Air Minum Belum Diakui sebagai Infrastruktur Kritis, Setidaknya oleh Indonesia Sendiri

Malam 25 November 2023, sebuah stasiun pompa milik Municipal Water Authority of Aliquippa, kota kecil dekat Pittsburgh, Amerika Serikat, berhenti bekerja. Bukan karena rusak. Operator menemukan layar kendalinya sudah diambil alih dari jarak jauh, menampilkan pesan yang mengklaim serangan itu menyasar segala sesuatu yang “dibuat di Israel” [1]. Sasarannya adalah pengendali logika terprogram, atau programmable logic controller (PLC), buatan Israel yang dipakai luas di utilitas air Amerika untuk mengatur pompa dan katup.

Operator bereaksi cepat, mengalihkan sistem ke mode manual sebelum ada dampak ke pasokan air dua kota yang dilayani jalur itu. Tapi Aliquippa bukan kejadian tunggal. Antara November 2023 dan Januari 2024, kelompok yang menamai diri CyberAv3ngers, belakangan diatribusikan resmi oleh badan keamanan siber pemerintah Amerika Serikat (Cybersecurity and Infrastructure Security Agency, atau CISA) sebagai unit yang berafiliasi dengan Korps Garda Revolusi Iran, membobol setidaknya 75 perangkat PLC serupa di berbagai negara bagian. Tiga puluh empat di antaranya berada di sektor air dan air limbah [1]. Februari 2024, Kementerian Keuangan Amerika Serikat menjatuhkan sanksi kepada enam pejabat yang dianggap mengarahkan operasi ini [2].

Insiden ini bukan hipotetis, bukan skenario latihan meja. Ia sungguhan, tercatat, dan diatribusikan lembaga resmi. Dan justru karena itulah dua negara tetangga terdekat Indonesia di kawasan Asia-Pasifik, Australia dan Selandia Baru, sedang bergerak cepat menegaskan satu hal yang mungkin terdengar aneh untuk dipertanyakan: apakah air minum, secara hukum, dianggap infrastruktur kritis yang wajib dilindungi secara siber?

Pertanyaan yang sama, kalau diajukan ke kerangka hukum Indonesia sendiri, jawabannya lebih rumit daripada yang saya kira sebelum menulis ini.

Koreksi kecil atas tulisan saya sendiri

Saya pernah memetakan lima lapis regulasi yang mengikat utilitas air Indonesia di tulisan lain, dan salah satu lapisnya adalah rezim Infrastruktur Informasi Vital (IIV) yang diatur Peraturan Presiden Nomor 82 Tahun 2022. Waktu itu saya menyebut air sebagai bagian dari rezim tersebut. Menelusurinya lebih dalam untuk tulisan ini, saya menemukan sesuatu yang perlu saya luruskan sendiri: air minum tidak ada, secara eksplisit, di antara delapan sektor yang diatur Perpres itu.

Saya kira ini layak diakui terus terang, bukan disembunyikan. Tulisan ini justru lahir dari koreksi itu.

Yang sudah ditegaskan Australia

Australia mengatur infrastruktur kritis lewat Security of Critical Infrastructure Act (SOCI Act), disahkan 2018 dan terus diperkuat sejak itu. Undang-undang ini mencakup 11 sektor, dan air beserta air limbah adalah salah satunya, disebut eksplisit, bukan tersirat lewat kategori lain. Definisinya pun konkret: sebuah “aset air kritis” adalah sistem atau jaringan air maupun air limbah yang dikelola satu utilitas dan melayani sedikitnya 100.000 sambungan [3]. Bukan penilaian subjektif pemerintah tentang mana utilitas yang dianggap penting, melainkan angka yang bisa dihitung siapa saja.

25 Maret 2026, Menteri Dalam Negeri Australia membuka konsultasi atas dua perubahan besar: penguatan wewenang arahan menteri, dan draf pembaruan aturan Program Manajemen Risiko Infrastruktur Kritis (Critical Infrastructure Risk Management Program, disingkat CIRMP) [4]. Untuk utilitas air, konsekuensinya konkret. Mereka wajib mencapai tingkat kematangan siber level 2 dari kerangka kerja yang ditentukan, menerapkan segregasi jaringan antara sistem kendali operasional dan jaringan kantor biasa, serta memakai autentikasi multi-faktor yang tahan terhadap phishing [4]. Rantai pasoknya pun diaudit: perusahaan wajib memetakan pemasok utama dan sistem kritis mereka, termasuk kerentanan yang melekat di dalamnya.

