Kepatuhan NIS2: panduan praktis

Menurut Paul Gillet · Diperbarui 2026-10-17

NIS2 adalah undang-undang keamanan siber utama Uni Eropa: Direktif (EU) 2022/2555. Sebagai direktif, NIS2 diterapkan melalui hukum nasional masing-masing negara anggota, yang seharusnya sudah berlaku paling lambat 17 Oktober 2024. Kewajiban intinya sama di seluruh wilayah, tetapi registrasi, pengawasan, sanksi, dan beberapa rincian bervariasi antarnegara, jadi selalu periksa hukum nasional tempat Anda beroperasi.

Apakah Anda termasuk cakupan?

NIS2 mencakup entitas di 18 sektor. Lampiran I mencantumkan sektor dengan tingkat kekritisan tinggi: energi, transportasi, perbankan, infrastruktur pasar keuangan, kesehatan, air minum, air limbah, infrastruktur digital, manajemen layanan ICT business-to-business, administrasi publik, dan antariksa. Lampiran II mencantumkan sektor kritis lainnya: layanan pos dan kurir, pengelolaan limbah, kimia, pangan, manufaktur (termasuk perangkat medis, elektronik, mesin, dan kendaraan), penyedia digital, dan riset.

Pada umumnya, entitas termasuk cakupan jika beroperasi di salah satu sektor tersebut di UE dan berukuran minimal menengah (50 karyawan atau lebih, atau omzet tahunan dan total aset di atas €10 juta). Sebagian entitas termasuk cakupan berapa pun ukurannya, misalnya penyedia layanan DNS, registri domain tingkat teratas, penyedia layanan kepercayaan, dan penyedia jaringan komunikasi elektronik publik. Entitas diklasifikasikan sebagai esensial atau penting; keduanya wajib memenuhi langkah-langkah yang sama, tetapi pengawasan dan denda maksimumnya berbeda.

Yang diwajibkan NIS2

• Tata kelola (Article 20): badan manajemen harus menyetujui langkah-langkah manajemen risiko, mengawasinya, dan mengikuti pelatihan keamanan siber. Mereka dapat dimintai pertanggungjawaban atas kegagalan.
• Langkah manajemen risiko (Article 21): pendekatan all-hazards yang mencakup (a) analisis risiko dan kebijakan keamanan; (b) penanganan insiden; (c) kelangsungan usaha, cadangan, pemulihan bencana, dan manajemen krisis; (d) keamanan rantai pasok; (e) keamanan dalam akuisisi, pengembangan, dan pemeliharaan, termasuk penanganan dan pengungkapan kerentanan; (f) penilaian efektivitas langkah-langkah ini; (g) kebersihan siber dasar dan pelatihan; (h) kriptografi dan enkripsi; (i) keamanan sumber daya manusia, kontrol akses, dan manajemen aset; serta (j) autentikasi multi-faktor atau berkelanjutan dan komunikasi yang aman.
• Pelaporan insiden (Article 23): untuk insiden signifikan, peringatan dini kepada CSIRT atau otoritas kompeten dalam 24 jam sejak mengetahui insiden, pemberitahuan insiden dalam 72 jam, dan laporan akhir dalam satu bulan.
• Registrasi: sebagian besar entitas wajib mendaftar ke otoritas nasional.

Peraturan Pelaksanaan

Untuk penyedia digital tertentu, Komisi merinci langkah-langkah Article 21 dalam Peraturan Pelaksanaan (EU) 2024/2690: penyedia layanan DNS, registri TLD, layanan komputasi awan dan pusat data, jaringan pengiriman konten, penyedia layanan terkelola dan layanan keamanan terkelola, pasar daring, mesin pencari, platform jejaring sosial, dan penyedia layanan kepercayaan. Lampirannya jauh lebih spesifik daripada Article 21 itu sendiri. Persyaratan NIS2 di ControlMapping adalah poin-poin dalam Lampiran tersebut, dengan judul dari ENISA serta pemetaan resmi ENISA ke ISO 27001 dan NIST CSF 2.0. Entitas lain mengikuti hukum nasional mereka, tetapi Lampiran dan panduan implementasi ENISA merupakan referensi yang baik bagi siapa pun.

