Sertifikasi dan Ketahanan Siber Nasional

Sertifikasi siber di berbagai negara dan blackout internet di Iran menunjukkan bahwa ketahanan siber atau digital tidak cukup dibangun melalui pendaftaran dan kepatuhan administratif semata.

Pemadaman internet nasional di Iran pada awal Januari 2026 menjadi peristiwa global yang menegaskan satu hal penting: ketika ruang digital terganggu, dampaknya tidak berhenti pada komunikasi, tetapi menjalar ke layanan publik, aktivitas ekonomi, dan stabilitas negara.

Keputusan memutus akses internet internasional di tengah krisis domestik menunjukkan bahwa ruang siber telah menjadi bagian tak terpisahkan dari ketahanan nasional.

Dalam konteks tersebut, pengalaman Iran relevan dibaca lebih jauh dari sudut pandang kebijakan keamanan siber dan instrumen pencegahan risiko negara.

Namun, kerangka kebijakan tersebut tidak berbentuk rezim sertifikasi teknis terhadap produk dan jasa teknologi informasi serta komunikasi (TIK) yang bersifat terbuka dan operasional bagi sistem sipil kritis.

Akibatnya, tidak terdapat mekanisme uji kelayakan berbasis standar yang menghasilkan status lulus atau tidak lulus bagi teknologi yang digunakan pada sistem dan layanan kritis. Dalam kondisi krisis, pilihan kebijakan yang tersedia pun cenderung bersifat administratif dan darurat, seperti pemutusan akses internet secara luas.

Perlu ditegaskan bahwa Iran bukan negara tanpa kebijakan siber. Iran memiliki regulasi terkait kejahatan siber, pengelolaan ruang digital, serta kontrol atas platform dan jaringan komunikasi.

Iran juga dikenal memiliki kapabilitas siber yang aktif, termasuk kemampuan ofensif dan defensif. Namun, kerangka kebijakan tersebut tidak berbentuk rezim sertifikasi teknis terhadap produk serta jasa teknologi informasi dan komunikasi (TIK).

Tidak terdapat mekanisme uji kelayakan berbasis standar yang menghasilkan status lulus atau tidak lulus bagi teknologi yang digunakan pada sistem dan layanan kritis. Dalam kondisi krisis, pilihan kebijakan yang tersedia pun cenderung bersifat administratif dan darurat, seperti pemutusan akses internet secara luas.

Pendekatan berbeda ditempuh oleh China dan Uni Eropa. Keduanya membangun instrumen pencegahan yang bekerja sebelum krisis muncul, salah satunya melalui sertifikasi keamanan siber.

China merevisi Undang-Undang Keamanan Siber yang mulai berlaku efektif pada 1 Januari 2026. Revisi ini memperkuat kewajiban keamanan bagi operator jaringan dan infrastruktur informasi penting, disertai evaluasi teknis dan sanksi yang lebih tegas.

Dalam kerangka ini, sertifikasi berfungsi sebagai penentu kelayakan operasional. Produk dan layanan TIK yang tidak memenuhi persyaratan dapat dibatasi atau dilarang penggunaannya pada sektor strategis.

Uni Eropa menempuh jalur serupa melalui EU Cybersecurity Act (Regulation EU 2019/881) yang membentuk European Cybersecurity Certification Framework.

Sertifikasi dilakukan oleh badan penilai terakreditasi dan diakui lintas negara anggota. Sertifikat menjadi prasyarat penting dalam pengadaan publik dan penggunaan pada sektor kritis. Uni Eropa juga mengesahkan Cyber Resilience Act (EU 2024/2847) yang mewajibkan keamanan siber sepanjang siklus hidup produk digital.

Praktik sertifikasi keamanan siber sesungguhnya tidak terbatas pada China dan Uni Eropa. Sejumlah negara telah menerapkan mekanisme penilaian teknis yang menentukan kelayakan produk dan jasa siber sebelum digunakan pada sektor publik atau infrastruktur kritis. Amerika Serikat mewajibkan sertifikasi seperti FedRAMP untuk layanan komputasi awan pemerintah dan FIPS 140-3 untuk modul kriptografi.

