kunde spørger, om vi udfører phishing-tests på medarbejdere

Phishingtests er bevis, ikke et selvstændigt krav

Phishingtests falder ikke separat under artikel 21, stk. 2 NIS2 — de er det bevisstykke, som du bruger til at påvise, at træningspligten under punkt g (cyberhygiejne og sikkerhedstræning) faktisk fungerer. Hvis din kunde specifikt spørger om phishingtests, vil han ikke vide, om I har gennemført en træning, men om I måler, hvorvidt denne træning sidder fast. Hvis du har disse tests, er svaret simpelt: ja, med datoen for den seneste test og procentdelen af medarbejdere, som har klikket gennem eller har rapporteret. Hvis du ikke har dem, er "nej" det rigtige svar — ikke "ja", fordi der findes en e-learning.

Hvis du ikke udfører phishingtests, men noget helt tredje — en træning ved ansættelsen, en årlig toolbox-samtale, et internt nyhedsbrev om mistænkelige e-mails — så er det et selvstændigt svar, ikke en erstatning for spørgsmålet som stillet. Mange spørgeskemaer giver plads til en præcisering; brug denne til at beskrive, hvad der faktisk findes, uden at antyde, at det er en phishingtest. Dette hører til samme kategori som træning i basale cyberhygiejnepraksisser: hvis der allerede står "nej" til det, ligger "nej" på dette spørgsmål for hånden, og sandsynligheden for, at du pludselig har bevis her, er lille.

Grundlag: artikel 21, stk. 2, punkt g og vurderingen heraf

Artikel 21, stk. 2, litra g i Direktiv (EU) 2022/2555 nævner eksplicit "basale praksisser inden for cyberhygiejne og cybersikerhedstræning" som en af de ti obligatoriske foranstaltninger; ISO/IEC 27001 Annex A udbyder dette yderligere under kontrolforanstaltningerne for medarbejdernes bevidsthed og træning. Phishingtests er i praksis det målingsinstrument, som virksomheder bruger til at påvise, at denne træning ikke blot er gennemført, men også har virkning — sammenligneligt med det, som der anmodes om ved den periodiske test af sikkerhedsforanstaltninger. Den nederlandske Cybersikkerhedsloven implementerer denne pligt ét til ét, med ikrafttreden den 15. august 2026.