Pertanyaan, Jawaban Pokok, dan Mengapa Kasus Ini Penting bagi Dunia

Ketika sebuah negara memindahkan layanan publiknya ke infrastruktur digital bersama, siapa yang menjamin bahwa negara itu masih bisa berfungsi pada hari infrastruktur tersebut jatuh? Insiden PDNS 2 Surabaya pada Juni 2024 memberi jawaban yang tidak nyaman. Fasilitas yang dirancang sebagai jembatan sementara menuju pusat data permanen ternyata menampung layanan ratusan kementerian, lembaga, dan pemerintah daerah, tetapi hampir tidak menyimpan salinan yang dapat dipulihkan. Pada 27 Juni 2024, Kepala Badan Siber dan Sandi Negara (BSSN) saat itu, Hinsa Siburian, menyatakan di hadapan Komisi I DPR bahwa hanya sekitar dua persen data yang tersimpan di Surabaya memiliki cadangan. Kalimat itu, lebih dari angka tebusan atau nama kelompok peretas, adalah inti kasus ini.

Jawaban pokok kajian ini dapat dirumuskan dalam tiga penilaian. Pertama, kegagalan Juni 2024 bukan terutama kegagalan teknologi pertahanan, melainkan kegagalan arsitektur pemulihan: negara memusatkan layanan tanpa memusatkan pula disiplin cadangan, uji pemulihan, dan akuntabilitas (tingkat keyakinan: tinggi). Kedua, respons dua tahun berikutnya bersifat nyata tetapi timpang. Pemerintah merombak kementerian, menyelesaikan gedung PDN 1 di Cikarang, menuntaskan perkara korupsi pengadaan PDNS di pengadilan, dan menerbitkan peraturan pelaksana pelindungan data pribadi, tetapi kemampuan pemulihan lintas lokasi, lembaga pengawas data pribadi yang independen, dan undang-undang keamanan siber belum hadir sebagai kenyataan operasional per Oktober 2026 (tingkat keyakinan: tinggi). Ketiga, risiko terbesar hingga 2029 bukan terulangnya serangan yang identik, melainkan terbentuknya sentralisasi baru yang lebih megah tetapi sama rapuhnya, karena pusat data permanen dibuka lebih dahulu daripada pusat data kedua dan ketiga yang semestinya menjadi cerminnya (tingkat keyakinan: sedang).

Kasus ini penting melampaui Indonesia karena tiga alasan. Indonesia adalah negara kepulauan dengan pemerintahan berlapis pusat, provinsi, kabupaten, dan kota yang dalam waktu singkat melompat dalam pemeringkatan pemerintahan digital: survei e-government Perserikatan Bangsa-Bangsa tahun 2024 menempatkannya pada peringkat ke-64 dari 193 negara, naik tiga belas tingkat dan masuk kelompok “very high”. Lompatan peringkat semacam itu mengukur ketersediaan layanan, bukan daya tahannya, sehingga Indonesia menjadi contoh yang jelas tentang jurang antara digitalisasi dan ketahanan. Alasan kedua, banyak negara berkembang sedang menempuh jalan serupa, yakni konsolidasi pusat data pemerintah atas nama efisiensi dan kedaulatan, sering dengan pembiayaan pinjaman luar negeri. Alasan ketiga, insiden ini terjadi tepat ketika wacana kedaulatan digital menguat di seluruh dunia, dan ia memperlihatkan bahwa kedaulatan yang dipahami sebagai lokalisasi data dapat berjalan berdampingan dengan ketergantungan total pada satu fasilitas, satu operator, dan satu momen keberuntungan.

Sebagai bahan ajar, kasus ini dirancang untuk membantu mahasiswa dan praktisi memisahkan tiga hal yang sering tercampur dalam perdebatan publik: keamanan, yaitu kemampuan mencegah serangan; ketahanan, yaitu kemampuan bertahan dan pulih; serta kedaulatan, yaitu kemampuan menentukan pilihan sendiri atas infrastruktur dan data. Insiden Surabaya memperlihatkan bahwa negara dapat memiliki klaim kedaulatan yang kuat, karena datanya berada di wilayah sendiri dan dikelola badan usaha milik negara, sementara ketahanannya nyaris nol. Kajian ini berargumen bahwa urutan prioritas harus dibalik: kedaulatan yang bermakna lahir dari ketahanan yang teruji, bukan sebaliknya.

Kerangka Analitis dan Catatan Metode

Kajian ini memakai empat lensa yang saling mengunci. Lensa pertama mempertentangkan kedaulatan digital dengan ketahanan. Luciano Floridi dalam artikel tahun 2020 berjudul “The Fight for Digital Sovereignty” mendefinisikan kedaulatan digital sebagai kendali atas lingkungan digital, termasuk data, perangkat lunak, standar, layanan awan, dan infrastruktur fisik, dengan kendali dipahami sebagai kemampuan memengaruhi sekaligus mengoreksi penyimpangan. Definisi ini berguna karena unsur koreksi pada dasarnya adalah pemulihan: negara yang tidak sanggup mengoreksi kerusakan pada sistemnya sendiri tidak sedang berdaulat atas sistem itu. Julia Pohle dan Thorsten Thiel dalam tulisan tahun 2020 berjudul “Digital sovereignty” menambahkan bahwa istilah ini telah menjadi praktik diskursif yang dipakai baik oleh negara otoriter maupun demokratis, dan bahwa ada dua makna yang bersaing, yakni kedaulatan negara atas infrastruktur dan kedaulatan pengguna atas data dirinya. Kasus Surabaya memperlihatkan ketegangan kedua makna itu dengan tajam. Edisi majalah Foreign Affairs September/Oktober 2018 bertajuk World War Web: The Fight for the Internet’s Future, yang memuat tulisan Adam Segal tentang Tiongkok, Nandan Nilekani tentang India, dan Helen Dixon tentang regulasi Eropa, memperlihatkan bahwa perebutan masa depan internet sejak awal dibingkai sebagai persaingan model kendali negara; pertanyaan tentang bagaimana negara pulih setelah sistemnya runtuh jauh lebih jarang mendapat tempat dalam perdebatan itu.

Lensa kedua adalah sentralisasi sebagai titik kegagalan tunggal. Patrick Dunleavy dan rekan-rekannya dalam artikel tahun 2006 berjudul “New Public Management Is Dead, Long Live Digital-Era Governance” menggambarkan pemerintahan era digital sebagai gerakan reintegrasi, yaitu penyatuan kembali fungsi-fungsi yang sebelumnya dipecah oleh reformasi manajerial. Reintegrasi menjanjikan efisiensi dan keterpaduan, tetapi juga memusatkan risiko. Kajian ini menguji apakah konsolidasi pusat data Indonesia disertai mekanisme penyeimbang, seperti cermin geografis, cadangan luring, dan uji pemulihan berkala, atau justru memindahkan seluruh risiko ke satu titik.

Lensa ketiga adalah pengetahuan institusional tentang cadangan. Cadangan data bukan sekadar perangkat keras; ia adalah rutinitas organisasi yang harus diingat, dianggarkan, diuji, dan diwariskan antarpejabat. Ketika tanggung jawab cadangan dibiarkan kabur di antara penyedia layanan, penyewa, regulator, dan badan keamanan, rutinitas itu lenyap tanpa ada yang memutuskan untuk menghapusnya. Lensa keempat adalah relasi kepercayaan warga dan negara: negara digital meminta warga menyerahkan data dan bergantung pada layanan daring, sehingga setiap kegagalan menjadi ujian atas kontrak sosial baru tersebut, dan cara negara menjelaskan kegagalan sama pentingnya dengan kegagalan itu sendiri.

Secara metodologis, kajian ini adalah studi kasus tunggal yang diperkaya perbandingan terfokus dengan empat kasus. Periode analisis membentang dari Juni 2024 hingga akhir Oktober 2026. Pendekatannya adalah penelusuran proses, yaitu merekonstruksi urutan keputusan dan peristiwa untuk menilai apakah respons pemerintah menyentuh mekanisme penyebab kegagalan atau hanya gejalanya. Sumber utama terdiri atas tiga jenis: dokumen resmi dan peraturan, seperti undang-undang, peraturan presiden, dan laporan resmi lembaga pembanding; literatur ilmiah tentang kedaulatan digital, tata kelola era digital, dan hukum internasional tentang kedutaan data; serta pemberitaan media arus utama Indonesia dan internasional yang mencatat pernyataan pejabat secara bertanggal. Kasus pembanding dipilih karena masing-masing mewakili satu dimensi: Kosta Rika untuk skala nasional dan status darurat, Albania untuk dimensi geopolitik, British Library untuk transparansi pascainsiden, dan Estonia untuk desain kedaulatan melalui distribusi. Setiap penilaian penting diberi tingkat keyakinan tinggi, sedang, atau rendah, yang mencerminkan kualitas dan konsistensi bukti, bukan kepastian moral.

Anatomi Insiden: Empat Hari yang Mengubah Peta Risiko Negara

Kronologi resmi yang dipaparkan Menteri Komunikasi dan Informatika saat itu, Budi Arie Setiadi, menunjukkan bahwa serangan tidak datang tiba-tiba. Menurut paparan tersebut, upaya menonaktifkan fitur keamanan Windows Defender mulai terdeteksi sekitar pukul 23.15 WIB pada 17 Juni 2024, sementara aktivitas jahat berupa pemasangan berkas berbahaya, penghapusan berkas sistem penting, dan penonaktifan layanan yang sedang berjalan dimulai pada 20 Juni pukul 00.54 WIB, disusul matinya Windows Defender satu menit kemudian. Jarak lebih dari dua hari antara gejala pertama dan enkripsi adalah fakta yang secara analitis paling penting dalam seluruh kronologi, karena ia menunjukkan bahwa sistem pemantauan menghasilkan sinyal, tetapi tidak ada mekanisme yang mengubah sinyal itu menjadi tindakan pengisolasian (tingkat keyakinan: tinggi).

Perangkat lunak yang dipakai adalah Brain Cipher. Hinsa Siburian dalam konferensi pers 24 Juni 2024 menyebutnya sebagai pengembangan terbaru dari ransomware LockBit 3.0, penilaian yang sejalan dengan laporan Symantec bertanggal 16 Juni 2024 tentang varian LockBit yang baru muncul. Penyerang menuntut tebusan 8 juta dolar Amerika Serikat, sekitar Rp131 miliar, dan pemerintah menolak membayar. Per 26 Juni 2024, pemerintah mencatat 239 instansi terdampak, terdiri atas 30 kementerian dan lembaga, 15 provinsi, 148 kabupaten, dan 48 kota, sementara 43 instansi lain tidak terdampak karena hanya menitipkan cadangan di PDNS 2. Dengan demikian, dari 282 penyewa, sebagian kecil yang selamat justru adalah mereka yang memperlakukan Surabaya sebagai tempat salinan, bukan sebagai rumah utama datanya.

Dampak paling kasatmata terjadi di gerbang negara. Layanan keimigrasian di bandara internasional terganggu, dan antrean manual menjadi gambar publik pertama dari krisis ini. Yanuar Nugroho dalam komentar di Fulcrum ISEAS bertanggal 8 Agustus 2024 berjudul “Indonesia’s National Data Centre Ransomware Attack: A Digital Governance Failure” mencatat bahwa layanan esensial terganggu berat selama empat hingga tujuh hari atau lebih, termasuk pendaftaran mahasiswa secara daring, dan bahwa pada 3 Juli 2024 kelompok penyerang justru merilis kunci dekripsi secara cuma-cuma. Peristiwa terakhir ini sering dibaca sebagai kemenangan sikap tidak membayar, padahal secara analitis ia lebih mengkhawatirkan: pemulihan sebagian layanan negara akhirnya bergantung pada kemurahan hati pelaku kriminal, bukan pada kapasitas negara sendiri.

