NCII Malaysia 2026: Senarai 11 Sektor di Bawah Akta 854 dan Perkara yang Perlu Anda Lakukan
Akta Keselamatan Siber 2024 (Akta 854) mewujudkan rejim Infrastruktur Maklumat Kritikal Negara (NCII) yang mengenakan kewajipan pematuhan khusus kepada entiti dalam 11 sektor kritikal Malaysia. Artikel ini menghuraikan setiap sektor, kriteria kelayakan biasa, peranan Ketua Sektor, kewajipan teras (pelantikan Ketua Pegawai Keselamatan Maklumat atau CISO, audit tahunan, pemberitahuan insiden dan kod amalan) serta garis masa peralihan 2026. Bagi syarikat yang tidak pasti sama ada mereka NCII, panduan ini menyediakan ujian asas dan saranan tindakan.
Apakah NCII dan Mengapa Ia Penting?
Infrastruktur Maklumat Kritikal Negara (NCII) ialah konsep yang diperkenalkan secara rasmi di Malaysia melalui Akta Keselamatan Siber 2024 (Akta 854). NCII merujuk kepada infrastruktur maklumat dan komunikasi yang gangguan, kerosakan atau kerentanannya boleh menjejaskan keselamatan negara, ekonomi, kesihatan awam atau perkhidmatan asas kerajaan dengan ketara.
Akta 854 menetapkan rangka kerja yang membolehkan NACSA (Agensi Keselamatan Siber Negara) menyelaraskan pengenalpastian NCII, bekerjasama dengan Ketua Sektor (Sector Lead) bagi setiap sektor, dan menguatkuasakan kewajipan pematuhan. Entiti yang dikenal pasti sebagai NCII mempunyai kewajipan yang lebih ketat daripada syarikat lain, termasuk pelantikan CISO, audit tahunan, pemberitahuan insiden dan penyertaan dalam latihan kebangsaan.
Pengenalpastian NCII bukan keputusan yang dibuat sendiri oleh syarikat. Ketua Sektor dan NACSA membuat penetapan berasaskan kriteria seperti kepentingan strategik, kebergantungan ekonomi dan kesan kegagalan. Walau bagaimanapun, syarikat dalam sektor yang tersenarai harus menjangka kemungkinan diklasifikasikan sebagai NCII dan mula bersedia.
Senarai 11 Sektor NCII di Bawah Akta 854
Akta 854 menyenaraikan 11 sektor sebagai sektor NCII Malaysia. Senarai berikut ialah rujukan ringkas. Untuk teks rasmi, rujuk Jadual Akta dan pemberitahuan rasmi NACSA. Ketua Sektor bagi setiap sektor biasanya ialah pengawal selia atau kementerian utama yang menyelia sektor itu.
| # | Sektor | Ketua Sektor (Lazimnya) | Contoh Entiti |
|---|---|---|---|
| 1 | Kerajaan | Kementerian Digital / NACSA | Agensi persekutuan, syarikat berkaitan kerajaan (GLC) kritikal |
| 2 | Perbankan dan Kewangan | Bank Negara Malaysia | Bank berlesen, syarikat insurans, takaful, teknologi kewangan (fintech) utama |
| 3 | Pengangkutan | Kementerian Pengangkutan | MAHB, MAS, RapidKL, KTM, sistem kawalan trafik |
| 4 | Pertahanan dan Keselamatan Negara | Kementerian Pertahanan | Pengeluar peralatan pertahanan, agensi keselamatan |
| 5 | Maklumat, Komunikasi dan Multimedia | MCMC | Penyedia telekomunikasi utama, IXP, pengendali pelayan akar DNS, penyedia awan peringkat 1 |
| 6 | Perkhidmatan Kesihatan | Kementerian Kesihatan Malaysia | Hospital kerajaan dan swasta peringkat 1, sistem rekod kesihatan negara |
| 7 | Tenaga | Kementerian Tenaga / Suruhanjaya Tenaga | TNB, Petronas, SEDA, pengeluar tenaga bebas (IPP) |
| 8 | Pertanian dan Makanan | Kementerian Pertanian | Pengeluar makanan utama, sistem rantaian bekalan kritikal |
| 9 | Perkhidmatan Air | SPAN | Pengendali bekalan air negeri, Air Selangor, PBA dan lain-lain |
| 10 | Pembekalan dan Logistik Negara | Kementerian berkaitan | Pengendali pelabuhan, syarikat logistik kritikal |
| 11 | Perkhidmatan Kecemasan | Kementerian Dalam Negeri | Bomba, polis, perkhidmatan ambulans |
Bagaimanakah Saya Tahu Sama Ada Syarikat Saya Akan Diklasifikasikan sebagai NCII?
Walaupun NACSA dan Ketua Sektor yang membuat penetapan rasmi, anda boleh menganggarkan kemungkinannya dengan menjawab soalan berikut. Pertama, adakah syarikat anda berada dalam salah satu daripada 11 sektor di atas? Kedua, adakah operasi anda memberi kesan langsung kepada lebih daripada 100,000 pengguna akhir? Ketiga, adakah terdapat kebergantungan hiliran yang ketara jika sistem anda terhenti selama 24 jam? Keempat, adakah anda memproses data yang dianggap sensitif pada peringkat kebangsaan (data kesihatan agregat, data kewangan agregat, infrastruktur kritikal)?
