Jakarta, 30 Juni 2026 — Pada Senin (29/06) kemarin, Komisi 1 DPR telah menetapkan Panita Kerja (Panja) RUU Keamanan dan Ketahanan Siber (RUU KKS), untuk segera memulai proses pembahasan RUU bersama dengan pemerintah. Membaca substansinya, secara umum, RUU KKS menunjukkan kemajuan penting karena mulai menempatkan keamanan siber sebagai agenda tata kelola risiko nasional, bukan semata isu teknis atau penegakan hukum. RUU ini telah memuat kewajiban penyelenggara infrastruktur informasi untuk menjalankan tata kelola, identifikasi, proteksi, deteksi, tanggap insiden, dan pemulihan, serta memberikan pengaturan khusus bagi Infrastruktur Informasi Kritikal (IIK), produk dengan elemen digital, rantai pasok, audit, manajemen krisis, dan peningkatan kapasitas.

Namun demikian, Catalyst Policy-Works menilai bahwa RUU KKS masih memerlukan sejumlah penyempurnaan substantial, agar tidak melahirkan konsentrasi kewenangan yang berlebihan, ketidakpastian hukum bagi industri, serta risiko terhadap hak asasi manusia, privasi, perlindungan data pribadi, dan kebebasan berekspresi. Keamanan dan ketahanan siber nasional memang membutuhkan lembaga yang kuat, tetapi kekuatan kelembagaan tersebut harus disertai batas mandat, mekanisme akuntabilitas, dan pengawasan yang jelas. Lepas dari kesimpang-siuran dokumen RUU yang akan dilakukan pembahasan bersama antara DPR dengan pemerintah, mengacu pada naskah RUU yang dikirimkan Presiden kepada DPR, kami mencatat beberapa hal dari materi RUU KKS:

Pertama, RUU KKS memiliki arah kebijakan yang tepat karena mengadopsi siklus manajemen keamanan siber modern: tata kelola, identifikasi, proteksi, deteksi, respons, dan pemulihan. Pendekatan ini penting untuk memastikan organisasi tidak hanya bereaksi setelah insiden, tetapi membangun kemampuan pencegahan, deteksi dini, respons, dan pemulihan secara berkelanjutan.

Kedua, pengaturan IIK—Infrastruktur Informasi Kritikal merupakan kebutuhan mendesak karena gangguan terhadap infrastruktur strategis dapat berdampak pada pelayanan publik, perekonomian nasional, keamanan, dan kepentingan umum. Meski demikian, definisi, kriteria penetapan, prosedur keberatan, status kerahasiaan daftar IIK, dan mekanisme peninjauan berkala perlu dirumuskan lebih operasional agar tidak menimbulkan ketidakpastian bagi penyelenggara sektor.

Ketiga, desain kelembagaan masih menjadi titik paling kritis. RUU berulang kali merujuk pada “instansi pemerintah yang melaksanakan tugas dan fungsi di bidang keamanan dan ketahanan siber”, tetapi belum menetapkan secara tegas status, struktur, independensi, hubungan dengan regulator sektor, batas kewenangan, serta mekanisme pertanggungjawabannya. Apakah wewenang tersebut diberikan kepada BSSN (Badan Siber dan Sandi Negara) atau kah akan dibentuk badan baru? Dalam undang-undang payung, isu kelembagaan tidak semestinya sepenuhnya diserahkan kepada peraturan pemerintah. Akan tetapi seharusnya diatur secara lebih eksplisit mengenai bentuk kelembagaan, tugas, fungsi, dan wewenangnya.

Keempat, terdapat risiko tumpang tindih dan konsentrasi fungsi. RUU memberi peran kepada pemerintah atau instansi siber dalam standardisasi, koordinasi, pemantauan, audit, asesmen, pengelolaan pusat pemantauan keamanan siber nasional, sertifikasi, pengaturan kecerdasan artifisial, persandian, audit teknis, dan koordinasi krisis. Tanpa pemisahan fungsi regulator, operator, auditor, koordinator, dan penindak, desain ini berpotensi menimbulkan konflik kepentingan.

Kelima, kewajiban pelaporan insiden perlu dilengkapi safe harbour. Pelaporan insiden yang baik seharusnya mendorong kepercayaan, bantuan teknis, pembelajaran lintas sektor, dan peringatan dini. Apabila laporan beritikad baik dapat langsung menjadi dasar sanksi tanpa perlindungan yang memadai, penyelenggara berisiko menunda atau menyembunyikan insiden.