Angka pemulihan memperjelas hal itu. Data internal yang dikutip InvestorTrust menunjukkan bahwa per 9 Juli 2024 baru 29 layanan yang pulih, seluruhnya milik instansi yang memiliki cadangan, sementara sepuluh lainnya sedang dipulihkan memakai dekriptor dari Brain Cipher, padahal Menteri Koordinator Politik, Hukum, dan Keamanan Hadi Tjahjanto sebelumnya menyatakan layanan publik digital sudah berjalan normal sejak 1 Juli. Analisis Dewan Bisnis AS-ASEAN tertanggal 13 Agustus 2024 berjudul “Ransomware Attack Highlights Critical Gaps in Indonesia’s Data and Cyber Governance” mencatat bahwa pada 13 Juli Hadi menyebut 86 dari 282 layanan telah dipulihkan setelah kunci dekripsi diperoleh. Selisih antara klaim normal dan angka pemulihan aktual inilah yang kemudian menggerus kepercayaan publik, sebuah dinamika yang dibahas lebih rinci di bagian VIII.

Fakta tentang cadangan adalah pusat kasus. Selain pernyataan dua persen dari BSSN, Herlan Wijanarko dari Telkom menyatakan dalam rapat yang sama bahwa hanya 44 dari 282 instansi memiliki data cadangan. Hinsa juga menjelaskan bahwa pusat pemulihan bencana di Batam semestinya menyimpan salinan persis data Surabaya, tetapi tidak dimanfaatkan secara optimal. Budi Arie, sebagaimana dicatat analisis Dewan Bisnis AS-ASEAN, menyebut keterbatasan anggaran sebagai alasan instansi tidak mencadangkan datanya dan mengumumkan rencana aturan yang mewajibkan pencadangan. Pengakuan ini penting: ia menunjukkan bahwa kewajiban mencadangkan belum melekat sebagai norma operasional, sehingga harus diumumkan sebagai kebijakan baru setelah bencana terjadi.

Arsitektur Kerentanan: Bagaimana Kebijakan Konsolidasi Menciptakan Titik Kegagalan Tunggal

PDNS bukan proyek liar; ia lahir dari kebijakan yang sah dan bertujuan baik. Kerangka Sistem Pemerintahan Berbasis Elektronik (SPBE) melalui Peraturan Presiden 95/2018 mendorong keterpaduan infrastruktur, dan surat edaran tahun 2021 meminta instansi memaksimalkan pemanfaatan PDNS. Shevierra Danmadiyah dalam tulisan di Stratsea bertanggal 11 Juli 2024 berjudul “Indonesia’s Cybersecurity Disaster: An Alarm to Reform” mencatat bahwa kerangka itu mencakup PP 71/2019, Perpres 95/2018, Perpres 28/2021, dan Surat Edaran 3/2021, serta bahwa PDNS beroperasi di tiga lokasi, yakni Surabaya, Tangerang Selatan, dan Batam. Pada 2023, pemerintah mempercepat arah yang sama melalui Peraturan Presiden 82/2023 tentang Percepatan Transformasi Digital dan Keterpaduan Layanan Digital Nasional. Dengan kata lain, konsentrasi layanan di PDNS adalah hasil yang dikehendaki kebijakan, bukan kecelakaan.

Masalahnya terletak pada asimetri antara apa yang dipusatkan dan apa yang tidak. Kebijakan memusatkan lokasi penyimpanan dan pengoperasian, tetapi membiarkan tanggung jawab cadangan tetap tersebar di tangan masing-masing penyewa, yang sebagian besar adalah pemerintah daerah dengan anggaran dan tenaga teknis terbatas. Ketika insiden terjadi, tulisan Stratsea yang sama mencatat bahwa kementerian menunjuk penyewa, BSSN menyatakan penyewa semestinya mengelola sistemnya sendiri, dan penyedia layanan menyatakan sistemnya sudah memadai. Pola saling tunjuk ini adalah gejala klasik dari apa yang dalam literatur keselamatan disebut kekosongan kepemilikan: setiap pihak memegang sepotong tanggung jawab, tetapi tidak satu pun memegang hasil akhirnya, yaitu kemampuan negara untuk pulih (tingkat keyakinan: tinggi).

Model sewa memperumit gambaran itu. PDNS dioperasikan oleh mitra korporasi dalam skema layanan, sehingga hubungan antara negara dan infrastrukturnya dimediasi kontrak. Kontrak dapat menetapkan tingkat ketersediaan layanan, tetapi sering tidak menetapkan, atau tidak ditegakkan, kewajiban uji pemulihan dari cadangan yang terpisah secara fisik. Fakta bahwa pusat pemulihan di Batam tidak berfungsi sebagai cermin Surabaya menunjukkan bahwa redundansi ada di atas kertas tetapi tidak dalam praktik. Kajian Rahmat Rambe dan Fairuz Fernanda Hermawan tahun 2025 dalam Indonesian Journal on Computing berjudul “The Impact of Ransomware on Indonesia’s National Data Security” menyimpulkan dari tinjauan sistematis bahwa kelemahan infrastruktur, sistem cadangan yang tidak memadai, koordinasi antarlembaga yang terbatas, kekurangan tenaga ahli, dan korupsi pengadaan bersama-sama memperbesar risiko sistemik.

Unsur korupsi kemudian terbukti di pengadilan, dan hal ini mengubah cara membaca kasus. Kejaksaan Negeri Jakarta Pusat mulai mengusut dugaan korupsi pengadaan PDNS bernilai Rp958 miliar pada Maret 2025. Pada 10 Maret 2026, Pengadilan Tindak Pidana Korupsi Jakarta memvonis mantan Direktur Jenderal Aplikasi Informatika Semuel Abrijani Pangerapan enam tahun penjara karena terbukti menerima suap Rp6,5 miliar dari Direktur Bisnis PT Aplikanusa Lintasarta, Alfi Asman, yang juga divonis enam tahun. Mantan Direktur Layanan Aplikasi Bambang Dwi Anggono divonis sembilan tahun, pejabat pembuat komitmen Nova Zanda lima tahun, dan seorang manajer akun PT Dokotel Teknologi enam tahun, dengan kerugian negara ditetapkan Rp140,86 miliar. Vonis ini tidak membuktikan bahwa korupsi menyebabkan serangan, tetapi ia membuktikan bahwa proses pengadaan infrastruktur paling strategis negara digital telah dikendalikan oleh insentif yang bukan ketahanan (tingkat keyakinan: tinggi untuk fakta vonis, sedang untuk hubungan kausal dengan lemahnya desain pemulihan).

Lensa Dunleavy membantu merangkum bagian ini. Indonesia menjalankan reintegrasi era digital dengan kecepatan tinggi, sebagaimana tercermin dalam lonjakan peringkat e-government, tetapi tanpa institusi penyeimbang yang membuat reintegrasi itu aman. Konsolidasi menurunkan biaya rata-rata dan mempercepat layanan, namun secara bersamaan menaikkan biaya kegagalan dari skala instansi ke skala negara. Ketika kegagalan itu datang, ia tidak lagi berupa satu kantor dinas yang mati, melainkan ratusan layanan yang padam bersamaan, termasuk layanan yang menentukan siapa boleh masuk dan keluar dari wilayah negara.

Setelah Surabaya: Apa yang Berubah dan Apa yang Belum, Juni 2024 hingga Oktober 2026

Perubahan kelembagaan pertama datang bersama pergantian pemerintahan. Melalui Peraturan Presiden 174/2024 tertanggal 5 November 2024, Kementerian Komunikasi dan Informatika menjadi Kementerian Komunikasi dan Digital (Komdigi), dan Direktorat Jenderal Aplikasi Informatika dipecah menjadi tiga, yaitu Direktorat Jenderal Teknologi Pemerintah Digital, Ekosistem Digital, dan Pengawasan Ruang Digital. Pemisahan ini memberi pemerintahan digital satu unit eselon satu tersendiri, sebuah langkah yang secara organisasi masuk akal. Di BSSN, Presiden Prabowo Subianto melantik Nugroho Sulistyo Budi sebagai kepala pada 19 Februari 2025 menggantikan Hinsa Siburian. Pergantian pimpinan ini membuka peluang pembaruan, tetapi juga memutus kesinambungan pengetahuan tentang insiden yang baru berlalu delapan bulan.

Perubahan kedua menyangkut infrastruktur. Pada 23 September 2024, pemerintah menyatakan bahwa PDN 1 di kawasan Deltamas, Cikarang, telah rampung 83 persen. Menurut pemaparan saat itu, fasilitas berkapasitas 20 megawatt senilai sekitar Rp2,7 triliun itu dibiayai pinjaman pemerintah Prancis, akan disusul PDN 2 di Batam dan PDN 3 di Ibu Kota Nusantara, dengan cadangan berbasis pencerminan, awan, dan lokasi dingin di ketiga lokasi, serta kewajiban kementerian dan lembaga untuk tetap memiliki cadangan sendiri. Wakil Menteri Nezar Patria pada kesempatan yang sama sudah mengakui kekurangan pagu pinjaman dan hibah luar negeri serta tunggakan biaya utilitas untuk PDN 1. Desain tiga lokasi ini adalah jawaban yang benar atas pelajaran Surabaya; persoalannya terletak pada urutan dan pendanaannya.

Jadwal operasional PDN 1 berulang kali mundur, dari Maret 2025 ke April, lalu Juni 2025. Bangunan dan sistemnya diserahterimakan pada Maret 2025, dan pada 7 Mei 2025 Menteri Komdigi Meutya Hafid menyatakan bahwa kementeriannya sedang menjajaki skema pembiayaan bersama untuk PDN 2 dan PDN 3, sementara opsi cadangan masih bergantung pada PDNS karena anggaran belum dialokasikan. Pada pertengahan Desember 2025, Direktur Jenderal Teknologi Pemerintah Digital Mira Tayyiba masih menyatakan, “Kami sudah siap tetapi kan masih dinilai sama BSSN,” dan pemberitaan mencatat bahwa pemerintah tetap membayar sewa PDNS selama menunggu. Pada saat yang sama, Telkom menyatakan siap mengelola PDNS tetapi masih menunggu instruksi presiden dan surat keputusan bersama menteri tentang penugasan, sehingga status hukum fasilitas sementara itu sendiri masih menggantung.

Titik balik terjadi pada awal 2026. BSSN menguji kelaikan keamanan PDN 1 dalam dua tahap, desain dan implementasi, dari Juli hingga 23 Desember 2025, lalu menyerahkan hasilnya kepada Menteri Komdigi pada 14 Januari 2026. Dalam rapat kerja dengan Komisi I DPR pada 26 Januari 2026, Komdigi menyatakan bahwa PDN 1 mulai beroperasi secara terbatas dengan memprioritaskan layanan berisiko rendah, sementara rekomendasi lanjutan BSSN harus dipenuhi dalam enam hingga dua belas bulan, disertai rencana sertifikasi ISO, evaluasi prosedur operasi standar, dan penyusunan buku panduan operasi. Pendekatan bertahap ini patut dihargai karena ia menolak godaan memindahkan semua layanan sekaligus. Namun, kajian ini tidak menemukan bukti publik bahwa PDN 2 atau PDN 3 telah beroperasi per Oktober 2026, sehingga PDN 1 untuk sementara berdiri tanpa cermin permanen (tingkat keyakinan: sedang, karena keterbukaan data operasional terbatas).

Perubahan ketiga terjadi di ranah hukum pelindungan data. Undang-Undang 27/2022 tentang Pelindungan Data Pribadi memberi masa penyesuaian dua tahun yang berakhir pada Oktober 2024, beberapa bulan setelah insiden. Peraturan pelaksananya, PP 33/2026, diundangkan pada 16 Juli 2026 dan berlaku enam bulan kemudian, yaitu 16 Januari 2027. Ringkasan RSM Indonesia bertanggal 18 September 2026 menjelaskan bahwa PP itu mewajibkan pemberitahuan tertulis kepada subjek data dan lembaga pengawas dalam 3 × 24 jam setelah kegagalan pelindungan, pemberitahuan publik bila kegagalan mengganggu layanan publik, pejabat pelindungan data bagi pemrosesan untuk layanan publik, serta denda administratif hingga dua persen dari pendapatan tahunan. Seandainya ketentuan ini berlaku pada Juni 2024, negara sendiri, sebagai pengendali data, akan menjadi pihak pertama yang wajib melapor.

