Pembahasan Rancangan Undang-Undang Keamanan dan Ketahanan Siber (RUU KKS) kini resmi dilanjutkan oleh DPR RI. Regulasi ini dirancang untuk menutup kekosongan hukum nasional melalui penataan standar keamanan siber yang komprehensif dan mengikat di berbagai sektor.
Salah satu poin krusial dalam RUU KKS adalah penetapan kewajiban sertifikasi kompetensi bagi para tenaga kerja dan penyedia jasa keamanan siber. Kebijakan ini akan secara langsung memengaruhi profesional, penyedia layanan, serta organisasi yang mengelola infrastruktur digital.
Langkah ini berpotensi merombak lanskap profesi keamanan siber di Indonesia menuju ekosistem yang terstruktur, terstandarisasi, dan teregulasi secara resmi.
Alasan Indonesia Membutuhkan Regulasi Keamanan Siber
Sebelum membahas RUU-nya, penting memahami kenapa regulasi ini mendesak.
BSSN mencatat 5,5 miliar anomali lalu lintas siber sepanjang 2025, lonjakan 714% dibanding rata-rata tahunan 2020-2024, dan sekitar 1,5 miliar anomali tambahan sudah dianalisis pada 1 Januari sampai 15 April 2026. Monitoring APJII hingga 28 Agustus 2026 mencatat 246,4 juta kontak ke alamat IP berbahaya sejak 13 Juni 2026, dengan sekitar 68 juta event serangan dalam tiga hari terakhir masa pengamatan.
Tapi yang lebih mendasar dari angka serangan adalah fakta ini: Indonesia belum punya payung hukum yang komprehensif untuk keamanan siber. Yang ada saat ini? Potongan-potongan regulasi yang tersebar: UU ITE untuk aspek pidana siber, UU PDP untuk perlindungan data, peraturan sektoral dari OJK untuk perbankan, regulasi BSSN yang terbatas pada lembaga pemerintah dan infrastruktur informasi vital. Tidak ada yang mengikat secara menyeluruh dan koordinatif.
Bandingkan dengan negara lain. Uni Eropa punya NIS2 Directive dan DORA. AS punya CISA Act dan berbagai executive orders. Singapura punya Cybersecurity Act 2018. Thailand sudah mengesahkan Cybersecurity Act 2019. Indonesia? Masih mengandalkan patchwork regulasi.
RUU KKS dirancang untuk menutup celah ini. Dan 10 materi yang dicakup di dalamnya cukup komprehensif.
| Materi RUU KKS | Cakupan |
| Kerja sama internasional | Perjanjian bilateral/multilateral, information sharing |
| Penguatan kelembagaan pemerintah | Struktur koordinasi antar lembaga, peran BSSN |
| Peningkatan kapasitas SDM | Standar kompetensi, sertifikasi, pelatihan |
| Sertifikasi kompetensi | Kerangka sertifikasi profesi keamanan siber nasional |
| Ekosistem industri keamanan siber | Pengembangan industri lokal, standar penyedia jasa |
| Perlindungan infrastruktur informasi vital | Sektor kritis: keuangan, energi, transportasi, kesehatan |
| Penanganan insiden siber | Koordinasi respons, pelaporan wajib, recovery |
| Diplomasi siber | Posisi Indonesia di forum internasional |
| Operasi siber | Aspek pertahanan dan keamanan negara |
| Pembiayaan | Sumber pendanaan dan alokasi anggaran |
Aturan Baru Sertifikasi Kompetensi Keamanan Siber
Dari sepuluh materi di atas, sertifikasi kompetensi adalah yang paling langsung berdampak pada individu dan perusahaan penyedia jasa.
Saat ini, lanskap sertifikasi keamanan siber di Indonesia cukup fragmentaris. Profesional mengandalkan sertifikasi internasional, CISSP, CISM, CEH, CompTIA Security+, OSCP, yang dikeluarkan oleh lembaga asing. Bagus secara teknis, tapi tidak ada framework nasional yang menghubungkan sertifikasi ini dengan standar kompetensi yang diakui secara hukum di Indonesia.
