EU Cyber Resilience Act: Kewajiban Pelaporan Mulai 11 September 2026

EU Cyber Resilience Act (CRA) mulai menuntut produsen produk digital melapor sejak 11 September 2026: peringatan dini dalam 24 jam, notifikasi dalam 72 jam, dan laporan akhir setelah perbaikan tersedia. Vendor Indonesia yang menjual perangkat lunak atau perangkat ke Uni Eropa perlu menyiapkan prosesnya, sementara kewajiban pelaporan untuk steward open source baru berlaku 11 Desember 2027.

Apa itu Cyber Resilience Act dan tonggak 11 September 2026

Cyber Resilience Act adalah regulasi Uni Eropa yang menetapkan persyaratan keamanan siber bagi produk dengan elemen digital, yakni perangkat lunak maupun perangkat keras, termasuk aplikasi dan program komputer. Menurut halaman Komisi Eropa, regulasi ini berlaku sejak 10 Desember 2024, kewajiban pelaporan mulai berlaku 11 September 2026, dan kewajiban utama lainnya berlaku 11 Desember 2027. Produk yang patuh membawa penanda CE, dan otoritas pengawas pasar nasional menegakkannya. Beberapa produk mungkin juga memerlukan penilaian pihak ketiga oleh notified body sebelum dijual di pasar UE.

Tonggak 11 September 2026 adalah yang pertama kali memiliki konsekuensi operasional nyata: kewajiban pelaporan bagi produsen.

Apa yang wajib dilaporkan dan dalam berapa lama

Dari 11 September 2026, produsen wajib melaporkan dua hal terkait produk mereka: kerentanan yang sedang aktif dieksploitasi, dan insiden parah yang memengaruhi keamanan produk. Tenggat waktunya menurut halaman pelaporan CRA Komisi Eropa:

• Peringatan dini: dalam 24 jam sejak produsen mengetahui kejadian.
• Notifikasi lengkap: dalam 72 jam.
• Laporan akhir untuk kerentanan yang dieksploitasi: paling lambat 14 hari setelah tindakan perbaikan atau mitigasi tersedia.
• Laporan akhir untuk insiden parah: dalam satu bulan setelah notifikasi 72 jam.

Pelaporan dilakukan sekali melalui Single Reporting Platform (SRP) milik ENISA, yang beroperasi sejak 11 September 2026. Notifikasi diarahkan ke CSIRT di negara tempat produsen memiliki tempat usaha utama, dan ENISA menerima informasi yang sama secara bersamaan, kecuali dalam keadaan luar biasa. CSIRT tersebut lalu membagikannya ke CSIRT di negara lain tempat produk tersedia. Halaman pelaporan Komisi tidak merinci CSIRT tujuan bagi produsen yang tidak punya tempat usaha utama di UE, jadi produsen dari luar UE sebaiknya memeriksa teks regulasi dan panduan resmi Komisi untuk memastikannya. Pelaporan sukarela berdasarkan Pasal 15 belum tersedia di SRP pada peluncuran dan akan ditambahkan kemudian, menurut OpenSSF.

Sebagai ilustrasi sederhana (bukan contoh kasus nyata): jika Senin pukul 09.00 Anda mengetahui bahwa kerentanan pada firmware produk Anda sedang dieksploitasi, peringatan dini harus terkirim paling lambat Selasa pukul 09.00 dan notifikasi lengkap paling lambat Kamis pukul 09.00. Laporan akhir menyusul paling lambat 14 hari setelah perbaikan tersedia. Tenggat yang pendek ini menuntut keputusan dan kontak yang sudah disiapkan sebelumnya, bukan dibahas ketika kejadian berlangsung.

Relevansi Cyber Resilience Act bagi vendor Indonesia

Regulasi ini menyasar produk yang dijual di pasar Uni Eropa, jadi lokasi pembuatnya bukan satu-satunya penentu. Maka perusahaan Indonesia yang mengekspor perangkat IoT, aplikasi, firmware, atau perangkat lunak yang diunduh pelanggan UE patut memeriksa apakah produknya masuk cakupan. Beberapa konsekuensi praktisnya:

• Anda perlu mengetahui dalam hitungan jam bahwa sebuah kerentanan di produk Anda sedang dieksploitasi. Itu menuntut pemantauan, kanal laporan pihak luar, dan siapa yang berwenang menyatakan "ini sudah aktif dieksploitasi".
• Jam 24 jam berjalan sejak Anda mengetahui, jadi proses eskalasi di luar jam kerja dan lintas zona waktu harus jelas.
• Anda juga bertanggung jawab atas komponen pihak ketiga di dalam produk. Komponen yang tidak Anda catat adalah komponen yang tidak bisa Anda lacak ketika celahnya viral.

