Daftar isi (8 bab, 44 pasal, 1 lampiran)
hlm. 1

PERATURAN BADAN SIBER DAN SANDI NEGARA

NOMOR 8 TAHUN 2020

TENTANG

SISTEM PENGAMANAN DALAM PENYELENGGARAAN

SISTEM ELEKTRONIK

DENGAN RAHMAT TUHAN YANG MAHA ESA

KEPALA BADAN SIBER DAN SANDI NEGARA,

Menimbang : bahwa untuk melaksanakan ketentuan Pasal 24 ayat (4) Peraturan Pemerintah Republik Indonesia Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik, perlu menetapkan Peraturan Badan Siber dan Sandi Negara tentang Sistem Pengamanan dalam Penyelenggaraan Sistem Elektronik;

Mengingat : 1. Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (Lembaran Negara Republik Indonesia Tahun 2008 Nomor 58, Tambahan Lembaran Negara Republik Indonesia Nomor 4843) sebagaimana telah diubah dengan Undang-Undang Nomor 19 Tahun 2016 tentang Perubahan Atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (Lembaran Negara Republik Indonesia Tahun 2016 Nomor 251, Tambahan Lembaran Negara Nomor 5952);

hlm. 2

2. Peraturan Pemerintah Nomor 24 Tahun 2018 tentang Pelayanan Perizinan Berusaha Terintegrasi Secara Elektronik (Lembaran Negara Republik Indonesia Tahun 2018 Nomor 90, Tambahan Lembaran Negara Republik Indonesia Nomor 6215);

3. Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik (Lembaran Negara Republik Indonesia Tahun 2019 Nomor 185, Tambahan Lembaran Negara Republik Indonesia Nomor 6400);

4. Peraturan Presiden Republik Indonesia Nomor 53 Tahun 2017 tentang Badan Siber dan Sandi Negara (Lembaran Negara Republik Indonesia Tahun 2017 Nomor 100), sebagaimana telah diubah dengan Peraturan Presiden Republik Indonesia Nomor 133 Tahun 2017 tentang Perubahan atas Peraturan Presiden Republik Indonesia Nomor 53 Tahun 2017 tentang Badan Siber dan Sandi Negara (Lembaran Negara Republik Indonesia Tahun 2017 Nomor 277);

5. Peraturan Presiden Nomor 95 Tahun 2018 tentang Sistem Pemerintah Berbasis Elektronik (Lembaran Negara Republik Indonesia Tahun 2018 Nomor 182, Tambahan Lembaran Negara Republik Indonesia Nomor 6215);

6. Peraturan Badan Siber dan Sandi Negara Nomor 2 Tahun 2018 tentang Organisasi dan Tata Kerja Badan Siber dan Sandi Negara (Berita Negara Republik Indonesia Tahun 2018 Nomor 197);

MEMUTUSKAN:

Menetapkan : PERATURAN BADAN SIBER DAN SANDI NEGARA TENTANG

SISTEM PENGAMANAN DALAM PENYELENGGARAAN SISTEM

ELEKTRONIK.

hlm. 3

BAB IKETENTUAN UMUM

Pasal 1 #

Dalam Peraturan Badan ini yang dimaksud dengan:

1. Sistem Elektronik adalah serangkaian perangkat dan prosedur elektronik yang berfungsi mempersiapkan, mengumpulkan, mengolah, menganalisis, menyimpan, menampilkan, mengumumkan, mengirimkan, dan/atau menyebarkan informasi elektronik.

2. Penyelenggara Sistem Elektronik adalah setiap orang, penyelenggara negara, badan usaha, dan masyarakat yang menyediakan, mengelola, dan/atau mengoperasikan Sistem Elektronik secara sendiri-sendiri maupun bersama-sama kepada pengguna Sistem Elektronik untuk keperluan dirinya dan/atau keperluan pihak lain.

3. Penyelenggara Sistem Elektronik Lingkup Publik adalah penyelenggara Sistem Elektronik oleh instansi penyelenggara negara atau institusi yang ditunjuk oleh instansi penyelenggara negara.

4. Penyelenggara Sistem Elektronik Lingkup Privat adalah Penyelenggara Sistem Elektronik oleh orang, badan usaha, dan masyarakat.

5. Penyelenggaraan Sistem Elektronik adalah pemanfaatan Sistem Elektronik oleh penyelenggara negara, orang, badan usaha, dan/atau masyarakat.

6. Sistem Manajemen Pengamanan Informasi yang selanjutnya disebut SMPI adalah pengaturan kewajiban bagi Penyelenggara Sistem Elektronik dalam penerapan manajemen pengamanan informasi berdasarkan asas Risiko.

7. Keamanan Informasi adalah terjaganya kerahasiaan, keaslian, keutuhan, ketersedian, dan kenirsangkalan informasi.

hlm. 4

8. Data Pribadi adalah setiap data tentang seseorang baik yang teridentifikasi dan/atau dapat diidentifikasi secara tersendiri atau dikombinasi dengan informasi lainnya baik secara langsung maupun tidak langsung melalui Sistem Elektronik dan/atau nonelektronik.

9. Risiko adalah kejadian atau kondisi yang tidak diinginkan, yang dapat menimbulkan dampak negatif terhadap pencapaian sasaran kinerja dari layanan Sistem Elektronik.

10. Lembaga Sertifikasi Sistem Manajemen Pengamanan Informasi yang selanjutnya disebut Lembaga Sertifikasi adalah lembaga audit Keamanan Informasi yang menerbitkan Sertifikat Sistem Manajemen Pengamanan Informasi.

11. Sertifikat Sistem Manajemen Pengamanan Informasi yang selanjutnya disebut Sertifikat SMPI adalah bukti tertulis yang diberikan oleh Lembaga Sertifikasi kepada Penyelenggara Sistem Elektronik yang telah memenuhi persyaratan.

12. Penilaian Mandiri adalah mekanisme evaluasi yang dilakukan secara mandiri oleh Penyelenggara Sistem Elektronik berdasarkan kriteria tertentu.

