Dening Tom Meevis, pengacara ing Law & More
Keamanan siber ora mung masalah teknis wae. Iki uga masalah hukum lan tata kelola sing mengaruhi meh kabeh organisasi kanthi ukuran apa wae.
Kanthi Arahan NIS2 Eropa lan Undhang-undhang Keamanan Siber Walanda, tanggung jawab kanggo ketahanan digital pindhah kanthi tegas menyang dewan manajemen. Undhang-undhang Keamanan Siber Walanda wiwit ditrapake tanggal 15 Agustus 2026. Mula, para pemilik bisnis, direktur, lan petugas kepatuhan kudu netepake kanthi cepet:
- apa organisasine kalebu ing ruang lingkup aturan anyar;
- kewajiban apa sing bakal teka saka wong-wong mau;
- langkah-langkah apa sing dibutuhake;
- lan kepiye organisasi kasebut bisa netepi kewajiban kasebut.
Artikel iki njlentrehake unsur-unsur utama NIS2 lan Undhang-undhang Keamanan Siber Walanda: ruang lingkup, tugas perawatan, tugas notifikasi, tanggung jawab dewan, penegakan hukum, lan langkah-langkah sing bisa ditindakake organisasi saiki.
Apa kuwi NIS2?
NIS2 minangka sebutan resmi saka Directive (EU) 2022/2555. Iki minangka penerus saka directive keamanan jaringan lan informasi Eropa sing pertama, sing umume diarani NIS1.
Negara-negara Anggota diwajibake ngowahi NIS2 dadi undang-undang nasional tanggal 17 Oktober 2024. Wiwit tanggal 18 Oktober 2024, NIS2 resmi ngganti arahan sadurunge.
Tujuane yaiku kanggo ningkatake lan nyetel tingkat ketahanan siber ing Uni Eropa. Iki mlaku ing rong jalur utama. Kapisan, ruang lingkup sing luwih jembar: luwih akeh organisasi sing kalebu ing aturan tinimbang ing NIS1. Kapindho, pengawasan sing luwih ketat lan penegakan sing luwih ketat, kanthi toolkit sing luwih jembar lan tanggung jawab sing luwih jelas kanggo direktur.
Nalika NIS1 mbedakake antarane operator layanan penting lan panyedhiya layanan digital, NIS2 makarya karo entitas penting lan entitas penting. Bédane kasebut ora mung terminologis: antara liya nemtokake intensitas pengawasan lan tingkat potensial denda.
Organisasi endi sing kalebu ing NIS2?
NIS2 ditrapake kanggo organisasi sing aktif ing wolulas sektor sing wis ditemtokake, dipérang dadi sektor sing nduweni tingkat kritis dhuwur lan sektor kritis liyané.
Sektor-sektor sing kritis banget kalebu energi, transportasi, perbankan, infrastruktur pasar keuangan, perawatan kesehatan, banyu ngombe lan banyu limbah, infrastruktur digital, manajemen layanan TIK kanggo pangguna bisnis, administrasi publik, lan ruang angkasa.
Sektor penting liyané kalebu layanan pos lan kurir, manajemen limbah, bahan kimia, pangan, manufaktur, panyedhiya digital, lan lembaga riset.
Ambang ukuran
Ing sektor-sektor iki, aturan utama yaiku organisasi kasebut kalebu ing NIS2 sing nduweni kualifikasi minangka perusahaan ukuran menengah utawa gedhe. Kriteriane yaiku paling ora 50 karyawan, utawa omzet taunan utawa total neraca ngluwihi EUR 10 yuta.
Ana pangecualian kanggo aturan utama iki. Organisasi tartamtu kalebu ing ruang lingkup preduli saka ukurane, amarga layanane dianggep penting banget:
- panyedia jaringan lan layanan komunikasi elektronik umum;
- panyedia layanan kepercayaan;
- panyedhiya layanan registrasi jeneng domain;
- registri jeneng domain tingkat paling dhuwur;
- badan-badan sektor publik.
Wiwit tanggal 15 Agustus 2026, kewajiban anyar iki ditrapake kanggo luwih saka 8,000 organisasi ing Walanda. Kuwi minangka ekspansi sing cukup gedhe dibandhingake karo jumlah sing dilindhungi dening Undhang-undhang Keamanan Jaringan lan Sistem Informasi saiki.
