klient pyta, czy przeprowadzamy testy phishingu wśród pracowników, co jeśli tego nie robimy

Testy phishingowe są dowodem, a nie formą obowiązkową

Nie, testy phishingowe nie są jako takie obowiązkowe. To, co liczy się, to fakt, że pracownicy regularnie otrzymują szkolenia z cyberhigieny, a test phishingowy jest najbardziej konkretnym dowodem, który klient może sprawdzić. Szkolenie bez egzaminu jest trudniejsze do zweryfikowania; symulacja z odsetkiem kliknięć i raportem jest dla klienta natychmiast wykazalna. Dlatego właśnie ten konkretny element pojawia się w ankietach osobno, niezależnie od bardziej ogólnego pytania, czy pracownicy otrzymują szkolenia w podstawowych praktykach cyberhigieny.

Jeśli test phishingu nie jest przeprowadzany, najbardziej uczciwa odpowiedź to "nie", ewentualnie uzupełniona informacją o tym, co się faktycznie odbywa: e-learning, instrukcja podczas onboardingu, wewnętrzny mailing o niedawnych przypadkach oszustw. To nie jest równoważna zamiana, ale pokazuje, że coś jest robione w zakresie podnoszenia świadomości. Symulowanie testu phishingu jako odpowiedź, gdy go nie ma, nie wchodzi w grę — dossier zawiera tylko to, co jest udokumentowane, a "tak" bez źródła nie jest tu proponowane. Zresztą phishing często pojawia się jako przyczyna incydentu bezpieczeństwa, więc ktoś, kto tutaj wpisuje "nie", może oczekiwać od swojego klienta dodatkowego pytania dotyczącego procedurą obsługi incydentów bezpieczeństwa.

Gdzie to się znajduje: artykuł 21 ust. 2, litera g

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia wśród dziesięciu środków "praktyki podstawowe w zakresie higieny cybernetycznej i szkolenia z zakresu bezpieczeństwa cybernetycznego" (lit. g). Dyrektywa nie przewiduje konkretnego narzędzia — ani testu phishingu, ani określonej metody szkoleniowej — ale pozostawia wdrażanie samemu podmiotowi. ISO/IEC 27001 zawiera w Aneksie A porównywalne działanie kontrolne dotyczące świadomości i szkolenia, również bez obligatoryjnej formy. Ustawa o cyberbezpieczeństwie jest polskim wdrożeniem tej dyrektywy i wejdzie w życie 15 sierpnia 2026 r.; do tego terminu dla większości firm nie jest to jeszcze wymóg ustawowy, ale klient może pytać o to już teraz w ramach własnej listy pytań, z wyprzedzeniem wobec tego terminu lub dlatego, że sam podlega nadzorowi.