Adakah Syarikat Anda Tersenarai sebagai NCII di Bawah Akta 854?

Apakah NCII?

Berdasarkan panduan rasmi NACSA, NCII merujuk kepada komputer atau sistem komputer yang, jika tidak berfungsi, musnah atau diceroboh, boleh menjejaskan dengan ketara perkhidmatan kebangsaan yang kritikal, ekonomi, keselamatan awam atau pertahanan.

Konsep NCII bukan khusus kepada Malaysia. Banyak negara mempunyai rangka kerja setara (CNI di UK, KRITIS di Jerman, NIS2 di EU). Walaupun butirannya berbeza, prinsip dasarnya sama: melindungi sistem yang kegagalannya membawa kesan rantaian kepada masyarakat.

Sektor yang berkemungkinan disenaraikan sebagai NCII

Senarai sektor di bawah adalah berdasarkan panduan rasmi yang diterbitkan dan amalan antarabangsa. Penetapan akhir entiti NCII tertentu dibuat oleh pihak berkuasa sektor di bawah Akta 854.

• Perkhidmatan kewangan dan perbankan
• Telekomunikasi dan multimedia
• Tenaga (elektrik, minyak dan gas)
• Penjagaan kesihatan
• Pengangkutan (penerbangan, pelabuhan, rel)
• Sektor kerajaan
• Bekalan air dan pembetungan
• Pertahanan dan keselamatan negara
• Makanan dan pertanian
• Hartanah strategik dan logistik
• Perkhidmatan kecemasan

Kewajipan umum entiti NCII

Walaupun butiran khusus akan ditetapkan dalam peraturan pelaksanaan dan kod amalan, kewajipan umum yang dijangka daripada entiti NCII termasuk: pelantikan pegawai keselamatan siber, dasar keselamatan bertulis, audit keselamatan berkala, ujian keselamatan, pelan respons insiden, dan pelaporan insiden ketara kepada pihak berkuasa.

Banyak kewajipan ini sudah biasa bagi institusi kewangan di bawah BNM RMiT. Bagi sektor lain (contohnya kesihatan, bekalan air dan tenaga), tahap kematangan keselamatan siber berbeza-beza dan memerlukan pelaburan persediaan yang lebih besar.

Audit dan pelaporan

Entiti NCII biasanya dijangka menjalankan audit keselamatan berkala oleh juruaudit bertauliah, dengan keputusan dilaporkan kepada pihak berkuasa sektor. Insiden ketara, terutamanya yang berpotensi menjejaskan perkhidmatan awam, dijangka dilaporkan dalam jangka masa yang ditetapkan.

Bagi format pelaporan dan ambang insiden ketara, rujuk panduan rasmi yang dikeluarkan oleh NACSA dan pengawal selia sektor.

Bagaimana menentukan sama ada anda berkemungkinan menjadi NCII

Beberapa soalan panduan untuk menilai sendiri: Adakah perkhidmatan kami penting untuk operasi harian masyarakat atau ekonomi? Adakah gangguan kepada perkhidmatan kami akan menjejaskan ramai orang atau perkhidmatan kerajaan? Adakah kami sudah berada di bawah penyeliaan pengawal selia sektor (BNM, MCMC, KKM dan lain-lain)?

Jika jawapannya 'ya' bagi mana-mana soalan ini, organisasi anda berkemungkinan dipertimbangkan sebagai NCII. Persediaan awal, iaitu penilaian jurang, peta jalan pematuhan dan pelantikan CISO, sangat disyorkan.

Nota penting: Maklumat dalam artikel ini bersifat panduan umum. Organisasi disyorkan untuk merujuk teks rasmi akta, garis panduan terkini pengawal selia (BNM, NACSA, Pesuruhjaya Perlindungan Data Peribadi) dan mendapatkan nasihat peguam atau juruaudit bertauliah sebelum membuat keputusan pematuhan.

Bagaimana nCrypt boleh membantu

nCrypt Malaysia menyediakan penilaian kesediaan khusus untuk entiti yang berkemungkinan menjadi NCII. Kami memetakan jurang terhadap kawalan yang dijangka, menyediakan dokumentasi tadbir urus, dan menyokong audit oleh pihak ketiga.