Namun, kunci pelaksanaannya belum ada. Lembaga pengawas pelindungan data pribadi yang diamanatkan undang-undang belum terbentuk. Wahyudi Djafar dari Catalyst Policy Works pada 8 September 2026 menyatakan bahwa tanpa lembaga itu standar kepatuhan dalam UU dan PP tidak dapat diterapkan efektif, dan lembaga tersebut paling cepat baru efektif pada 2028. Pada 28 Oktober 2026, Komdigi menyatakan bahwa harmonisasi pembentukan lembaga telah selesai dan kini menunggu keputusan presiden, sementara pengawasan sementara dijalankan Komdigi sendiri di bawah kerangka umum sistem elektronik. Konsekuensinya serius: kementerian yang mengelola pusat data pemerintah juga menjadi pengawas kepatuhan data pribadi, sehingga negara mengawasi dirinya sendiri, persis jenis konflik kepentingan yang hendak dihindari oleh model otoritas independen.

Perubahan keempat adalah legislasi keamanan siber. Pemerintah menerima daftar inventarisasi masalah dari DPR atas RUU Keamanan dan Ketahanan Siber pada 29 Juni 2026, dan Ketua Komisi I Utut Adianto menyatakan bahwa pembahasan tidak akan dilakukan terburu-buru. Indonesia Cybersecurity Forum pada akhir Agustus 2026 justru mengusulkan agar pembahasan dihentikan sementara karena menemukan 22 titik buta strategis, termasuk kaburnya pembedaan antara pelindungan dan ketahanan, tumpang-tindih kewenangan, serta risiko pengawasan yang tidak proporsional. Kritik tentang kaburnya konsep ketahanan sangat relevan bagi kasus ini, karena pelajaran utama Surabaya justru menyangkut ketahanan.

Lingkungan ancaman tidak menunggu legislasi. Evaluasi Vaksincom yang dilaporkan detikInet pada 26 November 2025 mencatat bahwa sepanjang 2025 kelompok APT73 membocorkan data personel sebuah institusi militer, Funksec menembus sistem SCADA sebuah perusahaan daerah air minum dan diduga menyerang portal desa di Jawa Barat, serta Killsec3 membobol sebuah BUMN minyak dan gas. Pada 17 Januari 2026, Direktur Jenderal Pengawasan Ruang Digital Alexander Sabar menjelaskan bahwa banyak kebocoran berakar pada sistem berarsitektur lama yang tidak lagi diperbarui, lemahnya tata kelola akses, dan ekosistem vendor yang kompleks, seraya menegaskan, “Serangan tidak lagi bersifat acak.” Dua hari kemudian, dalam acara BSSN, Wakil Menteri Nezar Patria menyatakan bahwa tugas pemerintah adalah memastikan ruang digital Indonesia tetap berada dalam kendali Indonesia, merujuk laporan Global Cybersecurity Outlook 2026 yang mencatat kenaikan sekitar 34 persen serangan ransomware bermotif geopolitik. Bahasa kendali itu kembali memperlihatkan bahwa wacana resmi masih berpusat pada kedaulatan, sementara diagnosis teknis pejabatnya sendiri berpusat pada ketahanan.

Perbandingan Internasional I: Kosta Rika dan Albania, Ketika Negara Menjadi Sasaran

Kosta Rika 2022 adalah kasus pembanding paling dekat dari segi skala. Serangan kelompok Conti, yang berlangsung menjelang dan selama pergantian presiden pada Mei 2022, melumpuhkan sejumlah institusi, dengan Kementerian Keuangan sebagai korban terberat. Platform pajak dan bea cukai lumpuh, sehingga pemrosesan dokumen, tanda tangan, dan stempel nyaris mustahil, dan serikat eksportir memperkirakan kerugian sekitar 200 juta dolar akibat kemacetan perdagangan. Pada 8 Mei 2022, hari pertama menjabat, Presiden Rodrigo Chaves menetapkan keadaan darurat nasional melalui dekret eksekutif 42542 yang mencakup seluruh sektor publik, menyebut pelaku sebagai teroris siber, sementara Conti menuntut tebusan sekitar 10 juta dolar yang ditolak pemerintah. Belum genap sebulan kemudian, pada 31 Mei 2022, lembaga jaminan sosial Caja Costarricense de Seguro Social diserang kelompok berbeda, Hive, dan seluruh sistem komputer di jaringannya dimatikan.

Dua pelajaran Kosta Rika relevan bagi Indonesia. Pelajaran pertama adalah bahwa negara berpendapatan menengah dengan reputasi pemerintahan digital yang baik tetap dapat dilumpuhkan oleh kelompok kriminal tanpa motif geopolitik yang jelas, sehingga kerentanan bukan fungsi dari keterbelakangan, melainkan dari ketidakseimbangan antara kecepatan digitalisasi dan kedalaman ketahanan. Pelajaran kedua adalah nilai politik dari penamaan krisis. Dengan menyatakan darurat nasional, Kosta Rika mengakui bahwa insiden siber adalah persoalan kelangsungan negara, membuka jalur pengadaan dan bantuan luar biasa, serta memberi publik kerangka untuk memahami gangguan layanan. Indonesia memilih bahasa yang lebih menenangkan, yaitu gangguan yang sedang ditangani, dan pilihan itu mengurangi kepanikan jangka pendek tetapi juga mengurangi tekanan untuk perubahan struktural yang cepat (tingkat keyakinan: sedang).

Albania 2022 memperlihatkan dimensi yang tidak muncul dalam kasus Surabaya, yaitu atribusi kepada negara. Pada 15 Juli 2022, serangan ransomware dan penghapus data menghentikan sementara banyak layanan digital dan situs pemerintah Albania. Setelah penyelidikan bersama Microsoft dan FBI, Perdana Menteri Edi Rama menyatakan pada 7 September 2022 bahwa terdapat “undeniable evidence” bahwa serangan itu diorkestrasi dan disponsori Republik Islam Iran, lalu memutus hubungan diplomatik dan memerintahkan staf kedutaan Iran meninggalkan negara itu dalam 24 jam. Iran membantah. Kasus ini menunjukkan bahwa layanan pemerintah yang terpusat bukan hanya sasaran kriminal, tetapi juga instrumen tekanan geopolitik, dan bahwa negara kecil dapat memakai atribusi publik bersama mitra sebagai alat pencegahan.

Bagi Indonesia, Albania berfungsi sebagai peringatan tentang masa depan, bukan cermin masa lalu. Kajian ini tidak menemukan bukti publik bahwa serangan PDNS 2 bermotif geopolitik, dan pemerintah memperlakukannya sebagai kejahatan siber berorientasi uang (tingkat keyakinan: sedang). Namun, posisi Indonesia di tengah persaingan kekuatan besar di Indo-Pasifik, ditambah kenaikan serangan bermotif geopolitik yang dikutip pejabat Komdigi sendiri, membuat skenario serangan negara terhadap pusat data pemerintah tidak lagi spekulatif. Perbedaan antara Kosta Rika dan Albania juga mengajarkan bahwa protokol respons harus dirancang untuk dua jenis lawan sekaligus: kelompok kriminal yang dapat dinegosiasikan atau diabaikan, dan aktor negara yang tujuannya justru kerusakan dan penghinaan politik, bukan uang.

Perbandingan Internasional II: British Library dan Estonia, Transparansi dan Distribusi sebagai Kedaulatan

British Library menawarkan pelajaran tentang apa yang dilakukan sebuah institusi publik setelah serangan. Laporan resmi bertanggal 8 Maret 2024 berjudul “Learning Lessons from the Cyber-Attack: British Library Cyber Incident Review” merinci bahwa insiden dinyatakan besar pada pukul 07.35 tanggal 28 Oktober 2023, bahwa jejak penyusup sudah tampak sejak 25 Oktober, bahwa akses pertama yang terkonfirmasi terjadi pada server Terminal Services yang tidak dilindungi autentikasi multifaktor, dan bahwa sekitar 600 gigabita berkas, kira-kira setengah juta dokumen termasuk data pribadi pengguna dan staf, disalin lalu dilepas ke web gelap setelah tebusan tidak dibayar. Kelompok pelakunya, Rhysida, disebut terbuka dalam pengantar publik laporan tersebut, bersama pengakuan bahwa ketergantungan historis pada infrastruktur warisan yang kompleks adalah penyebab utama lambatnya pemulihan.

Hal paling relevan dari laporan itu bagi Indonesia adalah koreksi atas mitos cadangan. British Library sebenarnya memiliki salinan aman koleksi digital dan metadatanya, tetapi hambatan utamanya adalah ketiadaan infrastruktur yang layak untuk memulihkan salinan itu. Laporan merumuskan bahwa kemampuan pulih dengan cepat sangat penting “when (not if) an attack is successful” dan bahwa sistem warisan “are not just hard to maintain and secure, they are extremely hard to restore”. Pelajaran ini memperluas makna temuan dua persen di Surabaya: memiliki cadangan hanyalah syarat pertama; cadangan itu juga harus terpisah, tidak dapat diubah, dan dapat dipulihkan ke infrastruktur pengganti dalam waktu yang teruji. Pedoman bersama CISA, NSA, FBI, dan MS-ISAC dalam #StopRansomware Guide merumuskan standar yang sama, yaitu menyimpan salinan terenkripsi secara luring dan menguji ketersediaan serta integritas cadangan secara berkala dalam skenario pemulihan bencana.

Dimensi kedua dari British Library adalah transparansi sebagai sumber ketahanan. Dengan menerbitkan laporan rinci, termasuk kesalahan sendiri, perpustakaan itu mengubah insiden memalukan menjadi barang publik bagi institusi sejenis. Indonesia hingga Oktober 2026 belum menerbitkan laporan pascainsiden PDNS 2 yang setara, baik dari Komdigi, BSSN, maupun audit pusat data pemerintah yang diperintahkan Presiden Joko Widodo setelah insiden (tingkat keyakinan: sedang, karena dokumen internal mungkin ada tetapi tidak dipublikasikan). Ketiadaan laporan publik berarti pemerintah daerah, universitas, dan BUMN yang menghadapi risiko serupa harus belajar dari potongan berita, bukan dari analisis akar masalah yang dapat diverifikasi.

Estonia menunjukkan bagaimana kedaulatan dapat dirancang melalui distribusi. Setelah relokasi monumen era Soviet, Prajurit Perunggu, pada 2007, Estonia diserang secara siber hingga, pada puncaknya, 58 situs Estonia tidak dapat diakses bersamaan, termasuk situs pemerintah, sebagian besar surat kabar, dan bank. Respons jangka panjangnya mencakup tuan rumah Pusat Keunggulan Pertahanan Siber Kooperatif NATO yang didirikan di Tallinn pada 2008, baseline keamanan wajib bagi instansi pemerintah, dan sistem pemantauan insiden terpusat. Pada 20 Juni 2017, Perdana Menteri Jüri Ratas dan Perdana Menteri Luksemburg Xavier Bettel menandatangani perjanjian yang melahirkan kedutaan data pertama di dunia, yang oleh Ratas disebut sebagai “a double guarantee to our data and services”.

