Tanggung Jawab Direksi–Komisaris Pasca Serangan Siber: Fiduciary Duty dan Business Judgment Rule

Transformasi digital menempatkan serangan siber sebagai risiko bisnis kritis yang memunculkan pertanyaan akuntabilitas pada tingkat dewan. Artikel ini bertujuan (i) memetakan sinergi kerangka hukum UUPT–UU PDP–UU ITE beserta regulasi sektoral dalam membagi kewajiban pencegahan, pengawasan, dan pelaporan insiden siber; (ii) merumuskan parameter operasional kapan kelalaian tata kelola keamanan siber dapat dikualifikasikan sebagai pelanggaran fiduciary duty (khususnya duty of care) hingga berimplikasi pada tanggung jawab pribadi organ perseroan dan, dalam keadaan tertentu, penembusan tanggung jawab terbatas; serta (iii) menilai batas berlakunya Business Judgment Rule (BJR) sebagai safe harbor pasca-insiden melalui pembuktian berbasis proses. Penelitian ini menggunakan metode yuridis normatif dengan tiga pendekatan: perundang-undangan (UU 40/2007 tentang Perseroan Terbatas, UU 27/2022 tentang Pelindungan Data Pribadi, UU ITE beserta perubahannya, serta aturan sektoral), doktrinal (fiduciary duty dan BJR), dan komparatif terbatas (GDPR dan doktrin Caremark mengenai duty of oversight). Hasil penelitian menunjukkan: (i) kegagalan membangun dan mengawasi sistem keamanan siber yang memadai dapat dipandang sebagai pelanggaran duty of care, dan apabila disertai keadaan yang menunjukkan penyalahgunaan atau itikad buruk dapat memperkuat dasar atribusi tanggung jawab pribadi serta membuka ruang penilaian penembusan tanggung jawab terbatas; (ii) BJR hanya melindungi keputusan/pengawasan yang dilakukan beritikad baik, berbasis informasi yang memadai, bebas benturan kepentingan, dan disertai langkah pencegahan yang proporsional; (iii) kepatuhan yang terdokumentasi dan sensitif-tenggat—termasuk notifikasi kegagalan pelindungan data paling lambat 3×24 jam, pelaporan insiden sektor jasa keuangan, dan keterbukaan informasi bagi emiten atas fakta material—menjadi elemen pembuktian kunci untuk menilai kewajaran proses dan keberlakuan BJR; dan (iv) NIST Cybersecurity Framework dan ISO/IEC 27001 dapat diposisikan sebagai tolok ukur objektif untuk menilai pemenuhan standar kehati-hatian. Temuan ini menawarkan uji kecukupan pengawasan yang sederhana bagi pengadilan dan pedoman dokumentasi proses (dossier proses) bagi Direksi dan Dewan Komisaris guna memperkuat defensibilitas keputusan dan pengawasan pasca-insiden.