klient soovib teada, kas viime läbi phishing-simulatsioone töötajatega

Phishingkatsed kuuluvad teadlikkuse juurde, mitte eraldi meetmepunkti juurde

Phishingsimulatsioonid kuuluvad NIS2 artikli 21 lõike 2 punkti g alla: küberhealth ja turbeolek. Nõue, et see oleks spetsiaalselt phishingkatsetus, puudub — direktiiv mainib "põhilisi küberhealth praktikaid ja küberturbeolek koolitust". Phishingsimulatsioon on üks levinud täitmise viise, mitte iseseisev kohustus. Kes ei käita simulatsioone, kuid kellel on muud teadlikkuse tegevused — e-õpe, töökastide sessioonid, intranetihoiatus tegeliku ohu korral — vastab aluseks olevale normile, isegi kui literaalse küsimuse "kas te teete phishingkatseid?" vastus on "ei".

Märgistus sõltub sellest, mida sa tegelikult teed. Käitad sa perioodiliselt phishingkatseid raporteerimisega juhtidele, siis on "jah" põhjendatud ja saad soovi korral lisada sageduse ja viimase tulemuse (klikkide osakaal, teatamise osakaal). Kui sa seda ei tee, siis on "ei" õige vastus — ära kirjuta seda, mida sinu klient kuulda tahab. Kui kahtled, kas sinu koolitusprogram ilma simulatsioonideta loeb ikkagi piisava teadlikkusena, aitab vaadata esmalt laiema küsimuse juurde kas töötajad saavad kuberbeveiliguse aluspraktikate koolitust; phishingkatsed on selle osa, mitte tervik.

Kus see paikneb: artikkel 21 lõige 2 punkt g ja Annex A.6.3

NIS2 artikkel 21 lõige 2 punkt g mainib küberbeveiligust ja koolituskoolitust kui ühte kümnest kohustuslikust meetmest üksustest, kes jäävad direktiivi alla — kas see nii on, on kirjeldatud kas ettevõte ise kuulub NIS2 allajuures. ISO/IEC 27001 Annex A käsitleb seda meetmes A.6.3, "information security awareness, education and training", nimetamata phishingsimulatsioonid kohustusliku instrumentina. Hollandi Küberturbeolek seadus võtab selle artikli üle niipea, kui see seadus 15. augustil 2026 jõustub; seni on direktiiv ise leitavuse koht nendele, kes NIS2 järgi testitavad, ja norm nendele, kes ISO 27001 järgi testitavad.