Apa itu Undang-Undang Keamanan Siber tahun 2019? Panduan lengkapnya

Ancaman siber telah menjadi bahaya yang selalu ada. Dari perusahaan rintisan kecil hingga perusahaan multinasional, tak seorang pun kebal. Serangan ransomware terus meningkat. Kebocoran data sensitif terjadi hampir setiap minggu. Peretasan oleh negara-bangsa bukan lagi fiksi, melainkan kenyataan pahit. Dengan kerentanan digital yang semakin meningkat, komunitas global mendorong pertahanan siber yang lebih kuat dan, yang lebih penting, kepatuhan terhadap peraturan keamanan siber yang ketat.

Salah satu regulasi terpenting di bidang ini adalah Undang-Undang Keamanan Siber tahun 2019. Meskipun kurang dikenal dibandingkan HIPAA atau ISO 27001, regulasi ini memainkan peran penting dalam memperkuat kepercayaan digital di seluruh Uni Eropa. Namun, apa sebenarnya Undang-Undang Keamanan Siber itu? Mengapa organisasi yang menangani produk dan layanan TIK harus menganggapnya serius?

Mari kita jabarkan.

Apa itu Undang-Undang Keamanan Siber tahun 2019?

Undang-Undang Keamanan Siber 2019 merupakan langkah legislatif penting yang diambil oleh Uni Eropa (UE) untuk meningkatkan pertahanannya terhadap ancaman digital. Undang-undang ini mulai berlaku pada 27 Juni 2019, dengan nama Peraturan (UE) 2019/881, menandai langkah signifikan menuju Eropa digital yang terpadu dan aman.

Mengapa Undang-Undang Keamanan Siber dibuat?

Kebutuhan akan Undang-Undang Keamanan Siber muncul karena meningkatnya insiden serangan siber yang menargetkan infrastruktur penting, sistem keuangan, platform cloud, dan perangkat IoT di seluruh Eropa. Standar nasional yang ada menyulitkan perusahaan untuk mematuhi peraturan dan konsumen untuk mengetahui produk mana yang benar-benar aman.

Uni Eropa menyadari bahwa keamanan siber tidak bisa bersifat opsional atau terisolasi. Pendekatan keamanan digital yang terfragmentasi tidak lagi berkelanjutan. Strategi pan-Eropa yang harmonis sangatlah penting.

Bagaimana evolusinya?

Sebelum 2019, ENISA beroperasi dengan mandat sementara, sebagian besar dalam peran penasihat. Sementara itu, berbagai organisasi mengikuti beragam kerangka kerja keamanan sukarela dan sertifikasi tingkat nasional. Hal ini menyebabkan inkonsistensi, biaya kepatuhan yang tinggi, dan kebingungan yang meluas.

Undang-Undang Keamanan Siber memberikan kejelasan dan struktur:

• Hal ini menjadikan ENISA permanen, dengan perluasan kewenangan untuk membantu negara-negara anggota UE, mengoordinasikan tanggapan, dan meningkatkan kesiapsiagaan.
  
• Dokumen ini memperkenalkan kerangka kerja untuk sertifikasi keamanan siber di seluruh Uni Eropa, yang memungkinkan bisnis untuk mensertifikasi keamanan produk, layanan, dan proses TIK mereka pada berbagai tingkat jaminan.

Undang-Undang tersebut mendukung strategi Pasar Tunggal Digital Uni Eropa yang lebih luas, mendorong perdagangan dan inovasi lintas batas sekaligus memperkuat keamanan digital dan kepercayaan konsumen.

Berbeda dengan undang-undang keamanan siber sebelumnya yang seringkali reaktif, Undang-Undang Keamanan Siber 2019 bersifat proaktif. Undang-undang ini tidak hanya berfokus pada respons terhadap insiden, tetapi juga pada pembangunan budaya yang mengutamakan keamanan. Undang-undang ini menekankan sertifikasi, standardisasi, dan ketahanan jangka panjang.

