Kerangka kerja KRITIS Jerman untuk melindungi infrastruktur kritis baru saja mengalami perombakan paling signifikan dalam satu dekade terakhir. Undang-Undang Implementasi NIS2 — Gesetz zur Umsetzung der NIS-2-Richtlinie, atau NIS2UmsG — mulai berlaku pada 6 Desember 2025, secara substansial merevisi Undang-Undang BSI (BSIG) yang telah mengatur kewajiban keamanan TI bagi operator infrastruktur kritis sejak 2009.
Bagi organisasi yang beroperasi di sektor seperti energi, air, kesehatan, transportasi, atau TI dan telekomunikasi, ini bukanlah pembaruan kecil. Lingkup siapa yang diatur, apa yang harus mereka lakukan, dan bagaimana mereka harus membuktikannya telah berubah secara konkret. Artikel ini menjelaskan apa yang telah berubah, apa yang tetap sama, dan apa artinya dalam praktik saat memilih platform cloud.
Apa itu KRITIS dan Apa Artinya Sekarang di Bawah Undang-Undang Baru
KRITIS — singkatan dari Kritische Infrastrukturen — adalah sebutan federal Jerman untuk infrastruktur kritis. Operator fasilitas yang relevan dengan KRITIS telah lama tunduk pada kewajiban keamanan TI tertentu di bawah BSIG, yang diawasi oleh BSI (Bundesamt für Sicherheit in der Informationstechnik).
Di bawah undang-undang baru, terminologi telah bergeser. BSIG yang direvisi tidak lagi berbicara tentang “Kritische Infrastrukturen” sebagai kategori utama. Sebaliknya, ia mengatur besonders wichtige Einrichtungen (entitas yang sangat penting) dan wichtige Einrichtungen (entitas penting). Operator dari apa yang sekarang disebut kritische Anlagen (fasilitas kritis) adalah bagian dari kelompok pertama dan masih menghadapi persyaratan yang paling ketat. Kewajiban yang mereka pegang di bawah BSIG sebelumnya sebagian besar diteruskan, tetapi direstrukturisasi dan, di beberapa area, diperketat.
Sektor yang dicakup secara luas tetap sama: energi, transportasi, keuangan, kesehatan, air, makanan, TI dan telekomunikasi, ruang angkasa, dan pengelolaan limbah. Yang berubah adalah logika ambang batas, beberapa aturan khusus sektor, dan cakupan keseluruhan siapa yang tercakup dalam kerangka kerja — tidak hanya operator KRITIS, tetapi puluhan ribu organisasi di seluruh kategori NIS2 yang lebih luas.
Satu perubahan struktural yang mencolok: sektor keuangan telah dibagi menjadi dua — Finanzwesen (Keuangan) dan Leistungen der Sozialversicherung serta Grundsicherung für Arbeitsuchende (Tunjangan sosial dan pendapatan dasar bagi pencari kerja). Penyedia asuransi swasta tidak lagi termasuk. Organisasi yang tunduk pada regulasi DORA UE dikecualikan dari kewajiban pelaporan dan audit BSIG tertentu, karena kedua kerangka kerja tersebut tumpang tindih secara signifikan.
Apa yang Harus Dilakukan Operator Fasilitas Kritis Sekarang
Bagi operator kritische Anlagen, kewajiban inti — pendaftaran, pelaporan insiden, penerapan langkah-langkah teknis dan organisasi yang sesuai, serta penyediaan bukti kepatuhan secara berkala — tetap berlaku. Namun, beberapa detail telah berubah.
Pendaftaran sekarang dua jalur. Operator KRITIS yang ada harus mendaftar tidak hanya di portal MIP (Melde- und Informationsportal) yang ada, yang telah mereka gunakan hingga sekarang, tetapi juga sebagai besonders wichtige Einrichtung di portal BSI yang baru. Batas waktu bagi mereka yang sudah terdaftar adalah tiga bulan sejak 6 Desember 2025 — yaitu, 6 Maret 2026. Operator baru harus melakukan kedua pendaftaran sejak awal.
