🎯 Track: Keduanya (K) - Untuk Direksi, Manajer, dan Teknisi

Kenapa "Tanpa Panik"

Di Bab 1, kita sudah melihat sekilas ancaman pidana dan denda dalam UU PDP, serta bayangan audit BSSN. Di Bab 4, Lapis 5 (Regulasi) sengaja hanya ditinjau sekilas karena bab ini yang membedahnya.

Reaksi paling umum ketika mendengar "UU PDP" dan "audit BSSN" adalah panik: merasa harus membangun semuanya sekaligus, atau menunda karena terasa terlalu besar untuk dikerjakan. Kedua reaksi itu keliru. Kepatuhan regulasi, seperti keempat lapis lainnya, adalah perjalanan bertahap - dan justru PDAM yang sudah menerapkan sebagian kontrol di Bab 1-4 (segmentasi jaringan, kebijakan akses, pelatihan staf) sudah berjalan separuh jalan tanpa sadar.

Bab ini memecah kepatuhan menjadi langkah-langkah konkret yang bisa dimulai minggu ini, 90 hari ke depan, dan dalam setahun - bukan daftar pasal yang menakutkan.

🎯 Tujuan Bab Ini

Setelah membaca bab ini, Anda akan:

Memahami kewajiban inti UU PDP dan Perpres 82/2022 dalam bahasa operasional, bukan bahasa hukum
Mengetahui langkah pertama yang realistis untuk mulai patuh, tanpa perlu anggaran besar di awal
Punya roadmap 30-90 hari-1 tahun menuju kepatuhan yang terverifikasi, bukan sekadar klaim di atas kertas
Bisa menilai posisi PDAM Anda saat ini lewat asesmen kematangan di akhir bab

UU PDP: Apa yang Sebenarnya Diminta dari PDAM?

UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi berlaku untuk siapa pun yang memproses data pribadi - dan PDAM jelas memprosesnya: nama pelanggan, alamat, nomor rekening pelanggan air, kadang NIK untuk verifikasi langganan.

Empat Kewajiban Inti

Tunjuk penanggung jawab perlindungan data. Tidak harus jabatan baru bergaji mahal - bisa staf IT/legal existing yang diberi tanggung jawab tambahan dan kewenangan jelas.
Petakan data yang Anda proses. Data apa yang dikumpulkan (nama, alamat, NIK, riwayat tagihan), disimpan di mana (billing system, spreadsheet, kertas arsip), siapa yang punya akses. Anda tidak bisa melindungi data yang keberadaannya sendiri tidak Anda ketahui persis.
Siapkan prosedur notifikasi kebocoran. UU PDP mewajibkan pemberitahuan kepada pemilik data dan otoritas terkait paling lambat 3x24 jam sejak kebocoran diketahui. Prosedur ini harus sudah ada sebelum insiden terjadi, bukan disusun saat panik di tengah insiden.
Hormati hak pemilik data, termasuk hak untuk tahu data apa yang PDAM simpan tentang mereka dan hak untuk meminta koreksi.

Sanksi (Recap dari Bab 1)

Tabel sanksi UU PDP sudah dibahas di Bab 1 - poin pentingnya: sanksi terberat menyasar kegagalan melindungi data dan kegagalan melaporkan kebocoran, bukan semata-mata "punya data pelanggan." PDAM yang mengelola datanya dengan wajar dan melapor tepat waktu saat insiden terjadi berada di posisi jauh lebih aman daripada PDAM yang tidak berbuat apa-apa lalu berharap tidak ketahuan.

Perpres 82/2022: Infrastruktur Informasi Vital (IIV)

Perpres No. 82 Tahun 2022 mengatur pelindungan Infrastruktur Informasi Vital di berbagai sektor strategis. Seperti disebut di Bab 1, sektor air minum berpotensi masuk kategori ini - status pastinya bergantung pada penetapan sektoral yang terus berkembang, jadi PDAM sebaiknya bersiap alih-alih menunggu kepastian penuh.

Jika PDAM Anda Ditetapkan sebagai IIV

Konsekuensi praktisnya:

Identifikasi dan laporkan risiko keamanan siber secara berkala ke BSSN
Bentuk Tim Tanggap Insiden internal (bisa gabung dengan struktur yang sudah dibahas di Bab 4, Lapis Proses)
Ikuti audit keamanan siber berkala, baik internal maupun oleh otoritas terkait

Kenapa Ini Bukan Alasan untuk Menunggu

PDAM yang menunggu kepastian status IIV sebelum bertindak kehilangan waktu berharga. Kontrol yang diwajibkan bagi IIV - segmentasi jaringan, tim tanggap insiden, audit berkala - sama persis dengan kontrol yang sudah dibahas di Bab 3 dan 4 untuk alasan operasional, bukan sekadar kepatuhan. Membangunnya lebih awal berarti PDAM Anda siap terlepas dari kapan pun status IIV resmi ditetapkan.

