lista pytań pyta, czy przeprowadzamy testy phishingowe wśród naszych pracowników

Testy phishingowe są częścią cyberhigeny, a nie tylko świadomości

Test phishingowy nie jest oddzielnym wymogiem, ale dowodem przy jednym z dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2: litera g, cyberhigiena i szkolenie z zakresu bezpieczeństwa. Sama dyrektywa nie nakazuje symulacji phishingowych — wymienia „podstawowe praktyki w zakresie cyberhigeny i szkolenie z zakresu cyberbezpieczeństwa". Klient, który konkretnie pyta o testy phishingowe, przekłada tę normę na konkretną, mierzalną praktykę. W ISO 27001 znajduje się to w Aneksie A w ramach miary kontrolnej dotyczącej świadomości, szkolenia i edukacji personelu: norma wymaga programu, a test phishingowy jest jego najczęściej używanym dowodem.

Jeśli nie masz strukturalnych testów phishingowych, to "nie" jest uczciwa odpowiedzią — szkolenie z zakresu świadomości bez symulacji to coś innego i zwykle oceniający po drugiej stronie o tym wie. Wielu klientów pyta dalej o częstotliwość (rocznie, co kwartał), o to, co się dzieje z pracownikami, którzy się dają złapać, i czy jest do tego przypisane e-learningowe szkolenie. Jeśli to wszystko jest, ale nie jest określone jako "test phishingowy", to opisz, co faktycznie robisz w polu objaśnień zamiast po prostu zaznaczać "tak". Ten temat dotyczy również szkolenie w zakresie podstawowych praktyk higieny cybernetycznej, gdzie znajduje się szerszy obowiązek szkoleniowy — testy phishingowe to zwykle jeden punkt w większym dokumencie polityki.

Gdzie to znajduje się w dyrektywie i normie

Artykuł 21 ust. 2 lit. g dyrektywy (UE) 2022/2555 wymienia cyberhigienę i szkolenie z zakresu bezpieczeństwa jako jeden z dziesięciu obowiązkowych środków; Ustawa o cyberbezpieczeństwie implementuje to jeden-do-jednego, gdy wejdzie w życie 15 sierpnia 2026 r. ISO/IEC 27001 Aneks A rozwija to dalej w ramach miary kontrolnej dotyczącej świadomości i szkolenia personelu, w ramach której symulacje phishingowe są standardową formą weryfikacji. To, czy własne przedsiębiorstwo musi tutaj ściśle wywiązać się z obowiązków, zależy od odpowiedzi na czy przedsiębiorstwo samo podlega dyrektywie NIS2 — pośredni dostawca otrzymuje pytanie często poprzez przekazanie umowne, a nie poprzez bezpośredni obowiązek ustawowy.