Ketahanan Siber Bank Digital: Aturan OJK 2026

Kini Indonesia punya 17 bank digital berizin, jumlah yang termasuk paling banyak di Asia Tenggara. Penetrasi perbankan digital ikut tumbuh, dari 31% pada 2022 menjadi proyeksi 39% pada 2026, atau sekitar 75 juta orang.

Menjalankan bank digital di Indonesia berarti berada di tengah pertumbuhan pesat ini. Selama dua tahun terakhir, sebagian besar tim kepatuhan di bank-bank ini sibuk mengurus Undang-Undang Pelindungan Data Pribadi (UU PDP).

Fokus itu memang perlu, tapi belum cukup. Otoritas Jasa Keuangan (OJK) sudah menyusun seperangkat aturan operasional yang sama sekali terpisah, dan kebanyakan kalender kepatuhan masih menganggapnya urusan belakangan.

Yang diatur OJK tapi tidak diatur UU PDP

UU PDP mengatur cara data pribadi dikumpulkan, disimpan, dan dibagikan. Isinya hampir tidak menyentuh apakah sistem bank tetap berjalan saat diserang, atau apakah transaksi fraud terdeteksi sebelum dananya berpindah. Undang-undang ini juga nyaris tidak membahas vendor TI pihak ketiga yang diam-diam menjadi mata rantai terlemah.

UU PDP mengatur privasi, bukan operasional bank

UU PDP, atau resminya UU No. 27 Tahun 2022, berlaku penuh sejak Oktober 2024. Undang-undang ini membagi data pribadi menjadi data yang bersifat umum, seperti nama dan alamat, dan data yang bersifat spesifik, seperti rekam medis dan data keuangan. Data spesifik ini butuh pelindungan yang lebih ketat.

Regulator khususnya, Lembaga PDP, belum dibentuk. Per pertengahan 2026, penegakannya untuk sementara dipegang direktorat di Kementerian Komunikasi dan Digital (Komdigi).

Bank digital ditentukan oleh kanalnya, bukan kantor cabangnya

Bank digital, menurut POJK 12/POJK.03/2021, adalah bank berbadan hukum Indonesia yang beroperasi terutama atau sepenuhnya lewat kanal elektronik, tanpa cabang atau dengan sedikit cabang.

Pemain baru wajib menyetor modal minimal Rp 10 triliun. Definisi ini menjelaskan mengapa OJK sangat memperhatikan uptime dan integritas transaksi. Bagi bank-bank ini, aplikasi bukan sekadar kanal. Aplikasi itulah banknya.

Aturan ketahanan siber OJK, satu per satu

Tiga regulasi, ditambah satu yang belum lama berlaku, kini membentuk rangkaian aturan ketahanan siber bagi bank umum dan bank digital di Indonesia. Setiap aturan dibangun di atas aturan sebelumnya.

1. SEOJK 29/2022 membangun fondasi operasional

SEOJK 29/SEOJK.03/2022, yang terbit Desember 2022, mewajibkan bank menilai risiko inheren siber dan mengukur sendiri tingkat maturitas keamanan sibernya. Bank juga wajib menjalankan pengujian keamanan siber secara berkala dan punya unit khusus untuk keamanan dan ketahanan siber.

Aturan ini dibangun di atas POJK 11/POJK.03/2022, regulasi sebelumnya tentang penyelenggaraan TI. POJK itu sudah mewajibkan uji tuntas (due diligence) sebelum bank meneken kontrak dengan vendor TI mana pun.

2. POJK 12/2024 menambah lapisan khusus anti fraud

Dalam kerangka regulasi OJK untuk bank digital, POJK 12/2024 (berlaku sejak Oktober 2024) terbit menyusul kerugian besar di perbankan. Antara 2022 dan kuartal pertama 2024, penipuan identitas sintetis, phishing, dan fraud kredit membuat bank di Indonesia rugi lebih dari Rp 2.5 triliun.

