klient pyta, czy przeprowadzamy testy phishingowe wśród pracowników

Testy phishingowe są dowodem, nie oddzielnym wymogiem

Testy phishingowe nie są wymieniane osobno w artykule 21 ust. 2 dyrektywy NIS2 — są to dokument dowodowy, którym wykazujesz, że obowiązek szkoleniowy wynikający z punktu g (higiena cybernetyczna i szkolenia w zakresie bezpieczeństwa) rzeczywiście przynosi rezultaty. Jeśli twój klient konkretnie pyta o testy phishingowe, nie chce wiedzieć, czy przeprowadziliście szkolenie, ale czy mierzycie, czy to szkolenie się przyjęło. Jeśli masz te testy, odpowiedź jest prosta: tak, z datą ostatniego testu i procentem pracowników, którzy kliknęli lub zgłosili wiadomość. Jeśli ich nie masz, prawidłową odpowiedzią jest "nie" — nie "tak" dlatego, że istnieje e-learning.

Jeśli nie prowadzisz testów phishingowych, ale robisz coś innego — szkolenie podczas wdrażania, coroczne spotkania informacyjne, wewnętrzny biuletyn dotyczący podejrzanych wiadomości e-mail — jest to oddzielna odpowiedź, a nie zastępstwo dla pytania postawionego w ten sposób. Wiele list kontrolnych pozostawia miejsce na wyjaśnienia; użyj go do opisania, co rzeczywiście istnieje, bez sugerowania, że jest to test phishingowy. Należy to do tej samej kategorii co szkolenie w zakresie podstawowych praktyk higieny cybernetycznej: jeśli już tam masz "nie", na to pytanie "nie" jest oczywiste, a szansa, że tutaj nagle będziesz miał dowód, jest niewielka.

Uzasadnienie: artykuł 21 ust. 2 lit. g oraz jego ocena

Artykuł 21 ust. 2 lit. g dyrektywy (UE) 2022/2555 wyraźnie wymienia "podstawowe praktyki w zakresie higieny cybernetycznej i szkolenie w zakresie cyberbezpieczeństwa" jako jedną z dziesięciu obowiązkowych środków; ISO/IEC 27001 Annex A rozwija to dalej w ramach środków kontroli dotyczących świadomości i szkolenia pracowników. W praktyce testy phishingowe są instrumentem pomiarowym, za pomocą którego przedsiębiorstwa wykazują, że szkolenie nie tylko zostało przeprowadzone, ale także przyniosło efekty — porównywalne z tym, co wymagane jest w okresowymi testami środków bezpieczeństwa. Holenderska ustawa o cyberbezpieczeństwie transpozycje to zobowiązanie jeden do jednego, z wejściem w życie 15 sierpnia 2026 r.