Cara Menyusun Rancangan Peraturan Keamanan Informasi di Pemerintah Daerah

ARREZA MP · SERI TATA KELOLA KEAMANAN INFORMASI · 02/06

Cara Menyusun Rancangan Peraturan Keamanan Informasi di Pemerintah Daerah

Membuat aturan keamanan informasi tidak cukup dengan mengambil templat lalu mengganti nama instansi. Mulai dari masalah nyata, kewenangan, dan telaah hukum.

Batas penggunaan: semua nama organisasi, skenario, dokumen, dan contoh prosedur di artikel ini bersifat fiktif atau ilustratif. Artikel bukan nasihat hukum, bukan dokumen kebijakan instansi, dan bukan instrumen penetapan resmi. Jangan mengunggah data internal, identitas nyata, atau bukti sensitif untuk mengikuti tutorial.

Daftar isi:

Mulai dari pertanyaan: apakah memang perlu produk hukum?Tujuh tahap menyiapkan rancangan secara tertibKerangka isi yang dapat digunakan dalam diskusi awalContoh masalah kebijakan yang perlu diperjelasChecklist sebelum rancangan diajukanFAQReferensi

Mulai dari pertanyaan: apakah memang perlu produk hukum?

Tidak setiap kebutuhan keamanan informasi harus diatur melalui Peraturan Daerah atau Peraturan Kepala Daerah. Beberapa kebutuhan bisa ditangani melalui kebijakan internal, keputusan pejabat yang berwenang, pedoman, atau SOP, sesuai objek pengaturan dan ketentuan hukum yang berlaku.

Penyusunan produk hukum daerah perlu mengikuti Permendagri Nomor 80 Tahun 2015 sebagaimana diubah dengan Permendagri Nomor 120 Tahun 2018, dan ketentuan lain yang relevan. Konten edukatif ini bukan petunjuk final mengenai bentuk regulasi daerah tertentu.

Jangan menyimpulkan bentuk, kewenangan penandatangan, atau tata cara pengundangan hanya dari contoh artikel. Libatkan Bagian Hukum dan periksa JDIH serta aturan tata naskah daerah yang berlaku.

Tujuh tahap menyiapkan rancangan secara tertib

1. Rumuskan masalah. Contohnya belum jelas pembagian tanggung jawab pemilik aplikasi, pemilik data, dan pengelola keamanan.
2. Inventaris aturan aktif. Periksa regulasi nasional, ketentuan daerah, keputusan, kebijakan lama, serta potensi tumpang tindih.
3. Uji kewenangan dan bentuk. Diskusikan dengan Bagian Hukum apakah perlu produk hukum daerah atau cukup dokumen internal.
4. Tetapkan ruang lingkup. Tentukan siapa yang diatur, objek perlindungan, pengecualian, dan hubungan antar perangkat daerah.
5. Susun naskah konseptual. Tuliskan tujuan, prinsip, peran, mekanisme koordinasi, pelaporan, evaluasi, dan ketentuan transisi secara jelas.
6. Teliti dampak penerapan. Lakukan konsultasi dengan pemilik layanan, pengelola data, dan unit pengawasan sesuai kewenangan.
7. Masuk ke proses hukum resmi. Telaah, harmonisasi/fasilitasi bila dipersyaratkan, persetujuan, penetapan, pengundangan/publikasi melalui proses yang berlaku.

Kerangka isi yang dapat digunakan dalam diskusi awal

Bagian konseptual	Pertanyaan yang harus terjawab
Tujuan dan ruang lingkup	Apa risiko yang hendak dikendalikan, objek dan unit mana yang diatur?
Definisi	Istilah penting apa yang harus konsisten dengan regulasi di atasnya?
Tanggung jawab	Siapa pemilik aset/data, pelaksana kontrol, pendamping, dan pengawas?
Manajemen risiko	Bagaimana risiko diidentifikasi, diterima, ditangani, dan dipantau?
Pelaksanaan pengamanan	Apa kewajiban minimum dan dokumen turunan yang diperlukan?
Insiden dan koordinasi	Bagaimana alur pelaporan dan eskalasi menurut kewenangan masing-masing?
Evaluasi dan perbaikan	Bagaimana pembuktian, pelaporan, peninjauan, dan tindak lanjut dilakukan?

Bagian-bagian tersebut hanyalah bahan diskusi substantif, bukan format legal siap ditetapkan. Format judul, konsiderans, pasal, dan lampiran harus mengikuti ketentuan hukum yang sesuai.

Contoh masalah kebijakan yang perlu diperjelas

Di Kota Contoh (fiktif), beberapa unit mengelola sistem layanan sendiri. Rancangan pengaturan sebaiknya membedakan pemilik proses bisnis, pemilik data, pengelola aplikasi, fungsi koordinasi keamanan informasi, serta pemeriksa kepatuhan. Tujuannya bukan menyerahkan seluruh tanggung jawab teknis dan bisnis kepada satu unit. Setiap pihak mempertahankan tugasnya sesuai kewenangan.

Jika terdapat insiden, jalur bantuan teknis dan koordinasi tidak otomatis menghapus kewajiban pemilik sistem atau pengendali data. Ketentuan eskalasi dan pelaporan harus dinilai bersama Bagian Hukum serta unit terkait.

Checklist sebelum rancangan diajukan

• Ada uraian masalah dan tujuan yang bisa diuji.
• Bentuk produk hukum dan kewenangannya telah ditelaah secara resmi.
• Tidak bertentangan dengan aturan yang lebih tinggi.
• Peran unit kerja, pemilik data, dan pelaksana pengamanan dibedakan.
• Ada catatan konsultasi, analisis dampak, serta proses pengesahan yang diwajibkan.
• Draf, versi, masukan, dan keputusan tersimpan dengan pengendalian akses.

Pertanyaan yang sering diajukan

Apakah Perwal selalu diperlukan untuk kebijakan SMKI?

Tidak otomatis. Bentuk dokumen harus ditentukan melalui pemeriksaan kewenangan, materi muatan, dan ketentuan daerah.

Apakah contoh pasal dari internet boleh langsung dipakai?

Sebaiknya tidak. Lakukan telaah sumber dan harmonisasi agar tidak terjadi norma bertentangan atau kewenangan keliru.

Siapa yang wajib dilibatkan?

Minimal pemilik substansi dan Bagian Hukum; pihak lain mengikuti pembagian kewenangan dan kebutuhan pembahasan.

Lanjutkan belajar keamanan informasi

Baca panduan lain tentang perlindungan data, risiko, insiden, dan tata kelola keamanan informasi.

Buka Hub Keamanan Informasi ArrezaMP →

Rujukan resmi dan teknis

• Permendagri Nomor 80 Tahun 2015 — Pembentukan Produk Hukum Daerah
• Permendagri Nomor 120 Tahun 2018 — Perubahan Permendagri 80/2015
• Peraturan BSSN Nomor 4 Tahun 2021 — Pedoman Manajemen Keamanan Informasi SPBE
• UU Nomor 27 Tahun 2022 — Pelindungan Data Pribadi

Periksa status terbaru melalui JDIH sebelum menggunakan dokumen sebagai dasar penetapan resmi. Ringkasan ini adalah karya editorial independen ArrezaMP.

© ArrezaMP — materi edukasi. Artikel harus diperiksa sebelum publikasi; tautan ke artikel lain dalam seri ini ditambahkan setelah URL aktual terverifikasi.