13. Indeks Keamanan Informasi yang selanjutnya disebut Indeks KAMI adalah alat evaluasi untuk menganalisis tingkat kesiapan pengamanan informasi di organisasi.

14. Auditor Keamanan Informasi yang selanjutnya disebut ArKI adalah orang yang memiliki kompetensi untuk melakukan audit Keamanan Informasi.

15. Kementerian atau Lembaga adalah instansi penyelenggara negara yang bertugas mengawasi dan mengeluarkan pengaturan terhadap sektornya.

16. Tenaga Ahli Penerap yang selanjutnya disebut Tenaga Ahli adalah orang yang memiliki kompetensi dalam penerapan SMPI.

hlm. 5

17. Badan Siber dan Sandi Negara yang selanjutnya disingkat BSSN adalah lembaga pemerintah yang menyelenggarakan tugas pemerintahan di bidang keamanan siber.

Pasal 2 #

Sistem pengamanan dalam Penyelenggaraan Sistem Elektronik dilaksanakan melalui SMPI.

Pasal 3 #

Sistem pengamanan dalam Penyelenggaraan Sistem Elektronik meliputi:

a. ruang lingkup Penyelenggara Sistem Elektronik Lingkup Publik dan Penyelenggara Sistem Elektronik Lingkup Privat;

b. proses Penilaian Mandiri dan kategori Sistem Elektronik;

c. penyelenggaraan SMPI yang terdiri atas:

1) standar SMPI sesuai kategori Sistem Elektronik;

2) persiapan penerapan SMPI;

3) penerapan SMPI oleh Penyelenggara Sistem Elektronik;

4) penerbitan sertifikat, pelaporan sertifikasi, dan pencabutan sertifikat;

d. pembinaan dan pengawasan; dan

e. sanksi.

BAB IIRUANG LINGKUP PENYELENGGARA SISTEM ELEKTRONIK

Pasal 4 #

Peraturan Badan ini mengatur mengenai penerapan SMPI oleh Penyelenggara Sistem Elektronik Lingkup Publik dan Penyelenggara Sistem Elektronik Lingkup Privat.

hlm. 6

Pasal 5 #

(1) Penerapan SMPI oleh Penyelenggara Sistem Elektronik Lingkup Publik sebagaimana dimaksud dalam Pasal 4 meliputi:

a. instansi; dan

b. institusi yang ditunjuk oleh instansi.

(2) Penerapan SMPI oleh Penyelenggara Sistem Elektronik Lingkup Privat sebagaimana dimaksud dalam Pasal 4 meliputi:

a. Penyelenggara Sistem Elektronik yang diatur atau diawasi oleh kementerian atau lembaga berdasarkan ketentuan peraturan perundang-undangan; dan

b. Penyelenggara Sistem Elektronik yang memiliki portal, situs, atau aplikasi dalam jaringan melalui internet yang dipergunakan untuk:

1) menyediakan, mengelola, dan/atau mengoperasikan penawaran dan/atau perdagangan barang dan/atau jasa;

2) menyediakan, mengelola, dan/atau mengoperasikan layanan transaksi keuangan;

3) pengiriman materi atau muatan digital berbayar melalui jaringan data baik dengan cara unduh melalui portal atau situs, pengiriman lewat surat elektronik, atau melalui aplikasi lain ke perangkat pengguna;

4) menyediakan, mengelola, dan/atau mengoperasikan layanan komunikasi meliputi namun tidak terbatas pada pesan singkat, panggilan suara, panggilan video, surat elektronik, dan percakapan dalam jaringan dalam bentuk platform digital, layanan jejaring dan media sosial;

hlm. 7

5) layanan mesin pencari, layanan penyediaan informasi elektronik yang berbentuk tulisan, suara, gambar, animasi, musik, video, film, dan permainan atau kombinasi dari sebagian dan/atau seluruhnya; dan/atau

6) pemrosesan Data Pribadi untuk kegiatan operasional melayani masyarakat yang terkait dengan aktivitas transaksi elektronik.

BAB IIIPROSES PENILAIAN MANDIRI DAN KATEGORI SISTEM ELEKTRONIK

Pasal 6 #

(1) Kategori Sistem Elektronik berdasarkan asas Risiko terdiri atas:

a. Sistem Elektronik strategis;

b. Sistem Elektronik tinggi; dan

c. Sistem Elektronik rendah.

(2) Sistem Elektronik strategis sebagaimana dimaksud pada ayat (1) huruf a merupakan Sistem Elektronik yang berdampak serius terhadap kepentingan umum, pelayanan publik, kelancaran penyelenggaraan negara, atau pertahanan dan keamanan negara.

(3) Sistem Elektronik tinggi sebagaimana dimaksud pada ayat

(1) huruf b merupakan Sistem Elektronik yang berdampak terbatas pada kepentingan sektor dan/atau daerah tertentu.

(4) Sistem Elektronik rendah sebagaimana dimaksud pada ayat (1) huruf c merupakan Sistem Elektronik lainnya yang tidak termasuk pada ayat (2) dan ayat (3).

hlm. 8

Pasal 7 #

(1) Kategorisasi Sistem Elektronik sebagaimana dimaksud dalam Pasal 6 ayat (1) ditentukan berdasarkan Penilaian Mandiri oleh Penyelenggara Sistem Elektronik terhadap Sistem Elektronik yang dimilikinya.

(2) Format Penilaian Mandiri sebagaimana dimaksud pada ayat (1) tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Badan ini.

(3) Hasil Penilaian Mandiri sebagaimana dimaksud pada ayat

(1) wajib dilaporkan kepada BSSN untuk diverifikasi.

(4) Verifikasi sebagaimana dimaksud pada ayat (3) dilakukan paling lama 10 (sepuluh) hari kerja sejak laporan hasil Penilaian Mandiri diterima.

