Vendor Alat Kini Wajib Lapor Celah dalam 24 Jam

Vendor Alat Kini Wajib Lapor Celah dalam 24 Jam

Mulai 11 September 2026, siapa pun yang menjual software atau perangkat terkoneksi ke pasar Uni Eropa wajib melapor dalam 24 jam begitu tahu ada celah keamanan produknya yang sudah dipakai menyerang. Aturan ini mengikat pabrikannya, di mana pun kantornya berdiri. Anda mungkin tidak pernah jualan ke Eropa. Tapi vendor kamera, controller pintu, dan router Anda jualan ke sana.

Apa yang berubah pada 11 September?

Pasal 14 Cyber Resilience Act — undang-undang keamanan produk digital Uni Eropa — mulai mengikat, dan portal pelaporannya dibuka di hari yang sama. Komisi Eropa menyebutnya Single Reporting Platform, aktif sejak 11 September 2026. Pabrikan mengisi satu form; portalnya yang meneruskan ke ENISA (badan keamanan siber Uni Eropa) dan ke tim tanggap insiden negara tempat perusahaan itu bernaung.

Ada dua hal yang menyalakan jamnya: celah yang sudah aktif dipakai menyerang, dan insiden berat yang memukul keamanan produk. Dua-duanya masuk hitungan tiga tahap.

Tiga detail menentukan apakah ini menyentuh gedung Anda. Pertama, yang dikejar pasarnya, bukan alamat kantornya — pabrikan tanpa kantor di Eropa pun tetap kena. Kedua, produk yang sudah lama terjual ikut terhitung; kamera yang dipasang di rak Anda tahun 2022 masuk hitungan selama modelnya masih dijual di sana. Ketiga, kewajiban lapor jalan terus walau masa dukungan produknya sudah habis. Vendor yang sudah lama berhenti merilis firmware untuk satu model tetap harus melapor kalau celah di model itu dipakai menyerang.

Sisa aturannya — desain aman sejak awal, uji kesesuaian, penandaan CE — baru berlaku 11 Desember 2027. Undang-undangnya sendiri berlaku sejak 10 Desember 2024. Bagian pelaporan sengaja dimajukan supaya salurannya sudah hidup sebelum kewajiban beratnya datang.

Dendanya tidak main-main. Melanggar Pasal 13 atau 14 diancam denda administratif sampai EUR 15.000.000 atau 2,5% omzet global setahun, mana yang lebih besar. Itu lapis denda tertinggi di aturan ini.

Kenapa ini penting kalau Anda tidak pernah jualan ke Eropa?

Karena Anda beli dari orang yang jualan ke sana. Ada tiga efek yang sampai ke Jakarta tanpa satu pun laporan dikirim dari sini.

Kabar buruk soal alat Anda datang lebih cepat. Vendor yang dulu bisa mendiamkan celah selama satu kuartal sekarang punya jam yang mengikat secara hukum. Siap-siap: advisory lebih sering, lebih cepat, lengkap dengan tanggal. Bagus buat yang bertahan, bagus juga buat penyerang. Justru itu alasannya kenapa versi firmware di lapangan harus sudah Anda pegang sebelum advisory terbit — bukan sesudahnya.

Masa dukungan berubah jadi angka tertulis. Aturan ini mewajibkan pabrikan menangani celah minimal lima tahun, dan mencantumkan tanggal berakhirnya — minimal bulan dan tahun — saat produk dibeli. Dokumen itu toh sudah mereka siapkan untuk pasar Eropa. Minta di Indonesia, kebanyakan akan menyerahkannya, karena filenya memang sudah ada.

Vendor yang diam jadi ketahuan sendiri. Pabrikan tanpa badan hukum di Eropa, tanpa kebijakan pelaporan celah, tanpa kontak keamanan — dulu itu risiko yang cuma bisa dirasakan. Sekarang kelihatan dari luar: tanya siapa yang mengirim laporan mereka, vendor yang patuh menjawab dalam satu kalimat.

Indonesia belum punya padanannya untuk pabrikan produk. Kewajiban lokal yang paling dekat ada di Pasal 46 UU 27/2022 tentang Pelindungan Data Pribadi: pengendali data wajib memberi tahu pemilik data dan lembaga pengawas paling lambat 3x24 jam setelah data bocor. Objeknya beda jauh. Yang satu mengejar data pribadi yang bocor dari operator, yang satu lagi mengejar celah yang dikirim pabrikan lewat produknya. Kalau kewajiban Anda di UU PDP masih abu-abu, mulai dari perubahan sanksi PDP 2026.

Apa yang harus masuk ke purchase order berikutnya?

Sehari sebelum aturannya hidup, 10 September 2026, Genetec menerbitkan lima pertanyaan yang sebaiknya diajukan pembeli sistem keamanan terkoneksi ke pemasoknya. Lima-limanya gampang diterjemahkan ke bahasa pengadaan proyek di sini.