Peraturan ini menetapkan corak bagi undang-undang masa depan di UE, termasuk usulan untuk Undang-Undang Ketahanan Siber, yang bertujuan untuk melengkapi dan membangun fondasinya.

Singkatnya, Undang-Undang Keamanan Siber tahun 2019 merupakan landasan bagi keamanan digital di UE dan sinyal kepada dunia bahwa kepatuhan siber bukanlah sesuatu yang opsional.

Pedoman, praktik terbaik, dan kerangka kerja Undang-Undang Keamanan Siber tahun 2019

Salah satu fitur paling berdampak dari Undang-Undang Keamanan Siber 2019 adalah pembentukan kerangka kerja sertifikasi keamanan siber yang komprehensif. Ini adalah sistem terstruktur dan berjenjang yang dirancang untuk membangun kepercayaan terhadap teknologi digital di seluruh Uni Eropa. Baik itu layanan cloud, perangkat rumah pintar, maupun platform perangkat lunak, Undang-Undang ini menyediakan peta jalan untuk membuktikan kesiapan keamanan sibernya.

Kerangka sertifikasi keamanan siber Uni Eropa

Kerangka sertifikasi yang diperkenalkan oleh Undang-Undang tersebut berfokus pada evaluasi keamanan siber produk, layanan, dan proses TIK melalui skema sertifikasi formal. Skema ini bersifat sukarela (untuk saat ini), tetapi memainkan peran penting dalam memperkuat pasar keamanan siber Uni Eropa dan mengurangi ketidakpastian di kalangan konsumen maupun bisnis.

Setiap skema sertifikasi meliputi:

• Persyaratan keamanan yang ditentukan
• Kriteria evaluasi
• Metode pengujian
• Prosedur penerbitan
• Aturan pemantauan dan pengawasan

Tujuannya adalah untuk memastikan setiap produk atau layanan bersertifikat memenuhi tingkat jaminan keamanan siber yang diakui, memberikan ketenangan pikiran bagi pembeli dan pengguna.

Tiga tingkat jaminan

Kerangka sertifikasi beroperasi pada model berjenjang.

1. Dasar
   • Berfokus pada perlindungan terhadap risiko minimal.
   • Cocok untuk produk atau layanan berisiko rendah.
   • Memerlukan pengujian dan evaluasi yang terbatas.
     
2. Besar
   • Menargetkan ancaman keamanan siber yang lebih signifikan.
   • Melibatkan prosedur penilaian terstruktur.
   • Memerlukan penilaian kesesuaian oleh badan terakreditasi.
     
3. High
   • Diperuntukkan bagi sistem kritis atau produk berisiko tinggi.
   • Memerlukan evaluasi intensif dan independen serta pemantauan berkelanjutan.
   • Ideal untuk sektor layanan penting, keuangan, kesehatan, atau infrastruktur publik.

Model berjenjang ini memungkinkan organisasi untuk memilih tingkat yang sesuai dengan paparan risiko dan tujuan kepatuhan mereka.

Prinsip inti dan praktik terbaik

Undang-Undang Keamanan Siber tahun 2019 juga mempromosikan beberapa praktik terbaik yang selaras dengan peraturan dan kerangka kerja keamanan siber yang lebih luas:

• Keamanan berdasarkan desain dan default:Produk harus aman sejak awal dan bukan hanya setelah penerapan.
• Transparansi:Rincian dan kriteria sertifikasi dipublikasikan secara terbuka.
• Dapat digunakan kembali bukti:Komponen sertifikasi dapat digunakan kembali di berbagai skema untuk mengurangi biaya.
• Harmonisasi: Bertujuan untuk mengganti program sertifikasi nasional yang terfragmentasi dengan pendekatan tunggal di seluruh UE.

