cliente quer saber se realizamos simulações de phishing com funcionários

Os testes de phishing fazem parte da sensibilização, não de um ponto de medida separado

As simulações de phishing enquadram-se no artigo 21.º, n.º 2, alínea g) da NIS2: higiene cibernética e formação em segurança. Não existe qualquer exigência de que seja especificamente um teste de phishing — a diretiva menciona "práticas básicas de higiene cibernética e educação em segurança cibernética". Uma simulação de phishing é uma das formas comuns de cumprir isto, não uma obrigação independente. Quem não realiza simulações mas tem outras atividades de sensibilização — e-learning, sessões de caixa de ferramentas, um comunicado na intranet perante uma ameaça atual — cumpre a norma subjacente, mesmo que a resposta à pergunta literal seja "não".

O rótulo depende do que faz efetivamente. Se realiza periodicamente testes de phishing com relatório à administração, então "sim" é fundamentado e pode, se solicitado, fornecer a frequência e o resultado mais recente (percentagem de cliques, percentagem de denúncias). Se não o faz, então "não" é a resposta correta — não preencha o que o seu cliente quer ouvir. Se tem dúvidas se o seu programa de formação sem simulações ainda conta como sensibilização adequada, então ajuda primeiro olhar para a pergunta mais ampla se os funcionários recebem formação em práticas básicas de higiene cibernética; os testes de phishing são uma parte disso, não o todo.

Onde isto está: artigo 21.º, n.º 2, alínea g) e Anexo A.6.3

O artigo 21.º, n.º 2, alínea g) da NIS2 menciona higiene cibernética e educação em formação como uma das dez medidas obrigatórias para entidades abrangidas pela diretiva — se é esse o caso, está descrito em se a empresa está abrangida pela NIS2. A ISO/IEC 27001 Anexo A desenvolve isto na medida A.6.3, "sensibilização, educação e formação em segurança da informação", sem mencionar simulações de phishing como um instrumento obrigatório. A Lei Holandesa de Segurança Cibernética transpõe este artigo assim que essa lei entrar em vigor em 15 de agosto de 2026; até essa data, a diretiva em si é o local de referência para quem avalia contra a NIS2, e a norma para quem avalia contra a ISO 27001.