Oleh Tom Meevis, pengacara di Law & More
Keamanan siber bukan lagi semata-mata masalah teknis. Ini juga merupakan masalah hukum dan tata kelola yang memengaruhi hampir setiap organisasi, berapa pun ukurannya.
Dengan adanya Direktif NIS2 Eropa dan Undang-Undang Keamanan Siber Belanda, tanggung jawab atas ketahanan digital sepenuhnya beralih ke dewan manajemen. Undang-Undang Keamanan Siber Belanda mulai berlaku pada tanggal 15 Agustus 2026. Oleh karena itu, pemilik bisnis, direktur, dan petugas kepatuhan harus segera menetapkan hal-hal berikut:
- apakah organisasi mereka termasuk dalam cakupan peraturan baru tersebut;
- yang mana kewajiban-kewajiban tersebut timbul karenanya;
- langkah-langkah apa yang diperlukan;
- dan bagaimana organisasi dapat memenuhi kewajiban tersebut.
Artikel ini menguraikan elemen-elemen utama NIS2 dan Undang-Undang Keamanan Siber Belanda: ruang lingkup, kewajiban untuk berhati-hati, kewajiban pemberitahuan, tanggung jawab dewan direksi, penegakan hukum, dan langkah-langkah yang dapat diambil organisasi saat ini.
Apa itu NIS2?
NIS2 adalah sebutan resmi dari Direktif (EU) 2022/2555. Direktif ini menggantikan direktif keamanan jaringan dan informasi Eropa pertama, yang umumnya disebut sebagai NIS1.
Negara-negara anggota diwajibkan untuk mengimplementasikan NIS2 ke dalam hukum nasional mereka paling lambat tanggal 17 Oktober 2024. Mulai tanggal 18 Oktober 2024, NIS2 secara resmi menggantikan arahan sebelumnya.
Tujuannya adalah untuk meningkatkan dan menyelaraskan tingkat ketahanan siber di Uni Eropa. Hal ini berjalan di sepanjang dua jalur utama. Pertama, cakupan yang lebih luas: lebih banyak organisasi yang termasuk dalam aturan ini dibandingkan dengan NIS1. Kedua, pengawasan yang diperketat dan penegakan hukum yang lebih tegas, dengan perangkat yang lebih luas dan tanggung jawab yang lebih jelas bagi para direktur.
Jika NIS1 membedakan antara operator layanan esensial dan penyedia layanan digital, NIS2 bekerja dengan entitas esensial dan entitas penting. Perbedaan itu bukan sekadar terminologi: antara lain, perbedaan itu menentukan intensitas pengawasan dan besarnya potensi denda.
Organisasi mana saja yang termasuk dalam NIS2?
NIS2 berlaku untuk organisasi yang aktif di delapan belas sektor yang ditentukan, yang dibagi menjadi sektor-sektor dengan tingkat kekritisan tinggi dan sektor-sektor kritis lainnya.
Sektor-sektor dengan tingkat kekritisan tinggi meliputi energi, transportasi, perbankan, infrastruktur pasar keuangan, layanan kesehatan, air minum dan air limbah, infrastruktur digital, manajemen layanan TIK untuk pengguna bisnis, administrasi publik, dan ruang angkasa.
Sektor-sektor penting lainnya meliputi layanan pos dan kurir, pengelolaan limbah, bahan kimia, makanan, manufaktur, penyedia layanan digital, dan lembaga penelitian.
Ambang batas ukuran
Dalam sektor-sektor ini, aturan utamanya adalah bahwa suatu organisasi termasuk dalam NIS2 jika memenuhi syarat sebagai perusahaan menengah atau besar. Kriterianya adalah memiliki setidaknya 50 karyawan, atau omset tahunan atau total neraca melebihi EUR 10 juta.
Terdapat pengecualian terhadap aturan utama ini. Organisasi-organisasi tertentu termasuk dalam cakupan ini tanpa memandang ukuran, karena layanan mereka dianggap sangat penting:
- penyedia jaringan dan layanan komunikasi elektronik publik;
- penyedia layanan kepercayaan;
- penyedia layanan pendaftaran nama domain;
- Registri nama domain tingkat atas;
- badan-badan sektor publik.
