el cuestionario pregunta si realizamos pruebas de phishing con el personal

Las pruebas de phishing son prueba de concienciación, no de acceso

Las simulaciones de phishing forman parte del programa de concienciación del artículo 21, apartado 2, letra g de la NIS2, no del control de acceso ni de MFA. Por lo tanto, la pregunta no pretende verificar si tu técnica funciona correctamente, sino si los empleados están capacitados para reconocer la ingeniería social. Si realizas una prueba de phishing periódica con informe y seguimiento (por ejemplo, formación adicional para quienes hacen clic), esta es una clara "sí" con una prueba sólida. Si solo tienes un curso de e-learning sin simulación, la respuesta a menudo es "no" a esta pregunta específica — la encuesta generalmente pregunta explícitamente por una prueba, no por formación en sentido general.

Sin una prueba de phishing, "no, pero" es la respuesta honesta aquí: indica entonces qué sí existe, como formación obligatoria de concienciación o un botón de notificación para correos sospechosos. Esto no es una debilidad — muchas empresas comienzan con formación y amplían las simulaciones más adelante. Si dudas de si tu campaña es lo suficientemente representativa (por ejemplo, una prueba al año frente a mensualmente), elige entonces "por determinar" y consulta internamente con quien gestiona las campañas, normalmente IT o HR. Verifica también si este tema es independiente de la formación que los empleados reciben en ciberhigiene en sentido más amplio — algunos clientes lo preguntan en dos preguntas separadas, otros lo combinan.

De dónde viene esto: artículo 21, apartado 2, letra g

El artículo 21, apartado 2, letra g de la NIS2 menciona explícitamente "prácticas básicas de ciberhigiene y formación en ciberseguridad" como una de las diez medidas obligatorias. En la práctica, las simulaciones de phishing se incluyen en esta obligación de formación; la Norma ISO/IEC 27001 Anexo A menciona medidas de concienciación y formación en el mismo sentido, sin nombrar una prueba de phishing como requisito separado. Si tú mismo caes bajo la Ley de Ciberseguridad como entidad que cae bajo la Directiva NIS2, entonces desde la entrada en vigor esta es una de las medidas que pueden estar sujetas a supervisión — por ahora sigue siendo principalmente una pregunta que los clientes ya plantean por adelantado a esa ley.