Cyber Resilience Act Uni Eropa mulai menghitung 24 jam

Cyber Resilience Act Uni Eropa (CRA, Regulasi 2024/2847) menetapkan aturan keamanan siber untuk "produk dengan elemen digital", yaitu hampir semua hal yang memiliki perangkat lunak atau koneksi jaringan, dari router dan kamera hingga aplikasi dan sistem operasi. Sebagian besar kewajibannya berlaku mulai 11 Desember 2027, tetapi kewajiban pelaporan sudah aktif lebih awal, pada 11 September 2026.

Kewajiban ini dibebankan kepada produsen. Importir atau distributor dapat termasuk di dalamnya bila menjual produk dengan nama sendiri atau memodifikasinya secara substansial. Ada dua jenis kejadian yang harus dilaporkan: kerentanan dengan bukti andal bahwa pelaku jahat sedang mengeksploitasinya, dan insiden berat yang memengaruhi, atau dapat memengaruhi, kemampuan produk melindungi data atau fungsi sensitif, termasuk masuknya kode berbahaya ke dalam produk.

Jadwalnya terdiri dari tiga tahap. Peringatan dini harus disampaikan dalam 24 jam sejak produsen mengetahuinya. Notifikasi lengkap menyusul dalam 72 jam, kecuali informasinya sudah diberikan. Laporan akhir jatuh tempo paling lambat 14 hari setelah perbaikan atau mitigasi tersedia untuk kerentanan, atau satu bulan setelah notifikasi insiden untuk insiden berat. Produsen cukup melapor sekali melalui Single Reporting Platform yang dikelola ENISA, badan keamanan siber UE, yang meneruskan laporan ke CSIRT nasional di negara tempat perusahaan berkedudukan utama.

Sanksinya serius. Pelanggaran atas kewajiban produsen dan pelaporan dapat dikenai denda hingga 15 juta euro atau 2,5 persen dari omzet tahunan global, mana yang lebih tinggi. Usaha mikro dan kecil dikecualikan dari denda atas keterlambatan tenggat 24 jam dan 72 jam, dan pengelola open source dikecualikan dari denda ini sepenuhnya; kewajiban pelaporan mereka baru mulai pada Desember 2027.

Jangkauannya tidak terbatas di Eropa. Perusahaan Indonesia yang mengekspor perangkat, firmware, atau perangkat lunak ke pelanggan di UE diperlakukan sebagai produsen untuk penjualan tersebut. Respons yang praktis: tetapkan siapa yang memutuskan bahwa sebuah kerentanan sedang dieksploitasi, siapkan jalur siaga ke tim keamanan, latih pengiriman peringatan dini dalam hitungan jam, dan susun software bill of materials agar Anda tahu produk mana yang memuat komponen terdampak. Ini adalah ringkasan analisis publik, bukan nasihat hukum.