zákazník se ptá, zda provádíme testy phishingu na zaměstnance

Testy phishingu jsou důkaz, nikoli samostatný požadavek

Testy phishingu se neobjevují samostatně v článku 21 odst. 2 NIS2 — jsou to důkazní prostředek, kterým prokážete, že povinnost školení podle bodu g (kybernetická hygiena a bezpečnostní školení) skutečně funguje. Pokud si váš zákazník konkrétně vyžádá testy phishingu, nechce vědět, zda jste školení absolvovali, ale zda měříte, zda se školení ujalo. Máte-li tyto testy, je odpověď jednoduchá: ano, s datem posledního testu a procentem zaměstnanců, kteří klikli nebo nahlásili. Nemáte-li je, je "ne" správná odpověď — nikoli "ano" pouze proto, že existuje e-learning.

Neprovádíte-li testy phishingu, ale děláte něco jiného — školení při náboru, roční toolbox, interní newsletter o podezřelých e-mailech — pak jde o samostatnou odpověď, ne o náhradu otázky, jak je položena. Mnoho seznamů otázek poskytuje prostor pro vysvětlení; použijte jej k popisu toho, co skutečně existuje, aniž byste naznačovali, že se jedná o test phishingu. To patří do stejné kategorie jako školení v základních praktikách kybernetické hygieny: pokud tam už stojí "ne", leží "ne" i na tuto otázku jako na dlani, a je malá šance, že byste zde najednou měli důkaz.

Zdůvodnění: článek 21 odst. 2, bod g a jeho hodnocení

Článek 21 odst. 2 písm. g Směrnice (EU) 2022/2555 výslovně zmiňuje "základní praktiky v oblasti kybernetické hygieny a vzdělávání v oblasti kybernetické bezpečnosti" jako jedno z deseti povinných opatření; ISO/IEC 27001 Příloha A to dále rozpracovává pod opatřeními na řízení povědomí a školení personálu. Testy phishingu jsou v praxi měřícím nástrojem, kterým společnosti dokazují, že školení nebylo pouze poskytnuto, ale má také účinek — podobně jako je vyžadováno u periodickým testováním bezpečnostních opatření. Nizozemský Cybersecurity Act zavádí tuto povinnost jeden na jednoho s účinností od 15. srpna 2026.