Jepang melalui Information System Security Management and Assessment Program (ISMAP) mensyaratkan sertifikasi layanan cloud sebelum digunakan instansi negara.

Korea Selatan, Singapura, Australia, dan Inggris juga menerapkan berbagai skema sertifikasi dan penilaian keamanan siber yang mengikat secara operasional. Pola global ini menunjukkan bahwa sertifikasi siber berkembang sebagai instrumen manajemen risiko negara, bukan sekadar kepatuhan administratif.

Dalam konteks tersebut, China dan Uni Eropa dipilih sebagai rujukan utama karena mewakili dua model kebijakan paling komprehensif: China dengan rezim nasional yang mengikat secara hukum dan Uni Eropa dengan kerangka sertifikasi lintas negara yang terintegrasi dengan pasar digital regional.

Indonesia berada pada posisi yang berbeda dan perlu dibaca secara presisi. Indonesia telah memiliki rezim pendaftaran sistem elektronik melalui Peraturan Pemerintah Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik.

PP ini mewajibkan penyelenggara sistem elektronik untuk melakukan pendaftaran sebelum sistem digunakan. Namun, pendaftaran tersebut bersifat administrative registry, bukan penilaian teknis yang menentukan aman atau tidaknya suatu teknologi.

Selain itu, Indonesia juga telah menetapkan Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital. Perpres ini mengatur identifikasi dan verifikasi infrastruktur informasi vital, kewajiban manajemen risiko keamanan siber, serta pelaporan insiden. Perpres 82/2022 berfungsi sebagai kerangka perlindungan infrastruktur kritis, bukan sebagai rezim sertifikasi.

Pembedaan ini penting. Pendaftaran sistem elektronik memastikan negara mengetahui siapa dan sistem apa yang beroperasi. Pelindungan infrastruktur informasi vital memastikan sistem kritis dikelola dengan manajemen risiko dan tata kelola keamanan.

Namun, keduanya belum setara dengan rezim sertifikasi teknis, seperti di China dan Uni Eropa, yang menentukan kelayakan teknologi sebelum digunakan pada sektor strategis.

Dalam konteks Sistem Pemerintahan Berbasis Elektronik (SPBE), ketergantungan layanan publik pada sistem digital semakin tinggi. Gangguan pada sistem informasi kini berdampak langsung pada pelayanan negara. Tanpa instrumen sertifikasi teknis yang berfungsi sebagai filter risiko, negara berpotensi menghadapi dilema kebijakan yang sama dengan Iran.

Di sinilah relevansi pembahasan RUU Ketahanan Siber dan arah kebijakan ke depan. Tantangan Indonesia bukan ketiadaan regulasi, melainkan kesenjangan instrumen. Indonesia telah memiliki registry dan kerangka pelindungan, tetapi belum memiliki mekanisme sertifikasi yang menentukan kelayakan teknis teknologi untuk digunakan pada infrastruktur kritis dan layanan publik strategis.

Pengalaman Iran menunjukkan risiko ketika instrumen pencegahan tidak tersedia. Langkah China, Uni Eropa, dan berbagai negara lain menunjukkan bahwa sertifikasi teknis dapat menjadi alat untuk menjaga kesinambungan layanan publik tanpa harus mengambil langkah darurat yang ekstrem.

Bagi Indonesia, pelajaran utamanya bukan meniru secara utuh, melainkan menyadari bahwa ketahanan siber nasional tidak dapat berhenti pada pendaftaran dan kepatuhan administratif.

Di era digital, membangun mekanisme sertifikasi yang proporsional, berbasis risiko, dan terintegrasi dengan pelindungan infrastruktur informasi vital merupakan keniscayaan jika negara ingin menjaga stabilitas layanan publik dan ketahanan nasional secara berkelanjutan.