Meskipun Undang-Undang ini khusus untuk Uni Eropa, kerangka kerjanya sejalan dengan upaya global untuk menetapkan regulasi keamanan siber yang terstandarisasi. Banyak prinsipnya mencerminkan ISO 27001, NIST CSF, dan Kontrol CIS, memudahkan organisasi multinasional untuk memetakan upaya kepatuhan di seluruh yurisdiksi.

Mengapa organisasi harus peduli dengan Undang-Undang Keamanan Siber tahun 2019?

Dalam ekonomi digital saat ini, kepatuhan merupakan keunggulan strategis. Undang-Undang Keamanan Siber tahun 2019 menawarkan pendekatan terstruktur dan berwawasan ke depan terhadap kesiapan siber, yang dapat memberikan keunggulan kompetitif bagi organisasi sekaligus membantu mereka mengelola risiko secara lebih efektif.

Jadi mengapa organisasi Anda harus peduli dengan undang-undang keamanan siber ini?

1. Membangun kepercayaan pelanggan dan mitra

Baik Anda menawarkan layanan cloud, perangkat IoT, atau perangkat lunak perusahaan, pelanggan menginginkan jaminan keamanan produk Anda. Sertifikasi keamanan siber Uni Eropa memberikan jaminan tersebut.

• Produk yang bersertifikasi menunjukkan bahwa mereka mematuhi peraturan keamanan cyber yang ditetapkan dengan jelas.
• Lebih mudah untuk memenangkan kontrak, terutama dengan badan pemerintah atau perusahaan besar yang mengutamakan kepatuhan.
• Ini memberi mitra potensial lebih percaya pada operasi Anda.

2. Ini membuat bisnis Anda siap menghadapi masa depan

Undang-Undang Keamanan Siber 2019 menetapkan fondasi untuk langkah selanjutnya. Uni Eropa sudah bergerak menuju sertifikasi wajib dalam kategori berisiko tinggi tertentu melalui proposal baru seperti Undang-Undang Ketahanan Siber. Sertifikasi sukarela saat ini dapat segera menjadi persyaratan hukum.

• Adopsi dini memberi Anda waktu untuk bersiap.
• Anda mengurangi risiko denda, gangguan bisnis, atau rintangan regulasi di masa mendatang.
• Anda tetap unggul dibandingkan pesaing yang lebih lambat beradaptasi.

3. Mengurangi risiko keamanan siber

Ancaman siber tidak dapat dihindari. Menerapkan kerangka sertifikasi CSA membantu meminimalkan kerentanan di seluruh siklus hidup produk atau layanan Anda, terutama ketika organisasi secara aktif memantau kelemahan yang diketahui yang didokumentasikan dalam sumber tepercaya. basis data kerentanan Digunakan oleh tim keamanan di seluruh dunia.

• Ini mempromosikan keamanan berdasarkan desain, menanamkan keselamatan dari bawah ke atas.
• Ini meningkatkan postur keamanan siber internal Anda, mengurangi kemungkinan serangan yang berhasil.
• Reguler audit dan penilaian meningkatkan akuntabilitas dan respons insiden.

4. Memperkuat akses pasar di seluruh Uni Eropa

Dengan lebih dari 27 negara anggota, Uni Eropa dapat menjadi rumit bagi perusahaan yang harus mematuhi berbagai peraturan keamanan siber nasional. Undang-Undang ini menyederhanakan hal ini dengan menciptakan satu standar tunggal yang berlaku di seluruh Uni Eropa.

• Sertifikasi berdasarkan Undang-Undang tersebut memastikan Anda memenuhi kepatuhan di semua negara UE.
• Ini menghilangkan kebutuhan untuk menyesuaikan diri dengan kerangka kerja keamanan tingkat nasional yang berbeda.
• Itu lebih efisien dan biaya kepatuhan lebih rendah.

5. Ini menandakan kematangan operasional

Saat ini, para pemangku kepentingan, termasuk investor, sangat peduli dengan manajemen risiko digital. Kepatuhan terhadap regulasi keamanan siber yang diakui dipandang sebagai tanda kedewasaan dan tanggung jawab.

