupun pengawasan tahunan berikutnya.
2. Siapa saja yang termasuk PSE Lingkup Privat?
PSE Lingkup Privat mencakup badan usaha yang menyelenggarakan sistem elektronik komersial di Indonesia. Contohnya meliputi platform e-commerce, media sosial, aplikasi transportasi daring, dan layanan keuangan digital. Permenkominfo No. 5/2020 mewajibkan seluruh PSE tersebut mendaftar kepada Kementerian Komunikasi dan Digital. Kewajiban ini berlaku bagi PSE domestik maupun asing, selama layanannya digunakan masyarakat Indonesia.
3. Apa sanksi jika PSE tidak melakukan audit keamanan informasi?
PSE yang lalai berisiko menerima sanksi administratif bertingkat. Sanksi tersebut meliputi teguran tertulis, denda administratif, penghentian sementara layanan, hingga pemutusan akses. Permenkominfo No. 5/2020 mengatur mekanisme sanksi ini secara rinci. Selain itu, pelanggaran keamanan data pribadi juga dapat dikenai sanksi tambahan berdasarkan UU No. 27/2022. Oleh karena itu, kepatuhan menjadi langkah pencegahan paling efektif.
4. Berapa lama sertifikat keamanan informasi PSE berlaku?
Sertifikat keamanan informasi berdasarkan Peraturan BSSN No. 8/2020 berlaku maksimal tiga tahun sejak diterbitkan. PSE wajib memperbarui sertifikat tersebut sebelum masa berlakunya habis. Selain sertifikasi awal, PSE juga harus menjalani audit pengawasan tahunan agar penerapan SMKI tetap sesuai standar ISO 27001. Kepatuhan berkelanjutan ini membuktikan komitmen PSE menjaga keamanan siber secara konsisten.
5. Apakah semua PSE Privat wajib menerapkan ISO 27001?
Kewajiban ini bergantung pada kategori risiko PSE menurut Peraturan BSSN No. 8/2020. PSE berkategori strategis dan tinggi wajib menerapkan ISO 27001 secara penuh. Sementara itu, PSE berkategori rendah cukup menerapkan kontrol keamanan dasar sesuai tingkat risikonya. Dengan demikian, kewajiban Audit Keamanan Informasi PSE tetap berlaku meski intensitasnya berbeda. Oleh sebab itu, setiap PSE perlu memetakan risikonya sejak awal.
