Kewajiban Pelaporan Insiden Keamanan Siber: Cara Mematuhinya

Organisasi Anda mendeteksi aktivitas jaringan yang tidak biasa. Tim TI Anda menyelidiki dan menemukan akses tidak sah ke data pelanggan. Anda berhasil mengatasi ancaman tersebut. Sekarang muncul pertanyaan mendesak: apakah Anda perlu melaporkan ini kepada pihak berwenang? Siapa tepatnya? Informasi apa yang harus Anda berikan? Berapa banyak waktu yang Anda miliki?

Berdasarkan NIS2 dan hukum Belanda, banyak organisasi wajib melaporkan insiden keamanan siber kepada otoritas pemerintah dalam batas waktu yang ketat. Biasanya Anda memiliki waktu antara 24 hingga 72 jam setelah deteksi. Peraturan tersebut menetapkan otoritas mana yang menerima laporan Anda, informasi apa yang harus Anda berikan, dan persyaratan formatnya. Jika Anda melewatkan batas waktu atau melaporkan ke badan yang salah, Anda akan menghadapi denda besar, tindakan penegakan hukum, dan tanggung jawab hukum yang dapat meluas melampaui insiden awal itu sendiri.

Panduan ini menunjukkan kepada Anda secara tepat bagaimana memenuhi kewajiban pelaporan Anda. Anda akan mempelajari hukum mana yang berlaku untuk organisasi Anda, kapan suatu insiden memerlukan pelaporan, otoritas mana yang harus dihubungi pada setiap tahap, informasi apa yang dibutuhkan setiap laporan, dan bagaimana membangun prosedur yang benar-benar efektif. Kami akan menghindari jargon hukum dan fokus pada langkah-langkah praktis yang dapat Anda ambil sekarang juga untuk tetap patuh dan melindungi organisasi Anda.

Apa saja tugas Anda dalam pelaporan insiden keamanan siber?

Kewajiban pelaporan insiden keamanan siber Anda bergantung pada ukuran organisasi, sektor, dan layanan yang Anda berikan. Entitas esensial (energi, transportasi, perbankan, perawatan kesehatan, infrastruktur kritis) dan entitas penting (layanan pos, pengelolaan limbah, penyedia digital, produksi pangan) wajib melaporkan berdasarkan NIS2. Jika Anda mengoperasikan infrastruktur kritis atau layanan digital untuk konsumen Belanda, Anda hampir pasti termasuk dalam aturan ini.

Tiga tahapan pelaporan yang harus Anda selesaikan

Anda dihadapkan pada tiga kewajiban pelaporan terpisah dengan tenggat waktu yang berbeda. Tugas pertama Anda dimulai dalam waktu 24 jam setelah mendeteksi insiden signifikan: Anda mengirimkan peringatan dini kepada CSIRT (Tim Tanggap Insiden Keamanan Komputer) atau otoritas yang berwenang. Pemberitahuan awal ini menandai insiden tersebut dan menunjukkan apakah Anda mencurigai adanya aktivitas berbahaya atau dampak lintas batas.

Dalam waktu 72 jam , Anda mengirimkan pemberitahuan insiden Anda. Laporan ini mencakup penilaian awal Anda tentang tingkat keparahan, dampak, sistem yang terpengaruh, dan indikator kompromi yang tersedia. Anda memberikan detail teknis yang membantu pihak berwenang memahami ruang lingkup dan sifat pelanggaran tersebut.

Organisasi yang melewatkan tenggat waktu ini akan menghadapi denda hingga €10 juta atau 2% dari omset tahunan global berdasarkan NIS2, mana pun yang lebih tinggi.

Laporan akhir Anda akan diterima dalam waktu satu bulan setelah pemberitahuan insiden. Dokumen komprehensif ini merinci cakupan penuh insiden, analisis akar penyebab, langkah-langkah mitigasi yang Anda terapkan, dan dampak lintas batas. Jika Anda masih menangani insiden tersebut saat satu bulan berakhir, Anda akan mengirimkan laporan kemajuan dan kemudian laporan akhir dalam waktu satu bulan setelah penyelesaian.

Tugas tambahan di luar pelaporan awal

Anda juga harus memberi tahu pihak-pihak yang terdampak ketika insiden signifikan berdampak pada penerima layanan. Pemberitahuan ini dilakukan tanpa penundaan yang tidak perlu dan mencakup langkah-langkah praktis yang dapat dilakukan oleh penerima layanan untuk melindungi diri mereka sendiri. Khusus untuk penyedia layanan kepercayaan , jangka waktu 72 jam dipersingkat menjadi 24 jam untuk insiden yang memengaruhi layanan kepercayaan.

