asiakas haluaa tietää, suoritammeko kalastelusimulaatioita työntekijöillemme

Phishing-testit kuuluvat tietoisuuden lisäämiseen, eivät erilliseen toimenpiteeseen

Phishing-simulaatiot kuuluvat NIS2:n 21 artiklan 2 kappaleen g alakohtaan: kybernetiikan hygienia ja turvallisuuskoulutus. Siinä ei ole vaatimusta siitä, että se olisi nimenomaan phishing-testi — direktiivissä mainitaan "kybernetiikan hygienian peruskäytännöt ja kyberturvallisuuskoulutus". Phishing-simulaatio on yksi yleisistä täytäntöönpanoista, ei itsenäinen velvoite. Jos et aja simulaatioita mutta sinulla on muita tietoisuuden lisäämisen toimia — e-oppimista, toolbox-istuntoja, intranet-viestiä ajankohtaisesta uhasta — täytät taustalla olevan normin, vaikka kirjaimellisen kysymyksen "phishing-testit" vastaus olisi "ei".

Merkinnän arvo riippuu siitä, mitä tosiasiallisesti teet. Jos aja säännöllisiä phishing-testejä raportoinnilla johdolle, "kyllä" on perusteltu ja voit tarvittaessa toimittaa tiheyden ja viimeiset tulokset (klikkausprosentti, ilmoitusprosentti). Jos et tätä tee, "ei" on oikea vastaus — älä täytä sitä, mitä asiakkaasi haluaa kuulla. Jos epäilet, lasketaanko koulutusohjelmaasi ilman simulaatioita silti riittäväksi tietoisuuden lisäämiseksi, apua on laajemmassa kysymyksessä onko henkilöstö saanut koulutusta kybernetiikan hygienian peruskäytännöistä; phishing-testit ovat osa sitä, eivät kokonaisuus.

Tämä löytyy: 21 artiklan 2 kappaleen g alakohta ja liite A.6.3

NIS2:n 21 artiklan 2 kappaleen g alakohta mainitsee kybernetiikan hygienian ja koulutuksen yhdeksi kymmenestä direktiivin soveltamisalaan kuuluvien tahojen pakollisista toimenpiteistä — onko se niin, on kuvattu ovatko yritys itse NIS2:n soveltamisalaankohdassa. ISO/IEC 27001:n liite A kehittelee tätä toimenpiteessä A.6.3, "information security awareness, education and training", mainitsematta phishing-simulaatioita pakolliseksi välineeksi. Alankomaalainen kyberturvallisuuslaki panna tämän artiklan täytäntöön heti, kun laki tulee voimaan 15. elokuuta 2026; siihen asti direktiivi itse on lähde niille, jotka arvioivat NIS2:n perusteella, ja normi niille, jotka arvioivat ISO 27001:n perusteella.