Perpres Nomor 82 Tahun 2022

Status dan tanggal berlaku

Perpres 82/2022 tentang Pelindungan Infrastruktur Informasi Vital ditetapkan dan diundangkan pada 24 Mei 2022, dalam Lembaran Negara Tahun 2022 Nomor 129. Pasal 27 menetapkan mulai berlaku sejak pengundangan. Ditjen PP mencatat status berlaku saat sumber diperiksa.

Sektor, identifikasi dan penetapan berbeda

IIV berkaitan dengan sistem pada sektor strategis yang gangguannya dapat berdampak serius terhadap kepentingan umum, layanan publik, pertahanan/keamanan atau perekonomian nasional. Pasal 4 memuat sektor administrasi pemerintahan, energi dan sumber daya mineral, transportasi, keuangan, kesehatan, teknologi informasi dan komunikasi, pangan serta pertahanan; ada pula mekanisme penetapan sektor lain.

Masuk sektor IIV tidak sama dengan sudah ditetapkan sebagai penyelenggara IIV. Pasal 6 mengatur identifikasi oleh PSE dalam lingkup sektor, pelaporan, verifikasi dan penetapan kementerian/lembaga. Identifikasi berkala paling sedikit sekali setahun mengikuti lingkup pasal itu. Belum mempunyai penetapan bukan alasan melewatkan pemeriksaan kewajiban identifikasi.

Memiliki IoT, OT atau sistem yang dianggap penting oleh perusahaan tidak otomatis menentukan status IIV.

Bagian yang perlu diperiksa

Kebutuhan	Pasal dan lingkup
Definisi dan sektor	Pasal 1 serta 4–5; fungsi, sektor dan kementerian/lembaga terkait.
Identifikasi dan penetapan	Pasal 6; subjek, pemeriksaan, pelaporan serta proses penetapan.
Pelindungan dan risiko	Pasal 9–10; keandalan, standar keamanan, manajemen risiko dan pelaporannya.
Tim dan insiden	Pasal 11–14; tim nasional/sektoral/organisasi, jalur laporan dan penanganan.

Rincian standar, metode dan ketentuan sektor perlu dibaca bersama aturan pelaksananya. Halaman ini belum memeriksa setiap penetapan sistem atau seluruh aturan pelaksana IIV.

Pelaporan insiden: periksa pelaku dan penerima

Pasal 13 mewajibkan tim tanggap insiden siber organisasi melaporkan insiden pada IIV lingkup organisasinya kepada tim sektoral, dengan tembusan tim nasional, paling lambat 1 × 24 jam setelah ditemukan. Bila tim sektoral belum dibentuk, jalurnya kepada kementerian/lembaga sesuai sektor dengan tembusan tim nasional, sesuai ketentuan pasal tersebut.

Ini tidak menggantikan pemberitahuan kegagalan pelindungan data pribadi atau laporan sektor lain. Petakan kewajiban yang dapat berjalan bersamaan beserta pihak, penerima, pemicu dan tenggatnya.

Hubungkan dengan pekerjaan operasional

Baca persiapan pelindungan IIV untuk peta layanan, ketergantungan dan risiko. Hubungkan ke CSIRT serta akses vendor OT bila relevan.

Pasal 26 memberi tenggat historis penetapan peraturan pelaksanaan paling lama 18 bulan sejak pengundangan. Itu bukan masa persiapan baru bagi setiap organisasi atau bukti bahwa seluruh instrumen pelaksana sudah diperiksa di sini.