il cliente chiede se conduciamo test di phishing sui dipendenti

I test di phishing sono prove, non un requisito a sé stante

I test di phishing non rientrano separatamente nell'articolo 21 comma 2 NIS2 — sono il documento comprovante con cui dimostri che l'obbligo di formazione secondo il punto g (igiene informatica e formazione sulla sicurezza informatica) funziona effettivamente. Se il tuo cliente chiede specificamente test di phishing, non vuole sapere se avete impartito una formazione, ma se misurate se quella formazione ha effetto duraturo. Se hai quei test, la risposta è semplice: sì, con la data dell'ultimo test e la percentuale di dipendenti che ha fatto clic o ha segnalato. Se non li hai, allora "no" è la risposta corretta — non "sì" solo perché esiste un'e-learning.

Se non esegui test di phishing ma fai qualcos'altro — una formazione all'assunzione, una riunione annuale sulla sicurezza, una newsletter interna su email sospette — allora è una risposta a sé stante, non una sostituzione della domanda come posta. Molti questionari lasciano spazio per una spiegazione; usa quello per descrivere cosa c'è effettivamente, senza suggerire che si tratti di un test di phishing. Questo rientra nella stessa categoria di formazione nelle pratiche fondamentali di igiene informatica: se già "no" è indicato, allora "no" è la risposta logica a questa domanda, ed è improbabile che improvvisamente tu abbia prove qui.

Fondamento: articolo 21 comma 2, punto g e la sua verifica

L'articolo 21 comma 2 lettera g della Direttiva (UE) 2022/2555 cita esplicitamente "pratiche fondamentali di igiene informatica e formazione sulla sicurezza informatica" come una delle dieci misure obbligatorie; la norma ISO/IEC 27001 Allegato A la sviluppa ulteriormente con le misure di controllo per la consapevolezza e la formazione del personale. I test di phishing sono in pratica lo strumento di misurazione con il quale le aziende dimostrano che la formazione non è solo stata impartita, ma ha anche un effetto — paragonabile a quanto richiesto in il test periodico delle misure di sicurezza. La Legge olandese sulla sicurezza informatica recepisce questo obbligo direttamente, con entrata in vigore il 15 agosto 2026.