Bisnis.com, JAKARTA — Catalyst Policy Works menilai draf aturan Rancangan Undang-Undang Keamanan dan Ketahanan Siber (RUU KKS) masih memerlukan sejumlah penyempurnaan substansial pada sektor batas wewenang institusi dan perlindungan privasi industri digital.

Secara umum materi RUU KKS telah memuat kewajiban penyelenggara infrastruktur informasi untuk menjalankan tata kelola, identifikasi, proteksi, deteksi, tanggap insiden, dan pemulihan, serta memberikan pengaturan khusus bagi Infrastruktur Informasi Kritikal (IIK). Kendati demikian, muatan regulasi tersebut dinilai rawan melahirkan konsentrasi kewenangan yang berlebihan jika tidak disertai batas mandat yang jelas.

Direktur Eksekutif Wahyudi Djafar mengemukakan keamanan dan ketahanan siber nasional memang membutuhkan lembaga yang kuat, tetapi kekuatan kelembagaan tersebut harus disertai batas mandat, mekanisme akuntabilitas, dan pengawasan yang jelas.

Evaluasi mendalam terhadap naskah kiriman Presiden menunjukkan ketidakpastian hukum masih membayangi pelaku industri akibat draf yang belum eksplisit.

Meski demikian, Djafar tetap mengapresiasi dimulainya pembahasan RUU KKS yang dinilai memiliki arah kebijakan yang tepat karena mengadopsi siklus manajemen keamanan siber modern dari hulu ke hilir.

“Pendekatan ini penting untuk memastikan organisasi tidak hanya bereaksi setelah insiden, tetapi membangun kemampuan pencegahan, deteksi diri, respons, dan pemulihan secara berkelanjutan,” ujar Wahyudi, Selasa (30/6/2026).

Namun, lanjutnya, penguatan operasional tersebut terganjal oleh rumusan struktur birokrasi. Desain kelembagaan masih menjadi titik paling kritis dalam draf regulasi saat ini.

RUU berulang kali merujuk pada “instansi pemerintah yang melaksanakan tugas dan fungsi di bidang keamanan dan ketahanan siber”, tetapi belum menetapkan secara tegas status, struktur, independensi, hubungan dengan regulator sektor, batas kewenangan, serta mekanisme pertanggungjawabannya.

“Dalam undang-undang payung, isu kelembagaan tidak semestinya sepenuhnya diserahkan kepada peraturan pemerintah. Akan tetapi seharusnya diatur secara lebih eksplisit mengenai bentuk kelembagaan, tugas, fungsi, dan wewenangnya,” kata Wahyudi.

Wahyudi juga melihat terdapat risiko tumpang tindih fungsi mengingat instansi siber diberikan peran luas dari standardisasi, audit, sertifikasi, hingga koordinasi krisis. Kondisi ini berpotensi memicu konflik kepentingan jika fungsi regulator, operator, auditor, dan koordinator digabung tanpa sekat eksternal.

Isu lain yang disoroti adalah kebutuhan jaminan safe harbour bagi pelapor insiden siber agar pelaku industri tidak menyembunyikan serangan digital akibat takut sanksi administratif.

Pagar konstitusional juga diperlukan dalam pemantauan anomali trafik agar tidak berujung pada akses massal terhadap isi komunikasi privat warga negara.

Mencermati substansi materi tersebut, Catalyst Policy Works memberikan tiga rekomendasi utama.

Pertama, RUU perlu menetapkan secara eksplisit Otoritas Keamanan dan Ketahanan Siber Nasional sebagai badan non-kementerian yang bertanggung jawab kepada Presiden dengan mandat sebagai regulator dan pengawas kepatuhan, bukan lembaga intelijen atau penyidik.

Kedua, RUU dapat mengadopsi model central coordinator with sectoral regulators di mana otoritas nasional menetapkan standar lintas sektor sementara regulator teknis tetap mengawasi sektor masing-masing.

Ketiga, penting memisahkan fungsi regulasi, operasi, audit, sertifikasi, dan penindakan melalui laporan tahunan kepada DPR serta audit independen.

Pada aspek penegakan hukum, skema sanksi dalam RUU KKS harus disusun secara bertingkat dan proporsional mulai dari teguran hingga denda administratif. Pendekatan pidana disarankan tidak menyasar pelanggaran administratif yang tidak disengaja oleh pelaku usaha.

“Ancaman pidana berat hanya layak diterapkan terhadap tindakan dengan akibat serius, mens rea yang jelas, hubungan kausal yang terbukti, dan dampak yang signifikan,” tutur Wahyudi.

