PENYELENGGARAAN SMPI
(1) Penyelenggara Sistem Elektronik yang menyelenggarakan Sistem Elektronik strategis wajib menerapkan:
a. SNI ISO/IEC 27001;
b. standar keamanan lain yang terkait dengan keamanan siber yang ditetapkan oleh BSSN; dan
c. standar keamanan lain yang terkait dengan keamanan siber yang ditetapkan oleh Kementerian atau Lembaga.
(2) Penyelenggara Sistem Elektronik yang menyelenggarakan Sistem Elektronik tinggi wajib menerapkan:
a. SNI ISO/IEC 27001 dan/atau standar keamanan lain yang terkait dengan keamanan siber yang ditetapkan oleh BSSN; dan
b. standar keamanan lain yang terkait dengan keamanan siber yang ditetapkan oleh Kementerian atau Lembaga.
(3) Penyelenggara Sistem Elektronik yang menyelenggarakan Sistem Elektronik rendah wajib menerapkan:
a. SNI ISO/IEC 27001; atau
b. standar keamanan lain yang terkait dengan keamanan siber yang ditetapkan oleh BSSN.
(4) Standar keamanan lain yang terkait dengan keamanan siber sebagaimana dimaksud pada ayat (1) huruf b, ayat
(2) huruf a, dan ayat (3) huruf b diatur dengan Peraturan Badan.
(5) Standar keamanan lain yang terkait dengan keamanan siber sebagaimana dimaksud pada ayat (1) huruf c dan ayat (2) huruf b sesuai dengan ketentuan peraturan perundang-undangan.
Dalam hal standar sebagaimana dimaksud dalam Pasal 9 ayat
(1) huruf b dan huruf c belum ditetapkan, Penyelenggara Sistem Elektronik wajib melaksanakan ketentuan Pasal 9 ayat
(1) huruf a.
Dalam hal standar sebagaimana dimaksud dalam Pasal 9 ayat
(2) huruf b belum ditetapkan, Penyelenggara Sistem Elektronik wajib melaksanakan ketentuan Pasal 9 ayat (2) huruf a.
(1) Untuk mempersiapkan penerapan SNI ISO/IEC 27001 sebagaimana dimaksud dalam Pasal 9, Penyelenggara Sistem Elektronik dapat melakukan penilaian berdasarkan Indeks KAMI.
(2) Ketentuan mengenai Indeks KAMI dilaksanakan sesuai dengan ketentuan peraturan perundang-undangan
(1) Penerapan SMPI dilaksanakan secara mandiri oleh Penyelenggara Sistem Elektronik.
(2) Dalam penerapan SMPI secara mandiri sebagaimana dimaksud pada ayat (1), Penyelenggara Sistem Elektronik menggunakan sumber daya manusia berkewarganegaraan INDONESIA.
(3) Dalam penerapan SMPI secara mandiri sebagaimana dimaksud pada ayat (1), Penyelenggara Sistem Elektronik dapat menggunakan:
a. Tenaga Ahli berkewarganegaraan INDONESIA; atau
b. lembaga konsultan yang diakui oleh BSSN.
(1) Dalam hal belum terdapat Tenaga Ahli berkewarganegaraan INDONESIA sebagaimana dimaksud dalam Pasal 13 ayat (3) huruf a, Penyelenggara Sistem Elektronik dapat menggunakan Tenaga Ahli asing yang diikat dalam perjanjian kerahasiaan.
(2) Dalam menggunakan Tenaga Ahli asing sebagaimana dimaksud pada ayat (1), Penyelenggara Sistem Elektronik wajib mengajukan permohonan kepada unit kerja yang melaksanakan tugas dan fungsi di bidang pemantauan sumber daya manusia keamanan siber dan sandi paling lambat 14 (empat belas) hari kerja sebelum perjanjian kerja ditandatangani.
