Bank Indonesia menerbitkan PBI Nomor 10 Tahun 2025 tentang Pengaturan Industri Sistem Pembayaran dan PADG Nomor 32 Tahun 2025 sebagai aturan teknis pelaksananya pada 24 Desember 2025 lalu.
Keduanya berlaku efektif mulai 31 Maret 2026 dan menjadi bagian dari Blueprint Sistem Pembayaran Indonesia 2030, agenda transformasi ekosistem pembayaran digital nasional yang sudah dirancang Bank Indonesia sejak 2019.
Regulasi ini lahir bukan tanpa alasan. Transaksi QRIS tumbuh 147,65 persen secara tahunan dan BI-FAST memproses lebih dari Rp3.024 triliun per kuartal.
Pertumbuhan yang pesat ini membawa peluang besar, tetapi juga memperluas permukaan serangan siber yang semakin mengkhawatirkan.
BSSN mencatat lebih dari 310 juta serangan siber sepanjang 2024, dengan 22 persen menargetkan sektor perbankan dan keuangan digital. IBM Cost of a Data Breach 2025 mencatat kerugian rata-rata akibat pelanggaran data di sektor finansial mencapai 6,1 juta dolar AS per insiden, tertinggi di antara semua industri.
Bagi setiap Penyelenggara Sistem Pembayaran, memahami apa yang berubah dan apa yang harus disiapkan dalam menghadapi regulasi ini bukan lagi pilihan. Artikel ini membahas bagaimana ISO 27001 untuk sistem pembayaran dapat menjadi strategi paling sistematis bagi PSP dalam memenuhi persyaratan PBI 10/2025 dan PADG 32/2025.
Memahami PBI 10/2025 dan PADG 32/2025 serta Dampaknya bagi PSP
Sebelum PBI 10/2025 terbit, industri sistem pembayaran Indonesia diatur oleh tiga regulasi yang berdiri sendiri-sendiri dan kerap tumpang tindih. Kondisi ini menciptakan kerumitan tersendiri bagi banyak perusahaan dalam memenuhi persyaratan kepatuhan yang tidak selalu konsisten satu sama lain.
PBI 10/2025 dan PADG 32/2025 hadir untuk mengakhiri fragmentasi itu. Keduanya dirancang untuk bekerja bersama dalam satu sistem yang saling melengkapi dan tidak bisa dibaca secara terpisah.
1. PBI 10/2025: Kerangka Hukum Industri Sistem Pembayaran
PBI 10/2025 adalah regulasi induk yang menyatukan semua aturan lama menjadi satu kerangka tunggal. Ruang lingkupnya mencakup seluruh ekosistem sistem pembayaran Indonesia, mulai dari penyedia jasa, penyelenggara infrastruktur, vendor pendukung, hingga pihak yang bermitra dengan mereka.
Ada tiga perubahan struktural yang paling berdampak langsung pada operasional PSP. PSP atau Penyelenggara Sistem Pembayaran adalah seluruh bank umum dan lembaga non-bank yang menyelenggarakan jasa atau infrastruktur sistem pembayaran di Indonesia.
a. Perubahan pertama: Klasifikasi PSP
Sistem klasifikasi disederhanakan dari tiga tier menjadi dua kategori:
- PSP Utama: Perusahaan yang dinilai Bank Indonesia memiliki potensi dampak signifikan terhadap stabilitas sistem pembayaran nasional apabila mengalami gangguan operasional. PSP Utama diawasi setiap enam bulan sekali.
- PSP Non-Utama: Perusahaan di luar kategori PSP utama. PSP Non-Utama diawasi setahun sekali.
Klasifikasi ini tidak ditentukan otomatis berdasarkan ukuran perusahaan, melainkan sepenuhnya berdasarkan penilaian Bank Indonesia.
b. Perubahan kedua: Sistem perizinan aktivitas
Izin per aktivitas individual diganti dengan tiga paket bundling:
- Bundling 1 mencakup penatausahaan sumber dana dan penerusan transaksi pembayaran. Subdivisi 1A hanya tersedia bagi PSP Utama, sementara 1B terbuka untuk PSP Non-Utama.
- Bundling 2 mencakup penerusan transaksi pembayaran.
