Regulasi PIIV sebagai Kerangka Hukum Keamanan Siber Infrastruktur Rupiah Digital

ilustrasi infrastuktur rupiah digital. Sumber: canva.com

Sejak diterbitkannya Undang-Undang Nomor 4 Tahun 2023 tentang Pengembangan dan Penguatan Sistem Keuangan (UU PPSK), rupiah sebagai alat pembayaran yang sah menurut Undang-Undang Nomor 7 Tahun 2011 tentang Mata Uang (UU Mata Uang) telah diperluas menjadi tidak hanya mencakup rupiah kertas dan logam, tetapi juga rupiah digital. Berbeda dengan uang elektronik yang dikelola pihak swasta, rupiah digital akan dikelola oleh Bank Indonesia (BI) sesuai Pasal 14A UU Mata Uang sebagaimana diubah UU PPSK.

Sebagai alat pembayaran yang dikelola langsung oleh negara, rupiah digital perlu dijamin keamanannya guna memperkuat kepercayaan rakyat terhadap central bank digital currency (CBDC). UU PPSK pun memastikan hal tersebut dengan mengatur bahwa pengelolaan rupiah digital harus memperhatikan aspek pemanfaatan teknologi yang menjamin keamanan sistem data dan informasi serta perlindungan data pribadi.

Di lain sisi, penggunaan rupiah digital yang akan berlaku secara publik dapat memengaruhi sistem pembayaran retail, wholesale, ataupun lintas negara. Jika infrastruktur CBDC terganggu, terhenti, atau hancur, hal ini tentu dapat berdampak vital bagi sektor keuangan. Apalagi, aspek integrasi antar platform menjadi hal utama dalam CBDC guna terlaksananya pembayaran. Dalam hal ini, regulasi pelindungan infrastruktur informasi vital (PIIV) dapat menjadi opsi yang relevan bagi otoritas terkait untuk mengamankan infrastruktur rupiah digital sebagai infrastruktur informasi vital (IIV).

Mengenal IIV dan PIIV

Di Indonesia, PIIV diatur dalam Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital. Berdasarkan definisi IIV pada peraturan tersebut, dapat diketahui tiga kriteria untuk mengonsepsi IIV. Pertama, IIV adalah sistem elektronik yang berbasis teknologi informasi dan/atau operasional. Kedua, sistem elektronik tersebut berdiri sendiri atau bergantung dengan infrastruktur lain di sektor vital. Ketiga, jika terganggu, rusak, dan/atau hancur, berdampak serius bagi kepentingan umum, pelayanan publik, pertahanan dan keamanan, atau perekonomian nasional.

Dalam Pasal 4 peraturan presiden di atas, sektor IIV terbagi menjadi sektor administrasi pemerintahan, energi dan sumber daya Mineral, transportasi, keuangan, kesehatan, teknologi informasi dan komunikasi, pangan, pertahanan, dan sektor lain yang ditetapkan presiden.

Jadi, PIIV adalah sebuah konsep untuk melindungi infrastruktur berbasis informasi yang vital bagi sektor-sektor kehidupan masyarakat suatu negara. Hal ini dianggap vital karena jika infrastruktur tersebut terancam atau terganggu, dapat membahayakan kepentingan bangsa.

Di Indonesia, PIIV menjadi kewajiban penyelenggara IIV, kementerian atau lembaga sebagai pengawas sektor, Badan Siber dan Sandi Negara (BSSN) selaku koordinator PIIV, dan pihak terkait lainnya.

Bentuk pelindungannya mencakup kewenangan dan kewajiban dalam penerapan standar keamanan siber, manajemen risiko keamanan siber, pengelolaan insiden siber, pelaksanaan forum analisis dan berbagi informasi, peningkatan sumber daya manusia, pelaksanaan kerja sama, pengukuran tingkat keamanan siber, dan koordinasi penyelenggaraan PIIV.

Mengapa Penerapan Rupiah Digital Memerlukan Regulasi PIIV?

Sebagai suatu alat pembayaran berbasis teknologi informasi, rupiah digital tidak semata-mata terhindar dari risiko ancaman siber. Penerapan rupiah digital perlu merefleksi kembali insiden peretasan sistem pembayaran antarbank lintas negara (sistem SWIFT) yang melenyapkan US$ 81 miliar bank sentral Bangladesh di 2016 silam. Insiden ini menunjukkan bahwa selain memerlukan teknologi yang berketahanan tinggi, infrastruktur keuangan digital juga membutuhkan kepastian regulasi dan sistem pengamanan yang tepat.

Mengingat saat ini rupiah digital masih di tahap pengembangan, regulasi dan sistem pengamanannya masih akan menyesuaikan ke depannya. Terlepas dari itu, regulasi PIIV tetap dapat menjadi pilihan kebijakan. Apalagi, infrastruktur rupiah digital sesuai dengan karakteristik IIV yang mana jika terganggu dapat berdampak serius bagi sistem keuangan dan perekonomian nasional.

Selain itu, BI selaku otoritas keuangan yang mengelola rupiah digital diberi peran sebagai pengawas IIV di sektor keuangan. Artinya, BI juga bertanggung jawab untuk melindungi berbagai IIV di bawah sektor keuangan yang diawasinya. Melalui regulasi PIIV, pelindungan infrastruktur rupiah digital sebagai IIV pun dapat mendorong koordinasi dan kerja sama antara BI, BSSN, dan pihak terkait lainnya. Hal ini penting guna menjaga komunikasi dan memberi bantuan antarinstansi pemerintah dalam menangani ancaman atau risiko siber.

Kesiapan Regulasi PIIV Indonesia

Diimplementasikannya regulasi PIIV di Indonesia sangat bergantung pada BSSN dan kementerian/lembaga di sektor terkait. Mengingat Indonesia akan mengalami pergantian pemerintahan setelah pemilu tahun 2024, implementasi Peraturan Presiden Nomor 82 Tahun 2022 tentu butuh penyesuaian dengan para stakeholders baru tersebut. Selain itu, berdasarkan hasil penelitian penulis, peraturan tersebut juga masih memiliki beberapa kekurangan jika akan diimplementasikan pada penerapan CBDC Indonesia.

Dari segi mekanisme pelindungannya, identifikasi IIV terlalu dibebankan pada penyelenggara sistem elektronik (PSE) dan belum ada mekanisme pertanggungjawaban jika penyelenggara tersebut tidak melaporkan hasil identifikasinya. Akibatnya, jika kewajiban identifikasi IIV tidak dilakukan, sistem elektronik tidak teridentifikasi sebagai IIV sehinga tidak terlindungi sesuai regulasi PIIV. Apalagi, PSE yang melalaikan kewajiban identifikasi IIV belum dapat dipertanggungjawabkan secara hukum. Padahal, sistem elektronik miliknya dapat berdampak serius bagi publik jika terancam risiko ancaman siber.

Pada akhirnya, Peraturan Presiden Nomor 82 Tahun 2022 sebagai regulasi PIIV Indonesia saat ini baru dapat menjadi pilihan kerangka hukum dalam melindungi infrastruktur rupiah digital. Menimbang kompleksitas teknologi CBDC, hal ini tidak menutup kemungkinan bagi para otoritas terkait untuk membuat kerangka hukum baru dalam menjaga keamanan infrastruktur rupiah digital. Terlepas dari itu, regulasi PIIV tetap perlu dipertimbangkan agar penjagaan keamanan siber di sektor keuangan lebih terintegrasi dan menyeluruh.