Pasal 8 #

(1) Dalam hal hasil verifikasi sebagaimana dimaksud dalam Pasal 7 ayat (4) menyatakan bahwa Sistem Elektronik yang dimiliki oleh Penyelenggara Sistem Elektronik merupakan Sistem Elektronik Strategis maka ditetapkan oleh Kepala BSSN berdasarkan hasil koordinasi dengan Kementerian atau Lembaga terkait.

(2) Dalam hal hasil verifikasi sebagaimana dimaksud dalam Pasal 7 ayat (4) menyatakan bahwa Sistem Elektronik yang dimiliki oleh Penyelenggara Sistem Elektronik merupakan Sistem Elektronik tinggi dan/atau Sistem Elektronik rendah maka ditetapkan oleh Kepala BSSN.

(3) Setiap penetapan yang dibuat oleh Kepala BSSN sebagaimana dimaksud pada ayat (1) dan ayat (2) disampaikan kepada Penyelenggara Sistem Elektronik dan Kementerian atau Lembaga terkait.

hlm. 9

BAB IVPENYELENGGARAAN SMPI

Bagian KesatuStandar SMPI Sesuai Kategori Sistem Elektronik

Pasal 9 #

(1) Penyelenggara Sistem Elektronik yang menyelenggarakan Sistem Elektronik strategis wajib menerapkan:

a. SNI ISO/IEC 27001;

b. standar keamanan lain yang terkait dengan keamanan siber yang ditetapkan oleh BSSN; dan

c. standar keamanan lain yang terkait dengan keamanan siber yang ditetapkan oleh Kementerian atau Lembaga.

(2) Penyelenggara Sistem Elektronik yang menyelenggarakan Sistem Elektronik tinggi wajib menerapkan:

a. SNI ISO/IEC 27001 dan/atau standar keamanan lain yang terkait dengan keamanan siber yang ditetapkan oleh BSSN; dan

b. standar keamanan lain yang terkait dengan keamanan siber yang ditetapkan oleh Kementerian atau Lembaga.

(3) Penyelenggara Sistem Elektronik yang menyelenggarakan Sistem Elektronik rendah wajib menerapkan:

a. SNI ISO/IEC 27001; atau

b. standar keamanan lain yang terkait dengan keamanan siber yang ditetapkan oleh BSSN.

(4) Standar keamanan lain yang terkait dengan keamanan siber sebagaimana dimaksud pada ayat (1) huruf b, ayat

(2) huruf a, dan ayat (3) huruf b diatur dengan Peraturan Badan.

(5) Standar keamanan lain yang terkait dengan keamanan siber sebagaimana dimaksud pada ayat (1) huruf c dan ayat (2) huruf b sesuai dengan ketentuan peraturan perundang-undangan.

hlm. 10

Pasal 10 #

Dalam hal standar sebagaimana dimaksud dalam Pasal 9 ayat

(1) huruf b dan huruf c belum ditetapkan, Penyelenggara Sistem Elektronik wajib melaksanakan ketentuan Pasal 9 ayat

(1) huruf a.

Pasal 11 #

Dalam hal standar sebagaimana dimaksud dalam Pasal 9 ayat

(2) huruf b belum ditetapkan, Penyelenggara Sistem Elektronik wajib melaksanakan ketentuan Pasal 9 ayat (2) huruf a.

Bagian KeduaPersiapan Penerapan SMPI

Pasal 12 #

(1) Untuk mempersiapkan penerapan SNI ISO/IEC 27001 sebagaimana dimaksud dalam Pasal 9, Penyelenggara Sistem Elektronik dapat melakukan penilaian berdasarkan Indeks KAMI.

(2) Ketentuan mengenai Indeks KAMI dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan

Bagian KetigaPenerapan SMPI Oleh Penyelenggara Sistem elektronik

Pasal 13 #

(1) Penerapan SMPI dilaksanakan secara mandiri oleh Penyelenggara Sistem Elektronik.

(2) Dalam penerapan SMPI secara mandiri sebagaimana dimaksud pada ayat (1), Penyelenggara Sistem Elektronik menggunakan sumber daya manusia berkewarganegaraan Indonesia.

(3) Dalam penerapan SMPI secara mandiri sebagaimana dimaksud pada ayat (1), Penyelenggara Sistem Elektronik dapat menggunakan:

a. Tenaga Ahli berkewarganegaraan Indonesia; atau

hlm. 11

b. lembaga konsultan yang diakui oleh BSSN.

Pasal 14 #

(1) Dalam hal belum terdapat Tenaga Ahli berkewarganegaraan Indonesia sebagaimana dimaksud dalam Pasal 13 ayat (3) huruf a, Penyelenggara Sistem Elektronik dapat menggunakan Tenaga Ahli asing yang diikat dalam perjanjian kerahasiaan.

(2) Dalam menggunakan Tenaga Ahli asing sebagaimana dimaksud pada ayat (1), Penyelenggara Sistem Elektronik wajib mengajukan permohonan kepada unit kerja yang melaksanakan tugas dan fungsi di bidang pemantauan sumber daya manusia keamanan siber dan sandi paling lambat 14 (empat belas) hari kerja sebelum perjanjian kerja ditandatangani.

(3) Permohonan sebagaimana dimaksud pada ayat (2) dilengkapi dengan dokumen sebagai berikut:

a. manajemen Risiko terkait penggunaan Tenaga Ahli asing;

b. 1 (satu) buah pas foto 1 (satu) bulan terakhir ukuran 4x6;

c. fotokopi paspor;

d. riwayat hidup;

e. rancangan perjanjian kerja;

f. fotokopi bukti atau keterangan tentang kualifikasi keahlian atau sertifikasi keahlian dalam bidang Keamanan Informasi;

g. fotokopi kartu izin tinggal terbatas atau kartu izin tinggal tetap yang dikeluarkan oleh instansi yang berwenang; dan

h. fotokopi surat izin mempekerjakan tenaga kerja asing yang dikeluarkan oleh instansi yang berwenang.