Tim CSIRT atau otoritas yang berwenang akan merespons dalam waktu 24 jam setelah menerima peringatan dini Anda, memberikan umpan balik awal dan panduan operasional tentang langkah-langkah mitigasi.

Langkah 1. Identifikasi hukum Uni Eropa dan Belanda mana yang berlaku untuk Anda.

Anda perlu menentukan kerangka peraturan mana yang mengatur kewajiban pelaporan insiden keamanan siber Anda sebelum insiden terjadi. NIS2 (Arahan Keamanan Jaringan dan Informasi) berlaku secara luas di seluruh Belanda, tetapi DORA (Undang-Undang Ketahanan Operasional Digital) dan peraturan implementasi khusus Belanda menciptakan kewajiban tambahan untuk sektor-sektor tertentu. Mulailah dengan mengevaluasi organisasi Anda berdasarkan kriteria masing-masing kerangka kerja.

Periksa apakah NIS2 berlaku untuk organisasi Anda.

NIS2 berlaku jika Anda memenuhi syarat sebagai entitas esensial atau entitas penting . Entitas esensial meliputi organisasi di bidang energi, transportasi, perbankan, infrastruktur pasar keuangan, kesehatan, air minum, air limbah, infrastruktur digital, administrasi publik, dan ruang angkasa. Entitas penting mencakup layanan pos, pengelolaan limbah, bahan kimia, produksi pangan, manufaktur, penyedia digital, dan organisasi penelitian.

Ukuran organisasi Anda hanya berpengaruh bagi penyedia layanan digital (DSP). Anda termasuk dalam NIS2 sebagai DSP jika Anda mengoperasikan pasar online, layanan cloud, atau mesin pencari dengan setidaknya 50 karyawan dan omset tahunan sebesar €10 juta atau total aset sebesar €10 juta . Semua entitas penting dan esensial lainnya menghadapi kewajiban tanpa memandang ukuran.

Jika Anda mengoperasikan infrastruktur penting atau sebelumnya ditunjuk berdasarkan Direktif NIS lama (Wbni), Anda secara otomatis memenuhi syarat berdasarkan NIS2.

Pemerintah Belanda memiliki daftar entitas yang ditunjuk. Periksa dengan otoritas yang berwenang di sektor Anda (energi dan infrastruktur digital melapor ke RDI; layanan keuangan ke AFM dan DNB; layanan kesehatan ke IGJ) untuk memastikan status Anda. Anda harus memverifikasi hal ini sebelum Januari 2026 ketika penegakan hukum yang lebih ketat dimulai.

Tentukan apakah DORA mencakup layanan keuangan Anda.

DORA berlaku secara terpisah untuk lembaga keuangan dan penyedia layanan TIK yang melayani mereka. Anda termasuk dalam cakupan DORA jika Anda beroperasi sebagai lembaga kredit, penyedia layanan pembayaran, perusahaan asuransi, perusahaan investasi, penyedia layanan aset kripto, atau lembaga uang elektronik. Regulasi ini berjalan paralel dengan NIS2 dengan persyaratan pelaporan tersendiri.

Penyedia layanan keuangan melaporkan insiden signifikan kepada AFM (melalui Portal AFM) dan DNB (melalui My DNB) selain RDI. Anda juga harus mendaftarkan semua perjanjian kontrak dengan pihak ketiga TIK untuk fungsi-fungsi penting atau kritis melalui portal-portal ini dalam jangka waktu yang ditentukan.

Evaluasi kewajiban penyedia layanan digital Anda.

WBNI ( implementasi Belanda ) menetapkan kewajiban khusus jika Anda menyediakan pasar online, komputasi awan, atau mesin pencari . Anda melaporkan insiden ke RDI dan CSIRT-DSP (tim respons insiden khusus untuk penyedia digital). Tidak seperti entitas penting di sektor lain, Anda menghadapi ambang batas ukuran: 50+ karyawan dan omset atau aset €10 juta+.

Penyedia layanan kepercayaan menghadapi tenggat waktu yang dipercepat berdasarkan peraturan eIDAS. Anda harus melaporkan insiden signifikan yang memengaruhi layanan kepercayaan dalam waktu 24 jam, bukan dalam jangka waktu standar 72 jam yang berlaku untuk entitas lain.

Langkah 2. Tentukan kapan suatu insiden harus dilaporkan.

