le client demande si nous effectuons des tests de phishing auprès des employés

Les tests de phishing sont des preuves, non une exigence isolée

Les tests de phishing ne figurent pas séparément à l'article 21, paragraphe 2, NIS2 — ils constituent le document probant avec lequel vous démontrez que l'obligation de formation visée au point g (hygiène de la cybersécurité et formation en matière de sécurité) produit réellement ses effets. Si votre client demande spécifiquement des tests de phishing, il ne veut pas savoir si vous avez dispensé une formation, mais si vous mesurez si cette formation est efficace. Si vous disposez de ces tests, la réponse est simple : oui, avec la date du dernier test et le pourcentage de collaborateurs qui ont cliqué ou signalé. Si vous ne les avez pas, la réponse correcte est « non » — pas « oui » parce qu'une formation en ligne existe.

Si vous n'effectuez pas de tests de phishing mais faites quelque chose d'autre — une formation lors de l'intégration, une boîte à outils annuelle, une infolettre interne sur les e-mails suspects — c'est une réponse distincte, non un remplacement de la question telle que posée. De nombreux questionnaires offrent un espace pour des commentaires ; utilisez-le pour décrire ce qui existe réellement, sans suggérer que c'est un test de phishing. Cela appartient à la même catégorie que formation aux pratiques de base en matière d'hygiène de la cybersécurité : si la réponse est déjà « non », « non » s'impose probablement à cette question également, et il y a peu de chances que vous ayez soudainement des preuves ici.

Justification : article 21, paragraphe 2, point g et son évaluation

L'article 21, paragraphe 2, point g de la directive (UE) 2022/2555 mentionne explicitement les « pratiques de base en matière d'hygiène de la cybersécurité et formation en matière de cybersécurité » comme l'une des dix mesures obligatoires ; la norme ISO/IEC 27001, annexe A, la développe davantage en vertu des mesures de contrôle pour la sensibilisation et la formation du personnel. Les tests de phishing constituent en pratique l'instrument de mesure par lequel les entreprises démontrent que cette formation non seulement a été dispensée, mais produit aussi un effet — comparable à ce qui est demandé pour l'évaluation périodique des mesures de sécurité. La loi néerlandaise sur la cybersécurité transpose cette obligation un pour un, avec une entrée en vigueur le 15 août 2026.