{"id":88928,"date":"2026-04-14T10:02:11","date_gmt":"2026-04-14T10:02:11","guid":{"rendered":"https:\/\/www.sardinasystems.com\/uncategorized-id\/kritis-nis2umsg-aturan-baru-untuk-ti-infrastruktur-kritis\/"},"modified":"2026-04-14T11:40:57","modified_gmt":"2026-04-14T11:40:57","slug":"kritis-nis2umsg-new-rules-for-critical-infrastructure-it","status":"publish","type":"post","link":"https:\/\/www.sardinasystems.com\/id\/blog-kami\/kritis-nis2umsg-new-rules-for-critical-infrastructure-it\/","title":{"rendered":"KRITIS & NIS2UmsG: Aturan Baru untuk TI Infrastruktur Kritis"},"content":{"rendered":"\n

Kerangka kerja KRITIS Jerman untuk melindungi infrastruktur kritis baru saja mengalami perombakan paling signifikan dalam satu dekade terakhir. Undang-Undang Implementasi NIS2 \u2014 Gesetz zur Umsetzung der NIS-2-Richtlinie<\/em>, atau NIS2UmsG \u2014 mulai berlaku pada 6 Desember 2025, secara substansial merevisi Undang-Undang BSI (BSIG) yang telah mengatur kewajiban keamanan TI bagi operator infrastruktur kritis sejak 2009. <\/p>\n\n

Bagi organisasi yang beroperasi di sektor seperti energi, air, kesehatan, transportasi, atau TI dan telekomunikasi, ini bukanlah pembaruan kecil. Lingkup siapa yang diatur, apa yang harus mereka lakukan, dan bagaimana mereka harus membuktikannya telah berubah secara konkret. Artikel ini menjelaskan apa yang telah berubah, apa yang tetap sama, dan apa artinya dalam praktik saat memilih platform cloud. Apa itu KRITIS dan Apa Artinya Sekarang di Bawah Undang-Undang Baru<\/strong>KRITIS \u2014 singkatan dari Kritische Infrastrukturen<\/em><\/a> \u2014 adalah sebutan federal Jerman untuk infrastruktur kritis. Operator fasilitas yang relevan dengan KRITIS telah lama tunduk pada kewajiban keamanan TI tertentu di bawah BSIG, yang diawasi oleh BSI (Bundesamt f\u00fcr Sicherheit in der Informationstechnik<\/em>). <\/p>\n\n

Di bawah undang-undang baru, terminologi telah bergeser. BSIG yang direvisi<\/a> tidak lagi berbicara tentang “Kritische Infrastrukturen” sebagai kategori utama. Sebaliknya, ia mengatur besonders wichtige Einrichtungen<\/em> (entitas yang sangat penting) dan wichtige Einrichtungen<\/em> (entitas penting). Operator dari apa yang sekarang disebut kritische Anlagen<\/em> (fasilitas kritis) adalah bagian dari kelompok pertama dan masih menghadapi persyaratan yang paling ketat. Kewajiban yang mereka pegang di bawah BSIG sebelumnya sebagian besar diteruskan, tetapi direstrukturisasi dan, di beberapa area, diperketat. <\/p>\n\n

Sektor yang dicakup secara luas tetap sama: energi, transportasi, keuangan, kesehatan, air, makanan, TI dan telekomunikasi, ruang angkasa, dan pengelolaan limbah. Yang berubah adalah logika ambang batas, beberapa aturan khusus sektor, dan cakupan keseluruhan siapa yang tercakup dalam kerangka kerja \u2014 tidak hanya operator KRITIS, tetapi puluhan ribu organisasi di seluruh kategori NIS2 yang lebih luas. <\/p>\n\n