Mulai 15 Agustus 2026, kewajiban baru ini berlaku untuk lebih dari 8,000 organisasi di Belanda. Ini merupakan perluasan yang cukup besar dibandingkan dengan jumlah yang tercakup dalam Undang-Undang Keamanan Jaringan dan Sistem Informasi yang berlaku saat ini.
Oleh karena itu, organisasi yang sebelumnya tidak menganggap diri mereka sebagai bagian dari sektor kritis mungkin akan terkena dampaknya, termasuk produsen menengah, produsen makanan, lembaga penelitian, dan penyedia layanan digital. Yang penting, organisasi itu sendiri bertanggung jawab untuk menilai apakah mereka termasuk dalam cakupan tersebut. Tidak akan ada surat dari pengawas yang memberitahukan hal tersebut kepada mereka.
Kewajiban untuk berhati-hati: tindakan apa yang diperlukan?
Inti dari NIS2 dan Undang-Undang Keamanan Siber Belanda adalah kewajiban untuk berhati-hati. Entitas penting dan esensial harus mengambil langkah-langkah teknis, operasional, dan organisasi yang tepat dan proporsional untuk mengelola risiko terhadap jaringan dan sistem informasi mereka.
Aturan tersebut mengidentifikasi hal-hal yang wajib dicakup oleh kebijakan tersebut:
- analisis risiko dan kebijakan keamanan informasi;
- penanganan insiden;
- kelangsungan bisnis, manajemen cadangan, dan pemulihan bencana;
- keamanan rantai pasokan;
- Kebersihan siber dan pelatihan staf;
- kebijakan penanganan kerentanan;
- otentikasi multi-faktor;
- komunikasi yang aman;
- kriptografi;
- Penilaian berkala terhadap efektivitas langkah-langkah tersebut.
Langkah-langkah yang diambil harus proporsional dengan ukuran organisasi dan risiko yang sebenarnya dihadapinya. Oleh karena itu, entitas penting yang lebih kecil tidak perlu mengambil langkah-langkah yang sama dengan entitas penting yang besar di sektor berisiko tinggi.
Hal itu tidak menjadikan kewajiban untuk berhati-hati sebagai pilihan. Organisasi harus mampu membuktikan risiko apa yang telah mereka identifikasi, langkah-langkah apa yang telah mereka ambil, dan mengapa langkah-langkah tersebut tepat. Bukan hanya langkah-langkah itu sendiri, tetapi juga cara langkah-langkah tersebut dipertimbangkan, dicatat, dan dievaluasi secara berkala, harus diawasi.
Kewajiban pemberitahuan setelah suatu insiden
Bersamaan dengan kewajiban untuk berhati-hati, NIS2 memberlakukan kewajiban pemberitahuan bertahap untuk insiden signifikan. Jika suatu insiden telah atau mungkin berdampak besar pada keberlangsungan layanan, tenggat waktu berikut berlaku secara umum:
- Dalam waktu 24 jam, peringatan dini kepada tim respons insiden keamanan komputer nasional atau otoritas yang berwenang;
- Dalam waktu 72 jam, pemberitahuan resmi dengan penilaian awal tentang tingkat keparahan dan dampaknya;
- Paling lambat dalam satu bulan, laporan akhir yang menjelaskan insiden tersebut, kemungkinan penyebab utamanya, langkah-langkah yang diambil, dan dampak lintas batas apa pun.
Batas waktu ini mengharuskan penetapan prosedur yang jelas sebelumnya. Organisasi harus mengetahui kapan suatu insiden perlu dilaporkan, siapa yang berwenang untuk melaporkan, informasi apa yang harus tersedia, siapa yang berkoordinasi, dan bagaimana dewan dan pengawas diinformasikan.
Organisasi yang hanya mencoba menyiapkan proses pemberitahuan saat terjadi insiden berisiko besar tidak dapat melaporkan tepat waktu atau secara lengkap.
Tanggung jawab dewan
Salah satu elemen penting NIS2 adalah tanggung jawab pengelolaan risiko siber secara tegas berada di tangan dewan manajemen. Dewan tersebut harus menyetujui langkah-langkah keamanan, mengawasi implementasinya, mampu menilai risiko siber organisasi, dan menjalani pelatihan yang memadai.
Oleh karena itu, keamanan siber tidak lagi dapat dianggap sebagai tanggung jawab departemen TI semata. Ini adalah topik tata kelola yang harus menjadi bagian dari pengambilan keputusan dan manajemen risiko secara berkala.
