Penguatan Sanksi Pelaporan dan Pelindungan Siber melalui PADG 29 Tahun 2026

Pendahuluan

Pada 25 September 2026, Bank Indonesia menetapkan Peraturan Anggota Dewan Gubernur Nomor 29 Tahun 2026 tentang Perubahan atas Peraturan Anggota Dewan Gubernur Nomor 24 Tahun 2024 tentang Keamanan Sistem Informasi dan Ketahanan Siber bagi Penyelenggara Sistem Pembayaran, Pelaku Pasar Uang dan Pasar Valuta Asing, serta Pihak Lain yang Diatur dan Diawasi Bank Indonesia (“PADG 29/2026”). 

PADG 29/2026 merupakan perubahan atas PADG 24/2024 yang menjadi peraturan pelaksana dari Peraturan Bank Indonesia Nomor 2 Tahun 2024. Perubahan ini diperlukan untuk memperkuat efektivitas pengawasan dan kepastian hukum, khususnya melalui pendetailan sanksi administratif yang lebih proporsional berdasarkan tingkat keterlambatan atau ketidakpatuhan dalam penyampaian laporan tahunan maupun laporan insidental. Selain itu, pengaturan ini menegaskan kewenangan Bank Indonesia dalam menetapkan infrastruktur informasi vital sektor keuangan guna memperkuat perlindungan terhadap aset strategis yang berpengaruh terhadap keberlangsungan layanan Sistem Pembayaran dan stabilitas Sistem Keuangan di tengah meningkatnya Risiko Siber akibat digitalisasi.

Perbandingan

PADG 29/2026 mengubah beberapa ketentuan dalam PADG 24/2024 sebagaimana dijabarkan dalam tabel perbandingan berikut:

Ketentuan Penting

• Kewajiban Pelaporan Tahunan dan Batas Waktu

Pasal 52 ayat (4) mewajibkan Penyelenggara menyampaikan laporan tahunan yang memuat tingkat kematangan KKS dan hasil identifikasi infrastruktur informasi vital, serta laporan insidental saat terjadi Insiden Siber. Pasal 53 ayat (1)–(3) mengatur bahwa laporan harus disampaikan secara terpusat, lengkap, akurat, terkini, utuh, dan tepat waktu, disertai bukti pendukung, seperti laporan audit KKS dan laporan uji penetrasi (penetration test).

Pasal 53 ayat (4) menetapkan batas waktu penyampaian laporan tahunan paling lambat 31 Januari untuk periode pelaporan tahun sebelumnya. Apabila tanggal tersebut bukan hari kerja operasional Bank Indonesia, laporan wajib disampaikan pada hari kerja operasional sebelumnya. Selain itu, berdasarkan Pasal 53 ayat (9), Bank Indonesia dapat sewaktu-waktu meminta laporan tingkat kematangan KKS terkini apabila diperlukan.

• Status “Terlambat” dan “Tidak Menyampaikan Laporan”

Pasal 53 ayat (5) dan ayat (6) membedakan status ketidakpatuhan pelaporan tahunan berdasarkan waktu penerimaan laporan oleh Bank Indonesia:

1. 1. Terlambat: Laporan yang diterima setelah 31 Januari sampai dengan 15 Februari untuk periode pelaporan tahun sebelumnya.

   2. Tidak menyampaikan laporan: Laporan yang belum diterima sampai dengan 15 Februari

Berdasarkan Pasal 53 ayat (7), Penyelenggara yang dinyatakan tidak menyampaikan laporan tetap wajib menyampaikan laporan. Dengan demikian, patokan penentuan status adalah waktu penerimaan laporan oleh Bank Indonesia, bukan waktu pengiriman.

• Penetapan Infrastruktur Informasi Vital Sektor Keuangan

Pasal 54 ayat (1) menegaskan kewenangan Bank Indonesia untuk menetapkan infrastruktur informasi vital sektor keuangan, yang meliputi:

• • Penyelenggara;

  • sistem aplikasi dan/atau infrastruktur teknologi informasi; dan

  • peta jalan pelindungan infrastruktur informasi vital.

Berdasarkan Pasal 54 ayat (2), penetapan tersebut mempertimbangkan hasil identifikasi infrastruktur informasi vital yang dilaporkan Penyelenggara dalam laporan tahunan. Pasal 54 ayat (3) menetapkan empat kriteria penilaian untuk menentukan Penyelenggara dan sistem aplikasi dan/atau infrastruktur teknologi informasi, yaitu:

Sementara itu, Pasal 54 ayat (4) mengatur bahwa penetapan peta jalan pelindungan infrastruktur informasi vital mempertimbangkan tingkat kematangan KKS Penyelenggara sebagaimana dilaporkan dalam laporan tahunan. Dengan demikian, laporan tahunan menjadi dasar bagi Bank Indonesia dalam menetapkan infrastruktur informasi vital dan peta jalan pelindungannya.

• Sanksi Administratif atas Pelaporan Tahunan

Pasal 56A ayat (1) mengatur sanksi administratif secara berjenjang bagi Penyelenggara yang melanggar kewajiban pelaporan tahunan sebagai berikut:

Penjelasan Pasal 56 ayat (1) huruf c menjelaskan bahwa “kegiatan” yang dapat dihentikan mencakup aktivitas dan produk. Dengan demikian, penghentian tidak terbatas pada kegiatan usaha secara umum, tetapi dapat menyasar aktivitas atau produk tertentu (sebagian), atau seluruhnya. Penjelasan Umum menyebut tujuan gradasi ini agar sanksi mencerminkan tingkat keterlambatan dan ketidakpatuhan secara lebih proporsional.

• Sanksi Administratif atas Pelaporan Insidental Insiden Siber

Pasal 56A ayat (2) mengatur sanksi administratif berupa kewajiban membayar sebesar Rp5.000.000,00 (lima juta rupiah) atas keterlambatan atau tidak disampaikannya laporan insidental sebagai berikut:

Penghitungan batas waktu notifikasi awal dimulai sejak Penyelenggara mengetahui Insiden Siber, sedangkan batas waktu laporan Insiden Siber dihitung sejak insiden terjadi. Sanksi dikenakan atas keterlambatan atau tidak disampaikannya laporan sesuai batas waktu tersebut.

Penutup

PADG 29/2026 memperkuat pengawasan dan kepastian hukum melalui penegasan kewajiban pelaporan, penetapan infrastruktur informasi vital sektor keuangan, serta pengaturan sanksi administratif yang lebih terperinci dan proporsional. Penyelenggara perlu memastikan penyampaian laporan tahunan dan laporan insidental sesuai batas waktu dan persyaratan yang berlaku, mengingat keterlambatan atau tidak disampaikannya laporan dapat dikenai sanksi administratif secara berjenjang. Selain itu, Penyelenggara perlu memperhatikan kewajiban pelaporan terkait identifikasi infrastruktur informasi vital dan tingkat kematangan KKS sebagai bagian dari upaya memperkuat keamanan sistem informasi dan ketahanan siber sektor keuangan.