Yang paling tajam justru soal kewajiban lapor. Insiden siber kritis, terutama yang mengancam keselamatan pasokan lewat gangguan sistem operasional, wajib dilaporkan dalam 12 jam. Insiden siber lain diberi waktu 72 jam [4]. Dua belas jam nyaris tidak cukup untuk triase manual sekalipun, dan itulah yang membuat aturan ini terasa dirancang untuk memaksa kesiapan sejak awal, bukan sekadar mencatat kejadian setelah lewat.

Jadwal berlakunya bertahap: kewajiban manajemen risiko segala bahaya berlaku 6 bulan sejak aturan disahkan, kewajiban keamanan siber dan personel 2 tahun (dengan opsi perpanjangan 18 bulan khusus rencana keamanan personel), dan kewajiban rantai pasok serta keamanan fisik 18 bulan [4]. Bertahap, tapi arahnya jelas: bukan lagi soal apakah, melainkan kapan seluruh sektor air Australia mencapai level kematangan yang ditetapkan.

Yang sedang disiapkan Selandia Baru

Selandia Baru belum punya undang-undang setingkat SOCI Act, tapi sedang menyusunnya dengan kecepatan yang layak diperhatikan. Februari 2026, Kantor Perdana Menteri dan Kabinet (Department of the Prime Minister and Cabinet, DPMC) menerbitkan Strategi Keamanan Siber 2026-2030, disertai dokumen diskusi berjudul “Enhancing the Cyber Security of New Zealand’s Critical Infrastructure System”. Konsultasi publiknya dibuka 27 Februari, ditutup 19 April 2026 [5].

Dokumen itu menyebut tujuh layanan esensial yang jadi fokus rezim baru: telekomunikasi dan data, pertahanan, energi, keuangan, kesehatan, transportasi, serta air minum dan air limbah [5]. Air disebut namanya, bukan diasumsikan masuk lewat kategori lain.

Yang membuat proposal ini berbeda dari kebanyakan rezim kepatuhan adalah sasarannya: bukan cuma organisasi, tapi individu di dalamnya. Untuk pelanggaran paling serius oleh badan usaha, denda yang diusulkan mencapai NZD 5 juta atau 2 persen dari omzet tahunan, mana yang lebih besar [6]. Direktur pun diusulkan menanggung tanggung jawab pidana pribadi secara bertingkat: sampai NZD 100.000 untuk pelanggaran serius, dan sampai NZD 500.000 untuk pelanggaran kritis [5]. Ada usulan masa tenggang satu tahun sebelum penegakan berjalan penuh, tapi arah kebijakannya sudah jelas sejak dokumen ini terbit: air minum akan diperlakukan setara energi dan telekomunikasi, bukan sebagai sektor pendukung yang keamanannya bisa ditunda.

Yang belum dilakukan Indonesia

Kembali ke Indonesia. Peraturan Presiden Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital mengatur delapan sektor: administrasi pemerintahan, energi dan sumber daya mineral, transportasi, keuangan, kesehatan, teknologi informasi dan komunikasi, pangan, dan pertahanan [7]. Saya mengeceknya dua kali sebelum menulis kalimat ini, karena hasilnya mengoreksi tulisan saya sendiri: air tidak ada dalam daftar itu.

Perpres ini memang menyediakan mekanisme untuk menambah sektor. Kalau di kemudian hari ada sektor strategis lain, presiden bisa menetapkannya sebagai IIV sekaligus menunjuk kementerian atau lembaga penanggung jawabnya [7]. Sampai tulisan ini dibuat, saya tidak menemukan penetapan tambahan yang mencakup air minum. Ini bukan berarti mustahil ada, apalagi tersembunyi di penetapan yang belum saya temukan. Tapi sepanjang penelusuran publik yang tersedia, statusnya belum ada.