BNSP (Badan Nasional Sertifikasi Profesi) sebenarnya sudah memiliki skema sertifikasi untuk beberapa peran TI, termasuk yang menyentuh keamanan informasi. Tapi adopsinya di industri masih rendah. Banyak praktisi dan perusahaan yang bahkan tidak tahu skema ini ada.
RUU KKS berpotensi mengubah dinamika ini dengan beberapa cara.
Pertama, standarisasi kompetensi nasional. RUU ini diharapkan menetapkan Standar Kompetensi Kerja Nasional Indonesia (SKKNI) yang lebih spesifik dan komprehensif untuk profesi keamanan siber. Bukan satu SKKNI generik, tapi pemetaan yang mencakup berbagai peran: analis SOC, incident responder, penetration tester, security architect, GRC specialist, hingga CISO.
Kedua, kewajiban sertifikasi untuk penyedia jasa. Ini yang menarik sekaligus kontroversial. Jika RUU disahkan, perusahaan penyedia jasa keamanan siber kemungkinan wajib memiliki tenaga bersertifikat untuk mendapatkan izin operasi. Ini mengikuti pola yang sudah ada di sektor lain, akuntan publik wajib CPA, konsultan pajak wajib bersertifikat Kemenkeu, auditor ISO wajib terregistrasi.
Ketiga, mutual recognition arrangement. Ada harapan bahwa framework sertifikasi nasional akan memiliki mekanisme pengakuan terhadap sertifikasi internasional yang sudah mapan, sehingga profesional yang sudah memegang CISSP atau CISM tidak perlu mulai dari nol, melainkan bisa melakukan bridging atau ekuivalensi.
Dampak RUU KKS Bagi Praktisi Keamanan Siber
Kalau Anda seorang praktisi keamanan siber di Indonesia, apa artinya semua ini?
Peluang: Karir dan Profesi Lebih Terstruktur
Selama ini, banyak profesional keamanan siber yang sulit menjelaskan posisinya ke HR atau manajemen. “Saya security analyst” sering dipandang setara dengan “saya IT support yang sedikit lebih senior.” Tidak ada jenjang karir yang terstandar, tidak ada benchmark kompetensi yang diakui lintas industri.
Dengan framework sertifikasi nasional, profesi keamanan siber mendapat legitimasi formal. Ini berdampak pada negosiasi gaji, karena ada benchmark kompetensi yang jelas,, mobilitas karir lintas industri dan lintas perusahaan, serta pengakuan profesional setara dengan profesi terregulasi lainnya seperti akuntan atau arsitek.
Peluang: Peningkatan Kebutuhan Tenaga Ahli
Permintaan tenaga keamanan siber di Indonesia naik signifikan dalam dua sampai tiga tahun terakhir, sementara suplai tenaga tersertifikasi masih tertinggal jauh. Kesenjangan inilah yang membuat kewajiban sertifikasi jadi pedang bermata dua: pasar tumbuh, tapi biaya kepatuhan ikut naik.
Jika RUU KKS mewajibkan organisasi tertentu, terutama pengelola infrastruktur informasi vital, untuk memiliki tenaga keamanan siber bersertifikat, demand akan melonjak lagi. Profesional yang sudah mempersiapkan diri akan punya posisi tawar yang kuat.
Tantangan: Biaya dan Waktu Sertifikasi
Di sisi lain, sertifikasi memerlukan investasi, baik waktu maupun biaya. Sertifikasi internasional seperti CISSP memerlukan biaya ujian sekitar USD 749, belum termasuk biaya pelatihan. Jika sertifikasi nasional ditambahkan sebagai kewajiban, bukan sebagai pengganti tapi sebagai pelengkap, beban finansial dan waktu bagi profesional bertambah.
Pertanyaan yang belum terjawab: apakah akan ada subsidi atau insentif dari pemerintah? Apakah perusahaan diwajibkan menanggung biaya sertifikasi karyawan? Apakah ada masa transisi yang memadai?
