Status IIV Air Minum Masih Menggantung, Ransomware Sudah Menembus SCADA PERUMDA

Pada 2025, kelompok ransomware Funksec menembus sistem SCADA milik sebuah PERUMDA air minum di Indonesia. Selain mengenkripsi data dan menuntut tebusan, kelompok ini melelang akses ke sistem tersebut di forum bawah tanah, menurut pemantauan CSIRT Indonesia. Akses semacam itu mencakup kendali atas sistem yang mengatur pompa, katup, dan distribusi air.

Pertanyaan yang mengikuti kasus tersebut adalah apakah sistem SCADA operator air minum termasuk Infrastruktur Informasi Vital (IIV) yang dilindungi negara. Jawabannya belum tunggal, dan ketidakpastian itu sendiri membawa risiko.

Delapan Sektor, Satu Klausul Terbuka

Perpres No. 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital, ditetapkan 24 Mei 2022, menetapkan delapan sektor strategis: administrasi pemerintahan, energi dan sumber daya mineral, transportasi, keuangan, kesehatan, teknologi informasi dan komunikasi, pangan, dan pertahanan. Wakil Kepala BSSN Luki Hermawan menegaskan daftar ini dalam sosialisasi resmi September 2022, ditambah satu klausul terbuka: “sektor lain yang ditetapkan Presiden”.

Air minum tidak tercantum eksplisit dalam delapan sektor tersebut. Bukan berarti selamanya di luar cakupan, klausul terbuka itu memberi ruang penetapan di kemudian hari, tapi sampai artikel ini ditulis, penetapan itu belum terjadi.

Perpres ini juga mewajibkan peraturan pelaksana terbit paling lama 18 bulan sejak diundangkan. Realitasnya, BSSN baru menerbitkan peta jalan pelindungan IIV sektoral pertamanya untuk sektor Administrasi Pemerintahan 2025-2029 lewat Peraturan BSSN No. 5 Tahun 2025. Dua regulasi turunan lain, Peraturan BSSN No. 7 dan No. 8 Tahun 2023, mengatur metodologi identifikasi dan kerangka kerja pelindungan IIV secara umum lintas sektor, bukan penetapan atau kewajiban teknis khusus untuk air. Air minum masih menunggu giliran peta jalan sektoralnya sendiri.

Dua Kewajiban yang Tidak Menunggu Kepastian IIV

Status IIV yang belum jelas bukan alasan untuk menunda, karena dua kewajiban lain sudah mengikat BUMDAM hari ini.

Pertama, sistem billing online, portal pelanggan, atau aplikasi mobile yang dioperasikan BUMDAM menjadikannya Penyelenggara Sistem Elektronik (PSE). Peraturan BSSN No. 8 Tahun 2020 mewajibkan setiap PSE menerapkan Sistem Manajemen Keamanan Informasi berbasis ISO 27001, dengan kewajiban yang meningkat sesuai kategori risiko sistem: Strategis, Tinggi, atau Rendah. BUMDAM yang belum pernah menilai sendiri masuk kategori mana, berarti belum memenuhi kewajiban paling dasar sekalipun.

Kedua, BUMDAM menyimpan data pelanggan: nama, alamat, riwayat konsumsi, data pembayaran. Itu menjadikannya Pengendali Data Pribadi di bawah UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. Pasal 46 ayat (1) mewajibkan pemberitahuan tertulis paling lambat 3x24 jam kepada subjek data dan lembaga pengawas jika terjadi kegagalan pelindungan data. Sanksi administratif untuk pelanggaran dapat mencapai 2 persen dari pendapatan tahunan.

Kenapa Menunggu adalah Strategi Berbahaya

Riset independen yang diterbitkan Januari 2026 sudah mengidentifikasi absennya Computer Security Incident Response Team (CSIRT) sektoral sebagai salah satu temuan paling kritis dalam ekosistem digital BUMD air minum, dan mengusulkan pembentukan Water-CSIRT bersama asosiasi sektor sebagai langkah mitigasi.¹ Sampai artikel ini ditulis, mayoritas BUMDAM di Indonesia masih belum memiliki kebijakan keamanan siber yang terdokumentasi, apalagi tim tanggap insiden sendiri.

Tingkat paparan tidak seragam. BUMDAM besar dengan SCADA yang terhubung ke jaringan publik menanggung risiko jauh lebih tinggi dibanding BUMDAM kecil yang masih mengandalkan operasi manual. Kasus 2025 menunjukkan bahwa serangan tidak menunggu peta jalan sektoral selesai disusun.

Peta Kewajiban: Apa yang Berlaku Hari Ini

Kesimpulan

Ketidakjelasan status IIV sektor air minum berada di ranah pembuat kebijakan, dan tidak menangguhkan kewajiban yang sudah berlaku. Langkah dengan dampak terbesar adalah menunjuk satu penanggung jawab internal untuk memetakan status Penyelenggara Sistem Elektronik perusahaan dan menyusun prosedur notifikasi kegagalan pelindungan data pribadi.

Penafian: Tulisan ini adalah pandangan pribadi penulis berdasarkan pengalaman praktis dan studi independen. Ia bukan pandangan institusional dan bukan nasihat hukum formal. Untuk keperluan kepatuhan resmi, selalu rujuk dokumen asli yang diterbitkan kementerian atau lembaga terkait. Koreksi dan catatan: [email protected]