Organisasi sing sadurunge ora nganggep awake dhewe minangka bagean saka sektor kritis bisa uga kejiret, kalebu produsen ukuran menengah, produsen panganan, lembaga riset, lan panyedhiya layanan digital. Sing penting, organisasi kasebut dhewe tanggung jawab kanggo netepake apa dheweke kalebu ing ruang lingkup. Ora ana layang saka supervisor sing bakal teka sing ngandhani.
Kewajiban perawatan: langkah-langkah apa sing dibutuhake?
Inti saka NIS2 lan Undhang-undhang Keamanan Siber Walanda yaiku tugas kanggo ngati-ati. Entitas penting lan penting kudu njupuk langkah-langkah teknis, operasional, lan organisasi sing cocog lan proporsional kanggo ngatur risiko jaringan lan sistem informasi.
Aturan kasebut nemtokake subyek sing kudu ditangani dening kabijakan kasebut ing acara apa wae:
- analisis risiko lan kabijakan keamanan informasi;
- penanganan kedadeyan;
- kelangsungan bisnis, manajemen cadangan, lan pemulihan bencana;
- keamanan rantai pasokan;
- kebersihan siber lan pelatihan staf;
- kabijakan penanganan kerentanan;
- otentikasi multi-faktor;
- komunikasi sing aman;
- kriptografi;
- penilaian periodik babagan efektifitas langkah-langkah kasebut.
Ukuran-ukuran kasebut kudu proporsional karo ukuran organisasi lan risiko sing sejatine kena pengaruh. Mulane, entitas penting sing luwih cilik ora perlu njupuk langkah sing padha karo entitas penting sing gedhe ing sektor berisiko tinggi.
Iku ora ndadekake tugas perawatan dadi pilihan. Organisasi kudu bisa mbuktekake risiko apa sing diidentifikasi, langkah-langkah apa sing ditindakake, lan kenapa langkah-langkah kasebut cocog. Ora mung langkah-langkah kasebut dhewe, nanging uga cara nimbang, nyathet, lan ngevaluasi kanthi periodik, sing kudu diawasi.
Kewajiban notifikasi sawise kedadeyan
Saliyané tugas perawatan, NIS2 uga nemtokaké tugas notifikasi bertahap kanggo kedadeyan sing signifikan. Ing ngendi kedadeyan duwé utawa bisa duwé dampak sing substansial marang kelangsungan layanan, tenggat wektu ing ngisor iki ditrapake kanthi umum:
- sajrone 24 jam, peringatan awal menyang tim respon insiden keamanan komputer nasional utawa panguwasa sing kompeten;
- sajrone 72 jam, ana kabar resmi kanthi penilaian awal babagan keruwetan lan dampak;
- sajrone paling lambat sewulan, laporan pungkasan sing nggambarake kedadeyan kasebut, kemungkinan penyebab oyot, langkah-langkah sing ditindakake, lan efek lintas wates.
Tenggat wektu iki ndadekake perlu nyiyapake prosedur sing jelas luwih dhisik. Organisasi kudu ngerti kapan kedadeyan kasebut bisa dilaporake, sapa sing duwe wewenang kanggo menehi kabar, informasi apa sing kudu kasedhiya, sapa sing koordinasi, lan kepiye dewan lan pengawas diwenehi informasi.
Organisasi sing mung nyoba nyetel proses notifikasi sajrone kedadeyan duwe risiko sing cukup gedhe yaiku ora bisa nglaporake kanthi tepat wektu utawa kanthi lengkap.
Tanggung jawab dewan
Unsur penting saka NIS2 yaiku tanggung jawab kanggo ngatur risiko siber dipasrahake kanthi tegas marang dewan manajemen. Dewan kudu nyetujoni langkah-langkah keamanan, ngawasi implementasine, bisa netepake risiko siber organisasi, lan ngalami pelatihan sing cukup dhewe.
Mulane, keamanan siber ora bisa dianggep mung tanggung jawab departemen IT wae. Iki minangka topik tata kelola sing kudu dadi bagean saka pengambilan keputusan lan manajemen risiko rutin.