- Bundling 3 mencakup penerusan perintah transfer dana non-digital.
Semakin luas paket aktivitas yang dimiliki, semakin tinggi threshold penilaian yang harus dipenuhi perusahaan.
c. Perubahan ketiga: Kategorisasi vendor dan mitra teknologi
Pihak ketiga yang mendukung operasional PSP kini dibagi menjadi tiga level:
- Level Kritis: Vendor yang perannya menyentuh inti pemrosesan transaksi pembayaran.
- Level Penting: Vendor yang mendukung operasional pembayaran secara signifikan meski tidak di lapisan inti.
- Level Standar: Vendor pendukung lainnya yang perannya terbatas pada aktivitas pra atau pasca transaksi.
2. PADG 32/2025: Panduan Teknis Pelaksanaannya
PADG 32/2025 menjabarkan detail teknis dari mandat yang ditetapkan PBI 10/2025. Regulasi ini merinci persyaratan minimum yang wajib dipenuhi setiap PSP, antara lain:
- Kebijakan dan prosedur keamanan informasi yang disetujui manajemen
- Business Continuity Plan yang mencakup Data Center dan Disaster Recovery Center di lokasi geografis terpisah
- Uji coba pemulihan ke DRC minimal satu kali dalam setahun
- Audit TI oleh auditor independen eksternal
- Penetration test menyeluruh secara berkala
- Sistem monitoring infrastruktur secara real-time
- Pengelolaan risiko terhadap vendor TI pihak ketiga
PADG 32/2025 juga menjabarkan secara teknis tentang TIKMI sebagai mekanisme penilaian kinerja PSP, termasuk variabel, indikator, ambang batas penilaian, dan konsekuensi bagi yang tidak memenuhinya.
TIKMI: Sistem Penilaian yang Menentukan Ruang Gerak Bisnis
TIKMI adalah singkatan dari Transaksi, Interkoneksi, Kompetensi, Manajemen Risiko, dan Infrastruktur Teknologi Informasi.
Bank Indonesia menetapkan TIKMI sebagai mekanisme penilaian kinerja sekaligus dasar klasifikasi PSP yang hasilnya mempengaruhi perizinan, persetujuan rencana bisnis, akses kepesertaan infrastruktur, hingga pengakhiran izin.
Bagaimana Mekanisme Penilaian TIKMI?
Setiap PSP wajib melakukan self-assessment terhadap lima elemen TIKMI dan melaporkan hasilnya ke Bank Indonesia dua kali setahun, yaitu setiap 1 Februari dan 1 Agustus mulai 2027 mendatang.
Hasil klasifikasi resmi dari Bank Indonesia kemudian dikeluarkan pada Maret dan September setiap tahunnya.
Satu hal penting yang perlu dipahami eksekutif adalah bahwa self-assessment yang dilaporkan perusahaan bukan penentu akhir. Bank Indonesia berwenang melakukan verifikasi mandiri dan menetapkan nilai TIKMI berdasarkan penilaiannya sendiri, bahkan dapat menunjuk pihak independen untuk melakukan asesmen apabila dipandang perlu.
Nilai minimum yang harus dipenuhi juga berbeda-beda tergantung paket aktivitas yang dijalankan perusahaan. PSP dengan cakupan aktivitas lebih luas seperti Bundling 1A dikenai standar lebih tinggi dibanding yang hanya menjalankan Bundling 3, karena potensi dampak gangguannya terhadap sistem pembayaran nasional jauh lebih besar.
Berikut ini penjelasan dari masing-masing elemen TIKMI:
1. Transaksi
Elemen ini menilai performa transaksi PSP, bukan hanya dari sisi volume dan nilai, tetapi juga keandalan sistem dalam menyelesaikannya. Yang masuk dalam penilaian ini meliputi:
- Frekuensi dan durasi gangguan layanan
- Tingkat kegagalan transaksi
- Dampak downtime terhadap pengguna
Rekam jejak gangguan layanan juga dicatat dan diperhitungkan. PSP dengan riwayat downtime signifikan akan menghadapi tantangan pada elemen ini terlepas dari besarnya volume transaksi yang diproses.
