NIS2 dan ISO 27001: Bagaimana sertifikasi ISO 27001 membantu organisasi memenuhi persyaratan keamanan siber NIS2

Meskipun NIS2 merupakan direktif Uni Eropa, dampak praktisnya melampaui batas-batas Uni Eropa. Produsen, penyedia teknologi, perusahaan logistik, dan penyedia layanan yang menjadi bagian dari rantai nilai Eropa semakin dihadapkan pada ekspektasi keamanan siber dan persyaratan bukti tertentu dari pelanggan mereka. Sertifikasi ISO 27001 menjadi indikator utama dalam konteks ini: sertifikasi ini menunjukkan bahwa suatu organisasi mengelola risiko keamanan informasi secara sistematis dan sesuai dengan standar yang diakui secara internasional.

Bagi banyak organisasi, hal ini memunculkan pertanyaan strategis:

Jika kami ingin berpartisipasi secara andal dalam rantai pasokan Eropa, apakah sertifikasi ISO 27001 menjadi persyaratan masuk?

ISO 27001 sebagai pintu gerbang ke rantai pasokan Eropa

Dari semakin banyaknya tender dan penilaian pemasok, gambaran yang jelas mulai terlihat:

• ISO 27001 memberikan landasan yang diakui dan dapat diaudit untuk banyak harapan terkait keamanan siber dan tata kelola yang muncul sebagai dampak dari NIS2.
• Untuk mengakses hubungan pelanggan yang menuntut dan rantai pasokan kritis, sertifikasi semakin dipandang sebagai ekspektasi minimum, bukan lagi sebagai pembeda.
• Organisasi dengan ISMS yang matang dan bersertifikat berada dalam posisi yang lebih baik untuk menanggapi kuesioner, audit, dan kegiatan uji tuntas yang didorong oleh NIS2 di sepanjang rantai pasokan.

Dalam hal ini, sertifikasi ISO 27001 menjadi pintu masuk yang efektif ke rantai pasokan Eropa – bukan karena sertifikasi ini sendiri memenuhi semua kewajiban NIS2, tetapi karena sertifikasi ini menyediakan kerangka kerja yang terstruktur dan dapat diverifikasi yang kini diharapkan oleh banyak pelanggan Eropa sebagai persyaratan minimum.

Biaya gangguan siber yang terus meningkat

Saat ini, insiden siber jarang terjadi secara terisolasi — insiden tersebut menyebar ke seluruh rantai pasokan, menghentikan operasi, dan membuat organisasi terpapar pengawasan regulasi lama setelah pelanggaran awal terjadi.

Di berbagai sektor, mulai dari manufaktur, perawatan kesehatan, transportasi, hingga infrastruktur kritis, organisasi telah menghadapi penghentian operasional yang berlangsung selama berhari-hari atau bahkan berminggu-minggu: jalur produksi terhenti, jaringan logistik macet, dan layanan pelanggan tidak dapat diakses.

Yang membuat banyak insiden ini sangat mengkhawatirkan adalah bahwa insiden tersebut tidak selalu bermula dari serangan yang sangat canggih. Dalam banyak kasus, penyerang memanfaatkan kelemahan dalam ekosistem pemasok, sistem yang belum diperbarui, pemantauan yang tidak memadai, atau respons insiden yang terlambat.

Bagi para pemimpin bisnis, satu pelajaran telah menjadi jelas:"
" pertanyaan kuncinya bukan lagi apakah suatu organisasi dapat mencegah setiap insiden siber, tetapi apakah organisasi tersebut dapat terus beroperasi ketika insiden tersebut terjadi.

Pergeseran pemikiran ini menjadi inti dari NIS2.

Mengapa NIS2 penting bagi dewan direksi

• Keamanan siber telah menjadi isu di ruang dewan direksi, bukan sekadar urusan TI: badan manajemen harus menyetujui dan mengawasi langkah-langkah manajemen risiko keamanan siber.
• Undang-undang nasional yang menerapkan NIS2 dapat menjatuhkan denda setingkat GDPR – hingga 10 juta euro atau 2% dari omset tahunan global untuk entitas esensial, dan hingga 7 juta euro atau 1,4% untuk entitas penting.
• Anggota badan manajemen dapat dimintai pertanggungjawaban atas pengawasan yang tidak memadai terhadap manajemen risiko keamanan siber, sesuai dengan aturan pertanggungjawaban nasional.

