le questionnaire demande si nous effectuons des tests de phishing auprès du personnel

Les tests d'hameçonnage sont une preuve de sensibilisation, non d'accès

Les simulations d'hameçonnage relèvent du programme de sensibilisation visé à l'article 21, paragraphe 2, point g de la NIS2, et non de la gestion des accès ou de l'authentification multifacteur. La question ne teste donc pas si votre technique est en ordre, mais si les employés sont formés pour reconnaître l'ingénierie sociale. Si vous disposez d'un test d'hameçonnage périodique avec rapportage et suivi (par exemple, une formation supplémentaire pour ceux qui cliquent), c'est une « oui » claire accompagnée d'une pièce justificative solide. Si vous n'avez qu'un cours en ligne sans simulation, la réponse à cette question spécifique est souvent « non » — le questionnaire demande généralement explicitement un test, non une formation au sens large.

Sans test d'hameçonnage, « non, mais » est ici la réponse honnête : énoncez alors ce qui existe réellement, comme une formation obligatoire à la sensibilisation ou un bouton de signalement pour les e-mails suspects. Ce n'est pas une offre faible — de nombreuses entreprises commencent par la formation et développeront des simulations plus tard. Si vous doutez que votre campagne soit suffisamment représentative (par exemple, un test par an par rapport à des tests mensuels), préférez « à déterminer » et enquêtez en interne auprès de ceux qui gèrent les campagnes, généralement l'informatique ou les ressources humaines. Vérifiez également si ce sujet est distinct de la formation que les employés reçoivent en matière d'hygiène de la cybersécurité au sens large — certains clients posent cette question en deux questions distinctes, d'autres les regroupent.

D'où provient ceci : article 21, paragraphe 2, point g

L'article 21, paragraphe 2, point g de la NIS2 mentionne explicitement « les pratiques de base en matière d'hygiène de la cybersécurité et la formation en matière de cybersécurité » comme l'une des dix mesures obligatoires. Les simulations d'hameçonnage relèvent dans la pratique de cette obligation de formation ; l'Annexe A de l'ISO/IEC 27001 mentionne les mesures de sensibilisation et de formation dans le même esprit, sans désigner un test d'hameçonnage comme une exigence distincte. Si vous êtes vous-même une entité relevant de la directive NIS2, alors c'est l'une des mesures sur lesquelles la surveillance peut porter dès l'entrée en vigueur — pour le moment, c'est surtout une question que les clients posent déjà eux-mêmes, en anticipation de cette loi.