Satu perubahan struktural yang mencolok: sektor keuangan telah dibagi menjadi dua \u2014 Finanzwesen<\/em> (Keuangan) dan Leistungen der Sozialversicherung serta Grundsicherung f\u00fcr Arbeitsuchende<\/em> (Tunjangan sosial dan pendapatan dasar bagi pencari kerja)<\/em>. Penyedia asuransi swasta tidak lagi termasuk. Organisasi yang tunduk pada regulasi DORA UE dikecualikan dari kewajiban pelaporan dan audit BSIG tertentu, karena kedua kerangka kerja tersebut tumpang tindih secara signifikan. <\/p>\n\n

Apa yang Harus Dilakukan Operator Fasilitas Kritis Sekarang<\/strong><\/h3>\n\n

Bagi operator kritische Anlagen<\/em>, kewajiban inti \u2014 pendaftaran, pelaporan insiden, penerapan langkah-langkah teknis dan organisasi yang sesuai, serta penyediaan bukti kepatuhan secara berkala \u2014 tetap berlaku. Namun, beberapa detail telah berubah. <\/p>\n\n

Pendaftaran sekarang dua jalur.<\/strong> Operator KRITIS yang ada harus mendaftar tidak hanya di portal MIP (Melde- und Informationsportal<\/em>)<\/a> yang ada, yang telah mereka gunakan hingga sekarang, tetapi juga sebagai besonders wichtige Einrichtung<\/em> di portal BSI yang baru. Batas waktu bagi mereka yang sudah terdaftar adalah tiga bulan sejak 6 Desember 2025 \u2014 yaitu, 6 Maret 2026. Operator baru harus melakukan kedua pendaftaran sejak awal. <\/p>\n\n

Siklus audit telah diperpanjang.<\/strong> Sebelumnya, operator harus menyerahkan bukti kepatuhan setiap dua tahun. Di bawah BSIG yang baru, siklusnya adalah setiap tiga tahun. BSI telah secara langsung memberi tahu operator yang ada tentang tenggat waktu individu baru mereka. <\/p>\n\n

Pelaporan insiden mengikuti struktur NIS2.<\/strong> Kewajiban pelaporan KRITIS sebelumnya sekarang sepenuhnya diserap ke dalam kerangka kerja NIS2. Operator yang melapor melalui MIP tidak perlu menduplikasi laporan di portal BSI \u2014 BSI telah mengonfirmasi bahwa pengaturan transisi ini akan tetap berlaku setidaknya hingga 31 Juli 2026. <\/p>\n\n

Sistem deteksi serangan tetap wajib.<\/strong> Persyaratan untuk menerapkan sistem yang mampu mendeteksi peristiwa yang relevan dengan keamanan \u2014 yang diperkenalkan oleh IT-SiG 2.0 pada tahun 2021 \u2014 diteruskan di bawah \u00a731 BSIG khusus untuk operator fasilitas kritis. BSI telah menerbitkan panduan tentang apa yang harus dapat dilakukan oleh sistem ini (Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung<\/em>), tersedia melalui halaman unduhan BSI. <\/p>\n\n

Titik kontak bersama (G\u00dcAS) dihapuskan.<\/strong> Operator yang sebelumnya berbagi struktur kontak umum dengan rekan-rekan di sektor yang sama sekarang masing-masing harus mempertahankan pengaturan kontak langsung mereka sendiri dengan BSI.<\/p>\n\n

Mengapa Pilihan Platform Cloud Adalah Keputusan Kepatuhan KRITIS<\/strong><\/h3>\n\n

BSIG yang direvisi secara eksplisit mengharuskan operator untuk menilai kepercayaan pemasok teknologi mereka \u2014 termasuk platform tempat beban kerja kritis mereka berjalan. Ini bukan hal baru, tetapi sekarang lebih formal tertanam dalam kerangka kerja. Khusus untuk infrastruktur cloud, ini menimbulkan pertanyaan yang melampaui sertifikasi dan SLA. <\/p>\n\n

