Kunde fragt, ob wir Phishing-Tests bei Mitarbeitern durchführen, was ist, wenn wir das nicht tun

Phishing-Tests sind Nachweis, keine vorgeschriebene Form

Nein, Phishing-Tests sind als solche nicht erforderlich. Was zählt, ist, dass Mitarbeiter regelmäßig Schulungen in Cyberhygiene erhalten, und ein Phishing-Test ist das konkreteste Beweismittel, das ein Kunde überprüfen kann. Eine Schulung ohne Test ist schwerer zu überprüfen; eine Simulation mit einer Klickquote und einem Bericht ist für den Kunden unmittelbar nachweisbar. Daher taucht dieses spezifische Element in Fragelisten oft separat auf, getrennt von der allgemeineren Frage, ob Mitarbeiter Schulungen in grundlegende Praktiken der Cyberhygiene erhalten.

Falls kein Phishing-Test durchgeführt wird, ist die ehrlichste Antwort "nein", eventuell ergänzt durch das, was stattdessen geschieht: ein E-Learning, eine Anleitung bei der Einarbeitung, eine interne Mitteilung über aktuelle Betrugsfälle. Das ist kein gleichwertiger Ersatz, zeigt aber, dass an der Sensibilisierung etwas getan wird. Einen Phishing-Test zu simulieren, obwohl er nicht durchgeführt wird, kommt nicht in Frage – das Dossier verzeichnet nur das, was nachgewiesen werden kann, und "ja" ohne Quelle wird hier nicht vorgeschlagen. Im Übrigen ist Phishing häufig der Grund für ein Sicherheitsincident, daher kann ein Kunde von dem, der hier "nein" antwortet, auch eine Folgefrage erwarten zu dem Verfahren zur Behandlung von Sicherheitsvorfällen.

Wo dies steht: Artikel 21 Absatz 2 Buchstabe g

Artikel 21 Absatz 2 der NIS-2-Richtlinie nennt unter den zehn Maßnahmen "grundlegende Praktiken im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit" (Buchstabe g). Die Richtlinie schreibt kein Instrument vor – keinen Phishing-Test, keine spezifische Lehrmethode – sondern überlässt die Ausgestaltung der Entität selbst. ISO/IEC 27001 hat in Annex A eine vergleichbare Kontrollmaßnahme zur Sensibilisierung und Schulung, auch dort ohne verpflichtete Form. Das Cybersicherheitsgesetz ist die niederländische Umsetzung dieser Richtlinie und tritt am 15. August 2026 in Kraft; bis dahin ist dies für die meisten Unternehmen noch keine gesetzliche Verpflichtung, aber ein Kunde kann über seine eigene Frageliste bereits jetzt danach fragen, in Vorausschau auf diesen Zeitpunkt oder weil er selbst bereits unter Aufsicht steht.