2. Interkoneksi
Elemen ini menilai seberapa luas dan seberapa baik PSP terhubung dengan ekosistem pembayaran nasional, termasuk QRIS, BI-FAST, dan jaringan switching. Penilaiannya mencakup:
- Kualitas dan uptime koneksi antar sistem
- Kepatuhan terhadap standar teknis interoperabilitas BI
- Konsistensi performa koneksi
3. Kompetensi
Elemen ini menilai kecukupan SDM yang mengelola sistem pembayaran, baik dari sisi kuantitas maupun kualitas. Sertifikasi teknis karyawan menjadi bagian dari penilaian regulatif yang mempengaruhi skor TIKMI. Yang dinilai dari elemen kompetensi ini meliputi:
- Jumlah personel bersertifikasi di posisi kritis
- Kualifikasi teknis sesuai threshold yang ditetapkan BI
- Struktur organisasi yang mencerminkan pengelolaan profesional
4. Manajemen Risiko
Elemen ini adalah yang paling luas cakupannya dan paling sering menjadi titik lemah PSP. Bank Indonesia menilai apakah manajemen risiko dijalankan secara terstruktur dan terdokumentasi, bukan reaktif ketika insiden terjadi. Cakupan penilaiannya meliputi:
- Tata kelola organisasi yang terdokumentasi
- Business Continuity Plan yang realistis dan teruji
- Pengelolaan formal atas ketergantungan terhadap vendor dan mitra, termasuk entitas dalam satu grup perusahaan
- Prosedur penanganan insiden dan fraud yang terbukti diimplementasikan
- Mekanisme rekonsiliasi dan penyelesaian sengketa nasabah
Prosedur yang hanya ada di atas kertas tidak akan cukup. Bank Indonesia menilai apakah prosedur tersebut benar-benar dijalankan dan terbukti efektif.
5. Infrastruktur Teknologi Informasi
Elemen infrastruktur teknologi informasi adalah yang paling teknis dan seringkali paling mahal untuk dipenuhi. PADG 32/2025 menetapkan persyaratan minimum yang sangat spesifik, antara lain:
- Data Center dan Disaster Recovery Center di lokasi geografis yang benar-benar terpisah
- Uji coba pemulihan ke DRC minimal satu kali setahun dengan hasil terdokumentasi
- Audit TI oleh auditor independen eksternal
- Penetration test menyeluruh secara berkala
- Sistem monitoring infrastruktur secara real-time
- Pengelolaan risiko vendor TI pihak ketiga melalui kontrak dengan klausul keamanan yang terverifikasi
Konsekuensi bagi PSP yang Tidak Memenuhi TIKMI
Bank Indonesia memberikan masa transisi tiga tahun sejak 31 Maret 2026 bagi PSP yang belum memenuhi threshold TIKMI. Selama periode tersebut, PSP yang tidak memenuhi nilai TIKMI menghadapi pembatasan konkret sebagai berikut:
- Tidak boleh mengembangkan atau meluncurkan produk baru
- Tidak boleh memperluas aktivitas bisnis
- Tidak bisa mengajukan persetujuan atas rencana kerjasama baru
Satu-satunya pengembangan yang diizinkan adalah dalam rangka tindak lanjut pengawasan BI, peningkatan keamanan sistem, atau pelaksanaan kebijakan Bank Indonesia.
Di industri sistem pembayaran digital, tiga tahun dalam kondisi pembatasan tentu bukan sekadar hukuman kecil.
Kompetitor yang nilainya terpenuhi bisa terus berinovasi dan memperluas kemitraan, sementara perusahaan yang terhambat harus berbenah sambil menyaksikan jarak kompetitif yang terus melebar. Itulah mengapa TIKMI bukan sekadar urusan tim compliance semata, melainkan isu strategis yang harus diprioritaskan di level C-suite.
ISO 27001 untuk Sistem Pembayaran: Solusi Strategis Memenuhi TIKMI
Memenuhi seluruh persyaratan TIKMI bukan pekerjaan kecil. Terdapat lima elemen yang harus dipenuhi, masing-masing dengan indikator dan threshold yang spesifik, dan semuanya harus bisa dibuktikan kepada Bank Indonesia secara terstruktur dan terdokumentasi.
