Cloud dan pusat data untuk lembaga keuangan: POJK 11/POJK.03/2022, izin OJK, dan dampaknya bagi vendor UMKM

Bagi bank umum, POJK 11/POJK.03/2022 tentang Penyelenggaraan Teknologi Informasi oleh Bank Umum mewajibkan penempatan sistem elektronik pada pusat data dan pusat pemulihan bencana di wilayah Indonesia, serta pemrosesan transaksi berbasis TI di wilayah Indonesia. Penempatan di luar Indonesia dimungkinkan berdasarkan kriteria dan persyaratan tertentu dengan terlebih dahulu memperoleh izin OJK. Lembaga jasa keuangan lain punya peraturan OJK sendiri. Bagi UMKM yang menjadi vendor atau mitra lembaga keuangan, aturan ini sering turun dalam bentuk persyaratan kontrak: lokasi server, audit, dan rencana pemulihan. Panduan ini bagian dari panduan kegagalan umum hosting dan cloud. Ini bukan nasihat hukum atau kepatuhan.

Isi pokok POJK 11/POJK.03/2022 yang relevan dengan hosting

Berdasarkan ringkasan resmi OJK, POJK ini terdiri dari 14 bab. Yang paling relevan dengan pilihan hosting dan cloud:

Pasal kuncinya adalah Pasal 35: ayat (1) mewajibkan bank menempatkan sistem elektronik pada pusat data dan pusat pemulihan bencana di wilayah Indonesia; ayat (2) membolehkan penempatan di luar Indonesia sepanjang memperoleh izin OJK; ayat (3) membatasinya pada kriteria tertentu, misalnya sistem untuk analisis terintegrasi atas ketentuan otoritas negara asal, manajemen risiko atau anti pencucian uang yang terintegrasi dengan kantor pusat di luar negeri, layanan nasabah global, komunikasi kantor pusat dan cabang, serta manajemen intern bank.

FAQ resmi OJK untuk POJK ini menambahkan beberapa hal yang relevan dengan cloud:

• Bank boleh memakai layanan cloud computing; penyedia cloud diperlakukan sebagai pihak penyedia jasa TI, sehingga ketentuan penggunaan penyedia jasa TI berlaku. Bila penyedia cloud berada di luar Indonesia, ketentuan penempatan di luar negeri tetap berlaku.
• Core banking system tidak termasuk kriteria yang boleh ditempatkan di luar negeri, jadi tetap wajib di pusat data dan pusat pemulihan bencana di Indonesia.
• Rencana penempatan dicantumkan dalam rencana pengembangan TI; OJK memberi atau menolak izin paling lama 3 bulan setelah dokumen lengkap, dan izin tidak berlaku bila rencana tidak dilaksanakan dalam 6 bulan.

POJK ini terbit pada Juli 2022 (halaman regulasi OJK mencantumkan tanggal 7 Juli 2022) dan sudah berlaku. Rincian tata caranya diatur lebih lanjut, termasuk dalam surat edaran OJK. Cek versi terbaru di situs OJK sebelum memakai rujukan ini.

PP 71/2019 Pasal 21 juga menyebut bahwa untuk sektor keuangan, pengelolaan dan penyimpanan data diatur lebih lanjut oleh otoritas sektornya. Itulah sebabnya kebebasan menyimpan data di luar negeri yang berlaku bagi PSE Lingkup Privat pada umumnya tidak otomatis berlaku bagi bank. Aturan umumnya dibahas di PP 71/2019 dan region Jakarta.

Lembaga keuangan lain

Bank perekonomian rakyat, perusahaan asuransi, perusahaan pembiayaan, penyelenggara pinjaman daring, dan lembaga lain diatur oleh POJK masing-masing, yang isinya tentang TI dan lokasi data bisa berbeda. Bila Anda melayani lembaga non-bank, tanyakan peraturan mana yang berlaku bagi klien Anda dan minta persyaratan tertulisnya. Jangan berasumsi aturan bank umum berlaku sama.

