kunde ønsker at vide, om vi udfører phishing-simuleringer blandt medarbejdere

Phishing-tests hører til bevidsthed, ikke til et separat foranstaltningspunkt

Phishing-simulationer falder under artikel 21 stk. 2 litra g NIS2: cyberhygiejne og sikkerhedstræning. Der er ingen krav om, at det specifikt skal være en phishing-test — vejledningen nævner "grundlæggende praksis inden for cyberhygiejne og oplæring inden for cybersikkerhed". En phishing-simulation er én af de almindelige implementeringer heraf, ikke en selvstændig forpligtelse. Den, der ikke udfører simulationer, men alligevel har andre bevidsthedskampagner — e-learning, værktøjskassesamlinger, en intranet-meddelelse ved en aktuel trussel — opfylder den underliggende norm, selv om svaret på det bogstavelige spørgsmål er "nej".

Etiketten afhænger af, hvad du faktisk gør. Hvis du regelmæssigt udfører phishing-tests med rapportering til ledelsen, er "ja" velbegrundet, og du kan give frekvensen og det seneste resultat (klikprocent, anmeldelsesprocent) ved efter at blive spurgt. Hvis du ikke gør dette, er "nej" det rigtige svar — du skal ikke udfylde det, som din kunde ønsker at høre. Hvis du er i tvivl om, hvorvidt dit træningsprogram uden simulationer stadig tæller som tilstrækkelig bevidsthed, hjælper det først at kigge på det bredere spørgsmål om medarbejderne modtager træning i grundlæggende praksis for cyberhygiejne; phishing-tests er en del heraf, ikke det hele.

Hvor dette står: artikel 21 stk. 2 litra g og Annex A.6.3

NIS2 artikel 21 stk. 2 litra g nævner cyberhygiejne og træningsoplæring som én af de ti obligatoriske foranstaltninger for enheder, der falder ind under vejledningen — eller det gør den, er beskrevet under eller virksomheden selv falder ind under NIS2. ISO/IEC 27001 Annex A arbejder dette ud i foranstaltning A.6.3, "information security awareness, education and training", uden at nævne phishing-simulationer som et obligatorisk instrument. Den hollandske cybersikkerhedsloven implementerer denne artikel fra den 15. august 2026, når loven træder i kraft; indtil da er vejledningen selv kildestedet for dem, der vurderer efter NIS2, og normen for dem, der vurderer efter ISO 27001.