zákazník se ptá, zda provádíme testy phishingu u zaměstnanců, co když to nedělame

Testy phishingu jsou důkaz, ne povinná forma

Ne, testy phishingu nejsou jako takové povinné. Co se skutečně počítá, je to, že zaměstnanci pravidelně dostávají školení v oblasti kybernetické hygieny, a test phishingu je z toho nejkonkretnějším důkazem, který si může klient ověřit. Školení bez testu je obtížněji ověřitelné; simulace s procentem kliknutí a zprávou je pro klienta bezprostředně dokazatelná. Proto se tento specifický prvek v dotaznících často objevuje zvlášť, odděleně od obecnější otázky, zda zaměstnanci dostávají školení v základních postupech pro kybernetickou hygienu.

Pokud se test phishingu neprovádí, nejupřímější odpověď je "ne", případně doplněná o to, co se skutečně děje: e-learning, instrukce při onboardingu, interní zpráva o nedávných případech podvodů. To není rovnocenná náhrada, ale ukazuje, že se dělá něco na povědomí. Simulovat test phishingu jako odpověď, když takový test neexistuje, nepřichází v úvahu — dossier vyplňuje pouze to, co je dokazatelné, a "ano" bez zdroje se zde nenabízí. Mimochodem, phishing se často objevuje jako příčina bezpečnostního incidentu, takže kdo zde vyplní "ne", může očekávat následující otázku od klienta o postupem pro řešení bezpečnostních incidentů.

Kde se to vyskytuje: článek 21 odst. 2, písm. g

Článek 21 odst. 2 směrnice NIS2 jmenuje mezi deseti opatřeními "základní postupy v oblasti kybernetické hygieny a vzdělání v oblasti kybernetické bezpečnosti" (písm. g). Směrnice nepředepisuje žádný konkrétní nástroj — žádný test phishingu, žádnou specifickou metodu výuky — ale ponechává implementaci na samotném subjektu. ISO/IEC 27001 má v příloze A podobné kontrolní opatření týkající se vědomí a školení, i zde bez povinné formy. Zákon o kybernetické bezpečnosti je nizozemská transpozice této směrnice a vstupuje v platnost 15. srpna 2026; do té doby to pro většinu podniků není ještě právní povinnost, ale klient se na to může zeptat prostřednictvím svého vlastního dotazníku, předvídavě vzhledem k tomuto datu nebo protože sám již podléhá dohledu.