Keenam, norma pemantauan anomali trafik internet, integrasi pemantauan IIK dengan National Security Operation Center, serta audit teknis yang dapat meminta data/informasi dan akses terhadap IIK terdampak harus diberi pagar konstitusional. Pemantauan perlu dibatasi pada indikator teknis keamanan yang diperlukan, sedangkan akses terhadap konten komunikasi atau data pribadi harus tunduk pada dasar hukum, otorisasi, pencatatan, audit, dan mekanisme keberatan.

Ketujuh, ketentuan pidana untuk gangguan terhadap IIK dan ransomware terhadap IIK perlu dirumuskan secara ketat agar proporsional. Ancaman pidana berat hanya layak diterapkan terhadap tindakan dengan akibat serius, mens rea yang jelas, hubungan kausal yang terbukti, dan dampak yang signifikan. Perlindungan terhadap riset keamanan beritikad baik dan coordinated vulnerability disclosure juga perlu diperkuat.

Mencermati sejumlah catatan dari subtansi materi RUU KKS tersebut, dari analisis yang kami lakukan, Catalyst Policy Works memberikan sejumlah rekomendasi sebagai berikut:
1. RUU perlu menetapkan secara eksplisit Otoritas Keamanan dan Ketahanan Siber Nasional sebagai badan non-kementerian yang bertanggung jawab kepada Presiden, dengan mandat utama sebagai regulator, koordinator, pembina, standard setter, pengelola CSIRT nasional, fasilitator berbagi informasi, dan pengawas kepatuhan; bukan sebagai lembaga intelijen atau penyidik.
2. RUU dapat mengadopsi model “central coordinator with sectoral regulators”: otoritas nasional menetapkan standar dan mengoordinasikan isu lintas sektor, sementara regulator sektor tetap mengawasi kepatuhan teknis di sektor masing-masing.
3. Penting memisahkan fungsi regulasi, operasi, audit, sertifikasi, dan penindakan melalui desain kelembagaan internal dan pengawasan eksternal, termasuk laporan tahunan kepada Presiden dan DPR serta audit independen.
4. Materi RUU perlu memperjelas kriteria IIK, prosedur penetapan, hak keberatan, perlindungan informasi sensitif, dan evaluasi berkala atas status IIK.
5. Perlu menambahkan safe harbour bagi pelaporan insiden beritikad baik, sepanjang pelapor kooperatif dan tidak terbukti melakukan kelalaian berat atau kesengajaan.
6. Kejelasan batasan pemantauan trafik dan integrasi NSOC pada indikator teknis keamanan, bukan akses massal terhadap isi komunikasi atau data pribadi, untuk menjamin pelindungan hak atas privasi warga negara.
7. Menharmoniskan RUU KKS dengan UU Pelindungan Data Pribadi, UU ITE, UU Telekomunikasi, UU Keterbukaan Informasi Publik, UU Rahasia Dagang, hukum administrasi pemerintahan, sektor keuangan, dan sektor lainnya yang terkait, termasuk intelijen, keamanan, dan pertahanan.
8. Perlu memperkuat rezim produk dengan elemen digital (PDED) melalui kewajiban keamanan sepanjang siklus hidup produk, pembaruan keamanan, daftar komponen perangkat lunak untuk risiko tertentu, dan pengungkapan kerentanan terkoordinasi.
9. Membuat skema sanksi administratif bertingkat dan proporsional, mulai dari peringatan, perintah perbaikan, audit wajib, pembatasan sementara, denda, hingga pencabutan akreditasi atau lisensi.
10. Menjadikan sanksi pidana sebagai ultimum remedium untuk serangan berat terhadap IIK, ransomware, sabotase, dan tindakan yang menimbulkan akibat serius, bukan ditegakkan terhadap kegagalan kepatuhan administratif.

Catalyst Policy-Works menegaskan bahwa Indonesia membutuhkan undang-undang keamanan dan ketahanan siber yang kuat, modern, dan dapat dijalankan. Namun demikian, kekuatan regulasi harus berjalan bersama prinsip negara hukum: kejelasan mandat, pembatasan kewenangan, perlindungan hak, akuntabilitas, dan kepastian bagi industri. Harapannya, RUU KKS dapat menjadi fondasi bagi ekosistem digital yang aman, tangguh, inovatif, dan dipercaya publik.

Untuk komunikasi lebih lanjut, silakan menghubungi Wahyudi Djafar (Direktur Eksekutif), telepon: 081382083993.