le questionnaire demande si nous effectuons des tests de phishing auprès du personnel

Les tests de phishing font partie de l'hygiène de la cybersécurité, non pas seulement de la sensibilisation

Un test de phishing n'est pas une exigence isolée, mais une preuve pour l'une des dix mesures de l'article 21, paragraphe 2, NIS2 : point g, hygiène de la cybersécurité et formation à la sécurité. La directive elle-même ne prescrit pas de simulation de phishing — elle mentionne « les pratiques de base en matière d'hygiène de la cybersécurité et la formation à la cybersécurité ». Un client qui demande spécifiquement des tests de phishing traduit cette norme en une pratique concrète et vérifiable. Pour ISO 27001, cela se trouve en Annexe A sous la mesure de contrôle pour la sensibilisation, la formation et l'entraînement du personnel : la norme exige un programme, et un test de phishing en est la pièce justificative la plus courante.

Si tu n'as pas de tests de phishing structurés, alors « non » est la réponse honnête — une formation à la sensibilisation sans simulation est quelque chose de différent et l'évaluateur de l'autre côté le sait généralement aussi. De nombreux clients posent des questions complémentaires sur la fréquence (annuelle, trimestrielle), sur ce qui se passe avec les collaborateurs qui y succombent, et s'il y a un e-learning associé. Si cela existe mais n'est pas désigné comme « test de phishing », décris plutôt ce que tu fais réellement dans le champ de justification au lieu de simplement cocher « oui ». Ce sujet touche également formation aux pratiques de base en matière d'hygiène de la cybersécurité, où se trouve l'obligation de formation plus large — les tests de phishing en sont généralement une ligne d'une politique plus large.

Où cela figure dans la directive et la norme

L'article 21, paragraphe 2, point g de la Directive (UE) 2022/2555 mentionne l'hygiène de la cybersécurité et la formation à la sécurité comme l'une des dix mesures obligatoires ; la loi sur la cybersécurité transpose cela un-à-un dès son entrée en vigueur le 15 août 2026. ISO/IEC 27001 Annexe A développe cela davantage sous la mesure de contrôle pour la sensibilisation et la formation du personnel, dans le cadre de laquelle les simulations de phishing sont la forme d'évaluation courante. La question de savoir si l'entreprise elle-même doit s'y conformer strictement dépend de la réponse à ou si l'entreprise elle-même relève de la directive NIS2 — un fournisseur indirect reçoit souvent la question par transposition contractuelle, non par obligation légale directe.