Fragensammlung fragt, ob wir Phishing-Tests bei Personal durchführen

Phishing-Tests sind Nachweis bei Bewusstseinsbildung, nicht bei Zugang

Phishing-Simulationen gehören zum Sensibilisierungsprogramm von Artikel 21 Absatz 2 Buchstabe g NIS2, nicht zur Zugriffskontrolle oder MFA. Die Frage testet also nicht, ob deine Technik in Ordnung ist, sondern ob Mitarbeiter geschult werden, um Social Engineering zu erkennen. Hast du einen regelmäßigen Phishing-Test mit Bericht und Nachverfolgung (zum Beispiel zusätzliches Training für diejenigen, die klicken), dann ist dies eine klare "Ja" mit einem starken Nachweis dabei. Hast du nur ein E-Learning ohne Simulation, dann ist die Antwort auf diese spezifische Frage oft trotzdem "Nein" — der Fragebogen fragt meist explizit nach einem Test, nicht nach Training im allgemeinen Sinne.

Ohne Phishing-Test ist "Nein, aber" hier die ehrliche Antwort: benenne dann, was es stattdessen gibt, wie obligatorische Sensibilisierungsschulung oder einen Melde-Button für verdächtige Mails. Das ist kein Schwachstellenangebot — viele Unternehmen beginnen mit Training und bauen Simulationen später aus. Wenn du dir unsicher bist, ob deine Kampagne repräsentativ genug ist (zum Beispiel ein Test pro Jahr gegenüber monatlich), dann schreibe lieber "noch zu bestimmen" und erkundige dich intern bei demjenigen, der die Kampagnen verwaltet, normalerweise IT oder HR. Überprüfe auch, ob dieses Thema getrennt ist von der Schulung, die Mitarbeiter zur Cyberhygiene erhalten im weiteren Sinne — einige Kunden stellen das in zwei separaten Fragen, andere fassen es zusammen.

Woher dies stammt: Artikel 21 Absatz 2 Buchstabe g

Artikel 21 Absatz 2 Buchstabe g der NIS2-Richtlinie nennt ausdrücklich "grundlegende Praktiken der Cyberhygiene und Schulungen im Bereich der Cybersicherheit" als eine der zehn erforderlichen Maßnahmen. Phishing-Simulationen fallen in der Praxis unter diese Schulungsverpflichtung; ISO/IEC 27001 Annex A nennt Sensibilisierungs- und Schulungsmaßnahmen im gleichen Geist, ohne einen Phishing-Test als separate Anforderung zu nennen. Unterliegen Sie selbst dem Cybersicherheitsgesetz als Einrichtung, die unter die NIS2-Richtlinie fällt, dann ist dies ab dem Inkrafttreten eine der Maßnahmen, auf die eine Aufsicht möglich ist — vorerst bleibt es vor allem eine Frage, die Kunden bereits selbst stellen, in Erwartung dieses Gesetzes.