Tanpa kerangka yang jelas, perusahaan akan kesulitan membangun sistem yang tidak hanya memenuhi syarat hari ini tetapi juga bisa dipertahankan secara konsisten ke depannya.
ISO 27001 hadir sebagai jawaban atas tantangan tersebut. Standar internasional untuk Information Security Management System ini memberikan kerangka kerja yang sistematis untuk mengelola keamanan informasi berbasis pendekatan risiko.
Mengapa ISO 27001 dan Bukan Standar Lain
Dalam konteks keamanan siber, ada beberapa standar yang sering disebut selain ISO 27001. Masing-masing punya fokus yang berbeda dan tidak semuanya relevan untuk kebutuhan PSP dalam memenuhi TIKMI.
- NIST Cybersecurity Framework adalah panduan yang baik tetapi tidak menghasilkan sertifikasi yang diakui secara internasional
- SOC 2 berfokus pada kepercayaan layanan untuk pelanggan dan tidak dirancang sebagai sistem manajemen keamanan informasi yang menyeluruh
- PCI-DSS sangat spesifik untuk keamanan data kartu pembayaran dan tidak mencakup seluruh aspek tata kelola keamanan informasi yang dibutuhkan PSP
ISO 27001 mencakup keseluruhan aspek tersebut dalam satu kerangka yang terdokumentasi, dapat diaudit, dan diakui secara internasional. Itulah yang membuatnya menjadi pilihan paling relevan untuk konteks TIKMI.
Pemetaan ISO 27001 terhadap Lima Elemen TIKMI
ISO 27001 tidak secara otomatis menutup seluruh persyaratan TIKMI, tetapi ia menutup sebagian besar persyaratan yang paling kritis. Berikut pemetaan konkretnya per elemen:
- Transaksi: ISO 27001 membangun prosedur penanganan insiden yang terstruktur dan kontrol keberlangsungan layanan. Tidak ada gap actionable pada elemen ini.
- Interkoneksi: ISO 27001 mengamankan jalur komunikasi antar sistem dan mengatur kontrol akses secara formal.
Standar teknis spesifik QRIS dan BI-FAST tetap perlu dipenuhi sesuai panduan BI, tetapi sifatnya kepatuhan langsung bukan sesuatu yang perlu dibangun dari nol.
- Kompetensi: ISO 27001 mewajibkan pelatihan keamanan informasi bagi seluruh karyawan dan penetapan peran serta tanggung jawab secara formal. Kuota minimum SDM bersertifikasi tetap perlu dipenuhi sesuai threshold BI.
- Manajemen Risiko: Titik terkuat ISO 27001. Standar ini membangun dokumentasi risiko yang terstruktur, rencana pemulihan bisnis, dan pengelolaan formal atas seluruh vendor serta mitra teknologi.
Gap actionable yang masih perlu dibangun adalah prosedur rekonsiliasi transaksi dan mekanisme penyelesaian sengketa nasabah sesuai ketentuan BI.
- Infrastruktur TI: ISO 27001 mencakup keamanan fisik dan digital server, enkripsi data dan komunikasi, serta pemeriksaan celah keamanan secara rutin.
Tiga gap actionable yang masih perlu dipenuhi di luar ISO 27001 adalah penyiapan DC dan DRC di lokasi geografis berbeda, uji coba pemulihan ke DRC minimal satu kali per tahun, dan penunjukan auditor TI independen eksternal.
Gap yang tersisa bukan karena ISO 27001 tidak memadai. Gap tersebut adalah persyaratan sangat spesifik dari regulasi BI yang memang tidak akan dicakup standar internasional manapun.
Apa yang Didapat PSP dari Implementasi ISO 27001 dan Pemenuhan TIKMI
Berikut adalah manfaat konkret yang bisa dirasakan perusahaan ketika memenuhi TIKMI dan mengimplementasikan ISO 27001 secara serius.
1. Proses Bisnis Lebih Lancar
Nilai TIKMI yang kuat membuat proses persetujuan rencana bisnis oleh Bank Indonesia cenderung lebih cepat dan lebih mudah. Artinya produk baru bisa diluncurkan tepat waktu dan rencana kerjasama strategis tidak tersandera proses review yang panjang.
