il cliente vuole sapere se eseguiamo simulazioni di phishing con i dipendenti

I test di phishing rientrano nella consapevolezza, non in un punto di misura separato

Le simulazioni di phishing rientrano nell'articolo 21 paragrafo 2 lettera g NIS2: igiene informatica e formazione sulla sicurezza informatica. Non c'è alcun requisito che sia specificamente un test di phishing — la direttiva menziona "pratiche di base nel campo dell'igiene informatica e della formazione nel campo della sicurezza informatica". Una simulazione di phishing è una delle applicazioni comuni, non un obbligo autonomo. Chi non effettua simulazioni ma ha altre attività di consapevolezza — e-learning, sessioni di toolbox, un messaggio intranet in caso di minaccia attuale — soddisfa la norma di fondo, anche se la risposta alla domanda letterale è "no".

L'etichetta dipende da ciò che fai effettivamente. Se effettui periodicamente test di phishing con rapporto alla direzione, allora "sì" è fondato e puoi fornire, se richiesto, la frequenza e l'ultimo risultato (percentuale di clic, percentuale di segnalazioni). Se non lo fai, allora "no" è la risposta corretta — non compilare ciò che il tuo cliente vuole sentire. Se dubiti che il tuo programma di formazione senza simulazioni conti comunque come consapevolezza adeguata, è utile guardare prima la domanda più ampia se i dipendenti ricevono formazione sulle pratiche di base per l'igiene informatica; i test di phishing ne sono una parte, non il tutto.

Dove si trova: articolo 21 paragrafo 2 lettera g e Allegato A.6.3

L'articolo 21 paragrafo 2 lettera g NIS2 cita l'igiene informatica e la formazione sulla sicurezza come una delle dieci misure obbligatorie per le entità che rientrano nella direttiva — se è così, è descritto in se l'impresa stessa rientra nell'ambito di applicazione della NIS2. ISO/IEC 27001 Allegato A lo sviluppa nella misura A.6.3, "information security awareness, education and training", senza menzionare le simulazioni di phishing come strumento obbligatorio. La legge olandese sulla sicurezza informatica tramuterà questo articolo non appena tale legge entrerà in vigore il 15 agosto 2026; fino a quella data, la direttiva stessa è il punto di riferimento per chi verifica il rispetto di NIS2, e la norma per chi verifica il rispetto di ISO 27001.