Tantangan: Risiko “Sertifikasi Tanpa Substansi”
Indonesia sudah punya pengalaman di sektor lain di mana sertifikasi menjadi formalitas tanpa benar-benar menjamin kompetensi. Sertifikasi yang terlalu mudah didapat atau assessment yang tidak rigorous justru menurunkan nilai sertifikasi dan menciptakan false sense of competency.
RUU KKS perlu memastikan bahwa framework sertifikasi yang dibangun benar-benar mengukur kemampuan praktis, bukan hanya kemampuan menghafal materi ujian.
| Aspek | Peluang | Tantangan |
| Karir | Jenjang jelas, mobilitas tinggi, benchmark gaji | Investasi waktu dan biaya sertifikasi |
| Pengakuan | Profesi setara akuntan/arsitek | Risiko sertifikasi jadi formalitas |
| Demand | Melonjak karena kewajiban regulasi | Supply gap makin lebar dalam jangka pendek |
| Skill development | Framework belajar terstruktur | Kurikulum harus relevan dan up-to-date |
Baca juga: Apa Itu Human in the Loop (HITL)? Panduan Tata Kelola AI
Dampak RUU KKS Bagi Perusahaan Penyedia Jasa
Bagi perusahaan konsultan, managed security service provider (MSSP), penetration testing firm, dan penyedia jasa keamanan siber lainnya, RUU KKS membawa implikasi struktural.
Persyaratan Tenaga Bersertifikat
Pola di sektor lain memberikan gambaran: konsultan pajak harus memiliki izin praktik. Akuntan publik harus terdaftar di OJK. Jika RUU KKS menerapkan pola serupa, penyedia jasa keamanan siber harus memiliki sejumlah minimum tenaga bersertifikat untuk beroperasi.
Ini bisa menjadi barrier to entry yang signifikan bagi pemain kecil, tapi sekaligus memberikan diferensiasi yang jelas bagi penyedia jasa yang sudah berinvestasi dalam kompetensi timnya.
Standar Layanan dan Akuntabilitas
Saat ini, kualitas layanan keamanan siber sangat bervariasi. Ada penetration testing yang komprehensif dan mendalam; ada juga yang hanya menjalankan automated scanner dan menyerahkan hasilnya sebagai “laporan pentest.” Tidak ada standar minimum yang enforceable.
RUU KKS membuka jalan bagi standarisasi layanan: apa yang harus dicakup dalam penetration test, bagaimana incident response harus dijalankan, standar minimum untuk managed security services. Ini meningkatkan akuntabilitas, dan melindungi pelanggan dari penyedia jasa yang substandar.
Peluang Pasar Baru
Kewajiban keamanan siber yang diperluas, terutama untuk infrastruktur informasi vital, menciptakan pasar baru. Organisasi yang sebelumnya tidak memprioritaskan keamanan siber akan membutuhkan jasa profesional: assessment, implementasi kontrol, managed monitoring, pelatihan, dan tentunya, bantuan untuk memenuhi persyaratan sertifikasi dan compliance.
APJII (Asosiasi Penyelenggara Jasa Internet Indonesia) sudah menunjukkan dukungan terhadap RUU ini melalui FGD bersama DPR pada 3 September 2026, menggarisbawahi pentingnya membangun ekosistem industri keamanan siber lokal yang kuat. ISP dan penyedia layanan internet juga akan terdampak, dengan masa transisi 2 tahun yang diusulkan untuk memenuhi persyaratan baru.
Prinsip Distributed Shared Responsibility dalam KKS
Salah satu prinsip yang dibawa RUU KKS, dan ini menarik dari perspektif tata kelola, adalah distributed shared responsibility. Artinya, keamanan siber bukan tanggung jawab satu pihak saja. Pemerintah, pelaku usaha, penyedia jasa, dan individu, semua punya peran dan tanggung jawab yang harus dijalankan.