Platform cloud publik hyperscale \u2014 AWS, Azure, GCP \u2014 memiliki karakteristik struktural yang sulit diselaraskan dengan persyaratan KRITIS. Keputusan perutean data dibuat secara dinamis, sehingga secara teknis sulit untuk menjamin bahwa data tidak pernah meninggalkan Jerman atau UE. Sistem internal mereka \u2014 hypervisor, tumpukan jaringan \u2014 tidak dapat diaudit secara independen, yang menciptakan gesekan dengan persyaratan penilaian rantai pasokan. Dan penyedia yang berkantor pusat di AS tetap tunduk pada CLOUD Act (18 U.S.C. \u00a7 2713), yang dapat memaksa pengungkapan data terlepas dari tempat data disimpan \u2014 konflik langsung dengan kewajiban kedaulatan data di bawah kerangka kerja BSIG. <\/p>\n\n

Tidak ada satu pun dari ini berarti hyperscaler tidak dapat menjadi bagian dari infrastruktur operator. Namun, ini berarti bahwa untuk beban kerja yang diklasifikasikan sebagai kritis, pertanyaan platform memiliki bobot regulasi, bukan hanya bobot operasional. <\/p>\n\n

Apa yang Harus Dicari dalam Platform Cloud yang Patuh<\/strong><\/h3>\n\n

Berdasarkan persyaratan yang ditetapkan dalam BSIG yang direvisi dan panduan BSI, platform cloud yang mendukung beban kerja yang diatur KRITIS perlu secara demonstratif menangani beberapa area:<\/p>\n\n

Ketersediaan tinggi berdasarkan arsitektur<\/mark><\/strong> \u2014 tidak hanya waktu aktif yang dijanjikan secara kontraktual, tetapi redundansi yang dibangun ke dalam lapisan komputasi, penyimpanan, dan jaringan, tanpa satu titik kegagalan pun.<\/p>\n\n

Penyebaran di tempat atau pribadi dengan kontrol residensi data penuh<\/strong><\/mark> \u2014 operator harus dapat memverifikasi di mana data diproses dan disimpan, tanpa perutean eksternal yang tidak diungkapkan.<\/p>\n\n

Enkripsi saat istirahat dan dalam perjalanan<\/mark><\/strong>, manajemen kunci di bawah kendali operator, dan segmentasi jaringan yang ketat antar penyewa.<\/p>\n\n

Kemampuan deteksi serangan<\/mark><\/strong> yang memenuhi panduan BSI \u2014 pemantauan waktu nyata, deteksi anomali, dan integrasi dengan alat SIEM.<\/p>\n\n

Pencatatan audit penuh<\/mark><\/strong> \u2014 setiap panggilan API, setiap perubahan konfigurasi, setiap tindakan administratif, dapat diekspor untuk inspeksi BSI dan penyerahan bukti kepatuhan tiga tahunan.<\/p>\n\n

Rantai pasokan perangkat lunak yang dapat diaudit<\/mark><\/strong> \u2014 fondasi sumber terbuka dengan daftar bahan perangkat lunak (SBOM) yang dipublikasikan, sehingga operator dapat melakukan penilaian kepercayaan yang disyaratkan oleh undang-undang.<\/p>\n\n

Bagaimana FishOS Menangani Persyaratan KRITIS<\/strong><\/h3>\n\n

FishOS, yang dikembangkan oleh Sardina Systems, adalah platform manajemen cloud yang mengintegrasikan OpenStack, Kubernetes, dan Ceph ke dalam satu tumpukan otomatis. Ini dirancang untuk penyebaran cloud di tempat dan pribadi, yang berarti operator mempertahankan kontrol langsung atas tempat data mereka berada dan diproses \u2014 tanpa ketergantungan pada infrastruktur cloud eksternal atau yurisdiksi asing. <\/p>\n\n

Di sisi ketersediaan, FishOS menyertakan Komponen Pemantauan Kesehatan<\/a> milik sendiri yang terus-menerus menganalisis metrik waktu nyata dan data log. Menurut Sardina Systems, ia menggunakan apa yang mereka gambarkan sebagai pendekatan “imunologi komputer” \u2014 mengidentifikasi tidak hanya keadaan gagal tetapi juga keadaan “sakit” yang terdegradasi sebelum menyebabkan pemadaman. Ini berbeda dari alat pemantauan konvensional. <\/p>\n\n