Lembar fakta e-Estonia menyebut bahwa sepuluh basis data strategis, antara lain registri penduduk, registri bisnis, sistem informasi perbendaharaan, registri tanah, dan registri dokumen identitas, dicadangkan ke pusat data berstandar Tier 4 di Luksemburg yang sepenuhnya berada di bawah kendali Estonia. Bartłomiej Sierzputowski dalam artikel tahun 2019 di International & Comparative Law Quarterly berjudul “The Data Embassy under Public International Law” menganalisis bagaimana status hukum tempat kedutaan data dirumuskan dengan merujuk Konvensi Wina, sekaligus menunjukkan bahwa konsep ini masih baru dalam hukum internasional. Paradoks Estonia adalah pelajaran terpenting bagi kerangka kajian ini: negara yang paling serius tentang kedaulatan digital justru memilih menyimpan salinan negaranya di luar wilayahnya sendiri, karena kedaulatan dipahami sebagai kemampuan untuk terus berfungsi, bukan sebagai lokasi fisik data.

Logika yang sama tampak dalam perang di Ukraina. Analisis KBA13 Insight tahun 2026 berjudul “Kekuatan Inovasi: Mengapa Teknologi Menjadi Senjata Baru Geopolitik Dunia” mencatat bahwa pemindahan data pemerintah Ukraina ke layanan awan memungkinkan administrasi negara tetap berjalan di bawah serangan, dan menempatkan kemampuan adaptasi sebagai inti kekuatan negara. Bagi Indonesia, kombinasi Estonia dan Ukraina tidak berarti bahwa data negara harus dipindahkan ke luar negeri, sebuah opsi yang secara politik dan hukum tidak mudah. Artinya lebih mendasar: desain kedaulatan harus dimulai dari pertanyaan bagaimana negara tetap berfungsi bila fasilitas utamanya hilang, lalu baru menjawab di mana fasilitas itu sebaiknya berada.

Ingatan Institusional dan Kepercayaan Warga: Dimensi yang Tidak Dapat Dibeli dengan Gedung

Mengapa hanya 44 dari 282 instansi memiliki cadangan? Jawaban anggaran yang diberikan pemerintah benar tetapi tidak lengkap. Cadangan adalah pengetahuan institusional yang hidup dalam rutinitas: siapa yang menjadwalkan, siapa yang memeriksa, siapa yang mencoba memulihkan setiap triwulan, dan siapa yang dimintai pertanggungjawaban bila uji itu gagal. Ketika layanan dipindahkan ke fasilitas bersama, instansi penyewa cenderung menganggap cadangan sebagai urusan penyedia, sementara penyedia menganggapnya urusan penyewa sesuai kontrak. Pengetahuan itu tidak dihapus oleh satu keputusan; ia menguap karena setiap pihak mengira pihak lain yang memegangnya (tingkat keyakinan: sedang, karena didasarkan pada pola saling tunjuk yang terdokumentasi, bukan pada audit internal yang terbuka).

Sebuah artefak sederhana dalam koleksi Arsip & Pustaka membantu menjelaskan persoalan ini secara historis. Catatan koleksi tentang disket 3,5 inci Verbatim DataLifePlus menggambarkan cakram berkapasitas 1,44 megabita yang dipakai ulang untuk berbagai naskah akademik, dengan label tulisan tangan yang berganti, dan menelusuri perpindahan media dari disket ke CD, kilat USB, hingga penyimpanan awan setelah produksi disket berakhir pada 2011. Setiap perpindahan media semacam itu menuntut keputusan sadar tentang apa yang disalin, ke mana, dan siapa yang memeriksa bahwa salinan dapat dibaca. Generasi pengguna komputer pribadi belajar disiplin ini melalui kehilangan. Negara digital Indonesia mempelajarinya pada Juni 2024 dalam skala ratusan instansi sekaligus, dan pelajaran sejarah media ini menegaskan bahwa ketahanan adalah praktik migrasi yang berulang, bukan pembelian sekali jadi.

Dimensi kepercayaan sama pentingnya. Pada tahun 2014, wartawan Kompas berinisial AMR dalam harian Kompas yang berjudul “Warga Mimpikan Hak Petisi: Banyak Negara Sudah Memperhatikan” melaporkan gagasan presiden terpilih Joko Widodo tentang “e-blusukan”, yakni sistem informasi digital untuk menggantikan kunjungan lapangan, dan menekankan bahwa kanal umpan balik digital hanya bermakna jika warga dijamin hak petisinya. Sepuluh tahun kemudian, janji negara digital yang mendekat kepada warga itu diuji oleh PDNS 2. Ketika layanan padam, warga merespons dengan petisi daring yang menuntut pengunduran diri menteri, sebagaimana dicatat Fulcrum, dan Direktur Jenderal Aplikasi Informatika saat itu mengundurkan diri. Kanal partisipasi digital berfungsi, tetapi untuk menyuarakan ketidakpercayaan.

Kepercayaan juga rusak oleh ketidaksesuaian antara pernyataan resmi dan kenyataan pemulihan, sebagaimana tampak pada klaim layanan sudah normal sejak 1 Juli di hadapan angka 29 layanan pulih per 9 Juli. Laporan OECD tahun 2024 berjudul “OECD Survey on Drivers of Trust in Public Institutions – 2024 Results”, yang menghimpun hampir 60.000 responden di 30 negara anggota, menempatkan interaksi sehari-hari warga dengan institusi publik sebagai salah satu arena utama pembentukan kepercayaan. Meskipun Indonesia bukan bagian dari sampel survei itu, logikanya berlaku umum: warga dapat memaafkan kegagalan teknis yang dijelaskan jujur, tetapi jauh lebih sulit memaafkan penjelasan yang kemudian terbukti tidak akurat. Di sinilah makna kedua kedaulatan menurut Pohle dan Thiel, yakni kedaulatan pengguna atas datanya, berbenturan dengan praktik negara. Warga yang datanya hilang atau tidak dapat diakses tidak diberi tahu secara sistematis apa yang terjadi pada data mereka.

Buku tahun 2026 berjudul The Digital Civilization: Techno-Religion, the Abandoned Society, and the Crisis of Human Authentic Selfhood in the Planetary Era menawarkan konsep “masyarakat yang ditinggalkan” untuk menggambarkan kelompok yang dirugikan oleh ketimpangan digital dan kekuasaan platform. Konsep itu dapat diperluas ke relasi negara dan warga: ketika negara mendorong semua urusan ke kanal digital tetapi tidak menjamin ketahanannya, warga yang paling bergantung pada layanan publik, seperti mahasiswa yang mendaftar secara daring, pelintas batas di bandara, dan pemohon izin di kabupaten kecil, menjadi pihak yang ditinggalkan pada hari sistem gagal. Ketahanan negara digital dengan demikian bukan hanya isu keamanan nasional, tetapi juga isu keadilan distributif.

Argumen Tandingan: Apakah Sentralisasi Justru Jawaban yang Benar?

Argumen tandingan terkuat layak dirumuskan secara adil. Menurut pandangan ini, masalah Surabaya bukan sentralisasi, melainkan sentralisasi yang setengah hati dan korup. Sebelum PDNS, banyak aplikasi dan server pemerintah tersebar di kementerian, provinsi, kabupaten, dan kota, banyak di antaranya, menurut pandangan ini, dikelola dengan sumber daya terbatas, tanpa pembaruan perangkat lunak yang teratur, dan tanpa pemantauan memadai. Fragmentasi semacam itu tidak lebih aman; ia hanya membuat kegagalan tidak terlihat karena terjadi satu per satu. Pusat data terkonsolidasi memungkinkan standar keamanan tunggal, tenaga ahli bersertifikat, pemantauan terus-menerus, dan skala ekonomi yang tidak mungkin dicapai ratusan pemerintah daerah secara sendiri-sendiri. Bahkan Estonia, yang dijadikan teladan distribusi, mengelola kedutaan datanya sebagai bagian dari awan pemerintah nasional. Jadi, pelajaran yang benar adalah melanjutkan sentralisasi dengan lebih baik, bukan meragukannya.

Kajian ini menerima sebagian besar premis argumen tersebut. Kembali ke server yang tersebar akan menjadi kemunduran, dan diagnosis Komdigi tentang sistem warisan yang tidak diperbarui menunjukkan bahwa fragmentasi memang sumber kebocoran tersendiri. Data dari Surabaya juga mendukung sebagian argumen ini: instansi yang selamat adalah mereka yang memiliki salinan di tempat lain, yang berarti masalahnya bukan konsolidasi itu sendiri, melainkan konsolidasi tanpa salinan.

Namun, argumen tandingan gagal pada dua titik. Titik pertama adalah urutan. Sentralisasi aman hanya jika fasilitas cermin dan cadangan luring dibangun bersamaan, atau lebih dahulu, daripada pemindahan layanan ke fasilitas utama. Fakta hingga Oktober 2026 menunjukkan urutan sebaliknya: PDN 1 mulai beroperasi terbatas, sementara PDN 2 dan PDN 3 belum memiliki kepastian anggaran publik, dan opsi cadangan masih bergantung pada PDNS yang status pengelolaannya sendiri menunggu instruksi presiden. Artinya, pelajaran Surabaya dapat terulang dalam bentuk yang lebih mahal. Titik kedua adalah tata kelola. Standar tunggal hanya bernilai bila ada pihak independen yang mengujinya dan publik yang dapat memeriksa hasilnya. Model saat ini menempatkan Komdigi sebagai pembangun, operator, pembeli layanan, dan untuk sementara pengawas pelindungan data, sementara BSSN memberi rekomendasi yang tidak dipublikasikan. Konsentrasi peran ini adalah bentuk sentralisasi kedua, yaitu sentralisasi kewenangan, yang sama berisikonya dengan sentralisasi teknis.

Dengan demikian, sintesis yang ditawarkan kajian ini bukan desentralisasi, melainkan sentralisasi standar dan distribusi salinan. Standar keamanan, pemantauan, dan kompetensi sebaiknya dipusatkan; salinan data, kemampuan pemulihan, dan kewenangan pengujian sebaiknya disebar secara sengaja ke lokasi geografis, operator, dan lembaga yang berbeda (tingkat keyakinan: sedang hingga tinggi, karena sejalan dengan praktik Estonia, pedoman CISA, dan pelajaran British Library). Rumusan ini juga menjawab dilema kedaulatan: distribusi yang dirancang negara sendiri adalah ekspresi kendali, bukan pelepasannya.

Skenario Negara Digital Indonesia hingga 2029 dan Tanda-Tanda yang Perlu Diamati

Empat skenario berikut disusun dari dua ketidakpastian kunci. Ketidakpastian pertama adalah apakah redundansi fisik, yaitu PDN 2, PDN 3, atau cermin setara, beroperasi sebelum sebagian besar layanan kritis pindah ke PDN 1. Ketidakpastian kedua adalah apakah tata kelola independen, yakni lembaga pelindungan data pribadi yang berfungsi dan undang-undang keamanan siber yang membedakan pelindungan dari ketahanan, hadir dalam periode yang sama. Horizon 2029 dipilih karena bertepatan dengan akhir periode pemerintahan saat ini dan dengan perkiraan paling cepat efektifnya lembaga PDP pada 2028.

Skenario A, sentralisasi rapuh, adalah yang paling mungkin karena ia merupakan kelanjutan alami dari tren saat ini. Dalam skenario ini, PDN 1 memenuhi rekomendasi BSSN dan memperoleh sertifikasi, layanan berisiko tinggi dipindahkan secara bertahap pada 2027 dan 2028, tetapi PDN 2 dan PDN 3 tertunda karena kendala pembiayaan, sehingga PDNS tetap menjadi cadangan de facto. Lembaga PDP terbentuk tetapi dengan kapasitas awal yang terbatas dan berada dalam bayang-bayang kementerian. Indonesia akan tampak lebih maju dalam pemeringkatan internasional, sementara ketahanan sesungguhnya hanya membaik secara moderat. Risiko utama skenario ini adalah rasa aman yang palsu, karena gedung yang baru dan bersertifikat mudah disamakan dengan negara yang mampu pulih.