• Ini dapat meningkatkan persepsi publik terhadap merek Anda.
• Ini membuat proses uji tuntas lebih lancar selama kemitraan, penggabungan, atau putaran pendanaan.
• Ini membantu membangun organisasi Anda sebagai pemimpin yang sadar akan keamanan di ruang Anda.

Siapa saja yang perlu mematuhi Undang-Undang Keamanan Siber tahun 2019?

Salah satu pertanyaan yang paling sering diajukan tentang undang-undang keamanan siber ini adalah: “Apakah ini berlaku untuk organisasi saya?” Jawaban singkatnya? Jika bisnis Anda bergerak di bidang produk, layanan, atau infrastruktur digital yang beroperasi di atau menargetkan Uni Eropa, ya, itu penting bagi Anda.

Undang-Undang Keamanan Siber tahun 2019 terutama memengaruhi organisasi yang terlibat dalam:

• Produk dan layanan TIK: Ini termasuk vendor perangkat lunak, produsen perangkat keras, penyedia layanan cloud, dan pengembang platform digital serta perangkat yang terhubung.
• Infrastruktur kritis: Operator layanan penting seperti energi, perawatan kesehatan, keuangan, pasokan air, dan transportasi.
• Kontraktor atau vendor pemerintah: Setiap perusahaan sektor swasta yang bekerja sama dengan lembaga pemerintah Uni Eropa atau lembaga sektor publik.
• Penyedia layanan terkelola (MSP):Terutama mereka yang menawarkan solusi keamanan siber atau dukungan lintas batas UE.

Jika perusahaan Anda menjual termostat pintar, aplikasi berbasis cloud, sensor industri, atau bahkan perangkat lunak autentikasi digital yang digunakan di UE, maka Anda berada di zona kepatuhan.

Saat ini, sertifikasi berdasarkan kerangka Undang-Undang tersebut bersifat sukarela. Namun, hal ini diperkirakan akan segera berubah untuk produk dan layanan digital berisiko tinggi. Komisi Eropa telah menegaskan bahwa:

• Sertifikasi dapat menjadi wajib untuk kategori TIK tertentu berdasarkan peraturan masa depan.
• Produk yang menimbulkan risiko keamanan siber tinggi (seperti perangkat IoT penting atau layanan cloud yang digunakan di lingkungan sensitif) kemungkinan akan menjadi yang pertama.

Pengadopsi awal yang melakukan sertifikasi sekarang tidak hanya akan unggul tetapi mereka juga akan siap.

Organisasi yang harus menganggap serius Undang-Undang Keamanan Siber tahun 2019

• Startup teknologi meluncurkan aplikasi atau perangkat pintar di pasar UE
• Vendor perangkat lunak besar dengan platform SaaS yang digunakan oleh klien UE
• Penyedia cloud menawarkan layanan penyimpanan atau komputasi di Eropa
• Produsen IoT menjual perangkat rumah atau industri yang terhubung
• Perusahaan perawatan kesehatan atau fintech menangani data pengguna yang sensitif
• Vendor TI pemerintah bekerja sama dengan lembaga-lembaga Uni Eropa

Bahkan jika kantor pusat Anda berada di luar UE, misalnya di AS atau India, Anda tetap harus mematuhinya jika produk atau layanan digital Anda digunakan di dalam UE.

Undang-Undang Keamanan Siber 2019 vs. kerangka kerja keamanan lainnya

Undang-Undang Keamanan Siber 2019 merupakan tonggak penting dalam kebijakan keamanan siber Eropa, tetapi apa bedanya dengan kerangka kerja dan peraturan terkenal lainnya? Mari kita bandingkan dengan beberapa standar paling diakui di seluruh dunia, termasuk HIPAA, ISO, NIST, SOC, dan CIS.