Pandhuan kasebut uga kanthi tegas ngatasi tanggung jawab pribadi manajemen senior yen organisasi gagal netepi. Cathet keterlibatan dewan miturut aturan kasebut, contone kanthi ndokumentasikake pelatihan sing ditindakake, keputusan dewan, kabijakan sing disetujoni, penilaian risiko, pelaporan lan pengawasan implementasine.
Implementasi Walanda
Implementasi NIS2 ing Walanda wis telat banget. Tenggat wektu transposisi 17 Oktober 2024 ora bisa dipenuhi.
Ing tanggal 8 Juli 2026, Komisi Eropa mutusake kanggo ngrujuk Walanda, bebarengan karo Irlandia, Spanyol lan Prancis, menyang Pengadilan Kehakiman Uni Eropa amarga gagal menehi kabar babagan langkah-langkah transposisi. Mula, Walanda kalebu salah siji saka papat negara sing ketinggalan ing Uni Eropa.
Wektune pancen nggumunake. Sedina sadurunge, tanggal 7 Juli 2026, Senat wis nyetujoni Undhang-undhang Keamanan Siber lan Undhang-undhang Ketahanan Entitas Kritis. Apa kasunyatan manawa Undhang-undhang kasebut diadopsi sadurunge rujukan dikirim mengaruhi asil proses kasebut isih kudu dideleng; kuwi gumantung Pengadilan kanggo mutusake.
Kaloro Undhang-undhang iki bakal ditrapake tanggal 15 Agustus 2026. Undhang-undhang Keamanan Siber ngetrapake Arahan NIS2; Undhang-undhang Ketahanan Entitas Kritis ngetrapake Arahan CER Eropa, sing ditujokake kanggo ketahanan infrastruktur kritis. Organisasi sing dilindhungi dening sing terakhir bakal sacara resmi ditetepake minangka entitas kritis wiwit tanggal 15 Agustus 2026.
Nalika ditrapake, Undhang-undhang Keamanan Jaringan lan Sistem Informasi (Wbni) sing saiki wis kadaluwarsa. Kanggo organisasi sing wis dilindhungi, iki tegese kewajiban sing luwih abot; kanggo organisasi sing mlebu ing ruang lingkup kanggo pisanan, rezim sing anyar.
Registrasi karo NCSC
Kewajiban anyar sing penting yaiku registrasi ing Pusat Keamanan Siber Nasional. Entitas penting lan penting kudu dilebokake ing daftar entitas nasional. Registrasi kasebut wajib wiwit 15 Agustus 2026 lan dilakokake liwat portal MijnNCSC, nggunakake eHerkenning kanggo organisasi biasa lan SSOnRijk kanggo badan sektor publik. Owah-owahan data sing kadhaptar kudu dilaporake sajrone patbelas dina.
Registrasi ora mung formalitas administratif. Sawise ndhaftar, organisasi bisa nyambung menyang layanan CSIRT, sing nyedhiyakake produk lan layanan kanggo nambah ketahanan uga dhukungan yen ana kedadeyan. Siapke registrasi ing wektu sing tepat, supaya implementasine ora diwiwiti sawise ditrapake.
Pengawasan lan penegakan
Undhang-undhang Keamanan Siber nyedhiyakake rezim pengawasan sing beda. Entitas penting tundhuk karo pengawasan proaktif: pengawas bisa mriksa terus-terusan lan kanthi inisiatif dhewe, tanpa kedadeyan utawa sinyal tartamtu. Entitas penting tundhuk karo pengawasan reaktif, ing ngendi pengawas ing prinsip tumindak minangka respon kanggo kedadeyan, keluhan utawa sinyal konkret liyane.
Pengawasan dipérang dadi pirang-pirang panguwasa. Wiwit 15 Agustus 2026, Otoritas Walanda kanggo Infrastruktur Digital ngawasi organisasi ing sangang sektor; pengawas liyane ditunjuk kanggo sektor liyane. Nemtokake pengawas endi sing kompeten kanggo organisasi sampeyan.
Piranti penegakan hukum iku jembar lan kalebu:
- pindai keamanan utawa audit keamanan;
- pandhuan sing ngiket;
- prentah penegakan administratif utawa prentah sing kena pembayaran denda;
- publikasi pelanggaran;
- denda administratif;
- kanggo entitas penting: penundaan sertifikasi, otorisasi utawa anggota dewan.