Skenario B, konsolidasi berlapis, menuntut tiga keputusan politik yang dapat dibuat dalam dua tahun: penetapan sumber pembiayaan pasti bagi minimal satu fasilitas cermin, kewajiban uji pemulihan tahunan yang hasilnya dilaporkan ke DPR, dan pembentukan lembaga PDP dengan pimpinan dan anggaran yang terpisah dari Komdigi. Probabilitasnya tidak kecil karena unsur-unsurnya sudah ada di atas kertas, termasuk desain tiga lokasi dan PP 33/2026. Skenario C, fragmentasi defensif, muncul bila kementerian besar dan pemerintah daerah yang mampu kehilangan kepercayaan pada infrastruktur nasional, lalu membangun pusat data atau kontrak awan sendiri. Skenario ini memberi rasa otonomi, tetapi menghidupkan kembali masalah sistem warisan dan standar yang beragam. Skenario D, guncangan kedua, berprobabilitas terendah tetapi berdampak tertinggi: serangan kriminal atau negara terhadap fasilitas baru sebelum redundansi lengkap akan mengulang Surabaya dengan skala yang lebih besar dan dengan kerusakan kepercayaan yang jauh lebih dalam.

Tanda-tanda yang perlu diamati dapat dirumuskan sebagai pertanyaan yang dapat diverifikasi publik. Apakah dokumen anggaran 2027 dan 2028 memuat pos pembiayaan pasti untuk PDN 2 atau PDN 3? Apakah Komdigi atau BSSN menerbitkan ringkasan publik hasil uji kelaikan dan uji pemulihan PDN 1? Apakah keputusan presiden tentang lembaga PDP terbit sebelum PP 33/2026 berlaku pada 16 Januari 2027, dan apakah lembaga itu berada di luar struktur kementerian? Apakah RUU Keamanan dan Ketahanan Siber yang disahkan memuat kewajiban pelaporan insiden dan standar ketahanan yang dapat diaudit, bukan hanya kewenangan penindakan? Dan apakah ada pengumuman resmi tentang pelanggaran data yang dilakukan negara sendiri sesuai kewajiban 3 × 24 jam? Jawaban positif atas sebagian besar pertanyaan ini akan menggeser probabilitas ke arah skenario B; diam atau penundaan akan memperkuat skenario A dan memperbesar peluang skenario D.

Rekomendasi Berjangka bagi Aktor Kunci

Bagi Kementerian Komunikasi dan Digital, prioritas pertama sebelum akhir triwulan pertama 2027 adalah menerbitkan laporan pascainsiden PDNS 2 dalam versi publik yang meniru struktur laporan British Library, yakni kronologi, akar masalah, kesalahan yang diakui, dan pelajaran, dengan bagian sensitif disunting tetapi kesimpulan tidak disembunyikan. Prioritas kedua, sebelum pertengahan 2027, adalah menetapkan aturan bahwa tidak ada layanan berisiko tinggi yang dipindahkan ke PDN 1 sebelum tersedia salinan luring yang tidak dapat diubah dan telah diuji pulih di lokasi terpisah. Prioritas ketiga adalah mempublikasikan setiap tahun indikator ketahanan yang sederhana, seperti persentase layanan dengan cadangan teruji, waktu pemulihan rata-rata dalam uji, dan jumlah instansi yang belum patuh, sehingga DPR dan publik dapat menilai kemajuan tanpa bergantung pada pernyataan.

Bagi Badan Siber dan Sandi Negara, rekomendasi utamanya adalah mengubah peran dari pemberi rekomendasi tertutup menjadi penguji independen yang hasilnya dapat diperiksa. Sebelum akhir 2027, BSSN sebaiknya menetapkan standar uji pemulihan wajib bagi seluruh pusat data pemerintah, termasuk latihan pemulihan tanpa pemberitahuan sebelumnya sekurang-kurangnya sekali setahun, dan menerbitkan ringkasan hasilnya. BSSN juga perlu menyiapkan protokol yang membedakan respons terhadap kelompok kriminal dan terhadap aktor negara, belajar dari perbandingan Kosta Rika dan Albania, termasuk mekanisme atribusi publik bersama mitra internasional bila bukti memadai. Dalam pembahasan RUU Keamanan dan Ketahanan Siber, BSSN sebaiknya mendorong agar istilah ketahanan didefinisikan secara operasional, misalnya melalui kewajiban waktu pemulihan maksimum bagi layanan publik kritis.

Bagi Bappenas, rekomendasinya menyangkut urutan investasi. Dalam penyusunan rencana kerja pemerintah 2027 dan 2028, ketahanan sebaiknya diperlakukan sebagai syarat kelayakan proyek, bukan tambahan. Pembiayaan fasilitas cermin dan cadangan luring perlu dijadwalkan sebelum, atau bersamaan dengan, perluasan migrasi layanan ke PDN 1, dan setiap pinjaman luar negeri untuk infrastruktur data pemerintah sebaiknya memuat komponen ketahanan yang tidak dapat dipotong. Bappenas juga dapat memimpin kajian biaya-manfaat sederhana yang membandingkan biaya redundansi dengan biaya gangguan layanan, karena argumen anggaran yang dipakai untuk menjelaskan ketiadaan cadangan pada 2024 hanya dapat dijawab dengan angka.

Bagi Kementerian Pendayagunaan Aparatur Negara dan Reformasi Birokrasi, yang mengoordinasikan penilaian SPBE, rekomendasinya adalah memasukkan indikator ketahanan ke dalam evaluasi SPBE mulai siklus 2027, sehingga instansi tidak lagi dinilai hanya dari jumlah layanan digital tetapi juga dari kemampuan memulihkannya. Indikator ini sebaiknya mencakup keberadaan rencana kesinambungan layanan, uji pemulihan yang terdokumentasi, dan penunjukan pejabat yang bertanggung jawab atas cadangan, sejalan dengan kewajiban pejabat pelindungan data dalam PP 33/2026. Kementerian ini juga dapat memastikan bahwa tanggung jawab cadangan tertulis dalam uraian jabatan, bukan hanya dalam kontrak dengan penyedia, sehingga pengetahuan institusional tidak hilang ketika pejabat berganti.

Bagi pemerintah daerah, rekomendasinya realistis dan bertahap. Sebelum akhir 2027, setiap provinsi sebaiknya memetakan layanan daerah yang bergantung pada infrastruktur nasional dan menetapkan prosedur manual darurat untuk layanan yang tidak boleh berhenti, seperti perizinan dasar dan administrasi kependudukan, karena pengalaman Juni 2024 menunjukkan bahwa pemerintah daerah adalah mayoritas korban. Kabupaten dan kota dengan kapasitas terbatas dapat membentuk konsorsium regional untuk berbagi tenaga ahli dan uji pemulihan, alih-alih membangun pusat data sendiri yang akan mengarah ke skenario fragmentasi defensif.

Bagi perguruan tinggi, peran yang paling dibutuhkan adalah memproduksi tenaga dan pengetahuan yang selama ini kurang. Mulai tahun akademik 2027/2028, program studi ilmu komputer, administrasi publik, hukum, dan kajian strategis dapat menjadikan kasus PDNS 2 dan kasus-kasus pembandingnya sebagai bahan ajar wajib, dengan latihan simulasi krisis lintas disiplin. Universitas juga dapat menyediakan audit independen dan riset terbuka tentang ketahanan layanan pemerintah, sebuah fungsi yang lazim dalam ekosistem kebijakan yang matang. Kekurangan tenaga bersertifikat yang sempat dilaporkan sebagai salah satu sebab tertundanya operasional PDN pada April 2025 adalah sinyal langsung bagi dunia pendidikan.

Bagi mitra internasional, rekomendasinya berfokus pada transfer kapasitas, bukan sekadar pembiayaan gedung. Prancis, sebagai pemberi pinjaman PDN 1, berada pada posisi yang baik untuk mendukung komponen uji pemulihan dan pelatihan operator dalam fase berikutnya. Estonia dapat menjadi mitra dialog tentang desain kedutaan data dan aspek hukum internasionalnya, tanpa mengandaikan bahwa Indonesia harus menyimpan data di luar negeri. Lembaga multilateral seperti Bank Dunia dan forum regional ASEAN dapat mendukung latihan pemulihan bersama antarnegara anggota dan pertukaran laporan pascainsiden, karena negara-negara Asia Tenggara menghadapi pola ancaman serupa. Semua dukungan ini sebaiknya dikaitkan dengan indikator ketahanan yang dapat diverifikasi, bukan dengan jumlah server yang terpasang.

Keterbatasan dan Kesimpulan

Kajian ini memiliki empat keterbatasan yang perlu dinyatakan terbuka. Pertama, sumbernya terbatas pada dokumen dan pernyataan publik; laporan audit internal, rekomendasi rinci BSSN, dan kontrak PDNS tidak tersedia untuk diperiksa, sehingga sebagian penilaian tentang praktik cadangan dan tata kelola bertumpu pada pernyataan pejabat yang dikutip media. Kedua, angka-angka penting, seperti dua persen data bercadangan, 44 dari 282 instansi, dan jumlah layanan pulih, berasal dari pernyataan lisan pada masa krisis dan belum dikonfirmasi oleh laporan resmi tertulis. Ketiga, status operasional PDN 1 setelah Januari 2026 hanya dapat diketahui dari sedikit pemberitaan, sehingga mungkin terdapat kemajuan yang belum diumumkan. Keempat, kasus pembanding berbeda dalam ukuran, sistem politik, dan jenis lembaga, sehingga perbandingan digunakan untuk menguji mekanisme, bukan untuk menyamakan konteks.

Dengan keterbatasan itu, kesimpulan kajian ini tetap tegas. Insiden PDNS 2 Surabaya adalah momen ketika negara digital Indonesia melihat dirinya tanpa salinan, dan dua tahun kemudian negara telah membangun gedung baru, menghukum pejabat yang korup, merombak kementerian, dan menerbitkan aturan baru, tetapi belum membuktikan bahwa ia mampu memulihkan dirinya sendiri. Kasus Kosta Rika dan Albania menunjukkan bahwa negara mana pun dapat menjadi sasaran; British Library menunjukkan bahwa kejujuran pascainsiden adalah bagian dari ketahanan; dan Estonia menunjukkan bahwa kedaulatan yang serius justru diwujudkan melalui distribusi salinan. Pelajaran paling mendasar bagi pendidikan peradaban digital adalah bahwa negara modern tidak lagi diukur dari kemampuannya menyimpan, melainkan dari kemampuannya mengingat dan memulihkan. Hingga negara dapat menunjukkan secara terbuka bahwa layanan kritisnya dapat hidup kembali dalam hitungan jam tanpa bantuan siapa pun, kedaulatan digital Indonesia masih merupakan janji, belum kenyataan.

The Question, the Bottom Line, and Why the Case Matters Globally

When a state moves its public services onto shared digital infrastructure, who guarantees that the state can still function on the day that infrastructure fails? The PDNS 2 Surabaya incident of June 2024 supplied an uncomfortable answer. A facility designed as a temporary bridge to a permanent data centre turned out to host the services of hundreds of ministries, agencies and regional governments, yet held almost no recoverable copies. On 27 June 2024 the then head of the National Cyber and Crypto Agency (BSSN), Hinsa Siburian, told Commission I of the House of Representatives that only about two per cent of the data stored in Surabaya had been backed up. That sentence, more than the ransom figure or the name of the criminal group, is the heart of this case.

The bottom line can be put as three judgements. First, the June 2024 failure was not primarily a failure of defensive technology but of recovery architecture: the state centralised services without also centralising the discipline of backup, recovery testing and accountability (confidence: high). Second, the response over the following two years has been real but lopsided. The government restructured the ministry, completed the PDN 1 building in Cikarang, saw the PDNS procurement corruption case through the courts and issued implementing regulations on personal data protection, but cross-site recovery capacity, an independent personal data protection authority and a cyber security law did not exist as operational realities as of October 2026 (confidence: high). Third, the greatest risk to 2029 is not a repeat of an identical attack but the emergence of a new centralisation that is grander yet just as fragile, because the permanent data centre is opening before the second and third centres meant to mirror it (confidence: moderate).