Langkah-langkahnya

1. Pastikan cakupan dan klasifikasi berdasarkan hukum nasional setiap negara tempat Anda beroperasi, dan daftarkan diri jika diwajibkan.
2. Berikan pengarahan kepada badan manajemen: mereka harus menyetujui langkah-langkah dan menyelesaikan pelatihan, jadi mulailah dari sini.
3. Lakukan analisis kesenjangan terhadap Article 21, atau terhadap Lampiran Peraturan Pelaksanaan jika berlaku bagi Anda. Jika Anda memiliki ISO 27001, mulailah dari perbandingan ISO 27001 → NIS2.
4. Terapkan langkah yang belum ada, dengan keamanan rantai pasok dan penanganan kerentanan biasanya membutuhkan pekerjaan baru paling banyak.
5. Susun prosedur pelaporan: tentukan siapa yang menilai apakah suatu insiden signifikan, dan latih pemenuhan tenggat 24 jam dan 72 jam, termasuk di luar jam kerja.
6. Simpan bukti efektivitas (Article 21(2)(f)): audit, pengujian, dan metrik yang menunjukkan langkah-langkah tersebut berjalan efektif.

Apakah ISO 27001 membuat Anda patuh NIS2?

Tidak dengan sendirinya, tetapi ISO 27001 membantu Anda mencapai sebagian besar kebutuhan. Pemetaan ENISA menghubungkan setiap poin Peraturan Pelaksanaan dengan klausul ISO 27001 atau kontrol Lampiran A, sehingga organisasi yang bersertifikat ISO sudah memiliki sebagian besar langkah teknis dan organisasi. Yang tidak diberikan ISO: tenggat pelaporan, pelatihan dan tanggung jawab manajemen, registrasi, dan persyaratan teknis spesifik yang beberapa poin Lampiran uraikan lebih rinci daripada Lampiran A. Otoritas nasional Anda, bukan badan sertifikasi, yang memutuskan apakah Anda patuh.

Pengawasan dan sanksi

Otoritas nasional mengawasi entitas esensial secara proaktif (audit, inspeksi, pemindaian keamanan) dan entitas penting setelah kejadian, biasanya setelah insiden atau pengaduan. Denda maksimum adalah minimal €10 juta atau 2% dari omzet tahunan global untuk entitas esensial, dan €7 juta atau 1.4% untuk entitas penting, mana yang lebih tinggi.

Bagaimana situs ini membantu

Setiap poin persyaratan NIS2 di sini terhubung ke ISO 27001 dan NIST CSF 2.0 melalui pemetaan ENISA, dan dari sana ke kerangka kerja lainnya. Tabel di bawah menunjukkan seberapa besar cakupan NIS2 dari setiap kerangka kerja yang sudah Anda miliki.

Sudah memiliki kerangka kerja lain?

Berapa banyak persyaratan NIS2 yang terpetakan dari setiap kerangka kerja yang mungkin sudah Anda patuhi. Buka laporan kesenjangan untuk daftar per persyaratan.

Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · Terkait secara longgar hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Jumlah berasal dari data yang sama dengan analisis celah; pemetaan berarti persyaratan yang terkait, bukan bukti bahwa satu persyaratan memenuhi yang lain.

Pertanyaan

Kapan NIS2 mulai berlaku?

Negara anggota harus menerapkan hukum NIS2 nasional mereka mulai 18 Oktober 2024. Beberapa negara terlambat, jadi periksa status di wilayah tempat Anda beroperasi.

Apa saja tenggat pelaporan insiden NIS2?

Peringatan dini dalam 24 jam sejak mengetahui insiden signifikan, pemberitahuan insiden dalam 72 jam, dan laporan akhir dalam satu bulan.

Apakah NIS2 berlaku untuk perusahaan di luar UE?

Bisa. Beberapa penyedia digital yang menawarkan layanan di UE tanpa kehadiran fisik di sana wajib menunjuk perwakilan di salah satu negara anggota.

Bukan saran hukum atau kepatuhan. Periksa teks resmi dan auditor, asesor, atau regulator Anda sebelum mengandalkannya.