cpu-data.info

MODEL upstream regulation adalah salah satu pendekatan hukum transformatif untuk menghadapi gelegar transformasi digital yang luar biasa dan sering tak terduga dampaknya.

Oleh karena itu, teori hukum transformatif yang saya kembangkan menekankan pentingnya pendekatan dan analisis risiko dalam pembentukan hukum.

Konteks yang dibangun dalam prinsip hukum transformatif mencakup perubahan kelembagaan, penguatan keadilan, pengembangan pola pikir dan perilaku masyarakat, serta pengaturan perilaku industri demi keberlanjutan manusia dan ekosistemnya.

Baca artikel sebelumnya: Keamanan Siber dan Urgensi Upstream Regulation (Bagian I)

Hukum tidak hanya berperan untuk terciptanya ketertiban, keadilan, kepastian, dan kemanfaatan, tetapi juga menjadi infrastruktur transformasi.

Hukum harus berfungsi mendorong lahirnya produk digital yang efektif dan aman. Hukum juga harus mendukung transformasi tanpa mengorbankan prinsip pelindungan negara dan masyarakat secara demokratis.

Hukum perlu mengakomodasi anasir-anasir perubahan teknologi dengan cepat, melindungi hak-hak individu, mendorong pertumbuhan ekonomi, dan memastikan akses inklusif terhadap teknologi digital.

Hukum harus melindungi kelompok rentan, beradaptasi dengan perubahan zaman.

EU CRA

Uni Eropa baru saja menyetujui “EU Cyber Resilience Act”. UU baru ini adalah contoh konkret model upstream regulation.

Uni Eropa sukses membuat UU ini, meskipun awalnya tak sepi kritik dari pelaku industri. UU mengatur kewajiban keandalan dan keamanan siber atas produk dan layanan teknologi informasi dan memastikannya sebelum dilepas dan tersedia di pasar.

Stephanie Domas, dalam tulisan berjudul "A CISO's Summary of The Cyber Resilience Act" yang dimuat Forbes (11/07/2024) menguraikan bahwa EU CRA bertujuan membuat perangkat lebih aman, dengan menerapkan persyaratan keamanan siber, dokumentasi, dan pelaporan kerentanan yang lebih ketat.

CRA berlaku untuk produk yang mengandung elemen digital yang terhubung ke internet, yang akan dijual di Uni Eropa. Persyaratan berdasarkan CRA akan bervariasi tergantung pada kategori perangkat atau perangkat lunak.

Perangkat dikelompokkan ke dalam tiga kategori berdasarkan faktor risiko keamanan siber, dan tingkat otoritas akses, koneksi ke infrastruktur, jaringan, atau sistem sensitif.

Klasifikasi itu mencakup pertama, kategori Tidak Kritis. Kategori ini hanya memerlukan self assessment.

Kedua adalah kategori Kritis I, yaitu produk dengan akses tingkat risiko lebih rendah, seperti pengelola kata sandi, firewall, VPN, dan browser web. Kategori ini memerlukan sertifikasi "standar" oleh pihak ketiga.