Anda memerlukan kriteria konkret untuk menentukan apakah suatu insiden melampaui ambang batas pelaporan. Undang-undang mendefinisikan insiden signifikan sebagai insiden yang menyebabkan gangguan operasional yang parah, kerugian finansial, atau kerusakan besar pada pihak lain. Tugas pelaporan insiden keamanan siber Anda dimulai ketika Anda mendeteksi insiden yang memenuhi kriteria ini, bukan ketika Anda selesai menyelidikinya. Ini berarti Anda harus membuat keputusan pelaporan dengan cepat, seringkali dengan informasi yang tidak lengkap.

Nilai ambang batas keparahan untuk organisasi Anda.

Suatu insiden dianggap signifikan jika mengganggu layanan inti Anda atau menimbulkan dampak finansial yang substansial . NIS2 menyediakan dua kategori utama: insiden yang sangat mengganggu operasional Anda atau menyebabkan kerugian finansial, dan insiden yang memengaruhi pihak lain dengan menyebabkan kerusakan material atau non-material yang cukup besar. Anda melaporkan insiden tersebut jika salah satu kategori tersebut berlaku.

Gangguan operasional berarti Anda tidak dapat memberikan layanan kepada pelanggan, sistem penting mengalami kegagalan, atau Anda kehilangan akses ke data penting. Kerugian finansial mencakup biaya langsung seperti pembayaran tebusan, biaya pemulihan, kehilangan pendapatan, atau denda peraturan. Undang-undang tidak menetapkan ambang batas euro yang tepat, jadi Anda mengevaluasinya berdasarkan ukuran organisasi Anda dan dampak relatif dari insiden tersebut.

Dokumentasikan ambang batas internal Anda sebelum insiden terjadi. Hal ini menciptakan konsistensi dalam pengambilan keputusan pelaporan dan menunjukkan itikad baik jika pihak berwenang kemudian mempertanyakan penilaian Anda.

Pertimbangkan indikator-indikator berikut saat menilai signifikansi:

• ketersediaan layananApakah pelanggan dapat mengakses layanan Anda? Sudah berapa lama sistem mengalami gangguan?
• Integritas dataApakah terjadi akses tanpa izin? Kategori data mana yang terpengaruh?
• Cakupan geografisApakah insiden tersebut memengaruhi banyak lokasi atau negara?
• Dampak pelangganBerapa banyak pengguna atau penerima yang mengalami gangguan layanan?
• Waktu PemulihanApakah Anda mengharapkan penyelesaian dalam hitungan jam, hari, atau minggu?

Evaluasi dampak lintas batas dan dampak berantai.

Anda wajib melaporkan insiden yang berpotensi berdampak lintas batas, bahkan ketika dampak domestiknya tampak kecil. Insiden yang memengaruhi operasional Anda di Belanda mungkin berdampak pada pelanggan, mitra, atau rantai pasokan di negara anggota Uni Eropa lainnya. Hal ini memicu kewajiban pelaporan karena pihak berwenang mengoordinasikan respons lintas batas.

Dampak berantai sama pentingnya. Insiden Anda menjadi wajib dilaporkan ketika mengganggu layanan yang Anda berikan kepada entitas penting atau esensial lainnya, terlepas dari dampak langsung pada pengguna akhir. Misalnya, jika Anda menyediakan layanan cloud untuk rumah sakit dan pelanggaran keamanan Anda memengaruhi sistem pasien mereka, Anda melaporkan berdasarkan dampak operasional mereka, bukan hanya kerugian Anda sendiri.

Penyedia layanan kepercayaan menghadapi ambang batas yang lebih ketat . Setiap insiden yang memengaruhi penyediaan layanan kepercayaan (tanda tangan digital, sertifikat, stempel waktu) memerlukan pelaporan segera dalam waktu 24 jam. Anda tidak menunggu untuk menilai apakah dampaknya memenuhi kriteria signifikansi umum.

Langkah 3. Buat prosedur pelaporan insiden Anda

Anda memerlukan prosedur terdokumentasi yang secara spesifik menentukan siapa melakukan apa, kapan, dan bagaimana selama insiden terjadi. Rencana respons insiden Anda harus mencakup alur kerja pelaporan yang jelas yang diaktifkan secara otomatis ketika tim Anda mendeteksi insiden signifikan. Prosedur ini menerjemahkan tugas pelaporan insiden keamanan siber Anda dari persyaratan hukum yang abstrak menjadi tindakan konkret yang dapat dilakukan staf Anda di bawah tekanan.

Buat matriks klasifikasi insiden Anda

Matriks klasifikasi Anda membantu penanggung jawab insiden menentukan persyaratan pelaporan dalam hitungan menit setelah deteksi. Buat tabel yang memetakan jenis insiden dan tingkat keparahan ke kewajiban pelaporan, tenggat waktu, dan otoritas penerima. Ini menghilangkan spekulasi dan memastikan keputusan yang konsisten di seluruh organisasi Anda.