Untuk organisasi, ini berarti keamanan siber tidak bisa lagi sepenuhnya di-outsource. Anda bisa menggunakan jasa MSSP untuk monitoring, tapi tanggung jawab governance tetap ada di tangan organisasi. Anda bisa menyewa konsultan untuk risk assessment, tapi ownership atas implementasi rekomendasinya ada di Anda.
Prinsip ini sejalan dengan bagaimana ISO 27001 memandang keamanan informasi: top management harus menunjukkan kepemimpinan dan komitmen. Anda bisa mendelegasikan tugas, tapi tidak bisa mendelegasikan tanggung jawab.
Baca juga: Perpres AI Indonesia: Siapkan Bisnis Sebelum Aturan Baru
Langkah Persiapan Menghadapi RUU KKS
RUU KKS belum disahkan, dan detail implementasinya masih akan dirumuskan dalam peraturan turunan. Tapi menunggu sampai semuanya final bukan strategi yang bijak. Organisasi dan profesional yang mempersiapkan diri lebih awal akan punya keunggulan kompetitif yang signifikan.
Persiapan untuk Profesional Keamanan Siber
Perkuat portofolio sertifikasi. Jika Anda belum memiliki sertifikasi internasional yang recognized, pertimbangkan untuk mengambilnya sekarang. Sertifikasi seperti CISSP, CISM, atau CompTIA Security+ kemungkinan besar akan mendapat pengakuan dalam framework nasional. Memilikinya sebelum regulasi berlaku menempatkan Anda di posisi yang lebih baik.
Pantau perkembangan SKKNI keamanan siber. BNSP dan Kominfo/Komdigi sedang memperbarui standar kompetensi untuk profesi TI termasuk keamanan siber. Memahami standar yang sedang dikembangkan membantu Anda mengidentifikasi gap kompetensi yang perlu ditutup.
Bangun pengalaman praktis yang terdokumentasi. Sertifikasi tanpa pengalaman bernilai terbatas. Pastikan portofolio Anda mencakup pengalaman nyata, bukan hanya pengetahuan teoretis. Terlibat dalam proyek implementasi, incident response, atau assessment adalah cara terbaik membangun kredibilitas.
Pertimbangkan spesialisasi. Dengan framework sertifikasi yang lebih terstruktur, spesialisasi menjadi lebih berharga. Apakah Anda akan fokus di GRC, offensive security, cloud security, OT security, atau digital forensics? Memilih jalur dan membangun kedalaman di area tersebut lebih strategis daripada menjadi generalis dangkal.
Persiapan untuk Perusahaan dan Organisasi
Audit kesiapan tenaga keamanan siber. Berapa banyak staf bersertifikat yang Anda miliki? Di area apa gap-nya paling besar? Berapa biaya untuk menutup gap tersebut? Jawaban atas pertanyaan-pertanyaan ini membantu perencanaan anggaran dan recruitment.
Evaluasi penyedia jasa saat ini. Apakah penyedia jasa keamanan siber yang Anda gunakan memiliki tenaga bersertifikat? Apa rencana mereka menghadapi RUU KKS? Apakah SLA dan kontrak Anda sudah mencakup standar kompetensi?
Bangun program pengembangan SDM. Jangan mengandalkan recruitment dari luar saja, pasar tenaga kerja keamanan siber sudah sangat kompetitif. Investasi dalam pengembangan SDM internal, sponsori sertifikasi, berikan waktu belajar, fasilitasi pelatihan hands-on, memberikan return yang jauh lebih sustainable.