Karena itu, daftar komponen yang rapi (SBOM) menjadi dasar, dan pemahaman tentang risiko rantai pasok perangkat lunak ikut menentukan seberapa cepat Anda bisa menjawab.

Bagaimana dengan proyek open source

Ini sering disalahpahami. Beberapa halaman vendor menyebut steward open source wajib melapor sejak September 2026, tetapi halaman Komisi Eropa menyatakan kewajiban steward berdasarkan Pasal 24(3) berlaku mulai 11 Desember 2027. OpenSSF menegaskan bahwa 11 September 2026 tidak menimbulkan kewajiban pelaporan bagi steward, dan tidak menciptakan kewajiban bagi maintainer atau kontributor perorangan. Yang berubah sejak 11 September 2026 adalah pihak di hilirnya: produsen yang memakai komponen open source wajib melapor bila komponen itu membuat produk mereka terkena kerentanan yang aktif dieksploitasi, sehingga maintainer bisa saja dihubungi produsen. Kerangka Pasal 13(6), yaitu produsen melaporkan kerentanan komponen ke maintainer hulu dan membagikan perbaikannya, menurut OpenSSF bukan bagian dari tonggak September 2026 dan mengikuti kewajiban utama CRA.

Saran OpenSSF untuk maintainer: tambahkan berkas SECURITY.md yang memuat jalur laporan privat, dan jaga agar kontak keamanan tetap terbaru supaya produsen dapat menghubungi orang yang tepat dengan cepat. Untuk praktik dasar menerima laporan, baca responsible disclosure.

Langkah persiapan yang realistis

Kewajiban pelaporan hanyalah bagian awal. Kewajiban utama CRA lainnya, seperti persyaratan keamanan dalam desain produk dan penilaian kesesuaian, baru berlaku 11 Desember 2027, sehingga ada waktu menyiapkan fondasinya secara bertahap.

1. Tentukan cakupan. Daftar produk Anda yang dijual atau tersedia di UE dan apakah masuk definisi produk dengan elemen digital.
2. Tunjuk pemilik proses pelaporan dan cadangannya, lengkap dengan akses ke SRP dan templat laporan 24 jam, 72 jam, dan akhir.
3. Bangun kemampuan mengetahui. Pantau katalog kerentanan yang dieksploitasi, buka kanal laporan peneliti, dan tetapkan kriteria internal untuk "aktif dieksploitasi".
4. Siapkan SBOM per produk dan jalur komunikasi ke maintainer komponen hulu.
5. Latih proses lewat simulasi. Uji jam 24 jam dalam latihan, dan hubungkan dengan rencana incident response yang sudah ada.

Pertanyaan yang Sering Diajukan

Apakah CRA berlaku untuk perusahaan di luar Uni Eropa?

Regulasi ini menyasar produk yang dipasarkan di pasar UE. Jika produk Anda tersedia bagi pelanggan UE, periksa cakupannya dan, bila perlu, konsultasikan dengan penasihat hukum.

Apakah semua kewajiban CRA mulai September 2026?

Tidak. Hanya kewajiban pelaporan produsen yang mulai 11 September 2026. Kewajiban utama lainnya berlaku 11 Desember 2027, begitu pula kewajiban pelaporan steward open source.

Apakah saya perlu melaporkan setiap kerentanan?

Tidak. Yang wajib dilaporkan adalah kerentanan yang sedang aktif dieksploitasi dan insiden parah. Kerentanan lain ditangani melalui proses penanganan kerentanan biasa.

Kesimpulan

CRA membuat kecepatan menjadi kewajiban: tahu, menilai, dan melapor dalam hitungan jam. Vendor Indonesia yang menyasar pasar UE sebaiknya memulai dari cakupan produk, pemilik proses, SBOM, dan latihan simulasi. Jika Anda membutuhkan bantuan menyusun proses penanganan kerentanan atau menguji kesiapan respons, hubungi tim Linuxhackingid lewat halaman kontak kami. Bagi kebutuhan hukum yang mengikat, tetap rujuk teks resmi regulasi dan penasihat hukum.