Dampak bagi vendor UMKM

Bila Anda membangun aplikasi, mengelola server, atau menyediakan layanan SaaS bagi bank atau lembaga keuangan, persyaratan yang sering muncul:

• Lokasi: server dan backup di Indonesia, sering dengan nama pusat data atau region yang harus disebut.
• Due diligence: dokumen legalitas, sertifikasi keamanan informasi (misalnya ISO/IEC 27001), dan kebijakan keamanan.
• Hak audit: klien dan regulator berhak memeriksa atau meminta laporan.
• Rencana kelangsungan usaha: rencana pemulihan bencana yang diuji, dengan RTO dan RPO tertulis.
• Subkontraktor: pemberitahuan atau persetujuan sebelum memakai subkontraktor, termasuk penyedia cloud.
• Pelaporan insiden: waktu pemberitahuan yang lebih ketat daripada kontrak biasa.

Contoh ilustratif biaya kesiapan

Vendor aplikasi kecil yang akan melayani bank menyiapkan hal berikut. Angka ilustrasi:

Biaya ini perlu dibandingkan dengan nilai kontrak. Bila kontrak bank bernilai Rp300.000.000 per tahun, biaya kesiapan tahun pertama sekitar 39% dari nilai kontrak sebelum PPN; tahun berikutnya hanya biaya berulang (Rp61.600.000). Hitung payback-nya dengan kalkulator payback, dan rencana migrasinya di panduan migrasi.

Peran BSSN

BSSN menetapkan peraturan dan panduan keamanan siber, termasuk Peraturan BSSN 1/2024 tentang pengelolaan insiden siber dan Peraturan BSSN 4/2021 tentang keamanan Sistem Pemerintahan Berbasis Elektronik (SPBE) bagi instansi pusat dan pemerintah daerah. Kami tidak menemukan peraturan BSSN yang khusus menetapkan lokasi atau standar cloud bagi usaha swasta; bila Anda melayani instansi pemerintah, persyaratan SPBE dan pusat data nasional bisa ikut berlaku melalui kontrak. Cek panduan terbaru di situs BSSN, dan lihat tautan lengkapnya di daftar sumber resmi.

Dokumen yang biasanya diminta klien lembaga keuangan

Menyiapkan paket dokumen sejak awal mempercepat proses uji tuntas. Isi yang umum diminta:

• Diagram arsitektur yang menunjukkan server, basis data, jaringan, dan aliran data, termasuk lokasi setiap komponen.
• Pernyataan lokasi data: nama pusat data atau region utama dan cadangan, serta lokasi dari mana staf dukungan dapat mengakses sistem.
• Bukti pendaftaran PSE bila sistem Anda termasuk kriteria PSE Lingkup Privat.
• Sertifikasi dan laporan penyedia infrastruktur, misalnya sertifikat keamanan informasi pusat data.
• Rencana kelangsungan usaha dan pemulihan bencana beserta laporan uji terakhir, dengan RTO dan RPO terukur.
• Hasil uji penetrasi terbaru dan status perbaikan temuan.
• Kebijakan akses: siapa yang punya akses administrator, autentikasi dua faktor, dan peninjauan akses berkala.
• Prosedur insiden: kontak 24 jam dan batas waktu pemberitahuan kepada klien.
• Daftar subkontraktor, termasuk penyedia cloud, dan perjanjian kerahasiaan.

Simpan versi dan tanggal setiap dokumen; klien biasanya meminta pembaruan setiap tahun atau saat ada perubahan besar.

Pertanyaan yang sering diajukan

Apakah startup fintech boleh memakai cloud luar negeri?

Bergantung pada jenis izin dan POJK yang berlaku untuk usahanya. Banyak aturan sektor keuangan mensyaratkan pusat data di Indonesia atau persetujuan OJK. Tanyakan kepada konsultan hukum yang memahami regulasi OJK.

Apakah memakai region Jakarta penyedia global cukup untuk memenuhi syarat lokasi?

Dari sisi lokasi fisik, region di Jakarta berada di Indonesia. Tetapi persyaratan lain, seperti hak audit, subkontraktor, dan akses dukungan dari luar negeri, tetap perlu dinilai. Daftar region ada di PP 71/2019 dan region Jakarta.

Di mana membaca teks POJK?

Di situs OJK, bagian regulasi. Unduh juga ringkasan dan FAQ yang disediakan OJK untuk POJK tersebut.

Sumber resmi

• Otoritas Jasa Keuangan — POJK 11/POJK.03/2022, ringkasan, FAQ, dan surat edaran terkait
• BSSN — peraturan dan panduan keamanan siber
• pasal.id — teks PP 71/2019 dan Peraturan BSSN
• Bank Indonesia — ketentuan sistem pembayaran bagi penyelenggara terkait