(4) Unit kerja yang melaksanakan tugas dan fungsi di bidang pemantauan sumber daya manusia keamanan siber dan sandi melakukan penilaian terhadap Tenaga Ahli asing dalam waktu paling lambat 14 (empat belas) hari kerja.

hlm. 12

(5) Pemberian izin untuk memperkerjakan Tenaga Ahli asing dapat diberikan oleh BSSN kepada Penyelenggara Sistem Elektronik pemohon apabila Tenaga Ahli asing yang diajukan telah memenuhi kriteria penilaian.

Pasal 15 #

(1) Lembaga konsultan sebagaimana dimaksud dalam Pasal 13 ayat (3) huruf b harus:

a. berbentuk badan hukum Indonesia;

b. berdomisili di Indonesia; dan

c. memiliki tim implementor yang beranggotakan paling sedikit 1 (satu) orang implementor berkewarganegaraan Indonesia.

(2) Implementor sebagaimana dimaksud pada ayat (1) huruf c merupakan orang yang memiliki kompetensi dalam penerapan SMPI.

Pasal 16 #

(1) Calon lembaga konsultan mengajukan permohonan pengakuan sebagai lembaga konsultan SMPI kepada Kepala BSSN.

(2) Permohonan pengakuan sebagaimana dimaksud pada ayat (1) dilengkapi dengan dokumen:

a. surat permohonan;

b. akte pendirian perusahaan;

c. surat izin usaha perdagangan bidang dagang utama jasa konsultan teknologi informasi;

d. surat keterangan domisili; dan

e. daftar anggota tim implementor.

(3) Format surat permohonan sebagaimana dimaksud pada ayat (2) huruf a tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Badan ini.

hlm. 13

Pasal 17 #

(1) Unit kerja yang melaksanakan tugas dan fungsi di bidang sertifikasi lembaga konsultan melakukan penilaian terhadap permohonan pengakuan sebagaimana dimaksud dalam Pasal 16 ayat (2).

(2) Dalam hal penilaian sebagaimana dimaksud pada ayat (1), dokumen permohonan dinyatakan lengkap, Kepala BSSN memberikan pengakuan kepada lembaga konsultan sebagai lembaga konsultan SMPI paling lambat 14 (empat belas) hari kerja setelah dokumen permohonan dinyatakan lengkap.

(3) Dalam hal penilaian sebagaimana dimaksud pada ayat (1), dokumen permohonan dinyatakan tidak lengkap, Kepala BSSN mengembalikan dokumen permohonan kepada calon lembaga konsultan untuk dilengkapi.

Pasal 18 #

(1) Pemberian pengakuan sebagaimana dimaksud dalam Pasal 17 ayat (2) diberikan dalam bentuk sertifikat pengakuan lembaga konsultan SMPI.

(2) Sertifikat pengakuan lembaga konsultan SMPI sebagaimana dimaksud pada ayat (1) berlaku untuk jangka waktu 5 (lima) tahun.

(3) Lembaga konsultan yang telah memperoleh sertifikat pengakuan lembaga konsultan SMPI sebagaimana dimaksud pada ayat (1) dicantumkan dalam daftar lembaga konsultan SMPI.

(4) Format sertifikat pengakuan lembaga konsultan SMPI sebagaimana dimaksud pada ayat (1) tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Badan ini.

Pasal 19 #

(1) Sertifikat pengakuan lembaga konsultan SMPI sebagaimana dimaksud dalam Pasal 18 dinyatakan tidak berlaku apabila:

hlm. 14

a. sertifikat pengakuan lembaga konsultan SMPI habis masa berlaku;

b. lembaga konsultan melanggar ketentuan perundang-undangan; atau

c. lembaga konsultan dinyatakan pailit sesuai dengan ketentuan perundang-undangan.

(2) Lembaga konsultan yang sertifikat pengakuannya tidak berlaku sebagaimana dimaksud pada ayat (1) dihapus dari daftar lembaga konsultan SMPI.

Pasal 20 #

Dalam hal sertifikat pengakuan lembaga konsultan SMPI habis masa berlaku, lembaga konsultan mengajukan permohonan pengakuan kembali dengan menyampaikan dokumen sesuai dengan ketentuan dalam Pasal 16 ayat (2).

Pasal 21 #

(1) Calon implementor mengajukan permohonan surat tanda register implementor SMPI kepada Kepala BSSN.

(2) Permohonan surat tanda register sebagaimana dimaksud pada ayat (1) dilengkapi dengan dokumen:

a. surat permohonan;

b. ijasah pendidikan terakhir paling rendah Strata-1;

c. daftar riwayat hidup;

d. sertifikat kelulusan uji kompetensi di bidang Keamanan Informasi;

e. sertifikat kelulusan uji kompetensi sebagai implementor SNI ISO/IEC 27001;

f. dokumen yang menyatakan masa pengalaman kerja di bidang teknologi informasi terutama dalam bidang implementasi Keamanan Informasi; dan

g. fotokopi kartu identitas diri.

(3) Format surat permohonan sebagaimana dimaksud pada ayat (2) huruf a tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Badan ini.

hlm. 15

Pasal 22 #

(1) Unit kerja yang melaksanakan tugas dan fungsi di bidang pemantauan sumber daya manusia keamanan siber dan sandi melakukan penilaian terhadap permohonan sebagaimana dimaksud dalam Pasal 21 ayat (2).

(2) Dalam hal penilaian sebagaimana dimaksud pada ayat (1), dokumen permohonan dinyatakan lengkap, Kepala BSSN mengeluarkan surat tanda register implementor SMPI paling lambat 14 (empat belas) hari kerja setelah dokumen permohonan dinyatakan lengkap.

(3) Dalam hal penilaian sebagaimana dimaksud pada ayat (1), dokumen permohonan dinyatakan tidak lengkap, Kepala BSSN mengembalikan dokumen permohonan kepada calon implementor untuk dilengkapi.

(4) Surat tanda register implementor SMPI sebagaimana dimaksud pada ayat (2) berlaku untuk jangka waktu 5 (lima) tahun.

(5) Implementor yang telah memperoleh surat tanda register implementor SMPI sebagaimana dimaksud pada ayat (2) dicantumkan dalam daftar implementor SMPI.

