Aturan Uni Eropa: Lapor Celah Produk dalam 24 Jam

Sejak 11 September 2026, pabrikan produk yang masuk cakupan Cyber Resilience Act di pasar Uni Eropa memiliki kewajiban pelaporan tertentu dalam 24 jam setelah mengetahui celah yang aktif dieksploitasi atau insiden keamanan berat. Aturan ini tidak otomatis berlaku pada setiap penjual perangkat lunak. Bagi pembeli di Indonesia, kebijakan vendor dapat menjadi bahan pemeriksaan pengadaan.

Apa yang berubah pada 11 September?

Pasal 14 Cyber Resilience Act — undang-undang keamanan produk digital Uni Eropa — mulai mengikat, dan portal pelaporannya dibuka di hari yang sama. Komisi Eropa menyebutnya Single Reporting Platform, aktif sejak 11 September 2026. Pabrikan mengisi satu formulir; platform meneruskannya ke ENISA (badan keamanan siber Uni Eropa) dan ke tim tanggap insiden negara tempat perusahaan itu bernaung.

Batas waktu mulai dihitung ketika pabrikan mengetahui celah yang aktif dieksploitasi atau insiden berat yang memengaruhi keamanan produk. Keduanya memiliki tiga tahap pelaporan.

Perhatikan tiga rincian cakupan aturan tersebut. Pertama, cakupan mengikuti pasar tempat produk tersedia, bukan hanya alamat kantor — pabrikan tanpa kantor di Eropa pun tetap dapat masuk cakupan. Kedua, produk yang sudah lama terjual ikut terhitung; Pasal 69 ayat (3) menerapkan Pasal 14 pada produk dalam cakupan yang ditempatkan di pasar Uni Eropa sebelum 11 Desember 2027. Periksa produk tertentu, bukan hanya apakah modelnya masih dijual. Ketiga, kewajiban pelaporan tetap berlaku walau masa dukungan produknya sudah habis. Vendor yang sudah lama berhenti merilis firmware untuk satu model tetap harus melapor kalau celah di model itu dipakai menyerang.

Sisa aturannya — desain aman sejak awal, uji kesesuaian, penandaan CE — baru berlaku 11 Desember 2027. Undang-undangnya sendiri berlaku sejak 10 Desember 2024. Bagian pelaporan mulai berlaku lebih dahulu agar salurannya tersedia sebelum kewajiban utama diterapkan.

Sanksi administratifnya perlu diperhatikan. Melanggar Pasal 13 atau 14 diancam denda administratif sampai EUR 15.000.000 atau 2,5% omzet global setahun, mana yang lebih besar. Itu lapis denda tertinggi di aturan ini.

Dampak bagi pembeli produk di Indonesia

Pembeli di Indonesia dapat memakai dokumen vendor yang juga melayani pasar Uni Eropa sebagai bahan pengadaan. Ada tiga hal yang perlu diperiksa.

Siapkan penerimaan pemberitahuan keamanan. Vendor yang dulu bisa mendiamkan celah selama satu kuartal sekarang punya jam yang mengikat secara hukum. Batas waktu pelaporan kepada regulator tidak menjamin pemberitahuan publik langsung terbit. Periksa cara vendor memberi tahu pengguna. Pemberitahuan keamanan (advisory) yang bertanggal membantu tim menentukan tindak lanjut. Informasi publik juga dapat digunakan penyerang, sehingga inventaris versi firmware perlu tersedia sebelum pemberitahuan terbit.

Periksa masa dukungan tertulis. Kewajiban dukungan utama berlaku mulai 11 Desember 2027. Pasal 13 CRA mengatur periode dukungan sesuai perkiraan penggunaan, umumnya setidaknya lima tahun; produk dengan masa penggunaan yang diperkirakan lebih pendek memiliki pengecualian. Minta tanggal akhir dukungan per model sekarang sebagai syarat pengadaan, jangan menyebutnya kewajiban lima tahun yang sudah berlaku untuk semua perangkat.

Periksa siapa yang menangani pelaporan vendor. Pabrikan tanpa badan hukum di Eropa, tanpa kebijakan pelaporan celah, tanpa kontak keamanan — perlu diperiksa proses kepatuhannya. Minta kontak dan prosedur pelaporan yang dapat ditunjukkan; jawaban singkat saja belum membuktikan kepatuhan.

Kewajiban Indonesia tentang kebocoran data pribadi memiliki cakupan berbeda. Rujukannya ada di Pasal 46 UU 27/2022 tentang Pelindungan Data Pribadi: pengendali data wajib memberi tahu pemilik data dan lembaga pengawas paling lambat 3 × 24 jam setelah data bocor. Keduanya mengatur objek berbeda: kebocoran data pribadi yang ditangani pengendali data dan keamanan produk yang menjadi tanggung jawab pabrikan. Kalau kewajiban Anda di UU PDP masih abu-abu, mulai dari perubahan sanksi PDP 2026.

Dokumen untuk pesanan pembelian berikutnya

Sehari sebelum aturan mulai berlaku, 10 September 2026, Genetec menerbitkan lima pertanyaan yang sebaiknya diajukan pembeli sistem keamanan terkoneksi ke pemasoknya. Kelima pertanyaan tersebut dapat digunakan dalam pemeriksaan pengadaan proyek di Indonesia.