NIS2 sangat menekankan pada tata kelola, akuntabilitas, dan ketahanan organisasi. Organisasi yang termasuk dalam cakupan Direktif ini harus menunjukkan, antara lain:

• Keterlibatan aktif manajemen senior dalam penerapan dan pemantauan langkah-langkah keamanan siber,
• Proses pelaporan yang efektif untuk insiden keamanan yang signifikan,
• Pengelolaan risiko keamanan siber yang terstruktur,
• Pengendalian keamanan yang efektif dalam rantai pasokan,
• Pengaturan kelangsungan bisnis 

Di mana ISO 27001 memberikan landasan yang kokoh

Organisasi bersertifikasi ISO 27001 telah memiliki kerangka kerja terstruktur untuk manajemen risiko, tata kelola, dan penanganan insiden – yang semuanya merupakan elemen yang mendukung persyaratan NIS2.

Pada intinya, ISO 27001 didasarkan pada pemilihan langkah-langkah pengendalian berbasis risiko yang berkaitan dengan proses bisnis organisasi, tanggung jawab dan kebijakan tata kelola yang jelas, serta perbaikan berkelanjutan (siklus PDCA). Prinsip-prinsip ini dapat langsung diterapkan pada langkah-langkah organisasi dan teknis yang ditetapkan dalam peraturan NIS2.

Organisasi dengan sistem manajemen keamanan informasi (ISMS) yang matang biasanya sudah memiliki hal-hal berikut:

• Struktur tata kelola untuk keamanan informasi
• Proses yang efektif untuk penilaian risiko dan penanganan risiko
• Kebijakan keamanan yang terdokumentasi dan tanggung jawab yang didefinisikan dengan jelas
• Prosedur untuk pengelolaan insiden
• Siklus audit internal dan tinjauan manajemen
• Tindakan pengelolaan rantai pasokan
• Rencana pemulihan bencana dan kelangsungan bisnis

Unsur-unsur ini membentuk landasan yang kokoh untuk menerapkan langkah-langkah manajemen risiko utama NIS2.

Ketika ISO 27001 Saja Mungkin Tidak Cukup

ISO/IEC 27001:2022 adalah standar internasional, bukan undang-undang. Sertifikasi ISO 27001 tidak menjamin kepatuhan terhadap NIS2. Tiga bidang – keamanan rantai pasokan, akuntabilitas manajemen, dan kewajiban hukum untuk melaporkan insiden keamanan – umumnya memerlukan langkah-langkah dan bukti yang melampaui apa yang dapat ditunjukkan oleh sertifikat ISO 27001 saja.

ISO 27001 adalah standar internasional sukarela, sedangkan NIS2 adalah undang-undang Eropa yang mengikat. Oleh karena itu, sertifikasi tidak secara otomatis menggantikan kepatuhan terhadap semua kewajiban NIS2, terutama terkait keamanan rantai pasokan, kewajiban pelaporan, dan akuntabilitas manajemen.

Pasal 21(2) NIS2 mendefinisikan sepuluh kategori langkah-langkah manajemen risiko keamanan siber yang secara hukum wajib diterapkan oleh organisasi yang terkena dampak. Isi standar ISO/IEC 27001:2022 dan pengendalian yang tercantum dalam Lampiran A dapat dipetakan ke sebagian besar kategori ini – meskipun tidak sesuai satu per satu sebagai persyaratan hukum:

Keamanan Rantai Pasokan

Petunjuk NIS2 mewajibkan organisasi untuk menilai dan mengelola risiko keamanan siber di seluruh rantai pasokannya – bukan hanya di dalam batas-batas perusahaannya sendiri.

Insiden keamanan siber baru-baru ini telah berulang kali menunjukkan bahwa penyerang memanfaatkan rantai pasokan untuk mendapatkan akses tidak sah ke jaringan pelanggan yang lebih besar. Bagaimanapun, prinsip efisiensi – ‘mencapai jangkauan maksimum dengan upaya minimum!’ – juga berlaku di sini.

