Aturan Baru Uni Eropa: Serangan Siber Wajib Dilaporkan 24 Jam

Harianjogja.com, JOGJA— Produsen produk digital di Uni Eropa mulai 11 September 2026 wajib melaporkan kerentanan yang aktif dieksploitasi serta insiden serius yang berdampak pada keamanan produk. Untuk laporan awal, produsen hanya memiliki waktu maksimal 24 jam sejak mengetahui kejadian tersebut.

Kewajiban itu merupakan bagian dari penerapan bertahap European Cyber Resilience Act (CRA), aturan Uni Eropa yang menetapkan persyaratan keamanan siber untuk produk dengan elemen digital. Laporan berikutnya harus disampaikan paling lambat 72 jam setelah produsen mengetahui kerentanan atau insiden tersebut.

Pelaporan Serangan Siber Dilakukan Lewat Satu Platform

Untuk menjalankan kewajiban tersebut, Badan Keamanan Siber Uni Eropa atau ENISA meluncurkan Single Reporting Platform (SRP) pada 11 September 2026. Platform ini memungkinkan produsen menyampaikan satu laporan yang kemudian diteruskan kepada otoritas yang berkepentingan.

ENISA menyebut SRP dikembangkan sebagai mekanisme pelaporan bersama untuk membantu produsen memenuhi kewajiban CRA terkait kerentanan yang aktif dieksploitasi dan insiden serius. Dengan mekanisme tersebut, produsen tidak perlu mengirimkan pemberitahuan secara terpisah kepada berbagai otoritas nasional.

Laporan melalui platform tersebut ditujukan kepada Computer Security Incident Response Team (CSIRT) yang menjadi koordinator di negara tempat produsen memiliki kantor utama. Informasi yang relevan juga tersedia bagi ENISA sesuai mekanisme yang ditetapkan dalam CRA.

Ada Batas Waktu 24 Jam dan 72 Jam

Aturan baru ini menetapkan dua tahap awal pelaporan. Ketika produsen mengetahui adanya kerentanan yang aktif dieksploitasi atau insiden serius yang berdampak terhadap keamanan produk, peringatan awal harus disampaikan tanpa penundaan dan paling lambat dalam waktu 24 jam.

Setelah itu, notifikasi yang lebih lengkap wajib dikirim paling lambat 72 jam sejak produsen mengetahui kejadian. Untuk kerentanan yang aktif dieksploitasi, laporan akhir harus disampaikan paling lambat 14 hari setelah tindakan korektif atau mitigasi tersedia.

Sementara untuk insiden serius, laporan akhir harus disampaikan dalam waktu satu bulan setelah notifikasi 72 jam. Ketentuan tersebut membuat proses pelaporan berlangsung secara bertahap, mulai dari peringatan awal hingga informasi lengkap mengenai penanganan masalah.

Apa yang Dimaksud Produk dengan Elemen Digital?

CRA berlaku terhadap “produk dengan elemen digital”, yakni produk perangkat keras maupun perangkat lunak yang memiliki koneksi langsung atau tidak langsung dengan perangkat atau jaringan lain. Aturan tersebut mencakup berbagai produk digital yang tersedia di pasar Uni Eropa.

Menurut Komisi Eropa, contoh produk yang terdampak dapat mencakup perangkat seperti kamera pengawas, jam pintar, aplikasi, hingga program komputer. CRA ditujukan untuk memperkuat keamanan produk digital sepanjang siklus penggunaannya.

Kewajiban pelaporan yang mulai berlaku pada 11 September 2026 juga berlaku terhadap produk dengan elemen digital yang telah tersedia di pasar Uni Eropa sebelum penerapan sebagian besar persyaratan CRA pada 2027.

Sebagian Besar Aturan CRA Berlaku 2027

European Cyber Resilience Act sendiri mulai berlaku pada Desember 2024. Namun, penerapannya dilakukan secara bertahap dan kewajiban pelaporan merupakan salah satu ketentuan yang lebih dahulu diberlakukan.

Sebagian besar kewajiban keamanan siber utama CRA akan mulai berlaku pada 11 Desember 2027. Pada tahap tersebut, persyaratan keamanan siber yang lebih luas untuk produk dengan elemen digital akan diterapkan di pasar Uni Eropa.

Adapun kewajiban tertentu bagi pengelola perangkat lunak sumber terbuka (open-source software stewards) berdasarkan Pasal 24(3) CRA baru berlaku pada 11 Desember 2027. Karena itu, kewajiban yang mulai berjalan pada 11 September 2026 perlu dibedakan dari ketentuan CRA yang akan diterapkan pada tahap berikutnya.

Dengan beroperasinya Single Reporting Platform, produsen yang mengetahui adanya kerentanan yang aktif dieksploitasi atau insiden serius kini harus mengikuti tenggat pelaporan yang telah ditetapkan. Sistem tersebut menjadi bagian dari mekanisme Uni Eropa untuk mengoordinasikan penerimaan dan penyebaran informasi mengenai risiko keamanan produk digital.

 

Cek Berita dan Artikel yang lain di Harian Jogja, dan edisi cetak versi elektronik kami hadir di Epaper Harian Jogja.