The case matters beyond Indonesia for three reasons. Indonesia is an archipelagic state with layered central, provincial, district and municipal government that has leapt rapidly in digital-government rankings: the 2024 United Nations e-government survey placed it 64th of 193 countries, up thirteen places and into the “very high” group. Such rankings measure the availability of services, not their durability, which makes Indonesia a clear example of the gap between digitalisation and resilience. Second, many developing countries are travelling a similar road, consolidating government data centres in the name of efficiency and sovereignty, often with foreign loan financing. Third, the incident occurred just as the discourse of digital sovereignty was strengthening worldwide, and it shows that sovereignty understood as data localisation can coexist with total dependence on one facility, one operator and one stroke of luck.

As teaching material, the case is designed to help students and practitioners separate three things that public debate often conflates: security, the ability to prevent attacks; resilience, the ability to withstand and recover; and sovereignty, the ability to make one’s own choices about infrastructure and data. Surabaya shows that a state can hold a strong sovereignty claim, since its data sat on national territory and was managed by state-owned enterprises, while its resilience was close to zero. This study argues that the order of priorities must be reversed: meaningful sovereignty is born of tested resilience, not the other way round.

Analytical Framework and Method Note

This study uses four interlocking lenses. The first sets digital sovereignty against resilience. Luciano Floridi, in his 2020 article “The Fight for Digital Sovereignty”, defines digital sovereignty as control over the digital environment, including data, software, standards, cloud services and physical infrastructure, with control understood as the ability both to influence and to correct deviations. The definition is useful because correction is, in essence, recovery: a state unable to correct damage to its own systems is not sovereign over them. Julia Pohle and Thorsten Thiel, in their 2020 piece “Digital sovereignty”, add that the term has become a discursive practice used by authoritarian and democratic states alike, and that two meanings compete: state sovereignty over infrastructure and user sovereignty over one’s own data. The Surabaya case exposes the tension between them sharply. The September/October 2018 issue of Foreign Affairs titled World War Web: The Fight for the Internet’s Future, with essays by Adam Segal on China, Nandan Nilekani on India and Helen Dixon on European regulation, shows that the contest over the internet’s future was framed from the outset as a competition among models of state control; the question of how a state recovers after its systems collapse found far less room in that debate.

The second lens is centralisation as a single point of failure. Patrick Dunleavy and colleagues, in their 2006 article “New Public Management Is Dead: Long Live Digital-Era Governance”, describe digital-era governance as a movement of reintegration, bringing back together functions that managerial reform had split apart. Reintegration promises efficiency and coherence, but it also concentrates risk. This study tests whether Indonesia’s data-centre consolidation came with counterweights such as geographic mirrors, offline backups and periodic recovery tests, or whether it simply moved all the risk to one point.

The third lens is institutional knowledge of backups. A backup is not merely hardware; it is an organisational routine that must be remembered, budgeted, tested and handed down from one official to the next. When responsibility for backup is left blurred among the service provider, tenants, regulator and security agency, the routine disappears without anyone deciding to abolish it. The fourth lens is the citizen-state trust relationship: the digital state asks citizens to surrender data and depend on online services, so every failure becomes a test of that new social contract, and how the state explains a failure matters as much as the failure itself.

Methodologically, this is a single case study enriched by focused comparison with four cases. The period of analysis runs from June 2024 to the end of October 2026. The approach is process tracing: reconstructing the sequence of decisions and events to judge whether the government’s response reached the causal mechanisms of failure or only its symptoms. Sources are of three kinds: official documents and regulations, such as laws, presidential regulations and the official reports of comparator institutions; scholarly literature on digital sovereignty, digital-era governance and the international law of data embassies; and mainstream Indonesian and international media that record dated statements by officials. The comparison cases were chosen because each represents one dimension: Costa Rica for national scale and emergency status, Albania for the geopolitical dimension, the British Library for post-incident transparency and Estonia for sovereignty designed through distribution. Each key judgement carries a confidence level of high, moderate or low, reflecting the quality and consistency of the evidence, not moral certainty.

Anatomy of the Incident: Four Days That Redrew the State’s Risk Map

The official chronology presented by the then Minister of Communication and Informatics, Budi Arie Setiadi, shows that the attack did not come out of nowhere. According to that account, attempts to disable the Windows Defender security feature were first detected at around 23:15 Western Indonesian Time on 17 June 2024, while malicious activity, installing harmful files, deleting critical system files and disabling running services, began at 00:54 on 20 June, followed one minute later by Windows Defender crashing. The gap of more than two days between the first symptom and encryption is analytically the single most important fact in the chronology, because it shows that monitoring produced signals but no mechanism converted those signals into isolation (confidence: high).

The malware was Brain Cipher. At a press conference on 24 June 2024 Hinsa Siburian called it the latest development of LockBit 3.0 ransomware, a judgement consistent with a Symantec report dated 16 June 2024 on a newly emerged LockBit variant. The attackers demanded a ransom of USD 8 million, about Rp131 billion, and the government refused to pay. As of 26 June 2024 the government counted 239 affected agencies, comprising 30 ministries and agencies, 15 provinces, 148 districts and 48 cities, while 43 other agencies were unaffected because they had placed only backups at PDNS 2. Of the 282 tenants, then, the small minority that survived were precisely those that treated Surabaya as a place for copies rather than as the primary home of their data.

The most visible impact came at the nation’s gates. Immigration services at international airports were disrupted, and manual queues became the first public image of the crisis. Yanuar Nugroho, in an ISEAS Fulcrum commentary of 8 August 2024 titled “Indonesia’s National Data Centre Ransomware Attack: A Digital Governance Failure”, records that essential services were heavily disrupted for four to seven days or more, including online student registration, and that on 3 July 2024 the attackers actually released the decryption key free of charge. That last event is often read as a victory for the no-payment stance, but analytically it is more troubling: the recovery of part of the state’s services ultimately depended on the generosity of criminals, not on the state’s own capacity.

The recovery figures make this clearer. Internal data cited by InvestorTrust show that as of 9 July 2024 only 29 services had been restored, all belonging to agencies with backups, while ten more were being recovered using Brain Cipher’s decryptor, even though the Coordinating Minister for Political, Legal and Security Affairs, Hadi Tjahjanto, had earlier said digital public services had been running normally since 1 July. A US-ASEAN Business Council analysis of 13 August 2024 titled “Ransomware Attack Highlights Critical Gaps in Indonesia’s Data and Cyber Governance” records that on 13 July Hadi said 86 of 282 services had been restored after the decryption keys were obtained. The gap between the claim of normality and the actual recovery figures is what subsequently eroded public trust, a dynamic examined in more detail in section VIII.

The facts about backup are the centre of the case. Besides BSSN’s two per cent statement, Herlan Wijanarko of Telkom stated at the same hearing that only 44 of 282 agencies had backup data. Hinsa also explained that the disaster recovery centre in Batam should have held an exact copy of the Surabaya data but had not been used optimally. Budi Arie, as the US-ASEAN Business Council analysis notes, cited budget constraints as the reason agencies had not backed up their data and announced plans for a rule mandating backup. The admission matters: it shows that the obligation to back up had not taken root as an operational norm, so it had to be announced as new policy after the disaster.

An Architecture of Vulnerability: How Consolidation Policy Created a Single Point of Failure

PDNS was not a rogue project; it grew out of legitimate, well-intentioned policy. The Electronic-Based Government System (SPBE) framework under Presidential Regulation 95/2018 encouraged integrated infrastructure, and a 2021 circular asked agencies to maximise their use of PDNS. Shevierra Danmadiyah, writing in Stratsea on 11 July 2024 in “Indonesia’s Cybersecurity Disaster: An Alarm to Reform”, notes that the framework comprised Government Regulation 71/2019, Presidential Regulations 95/2018 and 28/2021 and Circular Letter 3/2021, and that PDNS operated at three sites: Surabaya, South Tangerang and Batam. In 2023 the government accelerated the same direction through Presidential Regulation 82/2023 on Accelerating Digital Transformation and the Integration of National Digital Services. In other words, the concentration of services in PDNS was an intended outcome of policy, not an accident.

The problem lay in the asymmetry between what was centralised and what was not. Policy centralised the location of storage and operations but left responsibility for backup dispersed among individual tenants, most of them regional governments with limited budgets and technical staff. When the incident occurred, the same Stratsea piece notes, the ministry pointed to the tenants, BSSN said tenants should have managed their own systems, and the service provider said its systems were adequate. This pattern of mutual finger-pointing is a classic symptom of what the safety literature calls an ownership vacuum: each party holds a fragment of responsibility, but none holds the end result, namely the state’s capacity to recover (confidence: high).

The leasing model complicated the picture. PDNS was run by corporate partners under a service arrangement, so the relationship between the state and its infrastructure was mediated by contract. Contracts can set service-availability levels, but they often do not specify, or do not enforce, obligations to test recovery from physically separate backups. The fact that the Batam recovery centre did not function as a mirror of Surabaya shows that redundancy existed on paper but not in practice. Rahmat Rambe and Fairuz Fernanda Hermawan, in a 2025 article in the Indonesian Journal on Computing titled “The Impact of Ransomware on Indonesia’s National Data Security”, conclude from a systematic review that weak infrastructure, inadequate backup systems, limited inter-agency coordination, a shortage of experts and procurement corruption together magnify systemic risk.

The element of corruption was subsequently proven in court, and this changes how the case should be read. The Central Jakarta District Prosecutor’s Office began investigating alleged corruption in PDNS procurement worth Rp958 billion in March 2025. On 10 March 2026 the Jakarta Anti-Corruption Court sentenced former Director General of Informatics Applications Semuel Abrijani Pangerapan to six years in prison for accepting a Rp6.5 billion bribe from Alfi Asman, business director of PT Aplikanusa Lintasarta, who also received six years. Former Director of Application Services Bambang Dwi Anggono received nine years, commitment-making official Nova Zanda five years, and an account manager at PT Dokotel Teknologi six years, with state losses set at Rp140.86 billion. The verdicts do not prove that corruption caused the attack, but they do prove that procurement of the digital state’s most strategic infrastructure was driven by incentives other than resilience (confidence: high for the facts of the verdict, moderate for any causal link with weak recovery design).

Dunleavy’s lens helps to sum up this section. Indonesia pursued digital-era reintegration at high speed, as its jump in the e-government ranking reflects, but without the counterweight institutions that make reintegration safe. Consolidation lowers average costs and speeds up services, yet it simultaneously raises the cost of failure from the scale of an agency to the scale of the state. When failure came, it took the form not of one district office going dark but of hundreds of services going out at once, including the services that determine who may enter and leave the national territory.

After Surabaya: What Changed and What Did Not, June 2024 to October 2026

The first institutional change came with the change of government. Under Presidential Regulation 174/2024 of 5 November 2024, the Ministry of Communication and Informatics became the Ministry of Communication and Digital Affairs (Komdigi), and the Directorate General of Informatics Applications was split into three: Digital Government Technology, Digital Ecosystem, and Digital Space Supervision. The split gave digital government its own top-tier unit, an organisationally sensible step. At BSSN, President Prabowo Subianto swore in Nugroho Sulistyo Budi as head on 19 February 2025, replacing Hinsa Siburian. The leadership change opened room for renewal but also broke continuity of knowledge about an incident only eight months old.

The second change concerned infrastructure. On 23 September 2024 the government said PDN 1 in the Deltamas area of Cikarang was 83 per cent complete. According to the briefing at the time, the 20-megawatt facility, worth about Rp2.7 trillion, was financed by a loan from the French government, to be followed by PDN 2 in Batam and PDN 3 in the new capital Nusantara, with backup based on mirroring, cloud and cold sites across the three locations, and with ministries and agencies still required to keep their own backups. Deputy Minister Nezar Patria acknowledged on the same occasion a shortfall in the foreign loan and grant ceiling and unpaid utility costs for PDN 1. The three-site design is the right answer to the lesson of Surabaya; the problem lies in its sequencing and financing.

