seznam otázek se ptá, zda provádíme testování phishingu u našich zaměstnanců

Phishingové testy patří do kybernetické hygieny, nikoli pouze do povědomí

Phishingový test není samostatný požadavek, ale důkaz jednoho z deseti opatření podle článku 21 odstavec 2 NIS2: odstavec g, kybernetická hygiena a bezpečnostní školení. Samotna směrnice nepředepisuje phishingovou simulaci — zmiňuje "základní postupy v oblasti kybernetické hygieny a vzdělávání v oblasti kybernetické bezpečnosti". Zákazník, který konkrétně požaduje phishingové testy, překládá tuto normu na konkrétní, prověřitelný postup. V ISO 27001 se to nachází v příloze A pod opatřením pro vědomí, školení a výcvik personálu: norma vyžaduje program a phishingový test je jeho nejčastěji používaným dokladem.

Nemáš-li strukturované phishingové testy, pak je "ne" poctivá odpověď — školení vědomí bez simulace je něco jiného a vyhodnocovatel na druhé straně to obvykle také ví. Mnozí zákazníci se následně ptají na frekvenci (ročně, čtvrtletně), na to, co se stane se zaměstnanci, kteří na to padnou, a zda je s tím spojeno e-learning. Pokud se to provádí, ale není to nazýváno "phishingovým testem", v poli s vysvětlením popište, co skutečně děláte, místo aby jste jednoduše zaškrtli "ano". Toto téma se také týká školení v základních praktikách kybernetické hygienykde jsou zmíněny širší povinnosti školení — phishingové testy jsou tam obvykle jeden bod z větší politiky.

Kde se to v směrnici a normě nachází

Článek 21 odstavec 2 písmeno g Směrnice (EU) 2022/2555 jmenuje kybernetickou hygienu a bezpečnostní školení jako jedno z deseti povinných opatření; Zákon o kybernetické bezpečnosti to zavede jeden za jeden, jakmile vstoupí v platnost 15. srpna 2026. ISO/IEC 27001 příloha A to dále rozpracovává pod opatřením pro vědomí a školení personálu, v rámci kterého jsou phishingové simulace běžnou formou ověřování. Zda musí vlastní podnik zde tvrdo plnit, závisí na odpovědi na zda podnik sám spadá pod směrnici NIS2 — nepřímý dodavatel často dostane otázku prostřednictvím smluvního přeložení, nikoli přímé právní povinnosti.