vragenlijst vraagt of we phishingtesten uitvoeren onder personeel

Phishingtesten zijn bewijs bij bewustwording, niet bij toegang

Phishingsimulaties horen bij het bewustwordingsprogramma van artikel 21 lid 2 sub g NIS2, niet bij toegangsbeheer of MFA. De vraag test dus niet of je techniek op orde hebt, maar of medewerkers getraind worden om social engineering te herkennen. Heb je een periodieke phishingtest met rapportage en opvolging (bijvoorbeeld extra training voor wie klikt), dan is dit een duidelijke "ja" met een sterk bewijsstuk erbij. Heb je alleen een e-learning zonder simulatie, dan is het antwoord vaak toch "nee" op deze specifieke vraag — de vragenlijst vraagt meestal expliciet naar een test, niet naar training in algemene zin.

Zonder phishingtest is "nee, maar" hier het eerlijke antwoord: benoem dan wat er wél is, zoals verplichte awareness-training of een meldknop voor verdachte mails. Dat is geen zwaktebod — veel bedrijven starten met training en bouwen simulaties later uit. Twijfel je of jullie campagne representatief genoeg is (bijvoorbeeld één test per jaar versus maandelijks), zet dan liever "nog te bepalen" en vraag intern na bij wie de campagnes beheert, meestal IT of HR. Check ook of dit onderwerp los staat van de training die medewerkers krijgen in cyberhygiëne in bredere zin — sommige klanten vragen dat in twee losse vragen, andere vouwen het samen.

Waar dit vandaan komt: artikel 21 lid 2 sub g

Artikel 21 lid 2 sub g van NIS2 noemt expliciet "basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging" als een van de tien verplichte maatregelen. Phishingsimulaties vallen in de praktijk onder deze opleidingsverplichting; ISO/IEC 27001 Annex A noemt awareness- en trainingsmaatregelen in dezelfde geest, zonder een phishingtest als losse eis te benoemen. Val je zelf onder de Cyberbeveiligingswet als entiteit die onder de NIS2-richtlijn valt, dan is dit vanaf de inwerkingtreding een van de maatregelen waarop toezicht mogelijk is — voor nu blijft het vooral een vraag die klanten zelf al stellen, vooruitlopend op die wet.