klient küsib, kas me teeme phishingu-teste töötajatele

Phishingu-testid on tõendus, mitte eraldi nõue

Phishingu-testid ei kuulu eraldi artikli 21 lõike 2 NIS2 alla — need on tõendusmaterjal, millega näitad, et punkti g alusel (küberhügieeni ja turvalisuse koolituse) õiguslik kohustus ka tegelikult toimib. Kui teie klient konkreetselt phishingu-teste küsib, ei soovi ta teada, kas te koolituse andsite, vaid kas te mõõdate, kas see koolitusesse jääb. Kui teil need testid on, on vastus lihtne: jah, viimase testikuupäevaga ja protesentides, mis töötajatest klikkisid peale või raporteerisid. Kui teil neid pole, on "ei" õige vastus — mitte "jah", sest e-õpe küll olemas on.

Kui sa phishingu-teste ei tee, aga midagi muud teed — koolitust värbamisel, iga-aastast tööriista, siseveebis ajalehte kahtlaste mailidega — siis see on eraldi vastus, mitte asendus küsimuse sellisena esitatud juures. Paljud küsimustikud jätavad ruumi selgituseks; kasuta seda, et kirjeldada, mis on olemas, ilma soovitamata, et see on phishingu-test. See kuulub sama kategooriasse kui koolitus küberhügieeni aluspraktikates: kui seal on juba "ei" märgitud, on "ei" sellele küsimusele ees, ja väike on tõenäosus, et sinul on siin järsku tõendus olemas.

Põhjendus: artikkel 21 lõige 2, punkt g ja selle kontroll

Direktiivi (EL) 2022/2555 artikli 21 lõike 2 punktis g mainitakse otseselt "aluspraktikaid küberhügieeni valdkonnas ja küberjulgeolekualast koolitust" kui ühte kümnest kohustusliku meetmest; ISO/IEC 27001 lisa A töötab seda edasi personali teadlikkuse ja koolitamise juhtimismeetmete alt. Phishingu-testid on praktikas mõõteinstrument, millega ettevõtted tõendavad, et see koolitusetus mitte üksi anda, vaid ka efektiivsust — võrreldavalt sellega, mida palutakse julgeolek­meetmete perioodilise kontrollimise puhul. Hollandi Küberjulgeolekuseadus paneb selle nõude ühele joonele, kehtima hakkamise kuupäev 15. august 2026.