Pada 2025, kelompok ransomware Funksec menembus sistem SCADA milik sebuah PERUMDA air minum di Indonesia. Selain mengenkripsi data dan menuntut tebusan, kelompok ini melelang akses ke sistem tersebut di forum bawah tanah, menurut pemantauan Vaksincom yang dimuat csirt.or.id pada 2 Desember 2025. Akses semacam itu mencakup kendali atas sistem yang mengatur pompa, katup, dan distribusi air.
Pertanyaan yang mengikuti kasus tersebut adalah apakah sistem SCADA operator air minum termasuk Infrastruktur Informasi Vital (IIV) yang dilindungi negara. Jawabannya belum tunggal, dan ketidakpastian itu sendiri membawa risiko.
Delapan Sektor, Satu Klausul Terbuka
Perpres No. 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital, ditetapkan 24 Mei 2022, menetapkan delapan sektor strategis: administrasi pemerintahan, energi dan sumber daya mineral, transportasi, keuangan, kesehatan, teknologi informasi dan komunikasi, pangan, dan pertahanan. Wakil Kepala BSSN Luki Hermawan menegaskan daftar ini dalam sosialisasi resmi September 2022, ditambah satu klausul terbuka: “sektor lain yang ditetapkan Presiden”.
Air minum tidak tercantum eksplisit dalam delapan sektor tersebut. Klausul terbuka itu memberi ruang penetapan di kemudian hari, tetapi sampai artikel ini ditulis, penetapan itu belum terjadi.
Perpres ini juga mewajibkan peraturan pelaksana terbit paling lama 18 bulan sejak diundangkan. Realitasnya, BSSN baru menerbitkan peta jalan pelindungan IIV sektoral pertamanya untuk sektor Administrasi Pemerintahan 2025-2029 lewat Peraturan BSSN No. 5 Tahun 2025. Dua regulasi turunan lain, Peraturan BSSN No. 7 dan No. 8 Tahun 2023, mengatur metodologi identifikasi dan kerangka kerja pelindungan IIV secara umum lintas sektor dan tidak memuat penetapan atau kewajiban teknis khusus untuk air. Air minum masih menunggu giliran peta jalan sektoralnya sendiri.
Dua Kewajiban yang Tidak Menunggu Kepastian IIV
Status IIV yang belum jelas bukan alasan untuk menunda, karena dua kewajiban lain sudah mengikat BUMDAM hari ini.
Pertama, sistem billing online, portal pelanggan, atau aplikasi mobile yang dioperasikan BUMDAM menjadikannya Penyelenggara Sistem Elektronik (PSE). Peraturan BSSN No. 8 Tahun 2020 mewajibkan setiap PSE menerapkan Sistem Manajemen Pengamanan Informasi (SMPI) dengan standar yang bergantung pada kategori sistem elektronik hasil penilaian mandiri: kategori strategis wajib SNI ISO/IEC 27001 beserta standar lain yang ditetapkan BSSN dan kementerian/lembaga; kategori tinggi wajib SNI ISO/IEC 27001 dan/atau standar keamanan lain yang ditetapkan BSSN; kategori rendah wajib SNI ISO/IEC 27001 atau standar keamanan lain yang ditetapkan BSSN (Pasal 9). Hasil penilaian mandiri wajib dilaporkan kepada BSSN untuk diverifikasi (Pasal 7 ayat (3)). BUMDAM yang belum pernah menilai sendiri masuk kategori mana, berarti belum memenuhi kewajiban paling dasar sekalipun.
Kedua, BUMDAM menyimpan data pelanggan: nama, alamat, riwayat konsumsi, data pembayaran. Itu menjadikannya Pengendali Data Pribadi di bawah UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi. Pasal 46 ayat (1) mewajibkan pemberitahuan tertulis paling lambat 3x24 jam kepada subjek data dan lembaga pengawas jika terjadi kegagalan pelindungan data. Sanksi administratif untuk pelanggaran dapat mencapai 2 persen dari pendapatan tahunan.
Kenapa Menunggu adalah Strategi Berbahaya
Riset independen yang diterbitkan Januari 2026 sudah mengidentifikasi absennya Computer Security Incident Response Team (CSIRT) sektoral sebagai salah satu temuan paling kritis dalam ekosistem digital BUMD air minum, dan mengusulkan pembentukan Water-CSIRT bersama asosiasi sektor sebagai langkah mitigasi.1 Belum ditemukan data publik yang memetakan berapa BUMDAM yang sudah memiliki kebijakan keamanan siber terdokumentasi atau tim tanggap insiden sendiri.
Tingkat paparan tidak seragam. BUMDAM besar dengan SCADA yang terhubung ke jaringan publik menanggung risiko jauh lebih tinggi dibanding BUMDAM kecil yang masih mengandalkan operasi manual. Kasus 2025 menunjukkan bahwa serangan tidak menunggu peta jalan sektoral selesai disusun.
Peta Kewajiban: Apa yang Berlaku Hari Ini
| Kewajiban | Dasar Hukum | Status Kepastian | Langkah Direksi |
|---|---|---|---|
| Penetapan sektor IIV | Perpres 82/2022 | Belum eksplisit untuk air minum | Pantau perkembangan, jangan jadikan alasan menunda |
| Kategorisasi PSE dan SMPI | Per-BSSN 8/2020 | Berlaku penuh sekarang | Lakukan penilaian mandiri kategori sistem, laporkan ke BSSN, terapkan standar sesuai kategori (SNI ISO/IEC 27001 wajib mutlak pada kategori strategis) |
| Pelindungan data pelanggan | UU PDP 27/2022 | Berlaku penuh sekarang | Siapkan prosedur notifikasi 3x24 jam, tunjuk penanggung jawab |
| Tanggap insiden siber | Belum ada mandat sektoral | Kekosongan aturan tanpa larangan | Bentuk kontak darurat internal sebelum kejadian |
Kesimpulan
Ketidakjelasan status IIV sektor air minum berada di ranah pembuat kebijakan, dan tidak menangguhkan kewajiban yang sudah berlaku. Langkah dengan dampak terbesar adalah menunjuk satu penanggung jawab internal untuk memetakan status Penyelenggara Sistem Elektronik perusahaan dan menyusun prosedur notifikasi kegagalan pelindungan data pribadi.
Catatan pembaruan (24 September 2026): kalimat yang semula menyatakan sebagian besar BUMDAM belum memiliki kebijakan keamanan siber terdokumentasi tidak memiliki sumber, dan diganti pernyataan bahwa data publiknya belum ditemukan. Koreksinya dicatat pada halaman Koreksi.
Penafian: Tulisan ini adalah pandangan pribadi penulis berdasarkan pengalaman praktis dan studi independen. Ia bukan pandangan institusional dan bukan nasihat hukum formal. Untuk keperluan kepatuhan resmi, selalu rujuk dokumen asli yang diterbitkan kementerian atau lembaga terkait. Koreksi dan catatan: fd@fdiskandar.com
Riset Mendalam Smart Meter PDAM: Analisis TCO, Risiko Cybersecurity, dan Kerangka GRC, fdiskandar.com, Januari 2026. ↩︎