The PDN 1 operating schedule slipped repeatedly, from March 2025 to April, then to June 2025. The building and systems were handed over in March 2025, and on 7 May 2025 Komdigi Minister Meutya Hafid said her ministry was exploring a co-financing scheme for PDN 2 and PDN 3, while the backup option still depended on PDNS because no budget had been allocated. In mid-December 2025 the Director General of Digital Government Technology, Mira Tayyiba, was still saying, “We are ready, but it is still being assessed by BSSN,” and reporting noted that the government continued to pay rent for PDNS while waiting. At the same time Telkom said it was ready to manage PDNS but was still awaiting a presidential instruction and a joint ministerial decree on the assignment, leaving the legal status of the temporary facility itself unresolved.

The turning point came in early 2026. BSSN assessed the security worthiness of PDN 1 in two stages, design and implementation, from July to 23 December 2025, and delivered the results to the Komdigi minister on 14 January 2026. At a working meeting with Commission I on 26 January 2026, Komdigi stated that PDN 1 had begun limited operations, prioritising low-risk services, while BSSN’s follow-up recommendations were to be met within six to twelve months, alongside plans for ISO certification, a review of standard operating procedures and preparation of an operations playbook. This phased approach deserves credit because it resists the temptation to move everything at once. However, this study found no public evidence that PDN 2 or PDN 3 was operating as of October 2026, so PDN 1 for now stands without a permanent mirror (confidence: moderate, given limited disclosure of operational data).

The third change came in data protection law. Law 27/2022 on Personal Data Protection provided a two-year adjustment period that ended in October 2024, a few months after the incident. Its implementing regulation, Government Regulation 33/2026, was promulgated on 16 July 2026 and takes effect six months later, on 16 January 2027. An RSM Indonesia summary of 18 September 2026 explains that the regulation requires written notification to data subjects and the supervisory authority within 3 × 24 hours of a protection failure, public notification where a failure disrupts public services, a data protection officer for processing that serves public services, and administrative fines of up to two per cent of annual revenue. Had these provisions applied in June 2024, the state itself, as data controller, would have been the first party obliged to report.

Yet the key to implementation does not exist. The personal data protection authority mandated by the law has not been formed. Wahyudi Djafar of Catalyst Policy Works said on 8 September 2026 that without that agency the compliance standards in the law and regulation cannot be applied effectively, and that it could become effective in 2028 at the earliest. On 28 October 2026 Komdigi said that harmonisation for establishing the agency was complete and was now awaiting the president’s decision, while interim supervision is carried out by Komdigi itself under the general electronic-systems framework. The consequence is serious: the ministry that runs the government’s data centre also supervises personal data compliance, so the state is supervising itself, precisely the conflict of interest the independent-authority model is meant to avoid.

The fourth change is cyber security legislation. The government received the House’s inventory of issues on the Cyber Security and Resilience Bill on 29 June 2026, and Commission I chair Utut Adianto said deliberations would not be rushed. In late August 2026 the Indonesia Cybersecurity Forum went further and proposed that deliberations be paused, having identified 22 strategic blind spots, including a blurred distinction between protection and resilience, overlapping authority and the risk of disproportionate surveillance. The criticism that the concept of resilience is blurred is highly relevant here, because the central lesson of Surabaya concerns resilience.

The threat environment does not wait for legislation. A Vaksincom evaluation reported by detikInet on 26 November 2025 records that during 2025 the APT73 group leaked personnel data from a military institution, Funksec breached the SCADA system of a regional drinking-water utility and allegedly attacked a village portal in West Java, and Killsec3 breached a state-owned oil and gas company. On 17 January 2026 the Director General of Digital Space Supervision, Alexander Sabar, explained that many breaches stem from legacy-architecture systems no longer updated, weak access governance and complex vendor ecosystems, adding, “Attacks are no longer random.” Two days later, at a BSSN event, Deputy Minister Nezar Patria said that the government’s task is to ensure that Indonesia’s digital space remains under Indonesia’s control, citing the Global Cybersecurity Outlook 2026 finding of a rise of about 34 per cent in geopolitically motivated ransomware. That language of control again shows that official discourse still centres on sovereignty, while its own officials’ technical diagnosis centres on resilience.

International Comparison I: Costa Rica and Albania, When the State Becomes the Target

Costa Rica 2022 is the closest comparator in terms of scale. The Conti group’s attacks, which unfolded before and during the presidential transition in May 2022, crippled a number of institutions, with the Finance Ministry the hardest hit. Tax and customs platforms were paralysed, making the processing of documents, signatures and stamps nearly impossible, and an exporters’ union estimated losses of about USD 200 million from trade bottlenecks. On 8 May 2022, his first day in office, President Rodrigo Chaves declared a national emergency through executive decree 42542 covering the entire public sector, calling the attackers cyber-terrorists, while Conti demanded a ransom of about USD 10 million that the government refused. Less than a month later, on 31 May 2022, the social security fund, the Caja Costarricense de Seguro Social, was hit by a different group, Hive, and all computer systems on its network were shut down.

Two lessons from Costa Rica are relevant to Indonesia. The first is that a middle-income country with a good digital-government reputation can still be paralysed by criminal groups with no clear geopolitical motive, so vulnerability is a function not of backwardness but of imbalance between the speed of digitalisation and the depth of resilience. The second is the political value of naming a crisis. By declaring a national emergency, Costa Rica acknowledged that a cyber incident is a matter of state continuity, opened channels for extraordinary procurement and assistance, and gave the public a frame for understanding service disruption. Indonesia chose more reassuring language, that of a disruption being dealt with, and that choice reduced short-term panic but also reduced pressure for rapid structural change (confidence: moderate).

Albania 2022 shows a dimension absent from Surabaya: attribution to a state. On 15 July 2022, ransomware and wiper attacks temporarily shut down many Albanian government digital services and websites. After a joint investigation with Microsoft and the FBI, Prime Minister Edi Rama stated on 7 September 2022 that there was “undeniable evidence” that the attack had been orchestrated and sponsored by the Islamic Republic of Iran, then severed diplomatic relations and ordered Iranian embassy staff to leave within 24 hours. Iran denied it. The case shows that centralised government services are not only a criminal target but also an instrument of geopolitical pressure, and that a small state can use public attribution with partners as a deterrent.

For Indonesia, Albania serves as a warning about the future rather than a mirror of the past. This study found no public evidence that the PDNS 2 attack was geopolitically motivated, and the government treated it as profit-driven cybercrime (confidence: moderate). Yet Indonesia’s position amid great-power competition in the Indo-Pacific, together with the rise in geopolitically motivated attacks cited by Komdigi officials themselves, means a state attack on government data centres is no longer speculative. The contrast between Costa Rica and Albania also teaches that response protocols must be designed for two kinds of adversary at once: criminal groups that can be negotiated with or ignored, and state actors whose aim is damage and political humiliation, not money.

International Comparison II: The British Library and Estonia, Transparency and Distribution as Sovereignty

The British Library offers lessons about what a public institution does after an attack. Its official report of 8 March 2024, “Learning Lessons from the Cyber-Attack: British Library Cyber Incident Review”, details that the incident was declared major at 07:35 on 28 October 2023, that traces of the intruders were visible from 25 October, that the first confirmed access occurred on a Terminal Services server not protected by multi-factor authentication, and that about 600 gigabytes of files, roughly half a million documents including personal data of users and staff, were copied and then dumped on the dark web after no ransom was paid. The perpetrator group, Rhysida, is named openly in the public introduction to the report, along with the admission that historic reliance on complex legacy infrastructure was the main cause of slow recovery.

The most relevant point in the report for Indonesia is its correction of the backup myth. The British Library did hold secure copies of its digital collections and metadata, but the main obstacle was the lack of viable infrastructure on which to restore them. The report states that the ability to recover quickly is essential “when (not if) an attack is successful” and that legacy systems “are not just hard to maintain and secure, they are extremely hard to restore”. This lesson widens the meaning of Surabaya’s two per cent finding: having a backup is only the first condition; the backup must also be separate, immutable and restorable onto replacement infrastructure within a tested time. Joint guidance from CISA, the NSA, the FBI and MS-ISAC in the #StopRansomware Guide sets the same standard: keep encrypted copies offline and regularly test the availability and integrity of backups in a disaster-recovery scenario.

The second dimension of the British Library case is transparency as a source of resilience. By publishing a detailed report, including its own mistakes, the library turned an embarrassing incident into a public good for peer institutions. As of October 2026 Indonesia had not published an equivalent post-incident report on PDNS 2, whether from Komdigi, BSSN or the audit of government data centres ordered by President Joko Widodo after the incident (confidence: moderate, since internal documents may exist without being published). The absence of a public report means that regional governments, universities and state firms facing similar risks must learn from news fragments rather than from a verifiable root-cause analysis.

Estonia shows how sovereignty can be designed through distribution. After the relocation of the Soviet-era Bronze Soldier monument in 2007, Estonia was hit by cyber-attacks such that, at their peak, 58 Estonian websites were offline at once, including government sites, most newspapers and banks. Its long-term response included hosting the NATO Cooperative Cyber Defence Centre of Excellence, established in Tallinn in 2008, a mandatory security baseline for government authorities and a central incident-monitoring system. On 20 June 2017 Prime Minister Jüri Ratas and Luxembourg’s Prime Minister Xavier Bettel signed the agreement that created the world’s first data embassy, which Ratas called “a double guarantee to our data and services”.

The e-Estonia fact sheet states that ten strategic databases, among them the population register, business register, treasury information system, land register and identity documents register, are backed up to a Tier 4 data centre in Luxembourg that is fully under Estonian control. Bartłomiej Sierzputowski, in a 2019 article in the International & Comparative Law Quarterly titled “The Data Embassy under Public International Law”, analyses how the legal status of data-embassy premises has been framed with reference to the Vienna Conventions, while showing that the concept remains new in international law. The Estonian paradox is the most important lesson for this study’s framework: the state most serious about digital sovereignty chose to keep a copy of itself outside its own territory, because sovereignty is understood as the ability to keep functioning, not as the physical location of data.

The same logic appears in the war in Ukraine. A 2026 KBA13 Insight analysis titled “Kekuatan Inovasi: Mengapa Teknologi Menjadi Senjata Baru Geopolitik Dunia” (The Power of Innovation: Why Technology Has Become the New Weapon of World Geopolitics) notes that moving Ukrainian government data to cloud services allowed state administration to keep running under attack, and places adaptive capacity at the core of state power. For Indonesia, the combination of Estonia and Ukraine does not mean that state data must be moved abroad, an option that is politically and legally difficult. The meaning is more fundamental: the design of sovereignty must begin with the question of how the state keeps functioning if its main facility is lost, and only then answer where that facility should be.

Institutional Memory and Citizen Trust: The Dimensions No Building Can Buy

Why did only 44 of 282 agencies have backups? The budgetary answer the government gave is correct but incomplete. Backup is institutional knowledge that lives in routines: who schedules it, who checks it, who attempts a restore every quarter, and who is held to account when that test fails. When services move to a shared facility, tenant agencies tend to regard backup as the provider’s business, while the provider regards it as the tenant’s under the contract. That knowledge is not erased by any single decision; it evaporates because each party assumes another holds it (confidence: moderate, since this rests on the documented pattern of mutual blame rather than on an open internal audit).

A simple artefact in the Arsip & Pustaka collection helps explain the problem historically. The collection record for a 3.5-inch Verbatim DataLifePlus diskette describes a 1.44-megabyte disk reused for various academic texts, with changing handwritten labels, and traces the migration of media from diskette to CD, USB flash drive and cloud storage after diskette production ended in 2011. Each such media migration demands a conscious decision about what is copied, where, and who checks that the copy can be read. The generation of personal-computer users learned this discipline through loss. Indonesia’s digital state learned it in June 2024 at the scale of hundreds of agencies at once, and this lesson from media history confirms that resilience is a recurring practice of migration, not a one-off purchase.

