cliente pergunta se realizamos testes de phishing em funcionários

Os testes de phishing são prova, não um requisito isolado

Os testes de phishing não figuram separadamente no artigo 21.º, n.º 2, da NIS2 — são a documentação com a qual se demonstra que a obrigação de formação sob a alínea g (higiene cibernética e formação em segurança cibernética) funciona realmente. Quando o seu cliente pergunta especificamente sobre testes de phishing, não quer saber se realizou uma formação, mas sim se mede se essa formação é eficaz. Se possui esses testes, a resposta é simples: sim, com a data do último teste e a percentagem de colaboradores que clicaram ou reportaram. Se não os possui, "não" é a resposta correta — não "sim" só porque existe um e-learning.

Se não realiza testes de phishing mas faz outra coisa — uma formação no acolhimento, uma reunião informativa anual, uma newsletter interna sobre e-mails suspeitos — essa é uma resposta separada, não uma substituição da pergunta como colocada. Muitos questionários deixam espaço para um comentário; use-o para descrever o que existe, sem sugerir que é um teste de phishing. Isto enquadra-se na mesma categoria que formação em práticas básicas de higiene cibernética: se já tem "não" aí, um "não" nesta pergunta é óbvio, e é improvável que de repente tenha prova aqui.

Fundamentação: artigo 21.º, n.º 2, alínea g e a sua avaliação

O artigo 21.º, n.º 2, alínea g da Diretiva (UE) 2022/2555 menciona explicitamente "práticas básicas de higiene cibernética e formação em segurança cibernética" como uma das dez medidas obrigatórias; a Norma ISO/IEC 27001 Anexo A desenvolve-a ainda mais sob as medidas de controlo para a consciencialização e formação de pessoal. Os testes de phishing são, na prática, o instrumento de medição com o qual as empresas demonstram que essa formação não apenas foi ministrada, mas também teve efeito — semelhante ao que é solicitado em os testes periódicos de medidas de segurança. A Lei Holandesa de Cibersegurança transpõe este requisito um a um, com entrada em vigor em 15 de agosto de 2026.