Perbarui matriks ini setiap kali peraturan berubah atau organisasi Anda menambahkan layanan baru. Uji matriks ini setiap triwulan menggunakan skenario realistis untuk mengidentifikasi kesenjangan atau titik kebingungan.

Rancang alur kerja notifikasi Anda

Alur kerja Anda harus menentukan urutan tindakan yang tepat mulai dari deteksi insiden hingga pelaporan akhir. Dokumentasikan siapa yang memulai pelaporan, siapa yang meninjau dan menyetujui pemberitahuan, siapa yang mengirimkannya, dan siapa yang menjaga kontak dengan pihak berwenang. Tetapkan personel cadangan untuk setiap peran untuk menggantikan personel yang absen.

Alur kerja Anda harus mengasumsikan insiden terjadi di luar jam kerja ketika manajemen senior mungkin tidak segera tersedia. Bangun mekanisme persetujuan yang mencegah penundaan.

Buat format daftar periksa yang diikuti tim Anda:

1. Insiden terdeteksi: Ketua tim keamanan melakukan penilaian terhadap matriks klasifikasi dalam waktu 2 jam.
2. Insiden yang wajib dilaporkan telah dikonfirmasi: CISO segera diberitahu, dan mulai melakukan persiapan peringatan dini.
3. Peringatan dini telah dirancang: Mencakup jenis insiden, waktu deteksi, penyebab yang diduga, dan potensi dampak lintas batas.
4. Peninjauan hukum: Penasihat hukum meninjau draf dalam waktu 4 jam untuk memastikan keakuratan dan kelengkapannya.
5. Pengajuan: CISO atau perwakilannya mengirimkan melalui portal resmi dalam batas waktu 24 jam.
6. Tanggapan pihak berwenang: Tim keamanan menerapkan panduan yang diterima dalam waktu 24 jam.
7. Pemberitahuan insiden: Tim teknis menyiapkan penilaian terperinci pada batas waktu 60 jam.
8. Pengajuan akhir: Dokumentasi lengkap diserahkan sebelum batas waktu 72 jam.

Siapkan templat laporan untuk setiap tahap.

Templat memastikan laporan Anda memuat semua informasi yang dibutuhkan sekaligus mengurangi waktu persiapan. Buat templat terpisah untuk peringatan dini, pemberitahuan insiden, dan laporan akhir yang mencakup semua kolom wajib yang ditentukan oleh NIS2 dan otoritas Belanda.

Templat peringatan dini Anda memerlukan: stempel waktu deteksi, kategori insiden, ringkasan sistem yang terpengaruh, indikator aktivitas berbahaya yang dicurigai (ya/tidak), indikator dampak lintas batas (ya/tidak), informasi kontak utama. Pemberitahuan insiden Anda menambahkan: penilaian tingkat keparahan, cakupan dampak, jumlah pengguna yang terpengaruh, indikator kompromi, langkah-langkah mitigasi awal yang diambil. Laporan akhir mencakup: garis waktu insiden lengkap, analisis akar penyebab, penilaian dampak penuh, langkah-langkah keamanan yang diterapkan, pelajaran yang dipetik, rekomendasi pencegahan.

Simpan templat ini sebagai formulir yang dapat diisi dan diakses langsung oleh tim Anda. Simpan di platform respons insiden, wiki keamanan, dan cadangan offline Anda untuk memastikan ketersediaan selama gangguan sistem.

Langkah 4. Mengintegrasikan pelaporan ke dalam pelatihan dan tata kelola.

Prosedur pelaporan Anda akan gagal jika staf tidak memahami peran mereka atau jika struktur tata kelola tidak mendukung pengambilan keputusan yang cepat. Anda memerlukan pelatihan sistematis dan pengawasan tingkat dewan untuk memastikan organisasi Anda menjalankan tugas pelaporan insiden keamanan siber dengan benar setiap saat. Ini berarti mengintegrasikan kewajiban pelaporan ke dalam program pelatihan keamanan yang ada dan menciptakan akuntabilitas yang jelas di tingkat tata kelola.

Latih seluruh staf tentang deteksi dan eskalasi.

Anda harus melatih semua karyawan untuk mengenali potensi insiden keamanan dan mengetahui persis cara menindaklanjutinya. Staf teknis Anda membutuhkan pelatihan terperinci tentang matriks klasifikasi dan alur kerja pelaporan, tetapi karyawan non-teknis membutuhkan panduan yang lebih sederhana yang berfokus pada mendeteksi aktivitas yang tidak biasa dan segera menghubungi orang yang tepat.