Aturan ini mewajibkan strategi anti fraud dengan empat pilar: pencegahan, deteksi, investigasi dan pelaporan, serta pemantauan berkelanjutan. Bank juga wajib punya unit khusus yang dipimpin pejabat bersertifikat. Fraud yang signifikan wajib dilaporkan ke OJK paling lambat tiga hari kerja sejak diketahui.

3. PADK OJK 1/2026 melengkapi sisi privasi

Pada 1 Maret 2026, Peraturan Anggota Dewan Komisioner (PADK) OJK 1/2026 mulai berlaku, menggantikan aturan tahun 2017 yang sudah usang. Aturan ini mencakup tata kelola TI dan kerja sama dengan vendor, serta merujuk ke asesmen maturitas digital. Kini bank juga wajib menilai ulang materialitas tiap vendor TI setiap kali ada perubahan di pihak vendor, bukan hanya saat kontrak diperpanjang.

Menurut OJK, aturan ini juga memuat kerangka yang lebih komprehensif untuk pengelolaan data dan pelindungan data pribadi. Artinya, OJK juga ikut masuk ke urusan privasi.

Mengapa tinjauan setahun sekali tidak cukup

Sepanjang 2025, Badan Siber dan Sandi Negara (BSSN) mencatat 5.2 miliar anomali trafik internet yang berpotensi menjadi serangan siber. Sebanyak 94% di antaranya melibatkan malware berisiko tinggi yang bisa berkembang menjadi ransomware.

Dengan angka ancaman siber seperti ini, tinjauan kepatuhan tahunan nyaris tidak membuktikan apa-apa. Apalagi bagi bank digital yang tidak punya teller sebagai cadangan saat sistem mati.

• Kanal yang sepenuhnya digital tidak punya cadangan manual saat sistem gagal. Kalau aplikasi atau platform core banking mati, tidak ada kantor cabang tempat nasabah bisa dialihkan.
• Pentest tahunan tidak bisa melihat apa yang berubah bulan lalu. Hasil uji bulan Januari tidak banyak bicara soal API yang baru dirilis bank pada bulan Juni.
• Fraud terjadi dalam hitungan detik, sementara tinjauan berjalan per kuartal. Identitas sintetis atau transfer hasil social engineering bisa lolos sebelum sebagian besar siklus pemantauan model lama sempat berjalan.
• Satu vendor yang terlewat bisa menggugurkan kontrol dari empat regulasi sekaligus. Bank bisa lolos semua audit internal, tapi tetap terekspos lewat payment gateway yang tidak diperiksa tuntas.

Kerangka kepatuhan berkelanjutan: CTEM

Continuous Threat Exposure Management (CTEM) adalah model yang didefinisikan Gartner. CTEM mengganti audit sesekali dengan siklus lima tahap yang berjalan terus.

1. Penentuan ruang lingkup

Tentukan apa yang benar-benar penting: sistem core banking, jalur pembayaran, tempat penyimpanan data nasabah, dan cara keberhasilan diukur.

2. Identifikasi aset

Petakan attack surface yang sebenarnya, termasuk shadow IT, API yang terekspos, dan semua koneksi pihak ketiga, bukan hanya aset di daftar inventaris.

3. Penentuan prioritas

Urutkan eksposur berdasarkan biaya nyatanya bagi bank, bukan berdasarkan skor tingkat keparahan yang generik.

4. Validasi

Uji apakah eksposur itu benar-benar bisa dieksploitasi dengan cara penyerang, bukan sekadar percaya pada hasil scanner.

5. Mobilisasi

Ubah temuan menjadi tindakan, lengkap dengan penanggung jawab, tenggat, dan bukti yang bisa ditunjukkan ke OJK kapan pun diminta. Kalau CTEM berjalan baik, asesmen maturitas SEOJK 29/2022 dan skor maturitas digital yang dirujuk PADK OJK 1/2026 tak lagi dikebut setahun sekali. Bank bisa membuktikannya kapan saja sepanjang tahun.