Sektor industri membutuhkan kepastian agar iklim investasi teknologi tidak terganggu oleh pasal karet. Oleh karena itu, batasan hukum pidana harus dirumuskan secara rigid guna melindungi komunitas riset keamanan siber domestik.

“Menjadikan sanksi pidana sebagai ultimum remedium untuk serangan berat terhadap IIK, ransomware, sabotase, dan tindakan yang menimbulkan akibat serius, bukan ditegakkan terhadap kegagalan kepatuhan administratif,” ucap Wahyudi.

Bisnis.com, JAKARTA - Komisi I DPR RI membahas Rancangan Undang-Undang (RUU) Keamanan dan Ketahanan Siber bersama pemerintah melalui Kementerian Hukum, Senin (29/6/2026).

Ketua Komisi I DPR RI, Utut Adianto, meminta supaya draft RUU tidak disebar ke publik untuk mencegah hoax atau kekeliruan dalam memaknai.

"Mohon juga di tahapan ini saya meminta untuk draf-draf ini sebaiknya tidak perlu keluar dulu, karena nanti terlalu banyak hoaks,” kata Utut.

Komisi I juga membentuk Panja yang dipimpin oleh Wakil Ketua Komisi I DPR Sukamta. Panja berisi 23 anggota yang berasal dari seluruh fraksi DPR RI. Selain itu, Komisi I juga menyerahkan Daftar Inventarisasi Masalah (DIM) ke pemerintah.

Dalam kesempatan tersebut, Wakil Menteri Hukum, Omar Sharif Hiariej, mengatakan presiden telah menugaskan Menteri Hukum, Menteri Komunikasi dan Digital, Menteri Sekretaris Negara, Menteri Pendayagunaan Aparatur Negara dan Reformasi Birokrasi melalui surat Presiden Republik Indonesia nomor R-07/Pres/02/2026 tanggal 9 Februari 2026 perihal rancangan undang-undang tentang keamanan dan ketahanan siber.

Dia menjelaskan bahwa ruang siber dan ekosistem digital terus mengalami perkembangan di kehidupan masyarakat sehingga memiliki pengaruh yang signifikan terhadap stabilitas nasional, keamanan sosial reputasi negara, dan pelayanan publik.

"Tidak hanya itu, adanya transformasi digital selain memberikan manfaat besar bagi kehidupan manusia, juga telah menimbulkan berbagai potensi disrupsi dan gangguan keamanan dan ketahanan siber," kata dia.

Dia menyebut sederet materi muatan dalam RUU ini, yakni penyelenggaraan keamanan siber pada infrastruktur informasi dan infrastruktur informasi kritikal, yang memuat kewajiban penyelenggara infrastruktur informasi untuk melindungi infrastruktur informasi yang dimiliki, dikelola, dan atau dioperasikan.

Lalu, penyelenggaraan ketahanan siber, yang dilaksanakan dengan peningkatan kapasitas sumber daya manusia, peningkatan kapasitas teknologi, dan peningkatan kapasitas proses bisnis.

Ketiga, Pelaksanaan kerja sama internasional, di mana dalam penyelenggaraan keamanan dan ketahanan siber diperlukan adanya koordinasi kerja sama antarnegara.

Keempat, penguatan pemerintah dalam rangka penyelenggaraan keamanan dan ketahanan siber, dari penyusunan standar dan kebijakan nasional keamanan dan ketahanan siber, pengembangan dan peningkatan kapasitas sumber daya manusia yang meliputi pendidikan, pelatihan, dan peningkatan kompetensi, penumbuhkembangan ekosistem industri teknologi keamanan siber nasional, pemberian penghargaan kepada penyelenggara infrastruktur informasi kritikal yang telah memenuhi standar keamanan siber dan memiliki kinerja keamanan siber yang baik, hingga pemantauan anomali trafik internet.

Kelima, pelaksanaan audit teknis, yang merupakan proses pemeriksaan, penelusuran, dan pengumpulan fakta secara sistematis terhadap suatu insiden siber

Keenam, pengaturan mengenai partisipasi masyarakat, di mana masyarakat dalam penyelenggaraan keamanan dan ketahanan siber yang dapat disampaikan secara langsung maupun tidak langsung.

Ketujuh, pengaturan mengenai sumber pendanaan. Kedelapan, kengaturan mengenai pelaksanaan penyidikan. Kesembilan, pengaturan mengenai pengenaan sanksi administratif. Kesepuluh, pengaturan mengenai ketentuan pidana, yang core crime-nya belum ditemukan atau diatur sempurna dalam undang-undang lain.