Bagi perusahaan yang bergerak cepat di industri sistem pembayaran, kelancaran proses ini adalah keunggulan operasional yang sangat berharga.
2. Posisi Lebih Kuat di Mata Mitra dan Investor
Mitra teknologi asing dan investor institusional semakin ketat dalam mensyaratkan standar keamanan yang terverifikasi sebelum mau masuk ke dalam sebuah kerjasama. Sertifikasi ISO 27001 menjadi sinyal kredibilitas yang kuat dan langsung dipahami oleh pihak mana pun tanpa perlu banyak penjelasan tambahan.
Hal yang sama berlaku bagi vendor yang terdaftar sebagai kategori Kritis atau Penting di Bank Indonesia. Kategorisasi tersebut justru memperkuat posisi tawar mereka dalam negosiasi kontrak dengan PSP karena membuktikan bahwa peran mereka tidak mudah digantikan dalam ekosistem pembayaran nasional.
3. Terlindung dari Kerugian Akibat Insiden Siber
IBM Cost of a Data Breach 2025 mencatat bahwa kerugian rata-rata akibat pelanggaran data di sektor finansial mencapai 6,1 juta dolar AS per insiden. Angka itu belum termasuk kerugian tidak langsung seperti kehilangan nasabah, gangguan operasional, dan biaya pemulihan sistem.
Perusahaan yang mengimplementasikan ISO 27001 dengan serius memiliki sistem deteksi dan respons insiden yang lebih matang. Ketika serangan terjadi, dampaknya bisa dikendalikan jauh lebih cepat sehingga kerugian yang ditimbulkan jauh lebih kecil dibanding perusahaan yang hanya punya prosedur di atas kertas.
4. Membangun Kepercayaan yang Sulit Ditiru Kompetitor
Di industri sistem pembayaran, kepercayaan adalah fondasi dari segalanya. Pengguna yang percaya akan terus menggunakan layanan. Merchant yang percaya akan mengintegrasikan lebih banyak titik pembayaran. Mitra yang percaya akan membuka lebih banyak peluang kerjasama.
Kepercayaan seperti ini tidak bisa dibangun dalam semalam dan tidak bisa dibeli dengan anggaran marketing sebesar apapun.
Perusahaan yang secara konsisten membuktikan ketahanan sistem dan tata kelola keamanan yang serius akan memiliki reputasi yang menjadi pembeda jangka panjang di industri yang semakin kompetitif ini.
Roadmap ISO 27001 untuk PSP: Dari Gap Assessment hingga Sertifikasi
Membangun ISO 27001 bukan proses yang bisa diselesaikan dalam satu atau dua bulan. Rata-rata organisasi membutuhkan 12 hingga 18 bulan dari gap assessment awal hingga sertifikasi, tergantung kompleksitas sistem dan tingkat kesiapan awal.
Mengingat self-assessment TIKMI pertama wajib dikirim pada Februari 2027, perusahaan yang mulai bergerak hari ini masih berada dalam jalur yang tepat.
Berikut adalah tahapan yang perlu dilalui:
1. Gap Assessment
Langkah pertama adalah memahami posisi perusahaan saat ini terhadap persyaratan TIKMI dan standar ISO 27001. Gap assessment yang efektif tidak bisa dilakukan sepenuhnya secara internal karena hasilnya perlu perspektif independen yang objektif. Beberapa hal yang perlu dievaluasi meliputi:
- Kesiapan kebijakan dan prosedur keamanan informasi
- Status DC dan DRC serta kesiapan uji pemulihan
- Kondisi manajemen risiko vendor dan mitra teknologi
- Kecukupan SDM bersertifikasi di posisi kritis
- Rekam jejak audit TI dan penetration test
Hasil gap assessment ini menjadi roadmap yang menentukan prioritas dan alokasi sumber daya untuk tahap berikutnya.
2. Bangun ISMS yang Disesuaikan dengan Konteks PSP
Setelah gap diketahui, langkah berikutnya adalah membangun Information Security Management System yang tidak hanya memenuhi standar ISO 27001 secara generik, tetapi juga secara eksplisit mengakomodasi persyaratan teknis PADG 32/2025.