Arahan tersebut juga secara tegas membahas tanggung jawab pribadi manajemen senior jika organisasi gagal mematuhinya. Oleh karena itu, keterlibatan dewan harus dicatat, misalnya dengan mendokumentasikan pelatihan yang dilakukan, keputusan dewan, kebijakan yang disetujui, penilaian risiko, pelaporan, dan pengawasan implementasi.
Implementasi Belanda
Implementasi NIS2 di Belanda mengalami penundaan yang signifikan. Batas waktu transisi pada 17 Oktober 2024 tidak terpenuhi.
Pada tanggal 8 Juli 2026, Komisi Eropa memutuskan untuk merujuk Belanda, bersama dengan Irlandia, Spanyol, dan Prancis, ke Mahkamah Kehakiman Uni Eropa karena gagal memberitahukan langkah-langkah transisi. Dengan demikian, Belanda termasuk di antara empat negara Uni Eropa yang tertinggal.
Waktunya sangat mencolok. Sehari sebelumnya, pada tanggal 7 Juli 2026, Senat telah menyetujui Undang-Undang Keamanan Siber dan Undang-Undang Ketahanan Entitas Kritis. Apakah fakta bahwa Undang-Undang tersebut diadopsi sebelum rujukan dikirim akan memengaruhi hasil persidangan masih harus dilihat; itu adalah wewenang Pengadilan untuk memutuskan.
Kedua Undang-Undang tersebut mulai berlaku pada tanggal 15 Agustus 2026. Undang-Undang Keamanan Siber mengimplementasikan Arahan NIS2; Undang-Undang Ketahanan Entitas Kritis mengimplementasikan Arahan CER Eropa, yang bertujuan untuk meningkatkan ketahanan infrastruktur kritis. Organisasi yang tercakup dalam arahan terakhir akan secara resmi ditetapkan sebagai entitas kritis mulai tanggal 15 Agustus 2026.
Setelah diberlakukan, Undang-Undang Keamanan Jaringan dan Sistem Informasi (WBNI) yang berlaku saat ini akan berakhir. Bagi organisasi yang sudah tercakup oleh undang-undang tersebut, ini berarti kewajiban yang lebih berat; bagi organisasi yang baru pertama kali tercakup, ini berarti rezim yang sepenuhnya baru.
Pendaftaran dengan NCSC
Kewajiban baru yang penting adalah pendaftaran di Pusat Keamanan Siber Nasional. Entitas penting dan esensial harus didaftarkan dalam register entitas nasional. Pendaftaran tersebut wajib mulai 15 Agustus 2026 dan dilakukan melalui portal MijnNCSC, menggunakan eHerkenning untuk organisasi biasa dan SSOnRijk untuk badan sektor publik. Perubahan data yang terdaftar harus dilaporkan dalam waktu empat belas hari.
Pendaftaran bukan sekadar formalitas administratif. Setelah terdaftar, organisasi dapat terhubung ke layanan CSIRT mereka, yang menyediakan produk dan layanan untuk meningkatkan ketahanan serta dukungan jika terjadi insiden. Persiapkan pendaftaran jauh-jauh hari, agar implementasi tidak baru dimulai setelah peraturan tersebut berlaku.
Pengawasan dan penegakan hukum
Undang-Undang Keamanan Siber mengatur rezim pengawasan yang berbeda. Entitas esensial tunduk pada pengawasan proaktif: pengawas dapat memeriksa secara terus-menerus dan atas inisiatif sendiri, tanpa insiden atau sinyal spesifik apa pun. Entitas penting tunduk pada pengawasan reaktif, di mana pengawas pada prinsipnya bertindak sebagai respons terhadap insiden, pengaduan, atau sinyal konkret lainnya.
Pengawasan dibagi di antara beberapa otoritas. Mulai 15 Agustus 2026, Otoritas Infrastruktur Digital Belanda mengawasi organisasi di sembilan sektor; pengawas lain ditunjuk untuk sektor lainnya. Tentukan pengawas mana yang berwenang untuk organisasi Anda.
Perangkat penegakan hukum yang tersedia sangat luas dan mencakup:
- pemindaian keamanan atau audit keamanan;
- instruksi yang mengikat;
- perintah penegakan administratif atau perintah yang dikenakan pembayaran denda;
- publikasi pelanggaran;
- denda administratif;
- Bagi entitas esensial: penangguhan sertifikasi, otorisasi, atau anggota dewan.