Siklus audit telah diperpanjang. Sebelumnya, operator harus menyerahkan bukti kepatuhan setiap dua tahun. Di bawah BSIG yang baru, siklusnya adalah setiap tiga tahun. BSI telah secara langsung memberi tahu operator yang ada tentang tenggat waktu individu baru mereka.
Pelaporan insiden mengikuti struktur NIS2. Kewajiban pelaporan KRITIS sebelumnya sekarang sepenuhnya diserap ke dalam kerangka kerja NIS2. Operator yang melapor melalui MIP tidak perlu menduplikasi laporan di portal BSI — BSI telah mengonfirmasi bahwa pengaturan transisi ini akan tetap berlaku setidaknya hingga 31 Juli 2026.
Sistem deteksi serangan tetap wajib. Persyaratan untuk menerapkan sistem yang mampu mendeteksi peristiwa yang relevan dengan keamanan — yang diperkenalkan oleh IT-SiG 2.0 pada tahun 2021 — diteruskan di bawah §31 BSIG khusus untuk operator fasilitas kritis. BSI telah menerbitkan panduan tentang apa yang harus dapat dilakukan oleh sistem ini (Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung), tersedia melalui halaman unduhan BSI.
Titik kontak bersama (GÜAS) dihapuskan. Operator yang sebelumnya berbagi struktur kontak umum dengan rekan-rekan di sektor yang sama sekarang masing-masing harus mempertahankan pengaturan kontak langsung mereka sendiri dengan BSI.
Mengapa Pilihan Platform Cloud Adalah Keputusan Kepatuhan KRITIS
BSIG yang direvisi secara eksplisit mengharuskan operator untuk menilai kepercayaan pemasok teknologi mereka — termasuk platform tempat beban kerja kritis mereka berjalan. Ini bukan hal baru, tetapi sekarang lebih formal tertanam dalam kerangka kerja. Khusus untuk infrastruktur cloud, ini menimbulkan pertanyaan yang melampaui sertifikasi dan SLA.
Platform cloud publik hyperscale — AWS, Azure, GCP — memiliki karakteristik struktural yang sulit diselaraskan dengan persyaratan KRITIS. Keputusan perutean data dibuat secara dinamis, sehingga secara teknis sulit untuk menjamin bahwa data tidak pernah meninggalkan Jerman atau UE. Sistem internal mereka — hypervisor, tumpukan jaringan — tidak dapat diaudit secara independen, yang menciptakan gesekan dengan persyaratan penilaian rantai pasokan. Dan penyedia yang berkantor pusat di AS tetap tunduk pada CLOUD Act (18 U.S.C. § 2713), yang dapat memaksa pengungkapan data terlepas dari tempat data disimpan — konflik langsung dengan kewajiban kedaulatan data di bawah kerangka kerja BSIG.
Tidak ada satu pun dari ini berarti hyperscaler tidak dapat menjadi bagian dari infrastruktur operator. Namun, ini berarti bahwa untuk beban kerja yang diklasifikasikan sebagai kritis, pertanyaan platform memiliki bobot regulasi, bukan hanya bobot operasional.
Apa yang Harus Dicari dalam Platform Cloud yang Patuh
Berdasarkan persyaratan yang ditetapkan dalam BSIG yang direvisi dan panduan BSI, platform cloud yang mendukung beban kerja yang diatur KRITIS perlu secara demonstratif menangani beberapa area:
Ketersediaan tinggi berdasarkan arsitektur — tidak hanya waktu aktif yang dijanjikan secara kontraktual, tetapi redundansi yang dibangun ke dalam lapisan komputasi, penyimpanan, dan jaringan, tanpa satu titik kegagalan pun.
Penyebaran di tempat atau pribadi dengan kontrol residensi data penuh — operator harus dapat memverifikasi di mana data diproses dan disimpan, tanpa perutean eksternal yang tidak diungkapkan.
Enkripsi saat istirahat dan dalam perjalanan, manajemen kunci di bawah kendali operator, dan segmentasi jaringan yang ketat antar penyewa.
Kemampuan deteksi serangan yang memenuhi panduan BSI — pemantauan waktu nyata, deteksi anomali, dan integrasi dengan alat SIEM.
