a lista de questões pergunta se fazemos testes de phishing no nosso pessoal

Os testes de phishing fazem parte da ciberhigiene, não apenas da sensibilização

Um teste de phishing não é um requisito isolado, mas sim uma prova de uma das dez medidas do artigo 21.º n.º 2 da Diretiva NIS2: alínea g, ciberhigiene e formação em matéria de segurança. A própria diretiva não prescreve uma simulação de phishing — refere "práticas básicas em matéria de ciberhigiene e formação em matéria de cibersegurança". Um cliente que pergunta especificamente por testes de phishing traduz essa norma numa prática concreta e verificável. Na ISO 27001, isto consta no Anexo A sob a medida de controlo para sensibilização, formação e treino do pessoal: a norma exige um programa, e um teste de phishing é o seu documento de prova mais utilizado.

Se não tens testes de phishing estruturados, então "não" é a resposta honesta — uma formação de sensibilização sem simulação é algo diferente e o avaliador do outro lado normalmente também o sabe. Muitos clientes fazem perguntas de seguimento sobre frequência (anual, trimestral), sobre o que acontece aos colaboradores que caem na armadilha, e se há um e-learning associado. Se isso existe mas não está designado como "teste de phishing", descreve então o que realmente fazes no campo de esclarecimento em vez de simplesmente marcar "sim". Este tema também se relaciona formação em práticas básicas de higiene cibernéticaonde está a obrigação de formação mais ampla — os testes de phishing são aí normalmente uma linha de um documento de política mais alargado.

Onde consta na directiva e na norma

O artigo 21.º n.º 2 alínea g da Diretiva (UE) 2022/2555 menciona ciberhigiene e formação em matéria de segurança como uma das dez medidas obrigatórias; a Lei da Cibersegurança transpõe isto um a um assim que entrar em vigor a 15 de agosto de 2026. A ISO/IEC 27001 Anexo A desenvolve isto ainda mais sob a medida de controlo para sensibilização e formação do pessoal, dentro da qual as simulações de phishing são a forma de verificação comum. Se a própria empresa tem de cumprir rigorosamente isto depende da resposta a se a empresa está ou não sujeita à directiva NIS2 — um fornecedor indireto recebe frequentemente a pergunta através de transposição contratual, não através de obrigação legal direta.