Mulai membangun governance keamanan siber. RUU KKS akan mengharuskan organisasi tertentu memiliki struktur governance keamanan siber yang jelas. Mulai dari penunjukan penanggung jawab keamanan siber, kebijakan yang terdokumentasi, sampai prosedur pelaporan insiden.
| Langkah Persiapan | Profesional | Organisasi |
| Sertifikasi | Ambil sertifikasi internasional yang recognized | Sponsori sertifikasi karyawan kunci |
| Standar kompetensi | Pantau perkembangan SKKNI | Audit gap kompetensi tim security |
| Governance | Pahami framework regulasi yang berkembang | Bangun struktur governance keamanan siber |
| Ekosistem | Bergabung dengan komunitas profesional | Evaluasi dan persiapkan penyedia jasa |
| Timeline | Mulai sekarang, masa transisi terbatas | Alokasikan budget di siklus anggaran berikutnya |
Kesimpulan RUU KKS dan Masa Depan Siber
RUU KKS adalah tonggak penting bagi ekosistem keamanan siber Indonesia. Setelah bertahun-tahun beroperasi tanpa payung hukum yang komprehensif, regulasi ini berpotensi memberikan struktur yang dibutuhkan, dari standarisasi kompetensi profesional sampai perlindungan infrastruktur kritis nasional.
Bagi profesional, ini peluang untuk mendapat pengakuan formal dan membangun karir di profesi yang makin terstruktur. Bagi penyedia jasa, ini diferensiasi dan pasar yang lebih besar, dengan standar yang lebih tinggi. Bagi organisasi, ini dorongan untuk menata governance keamanan siber yang selama ini mungkin terabaikan.
Kuncinya: jangan menunggu UU disahkan untuk mulai bersiap. Sejarah menunjukkan bahwa regulasi selalu datang lebih cepat dari yang diantisipasi, dan organisasi yang sudah siap selalu punya keunggulan dibanding yang masih menyiapkan diri ketika deadline sudah di depan mata.
Konsultasi Kepatuhan Regulasi Bersama Proxsis IT
Proxsis IT memiliki pengalaman mendampingi organisasi dalam mempersiapkan kepatuhan terhadap regulasi baru, termasuk implementasi ISO 27001, pengembangan governance keamanan informasi, dan capacity building tim keamanan siber. Dengan pemahaman mendalam tentang landscape regulasi Indonesia, kami membantu Anda tidak hanya patuh, tapi siap menghadapi tantangan keamanan siber yang terus berkembang.
Konsultasikan Kesiapan Regulasi Keamanan Siber Perusahaan Anda →
FAQ Seputar RUU KKS dan Sertifikasi Siber
Kapan RUU KKS diperkirakan disahkan?
Panja DPR sudah dibentuk pada akhir Juni 2026 dan pembahasan berjalan intensif. Meskipun timeline pasti sulit diprediksi, target optimistis adalah akhir 2026 atau awal 2027. Namun peraturan turunan biasanya memerlukan 6-12 bulan tambahan setelah UU disahkan.
Apakah sertifikasi internasional yang sudah dimiliki masih berlaku?
Sangat mungkin. Framework sertifikasi nasional biasanya memiliki mekanisme mutual recognition atau bridging untuk sertifikasi internasional yang sudah mapan. Memiliki sertifikasi internasional justru menjadi keunggulan, bukan beban tambahan.
Siapa yang wajib mematuhi RUU KKS?
Berdasarkan materi yang dibahas, cakupannya luas: pengelola infrastruktur informasi vital (keuangan, energi, transportasi, kesehatan, pemerintahan), penyedia jasa keamanan siber, penyelenggara sistem elektronik, hingga ISP. Detail kewajiban per sektor akan diatur dalam peraturan turunan.
Apa hubungannya dengan UU PDP?
RUU KKS dan UU PDP saling melengkapi. UU PDP fokus pada perlindungan data pribadi, sementara RUU KKS mencakup keamanan siber secara lebih luas, termasuk perlindungan infrastruktur, standar kompetensi, dan penanganan insiden. Organisasi perlu mematuhi keduanya.
Sumber utama
Referensi utama untuk data pemantauan dan status pembahasan RUU KKS dalam artikel ini.
DetikInet/BSSN: 5,5 miliar anomali 2025 dan 1,5 miliar Jan-Apr 2026
ANTARA/APJII: 246,4 juta kontak IP berbahaya dan dukungan APJII atas RUU KKS
