Keselamatan siber: Malaysia (2026)
Malaysia mempunyai undang-undang keselamatan siber yang komprehensif dan khusus: Akta Keselamatan Siber 2024 (Akta 854), yang berkuat kuasa pada 26 Ogos 2024 bersama empat peraturan subsidiari. Ia menubuhkan Jawatankuasa Keselamatan Siber Negara, memberi kuasa kepada Ketua Pegawai Eksekutif NACSA, dan mewajibkan penilaian risiko, audit, pelaporan insiden dan pelesenan penyedia perkhidmatan yang memfokuskan pada Infrastruktur Maklumat Kritikal Kebangsaan (NCII). Secara berasingan, PDPA yang dipinda memperkenalkan rejim pemberitahuan pelanggaran data peribadi yang wajib berkuat kuasa pada 1 Jun 2025.
Kerangka utama
Akta Keselamatan Siber 2024 (Akta 854), yang diuruskan oleh Agensi Keselamatan Siber Negara (NACSA), disokong oleh peraturan khusus sektor dan Akta Perlindungan Data Peribadi (PDPA) bagi pelanggaran data peribadi.
Perkara utama
Undang-undang menyeluruh berkuat kuasa
Akta Keselamatan Siber 2024 (Akta 854) telah diwartakan pada 26 Jun 2024 dan berkuat kuasa pada 26 Ogos 2024, menubuhkan Jawatankuasa Keselamatan Siber Negara (JKSN) dan mentakrifkan kuasa Ketua Eksekutif NACSA serta peranan ketua sektor dan entiti NCII.
Tumpuan NCII merentasi 11 sektor
Akta ini memfokuskan kepada melindungi Infrastruktur Maklumat Kritikal Kebangsaan merentasi 11 sektor penting (termasuk kerajaan, perbankan/kewangan, pertahanan, penjagaan kesihatan, tenaga dan pengangkutan), dengan mengenakan kewajipan seperti penilaian risiko keselamatan siber dan audit wajib dalam tempoh yang ditetapkan.
Laporan insiden wajib (bertingkat)
Di bawah Peraturan Keselamatan Siber (Pemberitahuan Insiden Keselamatan Siber) 2024, entiti NCII mesti memberi notifikasi elektronik segera, penghantaran awal dalam tempoh 6 jam, dan laporan tambahan dalam tempoh 14 hari; kegagalan boleh mengakibatkan denda sehingga RM500,000 dan/atau penjara sehingga 10 tahun.
Empat peraturan subsidiari
Akta ini dioperasikan melalui empat peraturan: Pemberitahuan Insiden Keselamatan Siber; Tempoh Penilaian Risiko Keselamatan Siber dan Audit; Pengkompaunan Kesalahan; dan Peraturan Pemberlesenan Penyedia Perkhidmatan Keselamatan Siber 2024.
Pemberian lesen kepada penyedia perkhidmatan keselamatan siber
Penyedia dua perkhidmatan yang ditetapkan, iaitu pemantauan pusat operasi keselamatan (SOC) terurus dan ujian penembusan, mesti memegang lesen yang dikeluarkan oleh NACSA; rejim ini terpakai kepada penyedia yang menawarkan perkhidmatan ini di Malaysia.
Notifikasi pelanggaran data peribadi (PDPA)
Selain daripada Akta 854, Akta Perlindungan Data Peribadi (Pindaan) 2024 memperkenalkan pemberitahuan pelanggaran wajib yang berkuat kuasa pada 1 Jun 2025: memaklumkan kepada Pesuruhjaya dalam masa 72 jam dan individu terjejas dalam masa 7 hari jika terdapat risiko kecederaan ketara; denda maksimum dinaikkan kepada RM1,000,000.
Halaman ini adalah terjemahan untuk kemudahan; versi Bahasa Inggeris adalah yang sah dan bukan nasihat undang-undang.