Kanggo entitas penting, denda maksimal paling ora EUR 10 yuta utawa 2% saka total omzet taunan ing saindenging jagad, endi wae sing luwih dhuwur. Kanggo entitas penting, paling ora EUR 7 yuta utawa 1.4% saka omzet taunan ing saindenging jagad, endi wae sing luwih dhuwur. Tingkat pungkasan gumantung saka kahanan kasus kasebut, kalebu sifat, keruwetan lan durasi pelanggaran, tingkat kesalahan lan langkah-langkah sing ditindakake.
Apa sing bisa ditindakake organisasi sampeyan saiki?
- Nindakake penilaian mandiri. Nemtokake apa organisasi kasebut aktif ing sektor sing wis ditemtokake lan memenuhi ambang ukuran sing wis ditemtokake.
- Nemtokake kategori sing bener. Nemtokake apa organisasi kasebut nduweni kualifikasi minangka entitas penting utawa penting, lan supervisor endi sing kompeten.
- Siapna registrasi. Kumpulake data sing dibutuhake kanggo registrasi menyang NCSC liwat MijnNCSC.
- Uji langkah-langkah tanggung jawab. Nilai langkah-langkah sing wis ana babagan analisis risiko, respon insiden, kelangsungan bisnis, keamanan rantai pasokan, kebersihan siber, kerentanan, otentikasi multi-faktor, lan kriptografi.
- Nyetel proses notifikasi. Cathet sapa sing ngevaluasi apa kedadeyan kasebut bisa dilaporake, sapa sing menehi kabar, lan kepiye tenggat wektu 24 jam, 72 jam, lan sewulan ditindakake.
- Libatake dewan kanthi cetha. Cathet keputusan apa sing wis dijupuk dewan, pelatihan apa sing wis ditindakake, lan kepiye pengawasan implementasine ditindakake.
- Kalebu rantai pasokan. Sebagian gedhe kerentanan ora muncul ing njero organisasi kasebut dhewe nanging ing pemasok lan panyedhiya layanan. Tinjau kontrak sampeyan babagan pengaturan keamanan, tugas notifikasi, lan hak audit.
Ing nutup
Undhang-undhang Keamanan Siber lan Undhang-undhang Ketahanan Entitas Kritis nggambarake pengetatan kewajiban keamanan siber sing cukup gedhe. Cakupan sing luwih jembar, langkah-langkah perawatan sing konkret, tenggat wektu notifikasi sing ketat, tanggung jawab pribadi kanggo direktur lan toolkit penegakan sing substansial tegese organisasi ora bisa nglirwakake topik iki. Kanthi ditrapake tanggal 15 Agustus 2026, wektu persiapan cendhak.
Law & More mbantu bisnis, direktur, lan petugas kepatuhan kanggo nemtokake posisine miturut NIS2 lan Undhang-undhang Keamanan Siber Walanda, nyiyapake lan nguji langkah-langkah tugas-of-care, nyiapake registrasi karo NCSC, lan nandur kabijakan keamanan siber kanthi sah.
Apa panjenengan kepingin posisi organisasi panjenengan ditaksir miturut aturan anyar iki? Monggo hubungi kita kanggo diskusi tanpa kewajiban.
Pitakonan Paling Sering
Ing ngisor iki kita bakal njawab pitakonan sing paling kerep ditakoni babagan iki.
Kapan Undhang-undhang Keamanan Siber Walanda mulai berlaku?
Tanggal 15 Agustus 2026. Senat nyetujoni Undhang-undhang Keamanan Siber lan Undhang-undhang Ketahanan Entitas Kritis tanggal 7 Juli 2026. Nalika ditrapake, Undhang-undhang Keamanan Sistem Jaringan lan Informasi (Wbni) sing saiki wis kadaluwarsa.
Apa organisasi kula kalebet ing NIS2?
Kuwi gumantung saka sektor lan ukuranmu. NIS2 nyakup wolulas sektor sing wis ditemtokake lan, ing sektor kasebut, minangka aturan utama organisasi kanthi paling ora 50 karyawan utawa total omzet taunan utawa neraca ngluwihi EUR 10 yuta. Pihak-pihak tartamtu dilindhungi tanpa preduli saka ukurane.