Jika anda menjawab 'ya' kepada soalan 1 dan 'ya' kepada mana-mana satu daripada soalan 2, 3 atau 4, kemungkinan besar anda akan diklasifikasikan sebagai NCII atau sebagai pembekal kritikal kepada NCII. Mulalah bersedia sekarang kerana proses pematuhan mengambil masa 6–12 bulan untuk dilaksanakan dengan betul.
Satu perkara penting: walaupun anda tidak diklasifikasikan secara langsung sebagai NCII, anda mungkin tertakluk kepada keperluan pembekal kritikal NCII. Contohnya, jika anda menyediakan perkhidmatan awan, perisian perbankan teras atau perkhidmatan keselamatan kepada NCII, NACSA mungkin mengenakan keperluan ke atas anda sebagai pembekal lapisan kedua.
Kewajipan Teras Entiti NCII
Berdasarkan Akta 854 dan garis panduan awam NACSA, kewajipan teras entiti NCII termasuk:
- Pelantikan Ketua Pegawai Keselamatan Maklumat (CISO) bertauliah dengan kelayakan minimum yang ditetapkan oleh Ketua Sektor.
- Pelaksanaan dan penyelenggaraan Sistem Pengurusan Keselamatan Maklumat (ISMS), biasanya selaras dengan ISO 27001 atau yang setara.
- Audit keselamatan siber sekurang-kurangnya setahun sekali oleh juruaudit yang diiktiraf, dengan laporan dihantar kepada Ketua Sektor dan NACSA.
- Pemberitahuan insiden keselamatan siber kritikal kepada NACSA dalam tempoh yang ditetapkan (lazimnya 24 jam untuk insiden ketara dan 72 jam untuk insiden lain; rujuk peraturan pelaksanaan).
- Pematuhan terhadap kod amalan sektor. Ketua Sektor boleh mengeluarkan kod amalan khusus (contohnya BNM RMiT untuk sektor kewangan dan MCMC untuk syarikat telekomunikasi).
- Penyertaan dalam latihan kebangsaan dan latihan simulasi meja (tabletop exercise) yang dianjurkan oleh NACSA.
- Penyimpanan rekod dan dokumentasi keselamatan untuk tempoh minimum (selalunya 7 tahun bagi jejak audit yang kritikal).
Garis Masa Peralihan 2026 dan Perkara yang Perlu Dilakukan Sekarang
Akta 854 berkuat kuasa secara berperingkat. Aspek pengenalpastian NCII dan pelantikan Ketua Sektor telah aktif. Aspek pelesenan pembekal keselamatan siber sedang dilaksanakan. Penguatkuasaan penuh kewajipan NCII (audit tahunan dan pemberitahuan insiden secara rasmi) dijangka berkembang sepanjang 2026 apabila Ketua Sektor mengeluarkan kod amalan sektor masing-masing.
Jika anda berada dalam mana-mana daripada 11 sektor di atas dan menjangka diklasifikasikan sebagai NCII, berikut ialah langkah praktikal untuk 6 bulan akan datang: (1) jalankan penilaian jurang terhadap kawalan ISO 27001 atau NIST CSF, kerana kebanyakan kewajipan NCII selaras dengan kerangka ini; (2) kenal pasti calon CISO dalaman atau dapatkan vCISO sebagai langkah sementara; (3) wujudkan dasar pemberitahuan insiden dengan perjanjian tahap perkhidmatan (SLA) dalaman 12 jam untuk memberi ruang penampan kepada tempoh pemberitahuan 24 jam NACSA; (4) jalankan latihan simulasi meja untuk senario perisian tebusan (ransomware), pelanggaran data dan pencerobohan rantaian bekalan; (5) dokumentasikan inventori aset kritikal dan kebergantungan pembekal.
Bagi syarikat yang menggunakan pembekal teknologi luar negara (awan dan perisian sebagai perkhidmatan atau SaaS), beri perhatian kepada lokasi data. Beberapa Ketua Sektor mungkin mengeluarkan keperluan agar data kekal di Malaysia untuk kelas data tertentu. Audit pendedahan data anda sebelum kontrak baharu dimuktamadkan.