Akibatnya, Pasal 21(2)(d) NIS2 mewajibkan keamanan rantai pasokan, yang sejalan dengan persyaratan 5.19–5.23 Lampiran A ISO 27001:

• Keamanan informasi dalam hubungan dengan pemasok
• Menangani keamanan informasi dalam perjanjian pemasok
• Pengelolaan keamanan informasi dalam rantai pasokan TIK
• Pemantauan, audit, dan pengelolaan perubahan layanan pemasok
• Keamanan informasi dalam penggunaan layanan awan

Tanggung Jawab Eksekutif

Berdasarkan NIS2, keamanan siber tidak lagi dianggap sebagai masalah teknis semata yang dapat didelegasikan kepada departemen TI.

Direktif tersebut menetapkan bahwa badan manajemen organisasi harus bertanggung jawab atas persetujuan, pemantauan, dan peninjauan berkala terhadap pelaksanaan langkah-langkah manajemen risiko keamanan siber. Dalam praktiknya, manajemen senior diharapkan untuk:

• Memahami risiko siber dan secara aktif terlibat dalam mengatasinya,
• Berpartisipasi dalam kegiatan tata kelola dan proses pengambilan keputusan yang berkaitan dengan keamanan siber,
• Menyediakan sumber daya yang memadai untuk langkah-langkah ketahanan, dan
• Memantau kesiapan tanggap insiden dan kewajiban pelaporan.

Tergantung pada implementasi NIS2 di tingkat nasional serta peraturan perusahaan dan pertanggungjawaban yang relevan, anggota badan manajemen juga dapat menghadapi konsekuensi pribadi jika mereka gagal memenuhi tugas keamanan siber mereka secara memadai. Dengan demikian, tata kelola keamanan siber menjadi tanggung jawab manajemen yang utama – dengan potensi implikasi regulasi dan keuangan jika pengawasan yang memadai tidak dapat ditunjukkan secara meyakinkan.

Pelaporan Insiden

NIS2 memperkenalkan batas waktu yang mengikat secara hukum: organisasi harus menyerahkan pemberitahuan peringatan dini awal kepada otoritas yang berwenang dalam waktu 24 jam setelah mengetahui adanya insiden signifikan, diikuti dengan laporan yang lebih rinci dalam waktu 72 jam, serta laporan akhir pada tahap selanjutnya sebagaimana ditetapkan dalam undang-undang.

Saat ini, banyak organisasi yang belum memiliki proses yang terdokumentasi, tanggung jawab yang ditetapkan dengan jelas, dan prosedur yang telah diuji yang diperlukan untuk memenuhi batas waktu ini secara andal. Kerangka kerja manajemen insiden yang ada dalam ISMS sering kali memerlukan penyesuaian yang ditargetkan untuk mencerminkan batas waktu regulasi dan kewajiban pelaporan eksternal yang diperkenalkan oleh NIS2.

Dalam praktiknya, hal ini biasanya berarti menutup tiga celah spesifik. Pertama, mendefinisikan dan mendokumentasikan pemicu yang jelas mengenai kapan “menyadari” adanya insiden signifikan memicu dimulainya hitungan waktu 24 jam – sebagian besar prosedur ISMS berfokus pada klasifikasi tingkat keparahan internal daripada tenggat waktu regulasi. Kedua, menunjuk peran spesifik yang bertanggung jawab atas pemberitahuan peringatan dini dan koordinasi langsung dengan CSIRT nasional atau otoritas yang berwenang, terpisah dari peran yang memimpin tanggapan internal. Ketiga, membuat jejak bukti yang dapat diaudit – termasuk log bertanda waktu, salinan pemberitahuan, dan alasan di balik penilaian tingkat keparahan awal – yang dapat ditunjukkan jika otoritas pengawas kemudian meninjau bagaimana batas waktu 24 dan 72 jam berdasarkan NIS2 dipenuhi.

Ketahanan Operasional

Regulator dan pelanggan semakin mengharapkan bukti bahwa langkah-langkah ketahanan telah diuji — bukan hanya didokumentasikan di atas kertas.

Oleh karena itu, organisasi diharapkan dapat menunjukkan bahwa mereka dapat mempertahankan atau dengan cepat memulihkan operasi kritis selama peristiwa yang mengganggu, bukan sekadar menyajikan rencana tertulis. Hal ini biasanya mencakup:

• Perencanaan kelangsungan bisnis dan pengujian rutin
• Latihan pemulihan bencana untuk sistem dan data kritis
• Simulasi tanggapan insiden yang realistis
• Prosedur manajemen krisis yang telah ditetapkan dan dilatih

Secara keseluruhan, unsur-unsur ini menunjukkan apakah ketahanan benar-benar tertanam dalam operasi sehari-hari.