(3) Permohonan sebagaimana dimaksud pada ayat (2) dilengkapi dengan dokumen sebagai berikut:
a. manajemen Risiko terkait penggunaan Tenaga Ahli asing;
b. 1 (satu) buah pas foto 1 (satu) bulan terakhir ukuran 4x6;
c. fotokopi paspor;
d. riwayat hidup;
e. rancangan perjanjian kerja;
f. fotokopi bukti atau keterangan tentang kualifikasi keahlian atau sertifikasi keahlian dalam bidang Keamanan Informasi;
g. fotokopi kartu izin tinggal terbatas atau kartu izin tinggal tetap yang dikeluarkan oleh instansi yang berwenang; dan
h. fotokopi surat izin mempekerjakan tenaga kerja asing yang dikeluarkan oleh instansi yang berwenang.
(4) Unit kerja yang melaksanakan tugas dan fungsi di bidang pemantauan sumber daya manusia keamanan siber dan sandi melakukan penilaian terhadap Tenaga Ahli asing dalam waktu paling lambat 14 (empat belas) hari kerja.
(5) Pemberian izin untuk memperkerjakan Tenaga Ahli asing dapat diberikan oleh BSSN kepada Penyelenggara Sistem Elektronik pemohon apabila Tenaga Ahli asing yang diajukan telah memenuhi kriteria penilaian.
(1) Lembaga konsultan sebagaimana dimaksud dalam Pasal 13 ayat (3) huruf b harus:
a. berbentuk badan hukum INDONESIA;
b. berdomisili di INDONESIA; dan
c. memiliki tim implementor yang beranggotakan paling sedikit 1 (satu) orang implementor berkewarganegaraan INDONESIA.
(2) Implementor sebagaimana dimaksud pada ayat (1) huruf c merupakan orang yang memiliki kompetensi dalam penerapan SMPI.
(1) Calon lembaga konsultan mengajukan permohonan pengakuan sebagai lembaga konsultan SMPI kepada Kepala BSSN.
(2) Permohonan pengakuan sebagaimana dimaksud pada ayat (1) dilengkapi dengan dokumen:
a. surat permohonan;
b. akte pendirian perusahaan;
c. surat izin usaha perdagangan bidang dagang utama jasa konsultan teknologi informasi;
d. surat keterangan domisili; dan
e. daftar anggota tim implementor.
(3) Format surat permohonan sebagaimana dimaksud pada ayat (2) huruf a tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Badan ini.
(1) Unit kerja yang melaksanakan tugas dan fungsi di bidang sertifikasi lembaga konsultan melakukan penilaian terhadap permohonan pengakuan sebagaimana dimaksud dalam Pasal 16 ayat (2).
(2) Dalam hal penilaian sebagaimana dimaksud pada ayat
(1), dokumen permohonan dinyatakan lengkap, Kepala BSSN memberikan pengakuan kepada lembaga konsultan sebagai lembaga konsultan SMPI paling lambat 14 (empat belas) hari kerja setelah dokumen permohonan dinyatakan lengkap.
(3) Dalam hal penilaian sebagaimana dimaksud pada ayat
(1), dokumen permohonan dinyatakan tidak lengkap, Kepala BSSN mengembalikan dokumen permohonan kepada calon lembaga konsultan untuk dilengkapi.
(1) Pemberian pengakuan sebagaimana dimaksud dalam Pasal 17 ayat (2) diberikan dalam bentuk sertifikat pengakuan lembaga konsultan SMPI.
(2) Sertifikat pengakuan lembaga konsultan SMPI sebagaimana dimaksud pada ayat (1) berlaku untuk jangka waktu 5 (lima) tahun.
(3) Lembaga konsultan yang telah memperoleh sertifikat pengakuan lembaga konsultan SMPI sebagaimana dimaksud pada ayat (1) dicantumkan dalam daftar lembaga konsultan SMPI.
(4) Format sertifikat pengakuan lembaga konsultan SMPI sebagaimana dimaksud pada ayat (1) tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Badan ini.