Kos Pematuhan NCII Lazim
Berdasarkan pengalaman pasaran Malaysia 2024–2026, berikut ialah kos pematuhan NCII tahunan bagi entiti lazim:
| Item | Anggaran Tahunan (RM) | Nota |
|---|---|---|
| CISO (dalaman) atau vCISO | 240,000 – 600,000 | vCISO biasanya 30–50% kos CISO dalaman |
| Audit keselamatan tahunan (luar) | 60,000 – 200,000 | Bergantung pada skop dan kerumitan |
| Pentest tahunan | 80,000 – 500,000 | Lihat panduan harga pentest mengikut saiz |
| SOC/MDR (pemantauan 24/7) | 300,000 – 2,000,000 | Daripada MDR sehingga SOC dalaman |
| Platform keselamatan (SIEM, EDR, NDR) | 200,000 – 1,500,000 | Bergantung pada saiz organisasi |
| Latihan kesedaran kakitangan | 30,000 – 100,000 | Termasuk simulasi pancingan data (phishing) |
| Insurans siber | 50,000 – 500,000 | Premium berdasarkan profil risiko |
| Jumlah lazim (PKS NCII) | ~1.0 – 2.5 juta | Bagi entiti bersaiz sederhana |
| Jumlah lazim (NCII perusahaan) | ~3.0 – 5.4 juta | Bank, syarikat telekomunikasi, utiliti utama |
Risiko Ketidakpatuhan
Penalti ketidakpatuhan Akta 854 boleh menjadi ketara. Bagi entiti korporat, denda boleh mencapai RM500,000 untuk setiap pelanggaran. Bagi pegawai (ketua pegawai eksekutif atau CEO, CISO dan pengarah), penalti peribadi dan/atau penjara boleh dikenakan untuk pelanggaran berat, seperti kegagalan memberitahu insiden ketara yang menyebabkan kemudaratan. Hal ini sebahagian besarnya bertujuan memastikan tindakan diambil pada peringkat pengurusan kanan, bukan hanya oleh pasukan IT.
Selain penalti formal, terdapat risiko reputasi dan operasi yang lebih besar: kehilangan lesen sektor (BNM dan MCMC), kehilangan kontrak kerajaan (NCII yang tidak patuh tidak boleh menyertai tender tertentu) dan tindakan undang-undang sivil daripada pelanggan yang terjejas oleh insiden yang sepatutnya dapat dielakkan.
Nota penting: maklumat dalam artikel ini bersifat panduan umum. Organisasi disyorkan merujuk teks rasmi akta, garis panduan terkini pengawal selia (BNM, NACSA dan Pesuruhjaya Perlindungan Data Peribadi) serta mendapatkan nasihat peguam atau juruaudit bertauliah sebelum membuat keputusan pematuhan.
Bacaan Lanjut dan Perkhidmatan nCrypt
Soalan Lazim
Adakah semua bank di Malaysia merupakan NCII?
Bank berlesen di bawah Akta Perkhidmatan Kewangan 2013 hampir pasti diklasifikasikan sebagai NCII atau dijangka mematuhi keperluan yang setara. BNM berfungsi sebagai Ketua Sektor dan kebanyakan keperluan RMiT sedia ada selaras dengan kewajipan NCII Akta 854. Bank digital serta syarikat insurans dan takaful besar juga akan dipertimbangkan.
Adakah PKS dalam sektor IT/awan akan menjadi NCII?
Hal ini bergantung pada saiz operasi dan penglibatan. Penyedia awan peringkat 1 yang melayan pelanggan kerajaan atau bank besar: ya. Syarikat perundingan IT yang melayan beberapa pelanggan kecil: kemungkinan besar tidak menjadi NCII secara langsung, tetapi mungkin tertakluk kepada syarat pembekal lapisan kedua jika pelanggan utama mereka ialah NCII.
Bilakah saya akan menerima notis rasmi NCII?
NACSA dan Ketua Sektor masing-masing menjalankan pengenalpastian secara berfasa. Jika anda berada dalam sektor yang dirancang, jangkalah pertanyaan rasmi sepanjang 2026. Walaupun anda belum menerima notis, mulalah bersedia kerana jika diklasifikasikan, anda hanya mempunyai tempoh peralihan yang terhad untuk mencapai pematuhan penuh.
Bolehkah kami menggunakan vCISO sebagai pengganti CISO sepenuh masa?
Dalam fasa peralihan, boleh. vCISO ialah jalan praktikal bagi PKS yang baru bersedia. Walau bagaimanapun, jangkaan jangka panjang (selepas operasi NCII stabil) ialah CISO sepenuh masa yang mempunyai kelayakan profesional (CISSP, CISM atau yang setara). Ketua Sektor boleh mengenakan keperluan khusus mengikut sektor.
Apakah yang berlaku jika kami tidak menyertai latihan simulasi meja kebangsaan?
Penyertaan dalam latihan kebangsaan ialah kewajipan rasmi bagi entiti NCII. Ketidakhadiran tanpa sebab boleh dianggap sebagai ketidakpatuhan dan mengundang penyiasatan. Selalunya hanya seorang wakil kanan diperlukan, jadi kos sebenar penyertaan adalah rendah berbanding risikonya.
Berbincang dengan Pasukan nCrypt
Pasukan kami yang sejajar dengan CREST membantu institusi kewangan, agensi kerajaan dan PKS Malaysia merancang ujian penembusan, pematuhan dan respons insiden. Dapatkan sebut harga atau tempah perbincangan percuma hari ini.
Artikel Berkaitan
Pematuhan dan Peraturan di Malaysia
Adakah Syarikat Anda Tersenarai sebagai NCII di Bawah Akta 854?
Pematuhan dan Peraturan di Malaysia
Akta Keselamatan Siber 2024 NACSA: Apa yang Perlu Diketahui oleh Perniagaan
Pematuhan dan Peraturan di Malaysia