• Tanggal berakhirnya masa dukungan, hitam di atas putih. Bulan dan tahun, per model, tercantum di penawaran — bukan "didukung sampai pemberitahuan lebih lanjut".
• Kebijakan pelaporan celah dan satu kontak keamanan. Alamat yang sampai ke manusia, terpampang di situs vendornya.
• Daftar bahan software di dalam firmware. Namanya SBOM: semacam label komposisi yang mencantumkan setiap library open-source di dalam produk. Cara membuatnya dan cara menjadikannya syarat lolos sudah kami bahas di artikel SBOM. File yang sama yang nanti menjawab "kita kena atau tidak?" dalam hitungan menit, bukan hari.
• Cara update firmware dikirim dan ditandatangani. Kalau updatenya berupa ZIP dari tautan Google Drive, jalur updatenya itu sendiri sudah jadi celah.
• Rencana pensiun produknya. Tanggal model itu berhenti dapat perbaikan, dan penggantinya apa menurut vendor.

Tambahkan satu yang tidak ada di daftar Genetec: tanya siapa yang mengirim laporan mereka ke Uni Eropa. Pabrikan yang memang kena aturan akan menyebut nama authorised representative — perwakilan resmi berbadan hukum Eropa yang mewakili mereka. Yang bengong berarti tidak kena aturan atau belum siap, dan dua-duanya lebih enak diketahui sebelum Anda menstandarkan seratus unit di platform mereka.

Disiplinnya sama persis dengan mengunci soal lisensi sebelum serah terima. Dokumen vendor yang tidak Anda minta di tahap penawaran adalah dokumen yang tidak akan pernah Anda dapat setelah purchase order terbit — pola yang sama yang bikin SDK hardware datang tanpa teks lisensi sama sekali.

Jangan-jangan Anda pabrikan tanpa sadar?

Bisa jadi. Aturannya menyangkut siapa pun yang mengedarkan produk di pasar Uni Eropa dalam rangka kegiatan komersial. Istilah "produk dengan elemen digital" mencakup software, bukan cuma hardware — termasuk layanan pemrosesan jarak jauh milik vendor sendiri yang tanpa itu produknya tidak jalan.

Tes praktisnya buat software house atau integrator hardware di Indonesia: apakah Anda mengirim atau melisensikan sebuah produk — bukan jasa proyek sekali jadi — ke pelanggan di Eropa? Kalau iya, anggap kena dan periksa serius. Dibuat khusus untuk satu klien tidak otomatis membebaskan; yang menentukan itu dijual dalam rangka bisnis. Bawa pertanyaan ini ke pengacara, bukan ke artikel blog — termasuk artikel ini.

Teknis pelaksanaannya, kalau ternyata kena: tunjuk authorised representative di salah satu negara anggota, daftar di Single Reporting Platform, lalu tetapkan satu nama yang bertanggung jawab atas jam 24 itu. Dua puluh empat jam itu satu hari kerja plus satu malam. Tidak ada yang bisa mengarang-ngarang prosedur jam dua pagi.

Apa yang terjadi saat vendor benar-benar melapor?

Garis waktu publiknya memendek, dan jendela waktu Anda untuk menambal ikut memendek. September kemarin contohnya rapi. Penyerang mulai membajak router MikroTik yang terbuka ke internet pada 2 September 2026 — sehari sebelum perbaikannya terbit — dan angka perangkat yang terpapar sudah beredar dalam hitungan hari. Urutan pemeriksaannya kami tulis di artikel RouterOS selagi kasusnya masih panas.

Dengan aturan baru ini, separuh urusan pelaporan di rangkaian seperti itu berubah dari sukarela jadi wajib. Jadi persiapannya membosankan dan tetap sama:

1. Tahu Anda punya apa. Model, versi firmware, posisinya di jaringan — satu spreadsheet jauh lebih baik daripada nol spreadsheet.
2. Tahu mana yang menghadap internet. Halaman admin yang nongol di IP publik selalu jadi pintu pertama saat advisory berubah jadi insiden.
3. Tahu siapa yang bisa mendorong firmware, dan seberapa cepat. Kalau jawabannya "vendor datang bulan depan", itulah jendela risiko Anda yang sebenarnya.

Tidak ada yang baru di tiga poin itu. Yang berubah cuma kecepatan pemicunya datang.

Ringkasnya

Eropa menulis aturan untuk pasarnya sendiri, dan tanpa sengaja menyerahkan alat tawar-menawar ke tangan kita. Vendor sekarang memelihara dokumen yang selama ini diminta pembeli di mana-mana dan jarang sekali diberikan: tanggal akhir dukungan, kebijakan pelaporan celah, daftar isi software.

Minta tanggal akhir dukungan sebelum tanda tangan. Minta kontak keamanan sebelum Anda membutuhkannya. Tanya siapa yang mengirim laporan mereka — lalu perhatikan berapa lama jawabannya datang.