(6) Format surat tanda register implementor SMPI sebagaimana dimaksud pada ayat (2) tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Badan ini.

Pasal 23 #

(1) Surat tanda register implementor SMPI sebagaimana dimaksud dalam Pasal 22 dinyatakan tidak berlaku apabila:

a. implementor SMPI meninggal dunia;

b. surat tanda register implementor SMPI habis masa berlaku; atau

c. implementor SMPI melanggar ketentuan peraturan perundang-undangan.

hlm. 16

(2) Implementor yang surat tanda register implementor SMPI-nya tidak berlaku sebagaimana dimaksud pada ayat (1) dihapus dari daftar implementor SMPI.

Pasal 24 #

Dalam hal surat tanda register implementor SMPI habis masa berlaku, implementor mengajukan permohonan kembali dengan menyampaikan dokumen sesuai dengan ketentuan dalam Pasal 21 ayat (2).

Pasal 25 #

(1) Lembaga konsultan menugaskan tim implementor untuk membantu penerapan SMPI terhadap Penyelenggara Sistem Elektronik.

(2) Tim implementor sebagaimana dimaksud pada ayat (1) melaporkan hasil penerapan SMPI pada lembaga konsultan yang menugaskan.

Bagian KeempatPenerbitan Sertifikat, Pelaporan Sertifikasi, dan Pencabutan

Sertifikat SMPI

Pasal 26 #

Sertifikasi SMPI dilakukan oleh Lembaga Sertifikasi yang diakui oleh BSSN.

Pasal 27 #

Ketentuan mengenai pengakuan Lembaga Sertifikasi sebagaimana dimaksud dalam Pasal 26 sesuai dengan ketentuan peraturan perundang-undangan.

Pasal 28 #

(1) Sertifikat SMPI diterbitkan oleh Lembaga Sertifikasi.

(2) Sertifikat SMPI sebagaimana dimaksud pada ayat (1) berlaku paling lama 3 (tiga) tahun sejak tanggal diterbitkan.

hlm. 17

(3) Sertifikat SMPI harus diperbaharui oleh Penyelenggara Sistem Elektronik paling lambat 3 (tiga) bulan sebelum masa berlakunya berakhir.

Pasal 29 #

Sertifikasi SMPI harus dilakukan sesuai dengan proses Penyelenggaraan Sistem Elektronik dengan memperhatikan kategori Sistem Elektronik sebagaimana dimaksud dalam Pasal 6.

Pasal 30 #

(1) Lembaga Sertifikasi menugaskan tim ArKI untuk melakukan audit SMPI terhadap Penyelenggara Sistem Elektronik.

(2) Tim ArKI sebagaimana dimaksud pada ayat (1) melaporkan hasil audit pada Lembaga Sertifikasi yang menugaskan.

(3) Lembaga Sertifikasi mengkaji hasil audit yang dilaporkan oleh tim ArKI.

(4) Lembaga Sertifikasi menerbitkan Sertifikat SMPI bagi Penyelenggara Sistem Elektronik yang telah memenuhi standar sebagaimana dimaksud dalam Pasal 9.

Pasal 31 #

(1) Lembaga Sertifikasi wajib menyampaikan laporan hasil sertifikasi SMPI secara periodik paling sedikit 2 (dua) kali dalam 1 (satu) tahun kepada Kepala BSSN.

(2) Laporan sebagaimana dimaksud pada ayat (1) paling sedikit memuat:

a. data Penyelenggara Sistem Elektronik yang mengajukan sertifikasi;

b. data Penyelenggara Sistem Elektronik yang mendapatkan Sertifikat SMPI;

c. data Penyelenggara Sistem Elektronik yang dicabut kepemilikan sertifikatnya;

d. ringkasan eksekutif yang memuat:

hlm. 18

1) kondisi organisasi;

2) struktur organisasi;

3) temuan mayor dan temuan minor;

4) rekomendasi;

5) tindakan perbaikan; dan

6) tindak lanjut audit;

e. perubahan daftar tim ArKI; dan

f. perubahan daftar tim pengambil keputusan sertifikasi.

(3) Format laporan sebagaimana dimaksud pada ayat (2) tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Badan ini.

Pasal 32 #

Lembaga Sertifikasi wajib melaporkan perubahan tim ArKI dan tim pengambil keputusan sertifikasi kepada Kepala BSSN paling lambat 2 (dua) hari kerja sebelum tim ArKI melaksanakan audit Keamanan Informasi.

Pasal 33 #

Lembaga Sertifikasi wajib melaksanakan audit pengawasan paling sedikit 1 (satu) kali dalam setahun dan audit khusus apabila terjadi insiden terhadap setiap Sistem Elektronik yang telah tersertifikasi.

Pasal 34 #

(1) Jika hasil audit pengawasan sebagaimana dimaksud dalam Pasal 33 tidak memenuhi standar sebagaimana dimaksud dalam Pasal 9, diberikan waktu paling lama 90 (sembilan puluh) hari kalender untuk memenuhi standar tersebut.

(2) Jika setelah 90 (sembilan puluh) hari kalender belum terpenuhi, maka Lembaga Sertifikasi dapat mencabut Sertifikat SMPI terkait.

hlm. 19

(3) Pencabutan sebagaimana dimaksud pada ayat (1) wajib dilaporkan oleh Lembaga Sertifikasi kepada BSSN paling lambat 2 (dua) hari kerja sejak dilakukan pencabutan.

BAB VPEMBINAAN DAN PENGAWASAN

Pasal 35 #

(1) BSSN melakukan pembinaan penyelenggaraan sertifikasi SMPI terhadap:

a. Penyelenggara Sistem Elektronik;

b. Tenaga Ahli;

c. lembaga konsultan; dan

d. Lembaga Sertifikasi.

(2) Pembinaan sebagaimana dimaksud pada ayat (1) dapat mencakup penyuluhan, pelatihan, bimbingan teknis, dan/atau asistensi.

