le client demande si nous effectuons des tests de phishing auprès des employés, que faire si nous ne le faisons pas

Les tests de phishing sont une preuve, pas une forme obligatoire

Non, les tests de phishing ne sont pas obligatoires en tant que tels. Ce qui compte vraiment, c'est que les collaborateurs reçoivent régulièrement une formation en hygiène de la cybersécurité, et un test de phishing est le document probant le plus concret qu'un client peut vérifier. Une formation sans test est plus difficile à vérifier ; une simulation avec un pourcentage de clics et un rapport est directement démontrable pour le client. C'est pourquoi cet élément spécifique apparaît souvent séparément dans les questionnaires, indépendamment de la question plus générale de les collaborateurs reçoivent une formation aux pratiques de base en matière d'hygiène de la cybersécurité.

S'il n'y a pas de test de phishing, la réponse la plus honnête est « non », éventuellement complétée par ce qui est en place : un e-learning, une instruction lors de l'intégration, un message interne sur les cas de fraude récents. Ce n'est pas un équivalent, mais cela montre qu'un effort de sensibilisation est entrepris. Simuler un test de phishing dans la réponse alors qu'il n'existe pas n'est pas approprié — le dossier ne remplit que ce qui est démontrable, et « oui » sans source ne vous sera pas proposé. Au demeurant, le phishing figure souvent parmi les causes d'un incident de sécurité, donc celui qui répond « non » ici peut s'attendre à une question de suivi de la part de son client sur la procédure de traitement des incidents de cybersécurité.

Où cela figure : article 21, paragraphe 2, point g

L'article 21, paragraphe 2 de la directive NIS2 mentionne parmi les dix mesures les « pratiques de base en matière d'hygiène de la cybersécurité et la formation en matière de cybersécurité » (point g). La directive ne prescrit aucun instrument — aucun test de phishing, aucune méthode pédagogique spécifique — mais laisse la mise en œuvre à l'entité elle-même. La norme ISO/IEC 27001 comporte un objectif de contrôle comparable en annexe A concernant la sensibilisation et la formation, sans forme obligatoire là non plus. La loi sur la cybersécurité est la transposition néerlandaise de cette directive et entrera en vigueur le 15 août 2026 ; jusqu'à cette date, ce n'est pas encore une obligation légale pour la plupart des entreprises, mais un client peut d'ores et déjà interroger à ce sujet via son propre questionnaire, en anticipation de cette date ou parce qu'il est déjà lui-même sous surveillance.