el cliente pregunta si realizamos pruebas de phishing en los empleados

Las pruebas de phishing son evidencia, no un requisito aislado

Las pruebas de phishing no se mencionan por separado en el artículo 21, apartado 2 de la Directiva NIS2 — son el documento acreditativo mediante el cual demuestras que la obligación de formación recogida en el punto g (ciberhigiene y formación en materia de ciberseguridad) funciona realmente. Cuando tu cliente pregunta específicamente por pruebas de phishing, no quiere saber si habéis impartido una formación, sino si medís si esa formación da resultado. Si dispones de esas pruebas, la respuesta es simple: sí, con la fecha de la última prueba y el porcentaje de empleados que pulsaron el enlace o lo comunicaron. Si no las tienes, entonces "no" es la respuesta correcta — no "sí" porque exista una formación en línea.

Si no realizas pruebas de phishing pero sí otra cosa — una formación en la incorporación de personal, una charla anual de seguridad, un boletín interno sobre correos sospechosos — entonces esa es una respuesta separada, no un sustituto de la pregunta formulada. Muchos cuestionarios dejan espacio para una aclaración; úsalo para describir lo que sí existe, sin sugerir que sea una prueba de phishing. Esto pertenece a la misma categoría que formación en prácticas básicas de ciberhigiene: si ya pone "no" en esa, lo probable es que "no" sea la respuesta a esta pregunta, y es poco probable que de repente dispongas aquí de evidencia.

Justificación: artículo 21, apartado 2, punto g y su evaluación

El artículo 21, apartado 2, letra g de la Directiva (UE) 2022/2555 menciona explícitamente "prácticas básicas en materia de ciberhigiene y formación en materia de ciberseguridad" como una de las diez medidas obligatorias; ISO/IEC 27001 Anexo A lo desarrolla posteriormente bajo las medidas de control para la conciencia y la formación del personal. Las pruebas de phishing son en la práctica el instrumento de medición mediante el cual las empresas demuestran que esa formación no solo se ha impartido, sino que tiene efecto — comparable a lo que se solicita en las pruebas periódicas de las medidas de seguridad. La Ley holandesa de ciberseguridad transpone esta obligación al detalle, con entrada en vigor el 15 de agosto de 2026.