Pencatatan audit penuh — setiap panggilan API, setiap perubahan konfigurasi, setiap tindakan administratif, dapat diekspor untuk inspeksi BSI dan penyerahan bukti kepatuhan tiga tahunan.
Rantai pasokan perangkat lunak yang dapat diaudit — fondasi sumber terbuka dengan daftar bahan perangkat lunak (SBOM) yang dipublikasikan, sehingga operator dapat melakukan penilaian kepercayaan yang disyaratkan oleh undang-undang.
Bagaimana FishOS Menangani Persyaratan KRITIS
FishOS, yang dikembangkan oleh Sardina Systems, adalah platform manajemen cloud yang mengintegrasikan OpenStack, Kubernetes, dan Ceph ke dalam satu tumpukan otomatis. Ini dirancang untuk penyebaran cloud di tempat dan pribadi, yang berarti operator mempertahankan kontrol langsung atas tempat data mereka berada dan diproses — tanpa ketergantungan pada infrastruktur cloud eksternal atau yurisdiksi asing.
Di sisi ketersediaan, FishOS menyertakan Komponen Pemantauan Kesehatan milik sendiri yang terus-menerus menganalisis metrik waktu nyata dan data log. Menurut Sardina Systems, ia menggunakan apa yang mereka gambarkan sebagai pendekatan “imunologi komputer” — mengidentifikasi tidak hanya keadaan gagal tetapi juga keadaan “sakit” yang terdegradasi sebelum menyebabkan pemadaman. Ini berbeda dari alat pemantauan konvensional.
Di sisi keamanan dan audit, FishOS menyediakan pencatatan audit terpusat yang mencakup tindakan tingkat pengguna dan sistem di seluruh infrastruktur, dan mendukung integrasi SIEM. Menurut ulasan pihak ketiga tentang platform tersebut, FishOS menyertakan kemampuan SIEM terintegrasi untuk mendeteksi dan menanggapi ancaman keamanan dalam lingkungan.
Mengenai transparansi rantai pasokan, FishOS dibangun di atas komponen sumber terbuka — OpenStack, Ceph, Kubernetes — dengan basis kode yang dapat diaudit secara publik. Sardina Systems menyediakan dokumentasi SBOM, yang secara langsung mendukung penilaian kepercayaan rantai pasokan yang disyaratkan di bawah BSIG yang direvisi.
FishOS mendukung migrasi dari VMware dan platform lama lainnya melalui perangkat FishOS Move It, menggunakan pendekatan waktu henti minimal atau pelacakan blok perubahan (CBT) untuk lingkungan langsung. Kedua metode tersebut memiliki rekam jejak yang terbukti di situs produksi.
FishOS menyediakan fondasi arsitektur — kedaulatan di tempat, auditabilitas sumber terbuka, ketersediaan tinggi, dan alat operasional — yang dibutuhkan operator untuk membangun dan menunjukkan infrastruktur yang patuh.
Tempat Memulai dengan KRITIS
Jika organisasi Anda berpotensi termasuk dalam cakupan di bawah BSIG yang direvisi — baik sebagai operator KRITIS yang ada atau sebagai entitas yang baru diatur di bawah kategori NIS2 — prioritas langsungnya adalah:
Pertama, verifikasi apakah Anda memenuhi syarat sebagai Betreiber kritischer Anlagen di bawah BSI-KritisV yang diperbarui, atau sebagai besonders wichtige atau wichtige Einrichtung di bawah kerangka kerja NIS2 yang lebih luas. BSI telah menerbitkan alat penilaian mandiri untuk tujuan ini.
Kedua, jika Anda sudah terdaftar di MIP sebagai operator KRITIS, mulai pendaftaran di portal BSI yang baru sebagai besonders wichtige Einrichtung sebelum 6 Maret 2026.
Ketiga, nilai infrastruktur Anda saat ini terhadap persyaratan teknis §30 dan 31 BSIG — terutama seputar deteksi serangan, pencatatan audit, dan dokumentasi rantai pasokan.
