Syarikat kecil tidak pasti sama ada wajib patuhi Akta Keselamatan Siber 2024

Akta Keselamatan Siber 2024 (Akta 854) yang berkuat kuasa 26 Ogos 2024 pada dasarnya memberi tumpuan utama kepada entiti yang mengendalikan Infrastruktur Maklumat Kritikal Negara (Critical National Information Infrastructure, CNII), yang merangkumi sektor-sektor tertentu seperti perbankan dan kewangan, telekomunikasi, tenaga, pengangkutan, kerajaan, kesihatan, dan sektor kritikal lain yang ditetapkan oleh Agensi Keselamatan Siber Negara (NACSA), dan bukan semua perniagaan teknologi maklumat secara automatik tertakluk kepada kewajipan penuh akta tersebut melainkan mereka dikategorikan sebagai entiti CNII atau penyedia perkhidmatan kepada entiti CNII. Walau bagaimanapun, sekiranya syarikat anda menyediakan perkhidmatan hosting kepada pelanggan yang sendirinya termasuk dalam sektor CNII, seperti institusi kewangan kecil atau penyedia perkhidmatan kesihatan, anda mungkin secara tidak langsung tertakluk kepada keperluan pematuhan tertentu melalui hubungan kontraktual dengan pelanggan CNII tersebut, walaupun syarikat anda sendiri bukan entiti CNII secara langsung. Langkah pertama yang disarankan ialah menyemak senarai sektor dan entiti yang ditetapkan sebagai CNII melalui laman web rasmi NACSA atau menghubungi terus agensi tersebut untuk mendapatkan kepastian sama ada perkhidmatan anda atau mana-mana pelanggan utama anda termasuk dalam definisi tersebut. Walaupun syarikat anda tidak tergolong sebagai entiti CNII, adalah amalan baik dan tanggungjawab am semua perniagaan yang mengendalikan data digital untuk mengamalkan langkah keselamatan siber asas seperti kawalan akses yang ketat, sandaran data berkala, dan pelan tindak balas insiden, memandangkan Akta Perlindungan Data Peribadi 2010 (Akta 709, dipinda 2024) yang lebih meluas terpakai kepada hampir semua perniagaan yang memproses data peribadi tetap mewajibkan langkah keselamatan yang munasabah bagi melindungi data pelanggan, tanpa mengira status CNII. Disarankan berunding dengan perunding keselamatan siber atau peguam teknologi maklumat untuk penilaian pematuhan menyeluruh yang khusus kepada model perniagaan syarikat anda, terutamanya memandangkan skop dan definisi CNII berpotensi berkembang dari semasa ke semasa mengikut peraturan pelaksana yang dikeluarkan di bawah akta tersebut.