Pasal 36 #

(1) BSSN melakukan pengawasan terhadap Penyelenggara Sistem Elektronik, Lembaga Sertifikasi, lembaga konsultan dan Tenaga Ahli.

(2) Pengawasan sebagaimana dimaksud pada ayat (1) dilakukan melalui pemantauan, evaluasi, penelusuran, dan pemeriksaan.

BAB VISANKSI

Pasal 37 #

(1) Kepala BSSN memberikan sanksi administratif pada Penyelenggara Sistem Elektronik yang melakukan pelanggaran ketentuan sebagaimana dimaksud dalam Pasal 7 ayat (3), Pasal 9 ayat (1), Pasal 9 ayat (2), dan Pasal 9 ayat (3), Pasal 10, Pasal 11, Pasal 14 ayat (2), dan Pasal 43 ayat (2).

hlm. 20

(2) Sanksi administratif sebagaimana dimaksud pada ayat

(1) yaitu teguran tertulis.

(3) Teguran tertulis sebagaimana dimaksud pada ayat (2) diberikan setelah ditemukannya pelanggaran.

Pasal 38 #

Pelanggaran terhadap ketentuan sebagaimana dimaksud dalam Pasal 31 ayat (1), Pasal 32, Pasal 33, Pasal 34 ayat (3). dikenai sanksi administratif berupa:

a. teguran tertulis;

b. pembekuan sertifikat pengakuan Lembaga Sertifikasi; atau

c. pencabutan sertifikat pengakuan Lembaga Sertifikasi.

Pasal 39 #

(1) Teguran tertulis sebagaimana dimaksud dalam Pasal 38 huruf a diberikan dalam bentuk surat yang memuat:

a. rincian pelanggaran;

b. kewajiban untuk melaksanakan perbaikan; dan

c. tindakan pengenaan sanksi berikutnya yang akan diberikan.

(2) Teguran tertulis sebagaimana dimaksud pada ayat (1) diberikan 1 (satu) kali.

(3) Teguran tertulis sebagaimana dimaksud pada ayat (1) harus ditindaklanjuti paling lama 15 (lima belas) hari kerja sejak teguran tertulis diterbitkan.

(4) Teguran tertulis sebagaimana dimaksud pada ayat (3) diterbitkan oleh Badan Siber dan Sandi Negara.

Pasal 40 #

(1) Pembekuan sertifikat pengakuan Lembaga Sertifikasi sebagaimana dimaksud dalam Pasal 38 huruf b diberikan dalam bentuk surat kepada Lembaga Sertifikasi yang tidak mengindahkan teguran tertulis sebagaimana dimaksud dalam Pasal 39 ayat (3).

hlm. 21

(2) Pembekuan sebagaimana dimaksud pada ayat (1) diberikan untuk jangka waktu 15 (lima belas) hari kerja.

(3) Pembekuan sebagaimana dimaksud pada ayat (2) diterbitkan oleh Badan Siber dan Sandi Negara.

Pasal 41 #

(1) Pembekuan sertifikat pengakuan Lembaga Sertifikasi sebagaimana dimaksud dalam Pasal 40 dicabut apabila Lembaga Sertifikasi mengindahkan teguran tertulis dalam jangka waktu sebagaimana dimaksud dalam Pasal 39 ayat (3).

(2) Pencabutan pembekuan sebagaimana dimaksud pada ayat (1) dinyatakan dalam bentuk surat yang diterbitkan oleh Badan Siber dan Sandi Negara.

Pasal 42 #

(1) Pencabutan sertifikat pengakuan Lembaga Sertifikasi sebagaimana dimaksud dalam Pasal 38 huruf c diberikan kepada Lembaga Sertifikasi SMPI yang tidak melakukan perbaikan sampai dengan berakhirnya jangka waktu pembekuan sebagaimana dimaksud dalam Pasal 40 ayat (2).

(2) Pencabutan sertifikat pengakuan Lembaga Sertifikasi sebagaimana dimaksud pada ayat (1) dilaksanakan dengan cara menerbitkan keputusan pencabutan sertifikat pengakuan Lembaga Sertifikasi.

(3) Keputusan pencabutan sertifikat pengakuan Lembaga Sertifikasi sebagaimana dimaksud pada ayat (2) ditetapkan oleh Kepala Badan Siber dan Sandi Negara.

hlm. 22

BAB VIIKETENTUAN PERALIHAN

Pasal 43 #

(1) Sertifikat SMPI yang telah diterbitkan sebelum diundangkannya Peraturan Badan ini, dinyatakan tetap berlaku.

(2) Penyelenggara Sistem Elektronik yang telah menggunakan Tenaga Ahli asing sebelum Peraturan Badan ini berlaku wajib melaporkannya pada unit kerja yang melaksanakan tugas dan fungsi di bidang pemantauan sumber daya manusia keamanan siber dan sandi paling lambat 30 (tiga puluh) hari setelah Peraturan Badan ini diundangkan.

(3) Laporan sebagaimana dimaksud pada ayat (2) dilengkapi dengan:

a. dokumen manajemen Risiko terkait penggunaan Tenaga Ahli asing;

b. 1 (satu) buah pas foto 1 (satu) bulan terakhir ukuran 4x6;

c. fotokopi paspor;

d. riwayat hidup;

e. dokumen perjanjian kerja;

f. fotokopi bukti atau keterangan tentang kualifikasi keahlian atau sertifikasi keahlian dalam bidang Keamanan Informasi;

g. fotokopi kartu izin tinggal terbatas atau kartu izin tinggal tetap yang dikeluarkan oleh instansi yang berwenang; dan

h. fotokopi surat izin mempekerjakan tenaga kerja asing yang dikeluarkan oleh instansi yang berwenang.