Keduanya harus diintegrasikan dalam satu sistem, bukan dibangun sebagai dua sistem terpisah. Pada tahap ini beberapa hal yang perlu diselesaikan adalah:
- Menetapkan scope ISMS yang mencakup seluruh aset informasi relevan untuk penyelenggaraan sistem pembayaran
- Menyusun kebijakan keamanan informasi yang merujuk eksplisit pada regulasi BI
- Membangun proses risk assessment yang mempertimbangkan skenario risiko spesifik industri pembayaran digital Indonesia
3. Implementasi Kontrol Prioritas
Tidak semua kontrol ISO 27001 memiliki urgensi yang sama. Sebaiknya fokus pada implementasi kontrol yang berkorelasi langsung dengan persyaratan PADG 32/2025, antara lain:
- Keamanan fisik DC dan DRC di lokasi geografis terpisah
- Manajemen akses dan identitas
- Manajemen kerentanan dan patch sistem
- Keamanan komunikasi dan jaringan
- Manajemen insiden keamanan informasi
- Keamanan dalam hubungan dengan vendor dan mitra teknologi
4. Uji DRC dan Penetration Test
PADG 32/2025 secara eksplisit mewajibkan uji coba pemulihan ke DRC minimal satu kali setahun dan penetration test menyeluruh secara berkala. Kedua hal ini bukan formalitas, melainkan bukti audit yang akan diminta Bank Indonesia dalam proses pengawasan.
Pastikan uji DRC dilakukan dalam kondisi yang realistis, bukan simulasi yang terlalu disederhanakan. Temuan dari penetration test harus ditindaklanjuti dengan remediation plan yang terdokumentasi, bukan sekadar dicatat lalu dilupakan.
5. Audit Internal dan Sertifikasi
Sebelum mengundang auditor eksternal untuk sertifikasi, lakukan audit internal yang kritis dan jujur. Audit internal yang efektif bukan sekadar memeriksa apakah dokumen lengkap, tetapi memverifikasi apakah sistem benar-benar berjalan sesuai yang didokumentasikan.
Setelah audit internal selesai dan temuan ditindaklanjuti, perusahaan siap menjalani proses sertifikasi ISO 27001 oleh badan akreditasi independen. Sertifikasi ini memberikan validasi eksternal yang objektif dan menjadi bukti kredibel bagi Bank Indonesia, mitra bisnis, dan investor.
6. Pemeliharaan dan Continuous Improvement
Menyelesaikan sertifikasi bukan berarti sudah sampai garis finish. ISO 27001 mensyaratkan surveillance audit tahunan, audit internal berkala, dan management review yang benar-benar kritis. Nilai TIKMI pun dinilai secara berkelanjutan setiap enam atau dua belas bulan sekali tergantung klasifikasi PSP.
Perusahaan yang memperlakukan ISO 27001 sebagai sistem yang hidup akan terus memperbaiki postur keamanannya dari waktu ke waktu.
Wujudkan Kepatuhan TIKMI dengan Pendampingan ISO 27001 dari DSG
Penilaian TIKMI pertama akan dimulai pada Februari 2027. Perusahaan yang mulai bergerak sekarang memiliki ruang yang cukup untuk membangun ISO 27001 secara genuine, bukan sekadar mengejar sertifikasi di menit-menit terakhir.
Pertanyaan yang perlu dijawab sekarang bukan apakah perusahaan perlu memenuhi TIKMI, melainkan seberapa siap sistem dan tata kelola keamanan informasi perusahaan saat ini untuk dihadapkan pada penilaian Bank Indonesia.
DSG menyediakan layanan pendampingan implementasi ISO 27001 yang dirancang khusus untuk konteks regulasi sistem pembayaran Indonesia.
Mulai dari gap assessment berbasis TIKMI, penyusunan ISMS, implementasi kontrol prioritas, hingga persiapan audit independen, DSG siap mendampingi setiap tahapan dengan pendekatan yang praktis dan terukur.
Hubungi tim DSG sekarang untuk memulai gap assessment dan pastikan perusahaan Anda siap menghadapi penilaian TIKMI pertama tepat waktu.
