cliente pergunta se realizamos testes de phishing com funcionários, e se não fazemos

Testes de phishing são prova, não uma forma obrigatória

Não, testes de phishing não são obrigatórios como tal. O que realmente conta é que os colaboradores recebam regularmente treinamento em ciberhigiene, e um teste de phishing é a peça de prova mais concreta que um cliente pode verificar. Um treinamento sem teste é mais difícil de verificar; uma simulação com uma percentagem de cliques e um relatório é imediatamente comprovável para o cliente. Por isso este elemento específico aparece frequentemente em questionários, separadamente da questão mais geral sobre colaboradores recebem treinamento em práticas básicas de ciberhigiene.

Se não for realizado um teste de phishing, a resposta mais honesta é "não", possivelmente complementada com o que realmente acontece: um e-learning, uma instrução no acolhimento, um aviso interno sobre casos recentes de fraude. Isso não é uma substituição equivalente, mas mostra que há algo feito para aumentar a consciência. Simular um teste de phishing como resposta quando não existe não é aceitável — o dossier preenche apenas o que é comprovável, e "sim" sem fonte não é sugerido aqui. Aliás, phishing frequentemente aparece como causa de um incidente de segurança, portanto quem responder "não" aqui pode esperar uma questão de acompanhamento do cliente sobre o procedimento para o tratamento de incidentes de segurança.

Onde consta: artigo 21.º, n.º 2, alínea g

O artigo 21.º, n.º 2 da Diretiva NIS2 refere entre as dez medidas "práticas básicas de ciberhigiene e formação em cibersegurança" (alínea g). A diretiva não prescreve um instrumento específico — nenhum teste de phishing, nenhum método de ensino específico — mas deixa a implementação a cargo da entidade. A ISO/IEC 27001 contém no Anexo A uma medida de controlo semelhante sobre sensibilização e formação, também sem forma obrigatória. A Lei de Cibersegurança é a transposição holandesa desta diretiva e entra em vigor em 15 de agosto de 2026; até essa data, para a maioria das empresas ainda não é uma obrigação legal, mas um cliente pode já questionar através do seu próprio questionário, em antecipação dessa data ou porque ele próprio já está sob supervisão.