Di sisi keamanan dan audit, FishOS menyediakan pencatatan audit terpusat yang mencakup tindakan tingkat pengguna dan sistem di seluruh infrastruktur, dan mendukung integrasi SIEM. Menurut ulasan pihak ketiga tentang platform tersebut, FishOS menyertakan kemampuan SIEM terintegrasi untuk mendeteksi dan menanggapi ancaman keamanan dalam lingkungan. <\/p>\n\n

Mengenai transparansi rantai pasokan, FishOS dibangun di atas komponen sumber terbuka \u2014 OpenStack, Ceph, Kubernetes \u2014 dengan basis kode yang dapat diaudit secara publik. Sardina Systems menyediakan dokumentasi SBOM, yang secara langsung mendukung penilaian kepercayaan rantai pasokan yang disyaratkan di bawah BSIG yang direvisi. <\/p>\n\n

FishOS mendukung migrasi dari VMware dan platform lama lainnya melalui perangkat FishOS Move It, menggunakan pendekatan waktu henti minimal atau pelacakan blok perubahan (CBT) untuk lingkungan langsung. Kedua metode tersebut memiliki rekam jejak yang terbukti di situs produksi. <\/p>\n\n

FishOS menyediakan fondasi arsitektur \u2014 kedaulatan di tempat, auditabilitas sumber terbuka, ketersediaan tinggi, dan alat operasional \u2014 yang dibutuhkan operator untuk membangun dan menunjukkan infrastruktur yang patuh.<\/p>\n\n

Tempat Memulai dengan KRITIS<\/strong>Jika organisasi Anda berpotensi termasuk dalam cakupan di bawah BSIG yang direvisi \u2014 baik sebagai operator KRITIS yang ada atau sebagai entitas yang baru diatur di bawah kategori NIS2 \u2014 prioritas langsungnya adalah:<\/p>\n\n

Pertama, verifikasi apakah Anda memenuhi syarat sebagai Betreiber kritischer Anlagen<\/em> di bawah BSI-KritisV yang diperbarui, atau sebagai besonders wichtige<\/em> atau wichtige Einrichtung<\/em> di bawah kerangka kerja NIS2 yang lebih luas. BSI telah menerbitkan alat penilaian mandiri untuk tujuan ini. <\/p>\n\n

Kedua, jika Anda sudah terdaftar di MIP sebagai operator KRITIS, mulai pendaftaran di portal BSI yang baru sebagai besonders wichtige Einrichtung<\/em> sebelum 6 Maret 2026.<\/p>\n\n

Ketiga, nilai infrastruktur Anda saat ini terhadap persyaratan teknis \u00a730 dan 31 BSIG \u2014 terutama seputar deteksi serangan, pencatatan audit, dan dokumentasi rantai pasokan.<\/p>\n\n

\"Spanduk<\/a><\/figure>\n\n

<\/p>\n","protected":false},"excerpt":{"rendered":"

Kerangka kerja KRITIS Jerman untuk melindungi infrastruktur kritis baru saja mengalami perombakan paling signifikan dalam satu dekade terakhir. Undang-Undang Implementasi NIS2 \u2014 Gesetz zur Umsetzung der NIS-2-Richtlinie, atau NIS2UmsG \u2014 mulai berlaku pada 6 Desember 2025, secara substansial merevisi Undang-Undang BSI (BSIG) yang telah mengatur kewajiban keamanan TI bagi operator infrastruktur kritis sejak 2009. Bagi […]<\/p>\n","protected":false},"author":20,"featured_media":88931,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[566,570],"tags":[756,3475],"class_list":["post-88928","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog-kami","category-news-id","tag-infrastruktur-terbuka","tag-kepatuhan-cloud","grve-entry-item","grve-blog-item"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t