(4) Lembaga Sertifikasi, lembaga konsultan dan Tenaga Ahli yang telah mendapat pengakuan dari menteri yang membidangi komunikasi dan informatika tetap diakui sepanjang tidak bertentangan dengan Peraturan Badan ini.

hlm. 23

BAB VIIIKETENTUAN PENUTUP

Pasal 44 #

Peraturan Badan ini mulai berlaku pada tanggal diundangkan.

hlm. 24

Agar setiap orang mengetahuinya, memerintahkan pengundangan Peraturan Badan ini dengan penempatannya dalam Berita Negara Republik Indonesia.

Ditetapkan di Jakarta

pada tanggal 16 November 2020

KEPALA BADAN SIBER DAN SANDI NEGARA,

ttd.

HINSA SIBURIAN

Diundangkan di Jakarta

pada tanggal 23 November 2020

DIREKTUR JENDERAL

PERATURAN PERUNDANG-UNDANGAN

KEMENTERIAN HUKUM DAN HAK ASASI MANUSIA

REPUBLIK INDONESIA,

ttd.

WIDODO EKATJAHJANA

BERITA NEGARA REPUBLIK INDONESIA TAHUN 2020 NOMOR 1375

Lampiran

hlm. 25
LAMPIRAN
PERATURAN BADAN SIBER DAN SANDI NEGARA
NOMOR 8 TAHUN 2020
TENTANG
SISTEM PENGAMANAN DALAM
PENYELENGGARAAN SISTEM ELEKTRONIK
FORMAT PENILAIAN MANDIRI KATEGORISASI SISTEM ELEKTRONIK
Kategori Sistem Elektronik
Nama Perusahaan:
Jenis Usaha:
[Kategori Sistem Elektronik]
Rendah; Tinggi; Strategis
Status
Bobot
Nilai
Data Dukung
# Karakteristik Instansi
1,1 Nilai investasi sistem elektronik
yang terpasang
[A] Lebih dari Rp.30 Miliar
[B] Lebih dari Rp.3 Miliar s/d
Rp.30 Miliar
[C] Kurang dari Rp.3 Miliar
1,2 Total anggaran operasional
tahunan yang dialokasikan untuk
pengelolaan Sistem Elektronik
[A] Lebih dari Rp.10 Miliar
[B] Lebih dari Rp.1 Miliar s/d
Rp.10 Miliar
[C] Kurang dari Rp.1 Miliar
1,3 Memiliki kewajiban kepatuhan
terhadap Peraturan atau Standar
tertentu
[A] Peraturan atau Standar
nasional dan internasional
[B] Peraturan atau Standar
nasional
[C] Tidak ada Peraturan khusus
hlm. 26
1,4 Menggunakan teknik kriptografi
khusus untuk keamanan informasi
dalam Sistem Elektronik
[A] Teknik kriptografi khusus yang
disertifikasi oleh Negara
[B] Teknik kriptografi sesuai
standar industri, tersedia
secara publik atau
dikembangkan sendiri
[C] Tidak ada penggunaan teknik
kriptografi
1,5 Jumlah pengguna Sistem
Elektronik
[A] Lebih dari 5.000 pengguna
[B] 1.000 sampai dengan 5.000
pengguna
[C] Kurang dari 1.000 pengguna
[Kategori Sistem Elektronik]
Rendah; Tinggi; Strategis
Status
Bobot
Nilai
Data Dukung
1,6 Data pribadi yang dikelola Sistem
Elektronik
[A] Data pribadi yang memiliki
hubungan dengan Data Pribadi
lainnya
[B] Data pribadi yang bersifat
individu dan/atau data pribadi
yang terkait dengan
kepemilikan badan usaha
[C] Tidak ada data pribadi
1,7 Tingkat klasifikasi/kekritisan Data
yang ada dalam Sistem Elektronik,
relatif terhadap ancaman upaya
penyerangan atau penerobosan
keamanan informasi
[A] Sangat Rahasia
[B] Rahasia dan/ atau Terbatas
[C] Biasa
hlm. 27
1,8 Tingkat kekritisan proses yang ada
dalam Sistem Elektronik, relatif
terhadap ancaman upaya
penyerangan atau penerobosan
keamanan informasi
[A] Proses yang berisiko
mengganggu hajat hidup orang
banyak dan memberi dampak
langsung pada layanan publik
[B] Proses yang berisiko
mengganggu hajat hidup orang
banyak dan memberi dampak
tidak langsung
[C] Proses yang hanya berdampak
pada bisnis perusahaan
1,9 Dampak dari kegagalan Sistem
Elektronik
[A] Tidak tersedianya layanan
publik berskala nasional atau
membahayakan pertahanan
keamanan negara
[B] Tidak tersedianya layanan
publik dalam 1 propinsi atau
lebih
[C] Tidak tersedianya layanan
publik dalam 1 kabupaten/kota
atau lebih
[Kategori Sistem Elektronik]
Rendah; Tinggi; Strategis
Status
Bobot
Nilai
Data Dukung
1.1
0
Potensi kerugian atau dampak
negatif dari insiden ditembusnya
keamanan informasi Sistem
Elektronik (sabotase, terorisme)
[A] Menimbulkan korban jiwa
[B] Terbatas pada kerugian
finansial
[C] Mengakibatkan gangguan
operasional sementara (tidak
membahayakan dan merugikan
finansial)
Total Bobot Nilai
Kategori Sistem Elektronik
hlm. 28
Keterangan
Status Bobot Nilai
A 5
B 2
C 1
Ketentuan Penilaian:
Saya yang bertanda tangan di bawah ini menyatakan bahwa data di atas diisi sesuai dengan
keadaan sebenarnya.
Kategori Sistem
Elektronik
Strategis Tinggi Rendah
Total Bobot Nilai 36 - 50 16 - 35 10 - 15
(Tempat, tanggal bulan tahun)
PIMPINAN PERUSAHAAN
(Nama)
(Jabatan)
hlm. 29
