Respons insiden dan pelaporan OJK untuk BPR: kewajiban dan persiapan

Ketika insiden keamanan TI terjadi di sebuah BPR, dua hitungan mundur berjalan bersamaan. Yang pertama adalah hitungan teknis: berapa lama penyerang atau kegagalan sistem sudah berdampak, seberapa jauh ia sudah menyebar, dan apa yang perlu dilakukan untuk menghentikannya. Yang kedua adalah hitungan regulasi: kapan OJK perlu diberitahu, informasi apa yang harus ada dalam laporan, dan siapa yang bertanggung jawab menyiapkannya.

Bagi banyak BPR, hitungan teknis sudah cukup menekan. Hitungan regulasi yang berjalan di sampingnya sering kali tidak punya landasan prosedur yang jelas. Akibatnya, ketika insiden berlangsung, tim teknis berusaha keras menahan dampak sementara tidak ada yang mengurus kewajiban pelaporan, atau sebaliknya, seseorang mencoba menyusun laporan tanpa data teknis yang memadai karena investigasi belum selesai.

POJK 34/2025 menegaskan bahwa pelaporan insiden TI kepada OJK adalah kewajiban, bukan pilihan. Kewajiban itu berlaku mulai 18 Desember 2026, tetapi persiapan prosedural yang memadai tidak bisa ditunda sampai insiden pertama terjadi. Halaman ini menjelaskan apa yang diharapkan regulasi, mengapa kedua proses harus berjalan seiring, dan bagaimana BPR dapat mempersiapkan diri sebelum menghadapinya. Untuk gambaran penuh tentang kewajiban POJK 34/2025 secara keseluruhan, lihat halaman kepatuhan POJK 34/2025 kami.

Kewajiban pelaporan insiden dalam POJK 34/2025

POJK 34/2025 mengharuskan BPR dan BPRS untuk melaporkan insiden TI kepada OJK. Ketentuan ini menempatkan pelaporan bukan sebagai langkah opsional setelah krisis mereda, melainkan sebagai kewajiban yang berjalan seiring dengan penanganan teknis. Regulasi juga mewajibkan bank memiliki rencana yang dapat diandalkan, karena melaporkan insiden tanpa dokumentasi yang terorganisir akan menghadapi tantangan tersendiri.

Apa yang terjadi dalam sebuah insiden TI di BPR

Insiden TI di BPR tidak selalu berawal dari serangan siber yang dramatis. Sebagian besar insiden yang akhirnya wajib dilaporkan berawal dari situasi yang tampak lebih biasa: sistem inti tiba-tiba tidak dapat diakses, transaksi mulai gagal secara massal, atau tim IT menemukan akun dengan aktivitas yang tidak dikenali. Dari titik itu, pertanyaan pertama bukanlah "apa yang terjadi" tetapi "seberapa besar ini, dan apa yang harus dilakukan sekarang."

Insiden yang umumnya masuk dalam kategori pelaporan kepada OJK mencakup gangguan sistem yang berdampak pada layanan nasabah, pelanggaran keamanan yang mengekspos data, serangan siber yang mengacaukan operasional, dan kegagalan infrastruktur yang melampaui ambang dampak. Namun klasifikasi itu tidak selalu langsung jelas di tengah-tengah insiden, dan keputusan apakah sebuah insiden wajib dilaporkan perlu dibuat dalam tekanan waktu berdasarkan bukti yang mungkin belum lengkap.

Itulah mengapa prosedur yang disiapkan sebelum insiden sangat berbeda hasilnya dibandingkan prosedur yang disusun saat insiden sedang berlangsung.

Dua proses yang harus berjalan bersamaan

Yang membuat insiden TI di lingkungan terregulasi berbeda dari kegagalan sistem biasa adalah keharusan menjalankan dua proses sekaligus: respons teknis dan pelaporan regulasi. Keduanya memerlukan informasi yang sama, tetapi mengolah informasi itu dengan cara yang berbeda untuk audiens yang berbeda.