Untuk entitas esensial, denda maksimum minimal adalah EUR 10 juta atau 2% dari total omset tahunan di seluruh dunia, mana pun yang lebih tinggi. Untuk entitas penting, minimal adalah EUR 7 juta atau 1.4% dari omset tahunan di seluruh dunia, sekali lagi mana pun yang lebih tinggi. Besarnya denda akhir bergantung pada keadaan kasus, termasuk sifat, tingkat keparahan, dan durasi pelanggaran, tingkat kesalahan, dan tindakan yang diambil.
Apa yang dapat dilakukan organisasi Anda sekarang?
- Lakukan penilaian mandiri. Tentukan apakah organisasi tersebut aktif di sektor yang ditentukan dan memenuhi ambang batas ukuran.
- Tentukan kategori yang tepat. Tetapkan apakah organisasi tersebut memenuhi syarat sebagai entitas esensial atau penting, dan pengawas mana yang kompeten.
- Persiapkan pendaftaran. Kumpulkan data yang dibutuhkan untuk pendaftaran di NCSC melalui MijnNCSC.
- Uji langkah-langkah tanggung jawab. Nilai langkah-langkah yang ada terkait analisis risiko, respons insiden, kesinambungan bisnis, keamanan rantai pasokan, kebersihan siber, kerentanan, otentikasi multi-faktor, dan kriptografi.
- Tetapkan proses pemberitahuan. Catat siapa yang menilai apakah suatu insiden perlu dilaporkan, siapa yang memberi tahu, dan bagaimana tenggat waktu 24 jam, 72 jam, dan satu bulan dipenuhi.
- Libatkan dewan secara nyata. Catat keputusan apa saja yang telah diambil dewan, pelatihan apa yang telah dilakukan, dan bagaimana pengawasan terhadap implementasinya dilakukan.
- Sertakan rantai pasokan. Sebagian besar kerentanan muncul bukan dari dalam organisasi itu sendiri, melainkan dari pemasok dan penyedia layanan. Tinjau kontrak Anda mengenai pengaturan keamanan, kewajiban pemberitahuan, dan hak audit.
Dalam penutupan
Undang-Undang Keamanan Siber dan Undang-Undang Ketahanan Entitas Kritis mewakili pengetatan yang signifikan terhadap kewajiban keamanan siber. Cakupan yang lebih luas, langkah-langkah kewajiban yang konkret, tenggat waktu pemberitahuan yang ketat, tanggung jawab pribadi bagi para direktur, dan perangkat penegakan hukum yang substansial berarti organisasi tidak dapat mengabaikan topik ini. Dengan pemberlakuan pada tanggal 15 Agustus 2026, waktu persiapan sangat singkat.
Law & More Membantu bisnis, direktur, dan petugas kepatuhan dalam menentukan posisi mereka berdasarkan NIS2 dan Undang-Undang Keamanan Siber Belanda, menetapkan dan menguji langkah-langkah kewajiban untuk berhati-hati, mempersiapkan pendaftaran dengan NCSC, dan menanamkan kebijakan keamanan siber secara legal.
Apakah Anda ingin posisi organisasi Anda di bawah peraturan baru dinilai? Silakan hubungi kami untuk diskusi tanpa kewajiban.
Pertanyaan yang sering diajukan
Di bawah ini kami menjawab pertanyaan-pertanyaan yang paling sering diajukan kepada kami mengenai topik ini.
Kapan Undang-Undang Keamanan Siber Belanda mulai berlaku?
Pada tanggal 15 Agustus 2026, Senat menyetujui Undang-Undang Keamanan Siber dan Undang-Undang Ketahanan Entitas Kritis pada tanggal 7 Juli 2026. Setelah berlaku, Undang-Undang Keamanan Sistem Jaringan dan Informasi (WBNI) yang berlaku saat ini dinyatakan tidak berlaku lagi.
Apakah organisasi saya termasuk dalam NIS2?
Itu tergantung pada sektor dan ukuran organisasi Anda. NIS2 mencakup delapan belas sektor yang ditentukan dan, dalam sektor-sektor tersebut, sebagai aturan utama, organisasi dengan setidaknya 50 karyawan atau omset tahunan atau total neraca melebihi EUR 10 juta. Pihak-pihak tertentu tercakup tanpa memandang ukuran organisasi.