Yang menarik, itu bukan berarti Badan Siber dan Sandi Negara (BSSN) sama sekali tidak peduli pada sektor ini. BSSN pernah menandatangani kerja sama dengan PT Air Minum Giri Menang di Nusa Tenggara Barat untuk pelindungan informasi dan penguatan kapabilitas keamanan siber [8]. Tapi perhatikan bedanya dengan kerangka Australia: yang terjadi di Indonesia adalah kerja sama bilateral, satu perjanjian dengan satu perusahaan, dan sukarela. Bukan kewajiban yang otomatis berlaku ke semua utilitas air yang memenuhi kriteria objektif tertentu, seperti jumlah sambungan di Australia. Kalau utilitas lain tidak mengajukan diri, tidak ada mekanisme yang memaksanya ikut.

Perbedaan ini lebih penting daripada yang terlihat sekilas. Kerja sama sukarela bergantung pada inisiatif masing-masing organisasi, pada siapa yang kebetulan tahu untuk menghubungi BSSN, pada anggaran yang kebetulan tersedia tahun itu. Kewajiban berbasis kriteria objektif tidak bergantung pada satu pun dari itu. Ia berlaku karena organisasi memenuhi definisi, titik, tanpa perlu ada yang mengajukan diri lebih dulu.

Tabel 1. Status air sebagai infrastruktur kritis di tiga yurisdiksi, per Juli 2026.

Satu sanggahan lagi layak diantisipasi di sini: bukankah utilitas air milik pemerintah daerah otomatis masuk sektor “administrasi pemerintahan”, yang justru sudah diampu BSSN sebagai salah satu dari delapan sektor IIV? Pertanyaannya masuk akal, tapi jawabannya tetap tidak menutup celah ini. Kerangka Perpres 82/2022 mengatur berdasarkan fungsi sistemnya, bukan berdasarkan siapa pemilik badan hukumnya. Sistem administrasi pemerintahan yang dimaksud adalah layanan pemerintahan itu sendiri (basis data kependudukan, sistem keuangan negara, dan semacamnya), bukan otomatis mencakup seluruh anak usaha atau badan usaha milik daerah yang kebetulan sahamnya dipegang pemerintah. Sistem operasional pompa dan klorinasi sebuah perusahaan daerah air minum tidak lantas terlindungi lewat kepemilikan pemerintah daerahnya, karena yang diatur rezim ini adalah jenis sistemnya, bukan jenis pemiliknya.

“Tapi kan sudah ada UU PDP”

Sanggahan yang paling sering saya dengar kalau topik ini diangkat: bukankah Undang-Undang Pelindungan Data Pribadi sudah mengikat utilitas air, karena mereka mengelola data pelanggan dalam jumlah besar? Betul, dan kewajiban itu sudah berlaku penuh sejak Oktober 2024 seperti saya bahas di tulisan lain. Tapi UU PDP dan rezim IIV melindungi dua hal yang berbeda.

UU PDP melindungi data: nama pelanggan, alamat, nomor identitas, riwayat tagihan, pola konsumsi. Kalau data itu bocor, dampaknya privasi dan reputasi.

Rezim IIV, dan yang sedang dibangun Australia serta Selandia Baru, melindungi sistem operasional: pompa yang mengalirkan air, katup yang mengatur tekanan, dosis bahan kimia yang menjaga air aman diminum. Kalau sistem ini diretas seperti Aliquippa, dampaknya bukan privasi, melainkan keselamatan fisik jutaan orang yang meminum air itu setiap hari.

Menyamakan keduanya, seolah satu regulasi otomatis mencakup yang lain, adalah kesalahan kategori yang bisa berakibat serius: organisasi merasa sudah patuh secara siber padahal yang mereka penuhi baru urusan data, bukan urusan operasional. Sistem kendali industri (Operational Technology, atau OT) yang mengatur pompa dan dosis kimia jarang tersentuh audit kepatuhan data pribadi, karena memang bukan itu yang diaturnya.

Kenapa air, bukan cuma listrik atau telekomunikasi

Ada alasan air layak diperlakukan setara, bahkan mungkin lebih hati-hati, dibanding sektor infrastruktur kritis yang lebih lazim disebut seperti energi atau telekomunikasi. Listrik padam bisa ditoleransi beberapa jam. Jaringan telekomunikasi terganggu bisa dipulihkan tanpa dampak fisik langsung ke tubuh manusia. Air yang pasokannya terhenti atau kualitasnya berubah tanpa disadari punya potensi dampak yang tidak bisa ditarik kembali begitu sampai ke keran rumah tangga, seperti yang nyaris terjadi di Aliquippa sebelum operator sempat mengalihkannya ke mode manual.

