klant vraagt of we phishingtests uitvoeren op medewerkers

Phishingtests zijn bewijs, geen losse eis

Phishingtests vallen niet apart in artikel 21 lid 2 NIS2 — ze zijn het bewijsstuk waarmee je aantoont dat de trainingsverplichting onder punt g (cyberhygiëne en beveiligingstraining) ook echt werkt. Als je klant specifiek naar phishingtests vraagt, wil hij niet weten of jullie een training hebben gegeven, maar of jullie meten of die training beklijft. Heb je die tests, dan is het antwoord simpel: ja, met de laatste testdatum en het percentage medewerkers dat is doorgeklikt of heeft gemeld. Heb je ze niet, dan is "nee" het juiste antwoord — niet "ja" omdat er wel een e-learning bestaat.

Doe je geen phishingtests maar wel iets anders — een training bij onboarding, een jaarlijkse toolbox, een interne nieuwsbrief over verdachte mails — dan is dat een apart antwoord, geen vervanging voor de vraag zoals gesteld. Veel vragenlijsten laten ruimte voor een toelichting; gebruik die om te beschrijven wat er wél is, zonder te suggereren dat het een phishingtest is. Dit hoort bij dezelfde categorie als training in basispraktijken voor cyberhygiëne: als daar al "nee" op staat, ligt "nee" op deze vraag voor de hand, en is de kans klein dat je hier ineens wel bewijs hebt.

Onderbouwing: artikel 21 lid 2, punt g en de toetsing ervan

Artikel 21 lid 2 onder g van Richtlijn (EU) 2022/2555 noemt uitdrukkelijk "basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging" als een van de tien verplichte maatregelen; ISO/IEC 27001 Annex A werkt dit verder uit onder de beheersmaatregelen voor bewustzijn en training van personeel. Phishingtests zijn in de praktijk het meetinstrument waarmee bedrijven aantonen dat die training niet alleen is gegeven, maar ook effect heeft — vergelijkbaar met wat gevraagd wordt bij de periodieke toetsing van beveiligingsmaatregelen. De Nederlandse Cyberbeveiligingswet zet deze verplichting één op één om, met inwerkingtreding op 15 augustus 2026.