Undang-Undang Keamanan Siber 2019 vs. HIPAA

Intinya: HIPAA berfokus pada privasi data dalam perawatan kesehatan, sementara Undang-Undang Keamanan Siber 2019 mengambil pendekatan yang lebih berfokus pada produk dan infrastruktur, dengan tujuan sertifikasi dan kepercayaan dalam rantai pasokan digital.

Undang-Undang Keamanan Siber 2019 vs. ISO (ISO/IEC 27001)

Intinya: ISO 27001 berfokus pada pengelolaan risiko organisasi dan menciptakan budaya yang aman, sementara Undang-Undang Keamanan Siber Uni Eropa menawarkan sertifikasi tingkat produk dan membantu perusahaan menunjukkan kepercayaan di pasar digital. Organisasi yang ingin memperkuat sistem manajemen keamanan informasi mereka sering berinvestasi dalam Layanan sertifikasi ISO 27001 untuk membangun kerangka kepatuhan yang terstruktur sebelum berekspansi ke pasar yang diatur.

Undang-Undang Keamanan Siber 2019 vs. kerangka kerja NIST

Intinya: NIST merupakan kerangka kerja strategi yang banyak digunakan, sementara Undang-Undang Keamanan Siber menerapkan sertifikasi berbasis kepatuhan. Keduanya dapat saling melengkapi bagi bisnis yang beroperasi secara internasional.

Undang-Undang Keamanan Siber 2019 vs. SOC (SOC 2)

Intinya: SOC 2 ideal untuk penyedia layanan yang menangani data pelanggan yang sensitif, sementara Undang-Undang Keamanan Siber membantu mensertifikasi kepercayaan tingkat produk di UE.

Undang-Undang Keamanan Siber 2019 vs. Kontrol CIS

Intinya: CIS lebih taktis dan berfokus pada keseharian, sedangkan undang-undang keamanan siber 2019 menyediakan kerangka kerja kepercayaan tingkat makro yang memformalkan kekuatan keamanan siber perusahaan.

Meskipun kerangka kerja ini mungkin berbeda dalam cakupan, geografi, dan penegakannya, banyak di antaranya memiliki tujuan yang sama: meningkatkan ketahanan siber dan mengurangi risiko. Faktanya, Undang-Undang Keamanan Siber 2019 seringkali tumpang tindih dengan kerangka kerja ini dalam praktiknya. Artinya, bisnis yang sudah mematuhi ISO, NIST, atau SOC 2 seringkali dapat memanfaatkan upaya yang ada untuk mendapatkan sertifikasi berdasarkan Undang-Undang Uni Eropa.

Undang-Undang Keamanan Siber 2019: Kepatuhan hari ini, kepercayaan di masa depan

Seiring ancaman siber terus berkembang, respons kita pun harus demikian. Undang-Undang Keamanan Siber 2019 merupakan langkah berani dan penting yang diambil Uni Eropa untuk memperkuat pertahanan digital dan menumbuhkan kepercayaan di dunia yang semakin terhubung.

Alih-alih menjadi regulasi yang memberatkan, undang-undang keamanan siber ini menawarkan jalur yang terstruktur, fleksibel, dan berwawasan ke depan bagi bisnis untuk mencapai jaminan keamanan siber. Melalui sertifikasi sukarela, kerangka kerja yang jelas, dan standar yang konsisten, organisasi dapat menunjukkan komitmen mereka terhadap keamanan.

Menyelaraskan dengan undang-undang keamanan siber Uni Eropa ini dapat membantu Anda:

• Tingkatkan kredibilitas pasar Anda
• Tingkatkan postur keamanan Anda
• Persiapkan bisnis Anda untuk menghadapi peraturan keamanan siber yang akan datang
• Berekspansi ke pasar UE dengan lebih mudah

Mulailah menerapkan hari ini dan ubah kepatuhan menjadi keunggulan kompetitif.

Seperti Apa Keamanan yang Lebih Cerdas? Jelajahi bersama Veltar.

Mulailah uji coba gratis Anda hari ini.

Coba gratis