klant vraagt of we phishingtesten uitvoeren bij medewerkers, wat als we dat niet doen

Phishingtests zijn bewijs, geen verplichte vorm

Nee, phishingtests zijn niet als zodanig verplicht. Wat wél telt is dat medewerkers regelmatig training krijgen in cyberhygiëne, en een phishingtest is daarvan het meest concrete bewijsstuk dat een klant kan controleren. Een training zonder toets is moeilijker te verifiëren; een simulatie met een klikpercentage en een rapportage is voor de klant direct aantoonbaar. Vandaar dat dit specifieke stuk in vragenlijsten vaak apart opduikt, los van de algemenere vraag of medewerkers training krijgen in basispraktijken voor cyberhygiëne.

Als er geen phishingtest wordt uitgevoerd, is het eerlijkste antwoord "nee", eventueel aangevuld met wat er wél gebeurt: een e-learning, een instructie bij onboarding, een interne mailing over recente fraudegevallen. Dat is geen gelijkwaardige vervanging, maar het toont dat er iets aan bewustwording gedaan wordt. Een phishingtest simuleren als antwoord terwijl die er niet is, is niet aan de orde — het dossier vult alleen in wat aantoonbaar is, en "ja" zonder bron wordt hier niet voorgesteld. Overigens komt phishing vaak terug als aanleiding voor een beveiligingsincident, dus wie hier "nee" invult, kan van de klant ook een vervolgvraag verwachten over de procedure voor het behandelen van beveiligingsincidenten.

Waar dit staat: artikel 21 lid 2, onder g

Artikel 21 lid 2 van de NIS2-richtlijn noemt onder de tien maatregelen "basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging" (onderdeel g). De richtlijn schrijft geen instrument voor — geen phishingtest, geen specifieke lesmethode — maar laat de invulling aan de entiteit zelf. ISO/IEC 27001 kent in Annex A een vergelijkbare beheersmaatregel over bewustzijn en training, ook daar zonder verplichte vorm. De Cyberbeveiligingswet is de Nederlandse omzetting van deze richtlijn en treedt op 15 augustus 2026 in werking; tot die datum is dit voor de meeste bedrijven nog geen wettelijke verplichting, maar een klant kan er via zijn eigen vragenlijst nu al naar vragen, vooruitlopend op die datum of omdat hijzelf al onder toezicht staat.