el cliente pregunta si realizamos pruebas de phishing con empleados, qué pasa si no lo hacemos

Las pruebas de phishing son prueba, no una forma obligatoria

No, las pruebas de phishing no son obligatorias como tales. Lo que sí cuenta es que los empleados reciban capacitación periódica en ciberhigiene, y una prueba de phishing es la prueba más concreta de ello que un cliente puede verificar. Una capacitación sin prueba es más difícil de verificar; una simulación con un porcentaje de clics e informes es inmediatamente verificable para el cliente. Por eso esta pieza específica suele aparecer por separado en cuestionarios, aparte de la pregunta más general sobre empleados reciban capacitación en prácticas básicas de ciberhigiene.

Si no se realiza una prueba de phishing, la respuesta más honesta es "no", posiblemente complementada con lo que sí sucede: un e-learning, una instrucción en la incorporación, un correo interno sobre casos de fraude recientes. No es un sustituto equivalente, pero muestra que se está haciendo algo para concienciar. Simular una prueba de phishing como respuesta cuando no existe no es apropiado — el dossier solo completa lo que es verificable, y "sí" sin fuente no se sugiere aquí. Por lo demás, el phishing suele ser la causa de un incidente de seguridad, así que quien responda "no" aquí puede esperar una pregunta de seguimiento del cliente sobre el procedimiento para el tratamiento de incidentes de seguridad.

Dónde aparece esto: artículo 21, apartado 2, letra g

El artículo 21, apartado 2, de la Directiva NIS2 menciona entre las diez medidas "prácticas básicas de ciberhigiene y ciberformación" (apartado g). La Directiva no prescribe un instrumento específico — ni una prueba de phishing ni un método de enseñanza específico — sino que deja la implementación a la entidad. ISO/IEC 27001 tiene en el Anexo A una medida de control similar sobre conciencia y capacitación, tampoco con una forma obligatoria. La Ley de Ciberseguridad es la transposición holandesa de esta Directiva y entrará en vigor el 15 de agosto de 2026; hasta entonces, para la mayoría de las empresas aún no es una obligación legal, pero un cliente puede preguntarla ya ahora a través de su propio cuestionario, anticipándose a esa fecha o porque él mismo ya está bajo supervisión.