• Tanggal berakhirnya masa dukungan, hitam di atas putih. Bulan dan tahun, per model, tercantum di penawaran — bukan "didukung sampai pemberitahuan lebih lanjut".
• Kebijakan pelaporan celah dan satu kontak keamanan. Alamat yang sampai ke manusia, terpampang di situs vendornya.
• Daftar komponen perangkat lunak di dalam firmware. SBOM (software bill of materials) mencantumkan komponen dan versi yang digunakan dalam produk. Cara membuatnya dan cara menjadikannya syarat lolos saya bahas di artikel SBOM. Daftar yang sama membantu menentukan apakah produk memuat komponen yang terdampak suatu kerentanan.
• Cara pembaruan firmware dikirim dan ditandatangani. Jika pembaruannya berupa ZIP dari tautan Google Drive, tetap tanyakan cara memverifikasi tanda tangan dan asal file. Media pengiriman saja tidak membuktikan paketnya aman atau tidak aman.
• Rencana pensiun produknya. Tanggal model itu berhenti dapat perbaikan, dan penggantinya apa menurut vendor.

Tanyakan siapa yang bertanggung jawab atas pelaporan CRA jika produknya masuk cakupan. Jawabannya bisa tim pabrikan atau perwakilan yang mendapat mandat. Penunjukan authorised representative bukan kewajiban otomatis bagi semua pabrikan luar Uni Eropa. Minta kontak serta prosedur, bukan satu nama jabatan sebagai bukti tunggal kepatuhan.

Disiplinnya sama persis dengan mengunci soal lisensi sebelum serah terima. Dokumen vendor sebaiknya diminta pada tahap penawaran agar syaratnya jelas sebelum pesanan pembelian terbit — pola yang sama yang membuat SDK perangkat keras datang tanpa teks lisensi sama sekali.

Periksa apakah peran Anda termasuk pabrikan

Peran tersebut perlu dinilai jika Anda mengedarkan produk di pasar Uni Eropa dalam rangka kegiatan komersial. Istilah "produk dengan elemen digital" mencakup perangkat lunak, bukan hanya perangkat keras — termasuk layanan pemrosesan jarak jauh milik vendor sendiri yang tanpa itu produknya tidak jalan.

Untuk perusahaan pengembang perangkat lunak atau integrator perangkat keras di Indonesia, mulai dari pertanyaan berikut: apakah Anda mengirim atau melisensikan sebuah produk — bukan jasa proyek sekali jadi — ke pelanggan di Eropa? Jika ya, periksa cakupan aturan secara khusus. Dibuat khusus untuk satu klien tidak otomatis membebaskan; yang menentukan itu dijual dalam rangka bisnis. Konfirmasikan cakupan dan pengecualiannya bersama penasihat yang memahami ketentuan Uni Eropa.

Jika produk masuk cakupan, tetapkan penanggung jawab, pastikan jalur pelaporan yang sesuai, dan uji prosedur berdasarkan jam sejak mengetahui kejadian. Periksa pengecualian produk serta peran pabrikan, importir, atau distributor bersama penasihat yang memahami aturan Uni Eropa. Jangan menunggu insiden untuk membagi tugas.

Apa yang terjadi saat vendor benar-benar melapor?

Garis waktu publiknya memendek, dan jendela waktu Anda untuk menambal ikut memendek. Insiden pada September 2026 memberikan contoh perlunya inventaris yang siap diperiksa. Penyerang mulai membajak router MikroTik yang terbuka ke internet pada 2 September 2026 — sehari sebelum perbaikannya terbit — dan angka perangkat yang terpapar sudah beredar dalam hitungan hari. Urutan pemeriksaannya kami tulis di artikel RouterOS saat kasus tersebut berlangsung.

Dengan aturan baru ini, separuh urusan pelaporan di rangkaian seperti itu berubah dari sukarela jadi wajib. Persiapannya tetap bertumpu pada tiga hal berikut:

1. Tahu Anda punya apa. Model, versi firmware, posisinya di jaringan — satu spreadsheet jauh lebih baik daripada nol spreadsheet.
2. Tahu mana yang menghadap internet. Halaman pengelola yang dapat dijangkau melalui IP publik selalu jadi pintu pertama saat advisory berubah jadi insiden.
3. Tahu siapa yang bisa menerapkan pembaruan firmware, dan seberapa cepat. Kalau jawabannya "vendor datang bulan depan", itulah jendela risiko Anda yang sebenarnya.

Tidak ada yang baru di tiga poin itu. Yang berubah hanya kecepatan pemicunya datang.

Dokumen yang perlu diminta sebelum membeli

Aturan Uni Eropa dapat membantu pembeli di Indonesia menyusun permintaan dokumen dan syarat pengadaan. Minta vendor menyediakan dokumen yang diperlukan untuk pemeriksaan pengadaan: tanggal akhir dukungan, kebijakan pelaporan celah, daftar isi perangkat lunak.

Minta tanggal akhir dukungan sebelum menandatangani pesanan. Minta kontak keamanan sebelum Anda membutuhkannya. Tanya siapa yang mengirim laporan mereka — lalu perhatikan berapa lama jawabannya datang.