(1) Sertifikat pengakuan lembaga konsultan SMPI sebagaimana dimaksud dalam Pasal 18 dinyatakan tidak berlaku apabila:
a. sertifikat pengakuan lembaga konsultan SMPI habis masa berlaku;
b. lembaga konsultan melanggar ketentuan perundang-undangan; atau
c. lembaga konsultan dinyatakan pailit sesuai dengan ketentuan perundang-undangan.
(2) Lembaga konsultan yang sertifikat pengakuannya tidak berlaku sebagaimana dimaksud pada ayat (1) dihapus dari daftar lembaga konsultan SMPI.
Dalam hal sertifikat pengakuan lembaga konsultan SMPI habis masa berlaku, lembaga konsultan mengajukan permohonan pengakuan kembali dengan menyampaikan dokumen sesuai dengan ketentuan dalam Pasal 16 ayat (2).
(1) Calon implementor mengajukan permohonan surat tanda register implementor SMPI kepada Kepala BSSN.
(2) Permohonan surat tanda register sebagaimana dimaksud pada ayat (1) dilengkapi dengan dokumen:
a. surat permohonan;
b. ijasah pendidikan terakhir paling rendah Strata-1;
c. daftar riwayat hidup;
d. sertifikat kelulusan uji kompetensi di bidang Keamanan Informasi;
e. sertifikat kelulusan uji kompetensi sebagai implementor SNI ISO/IEC 27001;
f. dokumen yang menyatakan masa pengalaman kerja di bidang teknologi informasi terutama dalam bidang implementasi Keamanan Informasi; dan
g. fotokopi kartu identitas diri.
(3) Format surat permohonan sebagaimana dimaksud pada ayat (2) huruf a tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Badan ini.
(1) Unit kerja yang melaksanakan tugas dan fungsi di bidang pemantauan sumber daya manusia keamanan siber dan sandi melakukan penilaian terhadap permohonan sebagaimana dimaksud dalam Pasal 21 ayat (2).
(2) Dalam hal penilaian sebagaimana dimaksud pada ayat
(1), dokumen permohonan dinyatakan lengkap, Kepala BSSN mengeluarkan surat tanda register implementor SMPI paling lambat 14 (empat belas) hari kerja setelah dokumen permohonan dinyatakan lengkap.
(3) Dalam hal penilaian sebagaimana dimaksud pada ayat
(1), dokumen permohonan dinyatakan tidak lengkap, Kepala BSSN mengembalikan dokumen permohonan kepada calon implementor untuk dilengkapi.
(4) Surat tanda register implementor SMPI sebagaimana dimaksud pada ayat (2) berlaku untuk jangka waktu 5 (lima) tahun.
(5) Implementor yang telah memperoleh surat tanda register implementor SMPI sebagaimana dimaksud pada ayat (2) dicantumkan dalam daftar implementor SMPI.
(6) Format surat tanda register implementor SMPI sebagaimana dimaksud pada ayat (2) tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Badan ini.
(1) Surat tanda register implementor SMPI sebagaimana dimaksud dalam Pasal 22 dinyatakan tidak berlaku apabila:
a. implementor SMPI meninggal dunia;
b. surat tanda register implementor SMPI habis masa berlaku; atau
c. implementor SMPI melanggar ketentuan peraturan perundang-undangan.
(2) Implementor yang surat tanda register implementor SMPI-nya tidak berlaku sebagaimana dimaksud pada ayat (1) dihapus dari daftar implementor SMPI.
Dalam hal surat tanda register implementor SMPI habis masa berlaku, implementor mengajukan permohonan kembali dengan menyampaikan dokumen sesuai dengan ketentuan dalam Pasal 21 ayat (2).
(1) Lembaga konsultan menugaskan tim implementor untuk membantu penerapan SMPI terhadap Penyelenggara Sistem Elektronik.
(2) Tim implementor sebagaimana dimaksud pada ayat (1) melaporkan hasil penerapan SMPI pada lembaga konsultan yang menugaskan.