Pengawasan BSSN: Apa yang Perlu Disiapkan

BSSN (Badan Siber dan Sandi Negara) mendorong audit dan pelaporan keamanan siber di sektor-sektor strategis. Bagi PDAM, ini biasanya berarti:

Kanal pelaporan insiden yang jelas - siapa di internal PDAM yang bertanggung jawab melapor, dan ke mana
Kesiapan didokumentasikan, bukan hanya dipraktikkan - auditor perlu bukti tertulis (kebijakan, log, catatan pelatihan), bukan sekadar klaim lisan "kami sudah aman"
Koordinasi lintas fungsi - keamanan siber bukan urusan IT semata, melibatkan legal (kepatuhan data), operasional (SCADA/OT), dan manajemen (anggaran dan keputusan)

Roadmap Tanpa Panik: 30-90 Hari-1 Tahun

🟢 30 Hari Pertama (Tanpa Anggaran Besar)

Tunjuk penanggung jawab perlindungan data (bisa staf existing)
Buat daftar sederhana: data pribadi apa yang PDAM simpan, di sistem mana
Tulis draf prosedur notifikasi kebocoran (siapa dihubungi, dalam berapa jam)
Jalankan asesmen kematangan di akhir bab ini untuk memetakan titik awal

🟡 90 Hari Berikutnya

Sahkan kebijakan keamanan siber tertulis oleh pimpinan (bukan sekadar draf)
Bentuk Tim Tanggap Insiden lintas fungsi (IT, operasional, legal)
Mulai pelatihan security awareness untuk seluruh staf, bukan hanya tim IT
Dokumentasikan kontrol yang sudah ada dari Bab 3-4 (segmentasi jaringan, hardening perangkat) sebagai bukti kepatuhan

🔵 6-12 Bulan

Uji prosedur tanggap insiden lewat simulasi (Bab 6 akan membahas detailnya)
Ajukan audit keamanan siber internal, atau libatkan pihak ketiga bila anggaran mengizinkan
Evaluasi ulang status IIV dan kepatuhan UU PDP secara berkala - regulasi terus berkembang, kepatuhan bukan status final

🎯 Yang Harus Anda Lakukan

Untuk Direksi:

✅ Tunjuk penanggung jawab perlindungan data minggu ini
✅ Sahkan kebijakan keamanan siber begitu draf selesai - jangan biarkan tertahan di meja
✅ Minta laporan kepatuhan berkala, bukan hanya laporan insiden

Untuk Manajer IT:

✅ Petakan data pribadi yang PDAM proses dan sistem penyimpanannya
✅ Susun prosedur notifikasi kebocoran dengan tenggat 3x24 jam yang jelas
✅ Dokumentasikan kontrol teknis yang sudah berjalan sebagai bukti kepatuhan

Untuk Teknisi:

✅ Catat setiap sistem yang menyimpan data pelanggan untuk peta data
✅ Ikuti pelatihan security awareness begitu dijadwalkan
✅ Bantu uji prosedur tanggap insiden saat simulasi dijalankan

📖 Lanjut ke Bab Berikutnya

Bab ini membedah kewajiban regulasi dan cara memenuhinya tanpa panik.

Bab selanjutnya akan membahas cara menanggulangi insiden ketika (bukan jika) insiden benar-benar terjadi - siklus NIST dan SOP praktis yang bisa PDAM Anda gunakan.

📝 Diskusi Refleksi

Setelah membaca bab ini, jawab pertanyaan berikut:

Siapa penanggung jawab perlindungan data di PDAM Anda saat ini - apakah sudah ditunjuk secara jelas?
Apakah PDAM Anda tahu persis data pribadi apa saja yang disimpan, dan di sistem mana?
Jika kebocoran data terjadi hari ini, siapa yang harus dihubungi dalam 3x24 jam?
Apakah PDAM Anda pernah menerima komunikasi dari BSSN atau otoritas terkait soal status IIV?
Sudahkah Anda mencoba asesmen kematangan untuk memetakan lapis Regulasi PDAM Anda?

Jika banyak jawaban "belum" atau "tidak tahu", itu justru titik awal yang jujur. Roadmap 30-90 hari di atas dirancang untuk PDAM yang mulai dari nol.

Selamat membaca! Semoga bab ini membuat kepatuhan regulasi terasa bisa dikerjakan, bukan menakutkan. 🛡️💧

📚 Referensi

Republik Indonesia. (2022). Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi.
Republik Indonesia. (2022). Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital.
BSSN. Panduan dan Pedoman Keamanan Siber. Badan Siber dan Sandi Negara.

Disclaimer: Tulisan ini adalah pandangan pribadi penulis dan tidak mewakili pandangan organisasi mana pun. Isi bab ini disajikan untuk tujuan edukasi, bukan nasihat hukum, keamanan siber, atau teknis resmi. Penerapan pada organisasi yang sedang beroperasi tetap memerlukan verifikasi dan konsultasi dengan pihak yang berwenang, termasuk penasihat hukum, di organisasi masing-masing.

Bab 5: Kepatuhan Regulasi - Tanpa Panik