Peraturan BSSN No. 8 Tahun 2020 tidak memuat kewajiban Penyelenggara Sistem Elektronik melaporkan insiden siber kepada BSSN; yang diwajibkan peraturan itu adalah melaporkan hasil penilaian mandiri kategori sistem elektronik untuk diverifikasi (Pasal 7 ayat (3)). Kewajiban yang pasti berlaku saat data pribadi terdampak datang dari UU No. 27 Tahun 2022 Pasal 46: pemberitahuan tertulis dalam 3x24 jam kepada subjek data dan lembaga pengawas pelindungan data pribadi, bukan kepada BSSN.

Satu-satunya penyebutan insiden dalam Peraturan BSSN No. 8 Tahun 2020 adalah kewajiban lembaga sertifikasi melakukan audit khusus bila terjadi insiden pada sistem yang telah tersertifikasi (Pasal 33), yaitu kewajiban lembaga sertifikasi, bukan penyelenggara. Kewajiban pelaporan insiden yang lebih rinci melekat pada status Infrastruktur Informasi Vital berdasarkan Perpres No. 82 Tahun 2022, dan sektor air minum belum ditetapkan sebagai IIV; isi kewajiban IIV itu tidak diperiksa di sini. Ketentuan lain BSSN tentang tim tanggap insiden (CSIRT) atau pelaporan insiden lintas sektor belum diverifikasi; pertanyaan ini akan diperbarui bila sumber primernya sudah dibaca.

Dasar hukum

Kutipan sumber (3)
  • Peraturan BSSN No. 8 Tahun 2020, Pasal 7 ayat (3): Hasil Penilaian Mandiri sebagaimana dimaksud pada ayat (1) wajib dilaporkan kepada BSSN untuk diverifikasi.
  • Peraturan BSSN No. 8 Tahun 2020, Pasal 33: Lembaga Sertifikasi wajib melaksanakan audit pengawasan paling sedikit 1 (satu) kali dalam setahun dan audit khusus apabila terjadi insiden terhadap setiap Sistem Elektronik yang telah tersertifikasi.
  • Peraturan BSSN No. 8 Tahun 2020, pemeriksaan teks: Kata 'insiden' hanya muncul pada Pasal 33 dan Lampiran (teks JDIH BPK 34 halaman, diperiksa 2026-09-14); tidak ada pasal yang mewajibkan Penyelenggara Sistem Elektronik melaporkan insiden kepada BSSN.

Diperiksa terakhir pada 2026-09-14. Jawaban ini bukan nasihat hukum; untuk kepatuhan resmi, rujuk teks asli dari lembaga penerbit.