Apa aku bakal dikabari yen organisasiku ana ing ruang lingkup?
Ora. Organisasi dhewe sing tanggung jawab kanggo netepake apa dheweke kalebu ing Undhang-undhang Keamanan Siber. Risiko ngenteni ana kewajiban sing ditrapake sadurunge penilaian ditindakake.
Apa bedane entitas penting lan entitas penting?
Iki nemtokake intensitas pengawasan lan tingkat potensi denda. Entitas penting tundhuk karo pengawasan proaktif, ing ngendi supervisor bisa mriksa kanthi inisiatif dhewe. Entitas penting tundhuk karo pengawasan reaktif, sing disebabake dening kedadeyan, keluhan, utawa sinyal liyane.
Apa sing kalebu ing kewajiban ngrawat?
Njupuk langkah-langkah teknis, operasional, lan organisasi sing cocog lan proporsional kanggo ngatur risiko jaringan lan sistem informasi sampeyan, sing nyakup perkara-perkara kayata analisis risiko, penanganan insiden, kelangsungan bisnis, keamanan rantai pasokan, kebersihan siber, kerentanan, otentikasi multi-faktor, lan kriptografi. Sampeyan kudu bisa mbuktekake kenapa langkah-langkah sing dipilih iku cocog.
Tenggat wektu notifikasi apa sing ditrapake sawise kedadeyan?
Peringatan awal sajrone 24 jam, pemberitahuan resmi sajrone 72 jam kanthi penilaian awal babagan keruwetan lan dampak, lan laporan pungkasan paling lambat sajrone sewulan. Siapke proses pemberitahuan luwih dhisik.
Apa organisasi kula kedah ndhaptar?
Inggih. Registrasi ing register entitas nasional wajib wiwit tanggal 15 Agustus 2026 lan dilakokake liwat MijnNCSC, nggunakake eHerkenning utawa, kanggo badan sektor publik, SSOnRijk. Owah-owahan kudu dilaporake sajrone patbelas dina. Sawise ndhaptar, sampeyan bisa nyambung menyang layanan CSIRT sampeyan.
Apa tanggung jawabe dewan?
Dewan kudu nyetujoni langkah-langkah keamanan, ngawasi implementasine, bisa netepake risiko siber lan ngalami pelatihan dhewe. Arahan kasebut ngatasi tanggung jawab pribadi manajemen senior kanggo ketidakpatuhan, mula nyathet keputusan, pelatihan, lan pengawasan kanthi jelas.
Sepira dhuwure dendane?
Kanggo entitas penting paling ora EUR 10 yuta utawa 2% saka omzet taunan ing saindenging jagad; kanggo entitas penting paling ora EUR 7 yuta utawa 1.4%, ing saben kasus endi wae sing luwih dhuwur. Tingkat pungkasan gumantung saka faktor-faktor kalebu sifat, keruwetan lan durasi pelanggaran lan tingkat kesalahan.
Sapa sing ngawasi kepatuhan?
Kuwi beda-beda miturut sektor. Wiwit 15 Agustus 2026, Otoritas Walanda kanggo Infrastruktur Digital ngawasi organisasi ing sangang sektor; pengawas liyane ditunjuk kanggo sektor liyane. Nemtokake pengawas endi sing kompeten kanggo organisasi sampeyan.
Apa sebabé Walanda dirujuk menyang Pengadilan Kehakiman?
Amarga transposisi NIS2 sing telat. Tanggal 8 Juli 2026, Komisi Eropa mutusake kanggo ngrujuk Walanda, bebarengan karo Irlandia, Spanyol lan Prancis, menyang Pengadilan Kehakiman amarga gagal menehi kabar babagan langkah-langkah transposisi. Kasunyatan manawa Undhang-undhang Keamanan Siber diadopsi sedina sadurunge ora ateges proses kasebut rampung.
Apa iki uga ditrapake kanggo supplierku?
Keamanan rantai pasokan minangka salah sawijining subyek sing kudu dijaga. Sebagian gedhe kerentanan muncul saka pemasok lan panyedhiya layanan. Tinjau kontrak sampeyan babagan pengaturan keamanan, tugas notifikasi, lan hak audit.