Respons teknis bergerak cepat: tahan penyebaran, amankan bukti, identifikasi titik masuk, kembalikan layanan. Pelaporan regulasi bergerak terstruktur: dokumentasikan kronologi, nilai dampak, jelaskan akar masalah, dan sampaikan langkah pemulihan kepada OJK dalam format yang dapat diverifikasi. Keduanya perlu bergerak dalam rentang waktu yang sama, dan keduanya perlu didukung oleh orang yang berbeda dengan peran yang sudah jelas sebelum insiden terjadi.

Kunci dari diagram ini adalah garis putus-putus horizontal: keduanya berbagi informasi. Laporan regulasi tidak bisa disusun tanpa data dari investigasi teknis, dan tim teknis yang tidak sadar ada kewajiban pelaporan regulasi akan menyelesaikan tugasnya tanpa meninggalkan rekam jejak yang cukup untuk laporan OJK. Dua proses ini harus direncanakan bersama sejak awal.

Mengapa persiapan sebelum insiden menentukan segalanya

Rencana respons insiden yang baik bukan dokumen yang dibuat untuk memenuhi persyaratan audit lalu disimpan di lemari. Itu adalah serangkaian jawaban yang sudah dipikirkan sebelumnya untuk pertanyaan yang akan muncul saat insiden berlangsung: Siapa yang dihubungi pertama kali? Siapa yang berwenang memutuskan layanan mana yang dimatikan? Siapa yang bertugas berkomunikasi dengan OJK? Informasi apa yang perlu dikumpulkan dan dalam format apa?

Pertanyaan-pertanyaan itu tidak sulit dijawab dalam kondisi normal. Saat insiden sedang berlangsung, dengan layanan terdampak dan manajemen menelepon untuk pembaruan, setiap menit yang dihabiskan untuk mencari tahu siapa bertanggung jawab atas apa adalah menit yang tidak digunakan untuk menahan penyebaran atau menyiapkan laporan OJK.

BPR yang memiliki rencana tertulis, sudah pernah menyimulasikannya setidaknya sekali, dan memiliki kontak eksternal yang bisa dihubungi saat insiden terjadi akan bergerak jauh lebih cepat dan tertib daripada yang tidak. Perbedaan itu terlihat langsung pada kecepatan pemulihan layanan dan kualitas laporan yang disampaikan kepada OJK.

Bagaimana Alpha Code mendampingi BPR

Pendampingan kami bekerja pada dua level: persiapan sebelum insiden dan dukungan aktif saat insiden berlangsung.

Untuk persiapan, kami membantu BPR menyusun rencana respons insiden yang mencakup prosedur pelaporan OJK. Rencana ini disesuaikan dengan ukuran dan profil risiko bank, tidak mereplikasi dokumen tebal yang tidak akan pernah dibaca. Kami juga membantu bank memetakan skenario insiden yang paling mungkin berdasarkan sistem yang digunakannya, menentukan threshold apa yang memicu kewajiban pelaporan, dan membangun jalur eskalasi internal yang jelas.

Untuk dukungan aktif, layanan respons insiden kami dapat dipanggil saat insiden sedang berlangsung. Tim kami membantu menahan dan menginvestigasi insiden secara teknis sambil secara bersamaan mendampingi pihak yang bertanggung jawab menyiapkan komunikasi kepada OJK. Kami juga menyediakan dokumentasi forensik yang dapat menjadi dasar laporan regulasi, bukan hanya catatan teknis internal.

Bagi BPR yang belum memiliki tim keamanan internal yang memadai, layanan SOC terkelola kami memberikan pemantauan berkelanjutan yang dapat mendeteksi insiden lebih awal, sebelum skala dampaknya berkembang menjadi situasi yang jauh lebih sulit ditangani.

Yang didapat BPR dari kesiapan ini

Kemampuan kami

Langkah berikutnya

Persiapan respons insiden paling efektif dilakukan sebelum ada tekanan. Menyusun rencana, menentukan siapa yang bertanggung jawab atas apa, dan memastikan jalur pelaporan OJK sudah terdefinisi adalah pekerjaan yang lebih mudah dilakukan dalam kondisi normal daripada saat insiden sedang berlangsung.

Jika BPR atau BPRS Anda belum memiliki rencana respons insiden yang terdokumentasi, atau rencana yang ada belum mencakup prosedur pelaporan kepada OJK, tim kami siap membantu menilai kesiapan saat ini dan menyusun langkah yang terukur sebelum tenggat POJK 34/2025 tiba.