Lakukan latihan simulasi insiden secara berkala setiap kuartal yang mensimulasikan insiden realistis yang memerlukan pelaporan. Bimbing tim respons insiden Anda melalui seluruh proses, mulai dari deteksi hingga pengajuan laporan akhir. Gunakan latihan ini untuk mengidentifikasi kesenjangan prosedural, menguji templat Anda, dan memverifikasi bahwa personel cadangan memahami peran mereka. Dokumentasikan pelajaran yang dipetik setelah setiap latihan dan perbarui prosedur Anda sesuai dengan itu.

Pelatihan kesadaran keamanan bagi staf umum harus mencakup hal-hal penting terkait pelaporan berikut:

• Apa saja yang termasuk dalam potensi insiden keamanan (email yang tidak biasa, upaya akses tanpa izin, data yang hilang)?
• Siapa yang harus dihubungi segera (berikan detail kontak 24/7 untuk tim keamanan Anda)
• Hal yang tidak boleh dilakukan (jangan mencoba menyelidiki sendiri, jangan menghapus bukti, jangan menunggu sampai hari Senin)
• Mengapa kecepatan itu penting (batas waktu peraturan dimulai ketika insiden terdeteksi, bukan dilaporkan)

Latih staf bahwa mendeteksi dan melaporkan aktivitas mencurigakan dengan segera akan melindungi organisasi dan diri mereka sendiri dari tanggung jawab hukum , bukan hanya memenuhi persyaratan kepatuhan.

Mengintegrasikan pelaporan ke dalam tata kelola yang ada

Dewan direksi dan pimpinan eksekutif Anda memerlukan pembaruan rutin tentang kemampuan pelaporan insiden dan insiden aktual. Jadwalkan tinjauan tata kelola triwulanan yang mencakup prosedur pelaporan Anda, insiden yang terjadi, tanggapan otoritas yang diterima, dan peningkatan prosedural yang diterapkan. Hal ini menciptakan akuntabilitas dan memastikan pimpinan memahami kewajiban pelaporan.

Tetapkan tanggung jawab eksekutif khusus untuk kepatuhan pelaporan insiden. Orang ini (biasanya CISO atau Chief Risk Officer Anda) melapor langsung kepada dewan direksi tentang kesiapan, menjaga hubungan dengan otoritas yang berwenang, dan mengelola anggaran untuk alat pelaporan dan pelatihan. Kepemilikan yang jelas mencegah kebingungan selama insiden sebenarnya ketika keputusan harus diambil dengan cepat.

Sertakan metrik pelaporan dalam dasbor keamanan Anda: waktu dari deteksi hingga pengajuan peringatan dini, persentase insiden yang memenuhi persyaratan tenggat waktu, waktu respons otoritas, dan tindakan korektif yang diselesaikan. Lacak ini setiap bulan untuk mengidentifikasi tren dan peluang peningkatan.

Bergerak kedepan

Anda kini memiliki kerangka kerja lengkap untuk memenuhi kewajiban pelaporan insiden keamanan siber Anda berdasarkan NIS2 dan hukum Belanda. Anda mengetahui peraturan mana yang berlaku untuk organisasi Anda, kapan insiden melampaui ambang batas pelaporan, otoritas mana yang menerima pemberitahuan, informasi apa yang harus dimuat dalam setiap laporan, dan bagaimana membangun prosedur yang berfungsi di bawah tekanan. Langkah Anda selanjutnya adalah implementasi segera.

Mulailah dengan meninjau rencana respons insiden Anda saat ini berdasarkan persyaratan yang diuraikan di sini. Perbarui matriks klasifikasi Anda , siapkan templat laporan Anda , dan latih tim respons insiden Anda tentang alur kerja baru. Jadwalkan latihan simulasi pertama Anda dalam 30 hari ke depan untuk menguji prosedur sebelum insiden nyata terjadi. Dokumentasikan semua yang Anda buat sehingga tim Anda dapat mengaksesnya secara instan saat dibutuhkan.

Kepatuhan hukum dalam keamanan siber membutuhkan keduanya. keahlian teknis ke pengetahuan hukumJika Anda memerlukan bantuan dalam menafsirkan bagaimana peraturan ini berlaku untuk situasi spesifik Anda, kontak Law & More untuk panduan khusus. Tim mereka membantu organisasi-organisasi Belanda menavigasi persyaratan kepatuhan keamanan siber yang kompleks dan membangun kerangka kerja respons insiden yang melindungi operasi dan kedudukan hukum Anda.