The trust dimension is just as important. In 2014 a Kompas journalist with the initials AMR, in the Kompas daily article titled “Warga Mimpikan Hak Petisi: Banyak Negara Sudah Memperhatikan” (Citizens Dream of a Right to Petition: Many Countries Already Pay Attention), reported President-elect Joko Widodo’s idea of “e-blusukan”, a digital information system to replace field visits, and stressed that digital feedback channels are meaningful only if citizens are guaranteed the right to petition. Ten years later, that promise of a digital state drawing closer to its citizens was tested by PDNS 2. When services went down, citizens responded with an online petition demanding the minister’s resignation, as Fulcrum records, and the then Director General of Informatics Applications resigned. The channels of digital participation worked, but to voice distrust.

Trust was also damaged by the mismatch between official statements and the reality of recovery, as seen in the claim that services were normal from 1 July set against the figure of 29 services restored by 9 July. The 2024 OECD report “OECD Survey on Drivers of Trust in Public Institutions – 2024 Results”, drawing on nearly 60,000 respondents in 30 member countries, treats citizens’ day-to-day interactions with public institutions as one of the main arenas in which trust is formed. Although Indonesia is not in that sample, the logic holds generally: citizens can forgive a technical failure that is honestly explained, but find it much harder to forgive an explanation later shown to be inaccurate. This is where the second meaning of sovereignty in Pohle and Thiel, the user’s sovereignty over their own data, collides with state practice. Citizens whose data was lost or inaccessible were not systematically told what had happened to it.

The 2026 book The Digital Civilization: Techno-Religion, the Abandoned Society, and the Crisis of Human Authentic Selfhood in the Planetary Era offers the concept of the “abandoned society” to describe groups harmed by digital inequality and platform power. The concept can be extended to the state-citizen relationship: when the state pushes every transaction into digital channels but does not guarantee their resilience, the citizens most dependent on public services, such as students registering online, travellers crossing borders at airports and permit applicants in small districts, become the abandoned on the day the system fails. The resilience of the digital state is therefore not only a national security issue but also an issue of distributive justice.

The Counter-Argument: Is Centralisation the Right Answer After All?

The strongest counter-argument deserves a fair statement. On this view, the problem in Surabaya was not centralisation but half-hearted, corrupt centralisation. Before PDNS, many government applications and servers were scattered across ministries, provinces, districts and cities, many of them, on this view, run with limited resources, without regular software updates and without adequate monitoring. Such fragmentation was no safer; it merely made failure invisible because it happened one office at a time. A consolidated data centre allows a single security standard, certified experts, continuous monitoring and economies of scale that hundreds of regional governments could never achieve individually. Even Estonia, held up as a model of distribution, manages its data embassy as part of a national government cloud. The right lesson, then, is to continue centralising, better, not to doubt it.

This study accepts most of that argument’s premises. A return to scattered servers would be a step backwards, and Komdigi’s diagnosis of unpatched legacy systems shows that fragmentation is indeed a source of breaches in its own right. The Surabaya data also partly support the argument: the agencies that survived were those holding copies elsewhere, which means the problem was not consolidation as such but consolidation without copies.

The counter-argument nevertheless fails at two points. The first is sequencing. Centralisation is safe only if mirror facilities and offline backups are built at the same time as, or before, services move to the primary facility. The facts up to October 2026 show the reverse order: PDN 1 has begun limited operations, while PDN 2 and PDN 3 lack public budget certainty, and the backup option still depends on PDNS, whose own management status awaits a presidential instruction. Surabaya’s lesson could thus be repeated in a more expensive form. The second point is governance. A single standard is worth something only if an independent party tests it and the public can examine the results. The current model positions Komdigi as builder, operator, buyer of services and, for now, data protection supervisor, while BSSN issues recommendations that are not published. This concentration of roles is a second form of centralisation, a centralisation of authority, and it is as risky as technical centralisation.

The synthesis this study offers is therefore not decentralisation but centralised standards with distributed copies. Security standards, monitoring and competence should be centralised; data copies, recovery capacity and testing authority should be deliberately spread across different geographic sites, operators and institutions (confidence: moderate to high, as this is consistent with Estonian practice, CISA guidance and the British Library’s lessons). The formula also resolves the sovereignty dilemma: distribution designed by the state itself is an expression of control, not a surrender of it.

Scenarios for Indonesia’s Digital State to 2029 and Signposts to Watch

The four scenarios below are built from two key uncertainties. The first is whether physical redundancy, meaning PDN 2, PDN 3 or an equivalent mirror, becomes operational before most critical services move to PDN 1. The second is whether independent governance, meaning a functioning personal data protection authority and a cyber security law that distinguishes protection from resilience, arrives within the same period. The 2029 horizon was chosen because it coincides with the end of the current presidential term and with the earliest estimate of 2028 for the data protection authority becoming effective.

Scenario A, fragile centralisation, is the most likely because it is the natural continuation of current trends. In it, PDN 1 meets BSSN’s recommendations and gains certification, high-risk services are moved in stages in 2027 and 2028, but PDN 2 and PDN 3 are delayed by financing constraints, so PDNS remains the de facto backup. The data protection authority is formed but with limited initial capacity and in the ministry’s shadow. Indonesia will look more advanced in international rankings, while real resilience improves only moderately. The main risk of this scenario is false comfort, because a new, certified building is easily mistaken for a state that can recover.

Scenario B, layered consolidation, requires three political decisions that can be taken within two years: a firm source of financing for at least one mirror facility, an obligation to run annual recovery tests whose results are reported to the House, and the creation of a data protection authority with leadership and budget separate from Komdigi. Its probability is not small because its elements already exist on paper, including the three-site design and Government Regulation 33/2026. Scenario C, defensive fragmentation, emerges if large ministries and capable regional governments lose confidence in national infrastructure and build their own data centres or cloud contracts. It offers a sense of autonomy but revives the problems of legacy systems and divergent standards. Scenario D, a second shock, has the lowest probability but the highest impact: a criminal or state attack on the new facility before redundancy is complete would repeat Surabaya at greater scale and with far deeper damage to trust.

The signposts can be framed as publicly verifiable questions. Do the 2027 and 2028 budget documents contain firm financing lines for PDN 2 or PDN 3? Do Komdigi or BSSN publish public summaries of PDN 1’s security-worthiness and recovery tests? Is the presidential decision on the data protection authority issued before Government Regulation 33/2026 takes effect on 16 January 2027, and does that agency sit outside the ministry’s structure? Does the Cyber Security and Resilience Bill, once passed, contain incident-reporting obligations and auditable resilience standards, not merely enforcement powers? And is there any official announcement of a data breach by the state itself under the 3 × 24-hour obligation? Positive answers to most of these questions would shift probability towards Scenario B; silence or delay would strengthen Scenario A and raise the odds of Scenario D.

Time-Bound Recommendations for Key Actors

For the Ministry of Communication and Digital Affairs, the first priority before the end of the first quarter of 2027 is to publish a public version of a PDNS 2 post-incident report modelled on the structure of the British Library report, with a chronology, root causes, acknowledged errors and lessons, sensitive parts redacted but conclusions not hidden. The second priority, before mid-2027, is to adopt a rule that no high-risk service moves to PDN 1 until an immutable offline copy exists and has been test-restored at a separate site. The third is to publish each year a simple set of resilience indicators, such as the share of services with tested backups, average recovery time in tests and the number of non-compliant agencies, so that the House and the public can judge progress without relying on statements.

For the National Cyber and Crypto Agency, the main recommendation is to move from issuing closed recommendations to acting as an independent tester whose results can be examined. Before the end of 2027, BSSN should set a mandatory recovery-testing standard for all government data centres, including unannounced recovery drills at least once a year, and publish summaries of the results. BSSN also needs protocols that distinguish responses to criminal groups from responses to state actors, learning from the Costa Rica and Albania comparison, including a mechanism for public attribution with international partners when evidence suffices. In deliberations on the Cyber Security and Resilience Bill, BSSN should press for resilience to be defined operationally, for instance through maximum recovery-time obligations for critical public services.

For Bappenas, the recommendation concerns the sequencing of investment. In preparing the 2027 and 2028 government work plans, resilience should be treated as a condition of project feasibility, not an add-on. Financing for mirror facilities and offline backups should be scheduled before, or together with, the expansion of service migration to PDN 1, and every foreign loan for government data infrastructure should contain a resilience component that cannot be cut. Bappenas can also lead a simple cost-benefit study comparing the cost of redundancy with the cost of service disruption, because the budgetary argument used to explain the absence of backups in 2024 can only be answered with numbers.

For the Ministry of Administrative and Bureaucratic Reform, which coordinates SPBE assessments, the recommendation is to include resilience indicators in SPBE evaluation from the 2027 cycle, so that agencies are no longer judged only by the number of digital services but also by their ability to restore them. These indicators should cover the existence of service-continuity plans, documented recovery tests and the designation of an official responsible for backups, in line with the data protection officer obligation in Government Regulation 33/2026. The ministry can also ensure that responsibility for backup is written into job descriptions, not only into contracts with providers, so that institutional knowledge is not lost when officials rotate.

For regional governments, the recommendation is realistic and phased. Before the end of 2027, every province should map regional services that depend on national infrastructure and set manual emergency procedures for services that must not stop, such as basic licensing and civil registration, because the June 2024 experience showed that regional governments were the majority of victims. Districts and cities with limited capacity can form regional consortia to share experts and recovery testing, rather than building their own data centres, which would lead towards defensive fragmentation.

For universities, the most needed role is to produce the people and knowledge that have been lacking. From the 2027/2028 academic year, programmes in computer science, public administration, law and strategic studies can make the PDNS 2 case and its comparators required teaching material, with cross-disciplinary crisis-simulation exercises. Universities can also provide independent audits and open research on the resilience of government services, a function common in mature policy ecosystems. The shortage of certified staff that was reported as one reason for the delay of PDN operations in April 2025 is a direct signal to the education sector.

For international partners, the recommendation focuses on transferring capacity, not merely financing buildings. France, as lender for PDN 1, is well placed to support recovery-testing and operator-training components in the next phase. Estonia can be a dialogue partner on data-embassy design and its international-law aspects, without assuming that Indonesia must store data abroad. Multilateral institutions such as the World Bank and regional forums such as ASEAN can support joint recovery exercises among member states and the exchange of post-incident reports, since Southeast Asian countries face similar threat patterns. All such support should be tied to verifiable resilience indicators, not to the number of servers installed.

Limitations and Conclusion

This study has four limitations that should be stated openly. First, its sources are limited to public documents and statements; internal audit reports, BSSN’s detailed recommendations and the PDNS contracts were not available for examination, so some judgements about backup practice and governance rest on officials’ statements as quoted in the media. Second, key figures, such as the two per cent of data backed up, 44 of 282 agencies and the number of services restored, come from oral statements made during the crisis and have not been confirmed by a written official report. Third, PDN 1’s operational status after January 2026 can be known only from limited reporting, so there may be progress that has not been announced. Fourth, the comparison cases differ in size, political system and type of institution, so the comparison is used to test mechanisms, not to equate contexts.

With those limitations, the conclusion remains firm. The PDNS 2 Surabaya incident was the moment Indonesia’s digital state saw itself without a copy, and two years later the state has built a new building, punished corrupt officials, restructured the ministry and issued new rules, but has not yet proved that it can restore itself. Costa Rica and Albania show that any state can be a target; the British Library shows that post-incident honesty is part of resilience; and Estonia shows that serious sovereignty is realised through the distribution of copies. The most fundamental lesson for education in digital civilisation is that the modern state is no longer measured by its capacity to store but by its capacity to remember and recover. Until the state can show openly that its critical services can come back to life within hours without anyone’s help, Indonesia’s digital sovereignty remains a promise, not yet a reality.