client întreabă dacă efectuăm teste de phishing pe angajați

Testele de phishing sunt dovezi, nu o cerință separată

Testele de phishing nu apar separat în articolul 21 alineatul 2 NIS2 — sunt documentul justificativ cu care demonstrezi că obligația de formare din punctul g (igienă cibernetică și formare în materie de securitate) funcționează cu adevărat. Dacă clientul tău solicită în mod specific teste de phishing, nu dorește să știe dacă ați desfășurat o formare, ci dacă măsurați dacă acea formare are efect. Dacă dispui de aceste teste, răspunsul este simplu: da, cu data ultimului test și procentajul de angajați care au făcut clic sau au semnalat. Dacă nu le dispui, atunci "nu" este răspunsul corect — nu "da" pentru că există o e-learning.

Dacă nu faci teste de phishing dar faci ceva altceva — o formare la angajare, o sesiune de siguranță anuală, un buletin intern despre mesajele suspecte — atunci acesta este un răspuns separat, nu o înlocuire a întrebării cum a fost formulată. Multe chestionare oferă spațiu pentru o observație; folosește-l pentru a descrie ceea ce există cu adevărat, fără a sugera că este un test de phishing. Aceasta aparține aceleiași categorii ca și formarea în practici de bază pentru igienă cibernetică: dacă aici deja se află "nu", atunci "nu" se impune și pe această întrebare, și este puțin probabil să ai aici dintr-o dată o dovadă.

Fundamentare: articolul 21 alineatul 2, punctul g și evaluarea acestuia

Articolul 21 alineatul 2 litera g din Directiva (UE) 2022/2555 menționează în mod explicit "practici de bază în materie de igienă cibernetică și formare în materie de securitate cibernetică" ca una din cele zece măsuri obligatorii; ISO/IEC 27001 Annex A dezvoltă acest lucru mai departe prin măsuri de control privind conștientizarea și formarea personalului. Testele de phishing sunt în practică instrumentul de măsurare cu care companiile demonstrează că acea formare nu numai că a fost desfășurată, ci și că are efect — comparabil cu ceea ce se solicită în testarea periodică a măsurilor de securitate. Legea olandeză de securitate cibernetică transpune această obligație una la una, cu intrarea în vigoare la 15 august 2026.