Apakah saya akan diberi tahu jika organisasi saya termasuk dalam cakupan pengawasan?
Tidak. Organisasi bertanggung jawab sendiri untuk menilai apakah mereka termasuk dalam cakupan Undang-Undang Keamanan Siber. Menunggu berisiko menimbulkan kewajiban yang berlaku sebelum penilaian dilakukan.
Apa perbedaan antara entitas esensial dan entitas penting?
Hal ini menentukan intensitas pengawasan dan besarnya potensi denda. Entitas esensial tunduk pada pengawasan proaktif, di mana pengawas dapat melakukan pengecekan atas inisiatif sendiri. Entitas penting tunduk pada pengawasan reaktif, yang dipicu oleh insiden, pengaduan, atau sinyal lainnya.
Apa saja yang termasuk dalam kewajiban untuk berhati-hati?
Mengambil langkah-langkah teknis, operasional, dan organisasi yang tepat dan proporsional untuk mengelola risiko terhadap jaringan dan sistem informasi Anda, meliputi hal-hal seperti analisis risiko, penanganan insiden, kesinambungan bisnis, keamanan rantai pasokan, kebersihan siber, kerentanan, otentikasi multi-faktor, dan kriptografi. Anda harus dapat membuktikan mengapa langkah-langkah yang dipilih tersebut tepat.
Batas waktu pemberitahuan apa yang berlaku setelah suatu insiden?
Peringatan dini dalam waktu 24 jam, pemberitahuan resmi dalam waktu 72 jam dengan penilaian awal tingkat keparahan dan dampaknya, dan laporan akhir paling lambat dalam satu bulan. Siapkan proses pemberitahuan terlebih dahulu.
Apakah organisasi saya harus mendaftar?
Ya. Pendaftaran di register entitas nasional wajib dilakukan mulai 15 Agustus 2026 dan berjalan melalui MijnNCSC, menggunakan eHerkenning atau, untuk badan sektor publik, SSOnRijk. Perubahan harus dilaporkan dalam waktu empat belas hari. Setelah terdaftar, Anda dapat terhubung ke layanan CSIRT Anda.
Apa tanggung jawab yang berada di pundak dewan direksi?
Dewan direksi harus menyetujui langkah-langkah keamanan, mengawasi implementasinya, mampu menilai risiko siber, dan menjalani pelatihan sendiri. Arahan ini membahas tanggung jawab pribadi manajemen senior atas ketidakpatuhan, sehingga keputusan, pelatihan, dan pengawasan harus dicatat secara demonstratif.
Seberapa besar dendanya?
Untuk entitas esensial, setidaknya EUR 10 juta atau 2% dari omset tahunan di seluruh dunia; untuk entitas penting, setidaknya EUR 7 juta atau 1.4%, mana pun yang lebih tinggi. Besarnya denda akhir bergantung pada faktor-faktor termasuk sifat, tingkat keparahan, dan durasi pelanggaran serta tingkat kesalahan.
Siapa yang mengawasi kepatuhan?
Hal itu berbeda-beda menurut sektor. Mulai 15 Agustus 2026, Otoritas Infrastruktur Digital Belanda mengawasi organisasi di sembilan sektor; pengawas lain ditunjuk untuk sektor-sektor lainnya. Tentukan pengawas mana yang berwenang untuk organisasi Anda.
Mengapa Belanda dirujuk ke Mahkamah Kehakiman?
Mengenai keterlambatan transposisi NIS2. Pada tanggal 8 Juli 2026, Komisi Eropa memutuskan untuk merujuk Belanda, bersama dengan Irlandia, Spanyol, dan Prancis, ke Mahkamah Eropa karena gagal memberitahukan langkah-langkah transposisi. Fakta bahwa Undang-Undang Keamanan Siber diadopsi satu hari sebelumnya tidak dengan sendirinya mengakhiri proses tersebut.
Apakah ini berlaku juga untuk pemasok saya?
Keamanan rantai pasokan adalah salah satu subjek kewajiban untuk berhati-hati. Sebagian besar kerentanan muncul pada pemasok dan penyedia layanan. Tinjau kontrak Anda mengenai pengaturan keamanan, kewajiban pemberitahuan, dan hak audit.
