SNI ISO/IEC 27001 vs ISO/IEC 27001: Bedanya Apa, dan Lembaga Sertifikasi Mana yang Harus Dipilih

Dokumen Tender Menulis “SNI ISO/IEC 27001”. Itu Standar yang Berbeda?

Pertanyaan ini muncul hampir selalu pada saat yang sama: sebuah tim membaca dokumen pengadaan, menemukan syarat “sertifikat SNI ISO/IEC 27001:2022”, lalu menyadari sertifikat yang mereka pegang — atau yang sedang mereka kejar — tertulis “ISO/IEC 27001:2022” tanpa awalan SNI. Muncul kekhawatiran bahwa selama ini standar yang dikejar salah.

Kabar baiknya, isinya sama persis. Yang berbeda bukan standarnya, melainkan siapa yang mengakreditasi lembaga yang menerbitkan sertifikat Anda — dan perbedaan itu tetap penting, karena ia menentukan apakah sertifikat Anda diterima oleh pihak yang memintanya.

Jawaban Singkatnya

• Isinya identik

  SNI ISO/IEC 27001:2022 adalah adopsi identik dari ISO/IEC 27001:2022. Tidak ada klausul tambahan, tidak ada kontrol yang dihilangkan.

• Yang berbeda adalah akreditasi

  Sertifikat diterbitkan lembaga sertifikasi. Lembaga itu sendiri diakreditasi — di Indonesia oleh KAN, di negara lain oleh badan seperti UKAS atau ANAB.

• Satu SMKI, dua jalur

  Sistem manajemen keamanan informasi yang Anda bangun tidak perlu berbeda. Yang berbeda hanya pilihan lembaga yang mengaudit dan menerbitkan sertifikatnya.

• Pilihannya ditentukan pembaca sertifikat

  Tender dalam negeri umumnya menyebut SNI dan lembaga terakreditasi KAN. Induk usaha atau klien luar negeri umumnya lebih mengenal UKAS atau ANAB.

Siapa Menerbitkan Apa: Rantai yang Sering Tertukar

Kebingungan soal SNI hampir selalu berakar pada satu hal: rantai antara standar, lembaga sertifikasi, dan badan akreditasi tidak pernah dijelaskan. Padahal ketiganya adalah pihak yang berbeda dengan peran yang berbeda.

KAN, UKAS, dan ANAB: Apa Bedanya bagi Anda

KAN (Komite Akreditasi Nasional) adalah badan akreditasi Indonesia. Lembaga sertifikasi yang diakreditasi KAN menerbitkan sertifikat yang mengacu pada SNI ISO/IEC 27001:2022 — dan inilah yang umumnya diminta dokumen pengadaan pemerintah dan BUMN.

UKAS dan ANAB adalah badan akreditasi luar negeri yang lebih dikenal di lingkungan multinasional. Sertifikat dari lembaga yang diakreditasi keduanya lazim diminta oleh induk usaha asing, klien enterprise global, atau mitra yang menjalankan program vendor risk lintas negara.

Saling pengakuan antarnegara berjalan lewat kerangka International Accreditation Forum (IAF) beserta perjanjian pengakuan bersamanya. Kerangka inilah yang membuat sertifikat dari satu yurisdiksi pada prinsipnya diakui di yurisdiksi lain. Namun “pada prinsipnya diakui” dan “diterima oleh pihak yang meminta” tidak selalu berarti sama — dan bagi Anda, yang menentukan adalah yang kedua.

Cara Memutuskan dalam Lima Menit

Biaya & Waktu: Apa yang Berbeda, Apa yang Tidak

Bagian yang paling sering disalahpahami: memilih jalur akreditasi tidak mengubah pekerjaan implementasinya. Gap analysis, penilaian risiko, penyusunan SMKI, pelatihan, dan internal audit sama saja untuk kedua jalur — karena standarnya memang sama.

Yang berbeda adalah biaya audit lembaga sertifikasi dan tuntutan buktinya. Karena itu, keputusan jalur sebaiknya diambil di awal program, bukan di akhir: menyiapkan bukti dengan standar yang lebih tinggi sejak awal jauh lebih murah daripada mengulang pengumpulan bukti sebulan sebelum audit.

Empat Kesalahan yang Mahal

Kesimpulan

SNI ISO/IEC 27001:2022 dan ISO/IEC 27001:2022 bukan dua standar yang bersaing — yang satu adalah adopsi nasional dari yang lain, dengan isi yang sama persis. Karena itu tidak ada “salah memilih standar”; yang ada hanyalah salah memilih lembaga sertifikasi terhadap pihak yang akan membaca sertifikat Anda.

Keputusannya sederhana bila diajukan dengan urutan yang benar: mulai dari siapa yang meminta, baca syaratnya secara harfiah, lalu pilih jalur akreditasinya. Yang tidak sederhana — dan yang sebenarnya menentukan — adalah membangun SMKI yang benar-benar berjalan, karena bagian itu identik di kedua jalur dan tidak ada jalan pintasnya.