Dalam kerangka Direktif NIS2, regulasi keamanan siber Eropa mengklasifikasikan subjek hukum ke dalam dua kategori utama, yaitu entitas esensial (essential entities) dan entitas penting (important entities). Pengelompokan ini bertujuan untuk memperluas cakupan sektor yang wajib menerapkan standar keamanan siber yang ketat guna memperkuat ketahanan infrastruktur digital secara keseluruhan.
Direktif NIS2 memperluas cakupan pengawasan dibandingkan aturan pendahulunya. Entitas keuangan yang telah diidentifikasi sebagai entitas esensial atau penting menurut NIS2 juga bersinggungan dengan regulasi lain seperti Undang-Undang Ketahanan Operasional Digital (Digital Operational Resilience Act - DORA), di mana ketentuan NIS2 berlaku tanpa mengurangi aturan spesifik sektor keuangan yang sudah diatur dalam kerangka hukum terkait.
Matriks Kategori Entitas dalam Direktif NIS2
| Kategori Entitas | Definisi & Cakupan | Hubungan dengan Regulasi Lain |
|---|---|---|
| Entitas Esensial (Essential Entities) | Penyedia layanan krusial pada sektor-sektor strategis dengan tingkat kepentingan tinggi terhadap perekonomian dan masyarakat. | Dapat beririsan dengan sektor keuangan yang juga diatur oleh DORA dalam Pasal 1 ayat (2). |
| Entitas Penting (Important Entities) | Penyedia layanan digital dan sektor pendukung lain yang tercakup dalam perluasan cakupan NIS2. | Tunduk pada ketentuan kepatuhan NIS2, kecuali jika diatur secara khusus oleh regulasi sektoral lain yang bersifat lex specialis. |
Implikasi Kepatuhan dan Regulasi Sektoral
Penerapan klasifikasi ini menuntut organisasi untuk mengidentifikasi status mereka secara akurat. Entitas yang masuk dalam kategori esensial maupun penting wajib memenuhi kewajiban pelaporan insiden, penerapan langkah-langkah manajemen risiko keamanan siber, serta audit kepatuhan yang relevan sesuai dengan ketentuan hukum yang berlaku di wilayah yurisdiksi terkait.