Air adalah satu-satunya kebutuhan yang tidak bisa ditunda, dan justru itu yang membuatnya sasaran paling senyap. Tidak ada yang membuat berita besar soal OT air minum sampai sesuatu terlanjur terjadi.

Satu langkah yang tidak butuh undang-undang baru

Saya tidak menulis ini untuk menyimpulkan Indonesia harus buru-buru membuat undang-undang baru. Perpres 82/2022 sudah punya mekanisme untuk menambah sektor tanpa perlu proses legislasi dari nol. Dan ada langkah yang bisa diambil utilitas air mana pun minggu ini juga, tanpa menunggu penetapan resmi turun: mengikuti jejak yang sudah dirintis Giri Menang, mengajukan kerja sama langsung dengan BSSN untuk penilaian dan penguatan keamanan sistem operasionalnya, alih-alih menunggu status hukum yang belum tentu datang tahun ini.

Untuk direksi atau manajer TI yang membaca ini, satu pertanyaan layak dibawa ke rapat minggu depan: kalau sistem kendali operasional organisasi Anda diserang malam ini, siapa yang wajib dihubungi, dan dalam berapa jam? Australia sudah punya jawaban tertulisnya: 12 jam. Selandia Baru sedang menuliskannya. Pertanyaan yang sama, diajukan ke kebanyakan utilitas air Indonesia hari ini, kemungkinan besar belum punya jawaban sepasti itu.

Itulah celah yang sebenarnya. Dan celah itu bisa mulai ditutup jauh sebelum ada undang-undang baru yang menyuruhnya.

FD Iskandar menulis tentang tata kelola teknologi, sistem, dan utilitas air. Kontak: me@fdiskandar.com .

Disclaimer: Tulisan ini adalah pandangan pribadi penulis dan tidak mewakili pandangan organisasi mana pun. Informasi disajikan untuk tujuan edukasi dan diskusi, bukan nasihat hukum atau profesional. Regulasi yang dibahas, khususnya proposal Selandia Baru, masih dalam tahap konsultasi/diskusi dan dapat berubah sebelum berlaku efektif.

Referensi

1. CISA Advisory AA23-335A, "IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors, Including U.S. Water and Wastewater Systems Facilities". Cybersecurity and Infrastructure Security Agency. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-335a
2. U.S. Department of the Treasury, "Treasury Sanctions Actors Responsible for Malicious Cyber Activities on Critical Infrastructure", 2 Februari 2024. https://home.treasury.gov/news/press-releases/jy2072
3. Australian Government, Critical Infrastructure Centre, "Coverage of the Security of Critical Infrastructure Act 2018" (factsheet), definisi "critical water asset". https://www.homeaffairs.gov.au/nat-security/files/cic-factsheet-coverage-of-security-of-critical-infrastructure-act-2018.pdf
4. LK Law, "Stepping up Security: Incoming Amendments to Australia's Security of Critical Infrastructure Regulatory Framework", April 2026. https://www.lk.law/2026/04/stepping-up-security-incoming-amendments-to-australias-security-of-critical-infrastructure-regulatory-framework/
5. Simpson Grierson, "New Zealand's Next Cyber Era: Higher Standards, Harder Consequences", 2026. https://www.simpsongrierson.com/insights-news/legal-updates/new-zealand-s-next-cyber-era-higher-standards-harder-consequences
6. Bell Gully, "Privacy Penalties and Personal Liability: A New World for NZ Cyber Laws", 2026. https://www.bellgully.com/insights/privacy-penalties-and-personal-liability-a-new-world-for-nz-cyber-laws/
7. ANTARA News, "BSSN Sosialisasikan Perpres Pelindungan Infrastruktur Informasi Vital", mengutip pernyataan Wakil Kepala BSSN soal delapan sektor strategis. https://www.antaranews.com/berita/3119681/bssn-sosialisasikan-perpres-pelindungan-infrastruktur-informasi-vital
8. Lombok Post (Jawa Pos Group), "Cegah Kebocoran Data Pelanggan, PT AMGM Gandeng BSSN," 17 September 2022. https://lombokpost.jawapos.com/ekonomi-bisnis/17/09/2022/cegah-kebocoran-data-pelanggan-pt-amgm-gandeng-bssn/