Pertanyaan Baru yang Diajukan Pelanggan dan Mitra

Sertifikasi ISO 27001 semakin menjadi prasyarat dalam diskusi dengan pemasok. Pelanggan di Eropa tidak hanya mengharapkan sertifikat ISO 27001, tetapi juga bukti ketahanan yang teruji.

Perusahaan dalam rantai pasokan harus menjawab pertanyaan-pertanyaan berikut:

• Seberapa cepat Anda dapat pulih dari insiden siber yang serius?
• Bagaimana pemasok kritis dan pihak ketiga dievaluasi terkait risiko keamanan?
• Peran apa yang dimainkan oleh manajemen senior dalam tata kelola keamanan siber?
• Seberapa sering rencana tanggap insiden dan kelangsungan bisnis diuji?
• Langkah-langkah apa saja yang telah diterapkan untuk memastikan kelangsungan bisnis selama terjadinya gangguan?

Perusahaan yang dapat menunjukkan sertifikasi dan ketahanan operasional yang teruji akan menonjol di pasar yang sangat kompetitif.

Hal-hal yang Harus Dipertimbangkan oleh Tim Manajemen

Pendekatan paling efektif adalah menggunakan Sistem Manajemen Keamanan Informasi (ISMS) ISO 27001 yang sudah ada sebagai landasan untuk kepatuhan NIS2 yang lebih luas — kemudian mengidentifikasi dan menutup celah-celah spesifik yang tidak ditangani oleh sertifikasi saja.

Organisasi tidak perlu memilih antara kepatuhan ISO 27001 dan NIS2. Dalam kebanyakan kasus, ISO 27001 menyediakan platform sistem manajemen; NIS2 dan undang-undang pelaksanaannya di tingkat nasional menaikkan standar di bidang-bidang tertentu. Kuncinya adalah memahami di mana praktik saat ini sudah selaras dengan persyaratan hukum tersebut — dan di mana perbaikan yang ditargetkan masih diperlukan.

Pertanyaan-pertanyaan yang berguna untuk dipertimbangkan oleh tim manajemen:

• Apakah program keamanan siber kami menangani risiko di seluruh ekosistem pemasok kami dengan memadai?
• Apakah para pemimpin eksekutif terlibat secara aktif dalam tata kelola keamanan siber — bukan hanya diberi tahu setelah kejadian?
• Dapatkah kami menunjukkan ketahanan operasional di luar prosedur yang terdokumentasi saja?
• Apakah proses tanggap insiden dan pemulihan secara rutin diuji berdasarkan skenario yang realistis?
• Apakah kami memiliki proses yang terdokumentasi yang memenuhi batas waktu pelaporan 24 dan 72 jam sesuai NIS2?
• Apakah pelanggan dan mitra bisnis kami mengharapkan lebih dari sekadar sertifikasi sebagai bukti ketahanan?

Poin-Poin Utama

1. ISO/IEC 27001:2022 mendukung sebagian besar dari sepuluh langkah manajemen risiko yang ditetapkan dalam Pasal 21(2) NIS2 – meskipun sejauh mana hal ini berlaku bergantung pada tingkat kematangan dan cakupan ISMS yang ada.
2. Area fokus umum dalam ISMS bersertifikat terutama meliputi: risiko rantai pasokan yang melampaui mitra yang dikontrak secara langsung; alur kerja pelaporan insiden 24 jam/72 jam yang terdokumentasi dengan pemicu yang jelas
3. Penugasan tanggung jawab yang jelas terkait penerimaan risiko di tingkat manajemen senior
4. Pengaturan darurat dan kelangsungan bisnis yang diuji secara berkala, bukan sekadar dijelaskan.
5. ISO 27001 menetapkan tanggung jawab atas risiko kepada manajemen puncak (termasuk dalam klausul 6.1.3(f)), tetapi tidak menetapkan pertanggungjawaban pribadi secara tersendiri – hal ini hanya timbul dari NIS2 dan implementasi nasional yang relevan (misalnya terkait badan pengelola dan tugas pengawasan).
6. Pelanggan dan tim pengadaan menganggap sertifikasi ISO 27001 sebagai prasyarat untuk penilaian pemasok.