Sertifikasi SMPI dilakukan oleh Lembaga Sertifikasi yang diakui oleh BSSN.
Ketentuan mengenai pengakuan Lembaga Sertifikasi sebagaimana dimaksud dalam Pasal 26 sesuai dengan ketentuan peraturan perundang-undangan.
(1) Sertifikat SMPI diterbitkan oleh Lembaga Sertifikasi.
(2) Sertifikat SMPI sebagaimana dimaksud pada ayat (1) berlaku paling lama 3 (tiga) tahun sejak tanggal diterbitkan.
(3) Sertifikat SMPI harus diperbaharui oleh Penyelenggara Sistem Elektronik paling lambat 3 (tiga) bulan sebelum masa berlakunya berakhir.
Sertifikasi SMPI harus dilakukan sesuai dengan proses Penyelenggaraan Sistem Elektronik dengan memperhatikan kategori Sistem Elektronik sebagaimana dimaksud dalam Pasal 6.
(1) Lembaga Sertifikasi menugaskan tim ArKI untuk melakukan audit SMPI terhadap Penyelenggara Sistem Elektronik.
(2) Tim ArKI sebagaimana dimaksud pada ayat
(1) melaporkan hasil audit pada Lembaga Sertifikasi yang menugaskan.
(3) Lembaga Sertifikasi mengkaji hasil audit yang dilaporkan oleh tim ArKI.
(4) Lembaga Sertifikasi menerbitkan Sertifikat SMPI bagi Penyelenggara Sistem Elektronik yang telah memenuhi standar sebagaimana dimaksud dalam Pasal 9.
(1) Lembaga Sertifikasi wajib menyampaikan laporan hasil sertifikasi SMPI secara periodik paling sedikit 2 (dua) kali dalam 1 (satu) tahun kepada Kepala BSSN.
(2) Laporan sebagaimana dimaksud pada ayat (1) paling sedikit memuat:
a. data Penyelenggara Sistem Elektronik yang mengajukan sertifikasi;
b. data Penyelenggara Sistem Elektronik yang mendapatkan Sertifikat SMPI;
c. data Penyelenggara Sistem Elektronik yang dicabut kepemilikan sertifikatnya;
d. ringkasan eksekutif yang memuat:
1) kondisi organisasi;
2) struktur organisasi;
3) temuan mayor dan temuan minor;
4) rekomendasi;
5) tindakan perbaikan; dan 6) tindak lanjut audit;
e. perubahan daftar tim ArKI; dan
f. perubahan daftar tim pengambil keputusan sertifikasi.
(3) Format laporan sebagaimana dimaksud pada ayat (2) tercantum dalam Lampiran yang merupakan bagian tidak terpisahkan dari Peraturan Badan ini.
Lembaga Sertifikasi wajib melaporkan perubahan tim ArKI dan tim pengambil keputusan sertifikasi kepada Kepala BSSN paling lambat 2 (dua) hari kerja sebelum tim ArKI melaksanakan audit Keamanan Informasi.
Lembaga Sertifikasi wajib melaksanakan audit pengawasan paling sedikit 1 (satu) kali dalam setahun dan audit khusus apabila terjadi insiden terhadap setiap Sistem Elektronik yang telah tersertifikasi.
(1) Jika hasil audit pengawasan sebagaimana dimaksud dalam Pasal 33 tidak memenuhi standar sebagaimana dimaksud dalam Pasal 9, diberikan waktu paling lama 90 (sembilan puluh) hari kalender untuk memenuhi standar tersebut.
(2) Jika setelah 90 (sembilan puluh) hari kalender belum terpenuhi, maka Lembaga Sertifikasi dapat mencabut Sertifikat SMPI terkait.
(3) Pencabutan sebagaimana dimaksud pada ayat (1) wajib dilaporkan oleh Lembaga Sertifikasi kepada BSSN paling lambat 2 (dua) hari kerja sejak dilakukan pencabutan.