Risiko dan Denda Ketidakpatuhan terhadap Akta Keselamatan Siber (Akta 854)

Kategori Risiko di Bawah Akta 854

Berdasarkan panduan rasmi yang diterbitkan, risiko ketidakpatuhan boleh dikategorikan kepada beberapa jenis. Pertama, risiko kewangan langsung: denda boleh dikenakan mengikut peruntukan akta bagi pelbagai bentuk pelanggaran. Kedua, risiko operasi, termasuk penggantungan atau pencabutan lesen bagi pembekal perkhidmatan.

Ketiga, risiko tidak langsung yang sering diabaikan: pendedahan reputasi, kehilangan kontrak (terutama kontrak kerajaan), kos litigasi sivil oleh pihak yang terjejas, dan kos pembaikan pascainsiden. Dalam banyak kes, risiko tidak langsung ini boleh melebihi denda awal.

Untuk jumlah denda yang khusus dan butiran peruntukan, organisasi disyorkan merujuk teks Akta 854 yang diterbitkan secara rasmi dan mendapatkan nasihat peguam.

Risiko Kewangan dan Undang-Undang

Denda boleh dikenakan mengikut peruntukan akta bagi pelbagai bentuk ketidakpatuhan, termasuk kegagalan melaporkan insiden, beroperasi sebagai pembekal tanpa lesen, atau tidak melaksanakan kawalan yang diperlukan.

Selain denda kawal selia, ketidakpatuhan boleh membuka jalan kepada tindakan sivil oleh pihak yang terjejas. Sebagai contoh, jika kebocoran data berlaku kerana kegagalan pematuhan keselamatan, pelanggan yang terjejas mungkin menuntut ganti rugi melalui mahkamah.

Risiko Operasi: Penggantungan dan Pencabutan Lesen

Bagi pembekal perkhidmatan keselamatan siber berlesen, NACSA mempunyai kuasa untuk menggantung atau mencabut lesen sebagai tindakan penguatkuasaan. Hal ini bukan sekadar masalah pematuhan, malah ancaman terhadap kelangsungan perniagaan kerana ia menghalang pembekal daripada beroperasi secara sah.

Bagi entiti NCII, tindakan penguatkuasaan boleh termasuk arahan pematuhan khusus, audit wajib dan, dalam kes yang serius, sekatan operasi tertentu.

Risiko Reputasi dan Kontrak

Walaupun tidak melibatkan kewangan secara langsung, risiko reputasi boleh menjadi kos terbesar akibat ketidakpatuhan. Maklumat tentang tindakan penguatkuasaan biasanya didedahkan kepada umum dan menjejaskan kepercayaan pelanggan serta reputasi pasaran.

Bagi pembekal yang berkhidmat kepada kerajaan atau sektor yang dikawal selia, ketidakpatuhan boleh menyebabkan hilang kelayakan menyertai proses tender pada masa hadapan, kehilangan kontrak sedia ada dan kesukaran memperbaharui pensijilan pembekal.

Strategi Mitigasi yang Praktikal

Strategi mitigasi yang berkesan bermula dengan pemahaman yang jelas tentang kewajipan pematuhan yang terpakai. Langkah-langkah berikut disyorkan:

Nota penting: Maklumat dalam artikel ini bersifat panduan umum. Organisasi disyorkan merujuk teks rasmi akta, garis panduan terkini pengawal selia (BNM, NACSA, Pesuruhjaya Perlindungan Data Peribadi) dan mendapatkan nasihat peguam atau juruaudit bertauliah sebelum membuat keputusan pematuhan.

• Penilaian jurang yang formal terhadap Akta 854 dan kod amalan NACSA
• Audit kesiapsiagaan oleh pihak ketiga yang bebas
• Pelan pembaikan dengan jangka masa dan akauntabiliti yang jelas
• Latihan dan kesedaran kakitangan tentang kewajipan baharu
• Pelan respons insiden yang dikemas kini untuk pelaporan kepada NACSA
• Semakan kontrak pembekal untuk memasukkan klausa pematuhan

Kos Persediaan Berbanding Kos Pascainsiden

Pengalaman industri menunjukkan bahawa kos persediaan pematuhan jauh lebih rendah daripada kos pembaikan pascapelanggaran. Persediaan lazim bagi entiti NCII berskala sederhana mungkin mengambil 6–12 bulan dengan pelaburan yang besar tetapi terancang.

Sebaliknya, kos pascainsiden, termasuk forensik kecemasan, pemberitahuan, ganti rugi sivil, denda dan kehilangan perniagaan, boleh melebihi pelaburan persediaan beberapa kali ganda. Persediaan awal ialah keputusan kewangan yang rasional.