Aturan Baru Cyber Essentials 2026: Patch 14 Hari, MFA Wajib, Perangkat Lawas Harus Pensiun

LINKARFAKTA.COM — Skema sertifikasi keamanan siber Cyber Essentials baru saja mengalami perubahan besar-besaran. Jika sebelumnya sertifikat ini kerap dianggap sekadar formalitas tahunan, kini pemerintah Inggris menaikkan standarnya secara signifikan. Perombakan ini didorong oleh data terbaru yang menunjukkan 4 dari 10 bisnis di Inggris mengalami peretasan dalam 12 bulan terakhir, dengan serangan menyasar perusahaan besar seperti M&S dan JLR.

Bagi perusahaan yang terbiasa "santai" dalam urusan keamanan, aturan anyar ini bisa menjadi mimpi buruk. Standar yang lebih ketat berarti kegagalan dalam memenuhi persyaratan akan berujung pada pencabutan sertifikasi, sebuah risiko besar bagi bisnis yang mengandalkan sertifikat ini untuk memenangkan tender atau membangun kepercayaan klien.

Tenggat Waktu 14 Hari untuk Patch Keamanan Kritis

Perubahan paling mendasar ada pada manajemen patch atau pembaruan perangkat lunak. Sebelumnya, perusahaan bisa menunjukkan kepatuhan melalui dokumentasi proses dan pembaruan berkala. Kini, aturan mainnya berubah total.

Tim IT wajib menerapkan patch untuk celah keamanan kritis dalam jendela waktu maksimal 14 hari. Ini termasuk pembaruan sistem operasi dan aplikasi pihak ketiga. Kewajiban ini muncul karena data Verizon Data Breach Investigations Report 2026 menunjukkan sistem kompromi kini mencapai 61 persen, tertinggi dalam tiga tahun terakhir.

Ada mekanisme baru bernama "double sampling" untuk memverifikasi kepatuhan. Perusahaan diberi dua kesempatan untuk membuktikan bahwa patch telah berhasil diterapkan. Jika pada kesempatan kedua masih ditemukan masalah kritis, sertifikasi langsung gagal. Tim IT perlu segera mengevaluasi apakah seluruh sistem mampu memenuhi tenggat 14 hari ini.

MFA Bukan Lagi Opsi, Tapi Kewajiban Mutlak

Otentikasi Multi-Faktor atau MFA (Multi-Factor Authentication) memang sudah dikenal luas sebagai tameng utama melawan peretasan akun. Masalahnya, banyak perusahaan hanya menerapkan MFA di layanan tertentu seperti VPN dan Microsoft 365, sementara layanan lain seperti antarmuka admin dan platform cloud justru dibiarkan terbuka.

Di bawah kerangka kerja baru, aturan ini menjadi sangat tegas: jika sistem cloud mendukung MFA, maka fitur tersebut wajib diaktifkan untuk semua pengguna. Tidak ada pengecualian, baik itu layanan gratis maupun berbayar. Kegagalan mengaktifkan MFA berarti gagal sertifikasi secara otomatis.

Pertanyaan kritisnya, apakah Anda tahu persis apakah MFA sudah aktif di semua layanan cloud yang dipakai perusahaan? Jika belum, audit menyeluruh harus segera dilakukan.

Layanan Cloud Kini Masuk dalam Cakupan Audit

Sebelumnya, layanan cloud sering kali bisa "dikeluarkan" dari cakupan audit dengan alasan teknis. Celah ini kini ditutup rapat. Semua layanan yang memproses atau menyimpan data, di mana pun di-host-nya, kini otomatis masuk dalam lingkup penilaian.

Perusahaan wajib menyediakan dokumentasi jelas yang membuktikan pemisahan sistem IT. Jika tidak, semua sistem dianggap dalam cakupan. Ini mencakup platform CRM, software HR, sistem keuangan, hingga alat manajemen proyek. Proses inventarisasi ini bisa memakan waktu, jadi perusahaan disarankan segera memetakan seluruh layanan cloud yang digunakan.

Pensiunkan Hardware dan OS Lawas

Bagian yang paling merepotkan adalah kewajiban mengganti perangkat keras dan lunak yang sudah tidak didukung vendor. Pensiunnya sistem operasi Windows 10 menjadi contoh nyata tekanan ini. Perusahaan yang masih memakai Windows 10 harus mengganti seluruh perangkat kerasnya agar tetap patuh.

Risiko menggunakan perangkat tanpa dukungan vendor sangat besar. Celah keamanan tidak akan pernah ditambal, dan karena sistem tersebut sudah lama beredar, kemungkinan besar kerentanannya sudah diketahui publik.

Strategi jangka pendeknya, buatlah daftar aset yang masuk cakupan Cyber Essentials dan catat tanggal akhir dukungan vendor untuk setiap perangkat. Untuk jangka panjang, siapkan anggaran penggantian perangkat secara berkala agar tidak terjadi penumpukan masalah di akhir masa pakai.

Lakukan Analisis Kesenjangan Sekarang, Jangan Menunggu

Kabar baiknya, bisnis masih punya waktu untuk berbenah. Kuncinya adalah jangan menunda. Jangan memperlakukan sertifikasi ini sebagai sekadar "tick-box exercise" yang dicek setahun sekali.

Langkah paling bijak adalah melakukan analisis kesenjangan (gap analysis) sekarang juga. Baca detail standar baru, bandingkan dengan kondisi internal, dan buat rencana perbaikan. Dengan persiapan yang matang, sertifikasi Cyber Essentials bukan hanya menjadi pengaman dari serangan siber, tetapi juga bukti kredibilitas bisnis di mata klien dan mitra.