FORMAT SURAT PERMOHONAN
PENGAKUAN SEBAGAI LEMBAGA KONSULTAN
[Nama Lembaga Konsultan]
[Alamat Lembaga Konsultan]
[Nomor Telepon Dan Pos Elektronik Lembaga Konsultan]
[Nama Kota, Tanggal]
Nomor :
Sifat : Biasa
Lampiran :
Perihal : Permohonan Pengakuan
Lembaga Konsultan SMPI
Kepada Yth.
Kepala Badan SIber dan Sandi Negara
Jl. Harsono RM. No. 70, Ragunan
di –
Jakarta Selatan
Dengan ini kami mengajukan permohonan pengakuan sebagai Lembaga Konsultan SMPI
yang kami selenggarakan. Sebagai bahan pertimbangan, bersama ini kami sampaikan
data sebagai berikut:
Nama Lembaga Konsultan : [Diisi dengan Nama Lembaga Konsultan]
Bentuk Lembaga Konsultan : [Badan Hukum]
Alamat Entitas
(Sesuai dengan Surat
Keterangan Domisili)
: [Tulis alamat lengkap Entitas] [Nama
Gedung, Lantai]
[Nama Jalan diikuti Nomor Kavling
dsb.]
[Kota, Provinsi, Kode Pos]
hlm. 30
Melengkapi permohonan ini kami lampirkan dokumen-dokumen pendukung sebagai
berikut:
1. Akte Pendirian perusahaan;
2. surat izin usaha perdagangan bidang dagang utama jasa konsultan teknologi
informasi;
3. surat keterangan domisili; dan
4. daftar anggota tim implementor.
Demikian disampaikan, atas perhatian diucapkan terimakasih.
[Pimpinan Lembaga Konsultan],
(…………….................)
hlm. 31
FORMAT SERTIFIKAT PENGAKUAN
LEMBAGA KONSULTAN SISTEM MANAJEMEN PENGAMANAN INFORMASI
BADAN SIBER DAN SANDI NEGARA
SERTIFIKAT PENGAKUAN LEMBAGA KONSULTAN
SISTEM MANAJEMEN PENGAMANAN INFORMASI
NOMOR: ...
Dengan ini Badan Siber dan Sandi Negara memberikan pengakuan kepada:
[Nama Lembaga Konsultan]
[Alamat Lembaga Konsultan]
Yang telah memenuhi syarat sebagai Lembaga Konsultan Sistem Manajemen Pengamanan
Informasi.
Sertifikat Pengakuan ini berlaku sejak tanggal ditetapkan dan berakhir pada tanggal ...
ditetapkan di Jakarta,
pada tanggal … ……..… 20...
a.n. Kepala Badan Siber dan Sandi Negara
Deputi ...,
TTD
[Nama]
hlm. 32
FORMAT PERMOHONAN SURAT TANDA REGISTER IMPLEMENTOR SMPI
Kepada Yth.
Kepala Badan Siber dan Sandi Negara
di
Jakarta
Yang bertanda tangan di bawah ini:
Nama : [Nama]
NIK : [Nomor KTP]
Nomor Telepon : [Nomor telepon 1, nomor telepon 2, dsb.]
E-mail : [Alamat E-mail 1, Alamat E-mail 2, dsb.]
Alamat : [Tulis alamat lengkap sesuai domisili] [Nama Jalan diikuti Nomor
Kavling dsb.] [Kota, Provinsi, Kode Pos]
Dengan ini mengajukan permohonan Surat Tanda Register Implementor SMPI. Bersama ini
kami sampaikan pula kelengkapan dokumen dalam bentuk hardcopy dan/atau softcopy.
Kami setuju menyampaikan permohonan Surat Tanda Register Implementor SMPI dan
telah melengkapi dokumen dan/atau data yang dipersyaratkan dan bertanggung jawab
atas kebenaran dari dokumen dan/atau data dimaksud.
[Nama Kota, Tanggal Bulan Tahun]
Pemohon
[Nama]
Foto 4x6
Terbaru
hlm. 33
FORMAT SURAT TANDA REGISTER
IMPLEMENTOR SMPI
BADAN SIBER DAN SANDI NEGARA
SURAT TANDA REGISTER IMPLEMENTOR SMPI
NOMOR REGISTRASI
Registration Number
: [Nomor Registrasi Implementor
SMPI]
NAMA
Name
: [Nama Implementor]
Kompetensi
Competence
: [Kompetensi Implementor]
Tanggal Penetapan
Date of Stipulation
: [Tanggal/Bulan/Tahun Penetapan
STR]
Berlaku Sampai
Valid until
: [Tanggal/Bulan/Tahun
Kadaluarsa STR]
a.n. Kepala Badan Siber dan Sandi Negara
Deputi ...,
TTD
[Nama]
Foto 4x6
Terbaru
*Apabila terdapat kekeliruan dalam dokumen ini, akan diperbaiki sebagaimana mestinya.
hlm. 34
FORMAT LAPORAN LEMBAGA SERTIFIKASI TENTANG HASIL SERTIFIKASI
SISTEM MANAJEMEN PENGAMANAN INFORMASI
BAB I PENDAHULUAN
A. Latar Belakang
B. Tujuan
C. Ruang Lingkup
D. Sasaran
E. Keluaran (Output)
F. Hasil yang Diharapkan (Outcome)
G. Sistematika
BAB II LAPORAN KEGIATAN
A. Data Penyelenggara Sistem Elektronik yang mengajukan sertifikasi (termasuk ruang
lingkup audit)
B. Data Penyelenggara Sistem Elektronik yang mendapatkan Sertifikat Sistem
Manajemen Pengamanan Informasi
C. Data Penyelenggara Sistem Elektronik yang dicabut kepemilikan sertifikatnya
D. Ringkasan eksekutif
1. Kondisi Organisasi
2. Struktur Organisasi
3. Temuan Mayor dan Temuan Minor
4. Rekomendasi
5. Tindakan Perbaikan
6. Tindak Lanjut Audit
E. Perubahan daftar Tim ArKI
F. Perubahan daftar Tim pengambil keputusan sertifikasi
BAB III PENUTUP
[Pimpinan Lembaga],
TTD
[Nama Pimpinan Lembaga]
KEPALA BADAN SIBER DAN SANDI NEGARA,
ttd.
HINSA SIBURIAN