Kunde möchte wissen, ob wir Phishing-Simulationen bei Mitarbeitern durchführen

Phishing-Tests gehören zur Sensibilisierung, nicht zu einem separaten Maßnahmenpunkt

Phishing-Simulationen fallen unter Artikel 21 Absatz 2 Buchstabe g NIS2: Cyberhygiene und Sicherheitsschulung. Es gibt keine Anforderung, dass es sich speziell um einen Phishing-Test handeln muss — die Richtlinie nennt "grundlegende Praktiken der Cyberhygiene und Schulung im Bereich der Cybersicherheit". Eine Phishing-Simulation ist eine der gebräuchlichen Umsetzungen davon, keine eigenständige Verpflichtung. Wer keine Simulationen durchführt, aber andere Sensibilisierungsmaßnahmen hat — E-Learning, Toolbox-Sitzungen, eine Intranet-Nachricht zu einer aktuellen Bedrohung — erfüllt die zugrunde liegende Norm, auch wenn die Antwort auf die wörtliche Frage "nein" lautet.

Die Kennzeichnung hängt davon ab, was Sie tatsächlich tun. Führen Sie regelmäßig Phishing-Tests mit Berichterstattung an das Management durch, dann ist "ja" begründet und Sie können auf Anfrage die Häufigkeit und das letzte Ergebnis (Klickquote, Meldequote) hinzufügen. Tun Sie dies nicht, dann ist "nein" die richtige Antwort — füllen Sie nicht aus, was Ihr Kunde hören möchte. Wenn Sie unsicher sind, ob Ihr Schulungsprogramm ohne Simulationen trotzdem als angemessene Sensibilisierung zählt, hilft es zunächst, die umfassendere Frage anzuschauen ob Mitarbeiter Schulungen in grundlegenden Praktiken der Cyberhygiene erhalten; Phishing-Tests sind ein Teil davon, nicht das Ganze.

Wo dies steht: Artikel 21 Absatz 2 Buchstabe g und Annex A.6.3

NIS2 Artikel 21 Absatz 2 Buchstabe g nennt Cyberhygiene und Schulungsschulung als eine von zehn Pflichtmaßnahmen für unter die Richtlinie fallende Einheiten — ob dies der Fall ist, wird beschrieben bei ob das Unternehmen selbst unter NIS2 fällt. ISO/IEC 27001 Annex A konkretisiert dies in Maßnahme A.6.3, "information security awareness, education and training", ohne Phishing-Simulationen als erforderliches Instrument zu nennen. Das niederländische Cybersicherheitsgesetz setzt diesen Artikel um, sobald dieses Gesetz am 15. August 2026 in Kraft tritt; bis dahin ist die Richtlinie selbst die Fundstelle für diejenigen, die gegen NIS2 prüfen, und die Norm für diejenigen, die gegen ISO 27001 prüfen.