klijent pita izvodimo li testove lova na фишинг za zaposlenike

Testovi phishinga su dokazi, ne samostalni zahtjev

Testovi phishinga nisu odvojeno navedeni u članku 21. stavku 2. NIS2 — oni su dokaz kojim dokazuješ da je obveza osposobljavanja prema točki g (cyberhigijena i osposobljavanje u području sigurnosti) zaista učinkovita. Ako tvoj kupac posebno pita za testove phishinga, ne želi znati jesu li dali obuku, već mjere li učinkovitost te obuke. Ako imaš te testove, odgovor je jednostavan: da, s datumom posljednjeg testa i postotkom zaposlenika koji je kliknuo ili prijavio. Ako ih nemaš, "ne" je ispravan odgovor — ne "da" jer postoji e-learning.

Ako ne provodiš testove phishinga ali radiš nešto drugo — obuka pri zapošljavanju, godišnji toolbox, interni bilten o sumnjivim e-porukama — to je odvojen odgovor, a ne zamjena za pitanje kako je postavljeno. Mnoge ankete dopuštaju prostor za napomenu; koristi ga da opišeš što postoji, bez sugeriranja da je to test phishinga. Ovo spada u istu kategoriju kao osposobljavanje u osnovnim praksama cyberhigijene: ako je na tome već "ne", "ne" je logičan na ovom pitanju, i mala je vjerojatnost da imaš ovdje odjednom dokaz.

Obrazloženje: članak 21. stavak 2., točka g i njegova provjera

Članak 21. stavak 2. pod g Direktive (EU) 2022/2555 izričito spominje "osnovne prakse na području cyberhigijene i osposobljavanje na području cyber sigurnosti" kao jednu od deset obveznih mjera; ISO/IEC 27001 Aneks A to dalje razrađuje pod mjerama kontrole za svijest i osposobljavanje osoblja. U praksi, testovi phishinga su mjerni instrument kojim poduzeća dokazuju da obuka nije samo dana, već i učinkovita — slično onomu što se traži kod povremenim testiranjem mjera sigurnosti. Nizozemski Zakon o cybersigurnosti ovu obvezu jedan na jedan preuređuje, s početkom primjene 15. kolovoza 2026.