Membangun pemantauan transaksi real-time

Empat pilar POJK 12/2024 baru efektif kalau deteksi benar-benar terjadi secara real-time, bukan lewat batch job yang diproses semalaman. Pemantauan transaksi otomatis membantu bank digital mendeteksi dan menghentikan transfer ilegal sebelum dananya berpindah.

• Satu tampilan terpadu untuk semua kanal. Mobile, web, API, dan integrasi pihak ketiga perlu masuk ke sistem pemantauan yang sama, bukan ke lima sistem yang terpisah-pisah.
• Analitik perilaku, bukan hanya rule statis. Rule yang menandai “transfer di atas Rp 50 juta” akan meloloskan identitas sintetis yang berperilaku seperti nasabah biasa, sampai akhirnya ia beraksi.
• Simulasi skenario untuk hal yang belum pernah terjadi. Sindikat fraud cepat beradaptasi. Sistem yang hanya mengenali pola tahun lalu akan selalu tertinggal satu langkah.
• Dokumentasi yang siap sebelum OJK meminta. Unit fraud yang diwajibkan POJK 12/2024 perlu punya bukti di tangan, bukan bukti yang baru disusun setelah permintaan datang.

Yang perlu dilakukan sebelum pemeriksaan berikutnya

Lima langkah berikut mengikuti arah perkembangan regulasi, bukan hanya posisinya hari ini.

1. Tunjuk satu penanggung jawab untuk ketahanan siber dan strategi anti fraud. POJK 12/2024 sudah mewajibkan pejabat bersertifikat. Jangan biarkan posisi ini kosong atau dibagi antardepartemen.
2. Jalankan uji materialitas vendor sesuai aturan baru. Berdasarkan PADK OJK 1/2026, setiap penyedia TI perlu dinilai ulang saat ada perubahan material di pihak mereka. Masukkan pemicu itu ke manajemen vendor sebelum OJK memintanya.
3. Pindahkan pengujian ke ritme CTEM. Satu kali pentest setahun tidak akan bisa mengimbangi bank yang merilis pembaruan setiap minggu.
4. Siapkan format pelaporan. PADK OJK 1/2026 menetapkan format baru untuk rencana pengembangan TI dan laporan kondisi terkini. Pelaporan insiden tetap mengacu pada SEOJK Siber, yaitu SEOJK yang dibahas di atas. Menyusun semuanya dari sekarang jauh lebih baik daripada menyusunnya saat terdesak.
5. Simpan bukti untuk semuanya. Di mata OJK, kontrol yang tidak bisa ditunjukkan saat diminta sama saja dengan kontrol yang tidak ada.

Ketahanan siber bank digital diuji di luar masa pemeriksaan

UU PDP dan rangkaian aturan ketahanan siber OJK makin saling mendekat, tapi keduanya tetap menjawab pertanyaan yang berbeda. UU PDP bertanya apakah bank mengelola data pribadi sesuai hukum. Aturan OJK bertanya apakah bank tetap berdiri dan dana nasabah tetap aman saat terjadi masalah. Bank digital butuh jawaban nyata untuk keduanya, bukan tumpukan berkas yang baru dibuka menjelang audit.

Zentara menjalankan layanan Managed SOC dengan SLA respons bertingkat: insiden kritis direspons dalam 15 menit. Layanan ini dirancang mengikuti acuan kepatuhan yang kini juga dipakai untuk menguji bank, termasuk acuan OJK.

Kalau tim keamanan siber bank digital Anda masih menjalankan ketahanan siber sebagai proyek tahunan, bukan pekerjaan berkelanjutan, sebaiknya itu dibenahi sebelum OJK yang turun tangan.

Kenali Zentara lebih jauh atau bicara dengan ahli keamanan siber kami untuk melihat posisi keamanan Anda saat ini.