lista de întrebări cere dacă facem teste de phishing cu personalul nostru

Testele de phishing fac parte din igienă cibernetică, nu doar din sensibilizare

Un test de phishing nu este o cerință izolată, ci o dovadă pentru una dintre cele zece măsuri din articolul 21 alineatul 2 NIS2: litera g, igienă cibernetică și instruire în materie de securitate. Directiva în sine nu prescrie o simulare de phishing — ea menționează "practici de bază în materie de igienă cibernetică și instruire în materie de securitate cibernetică". Un client care întreabă specific după teste de phishing traduce acea normă într-o practică concretă și testabilă. La ISO 27001, aceasta se află în Anexa A sub măsura de control pentru conștientizare, instruire și formare a personalului: norma cere un program, iar un test de phishing este cel mai des utilizat act de probă pentru acesta.

Dacă nu ai teste de phishing structurate, atunci "nu" este răspunsul onest — o instruire de sensibilizare fără simulare este ceva diferit și evaluatorul din cealaltă parte de obicei o știe. Mulți clienți pun întrebări suplimentare despre frecvență (anual, trimestrial), despre ce se întâmplă cu angajații care cad în plasă și dacă este o e-learning asociată. Dacă aceasta există, dar nu este numită "test de phishing", descrie ceea ce faci de fapt în câmpul de explicație în loc să bifezi simplu "da". Acest subiect se referă și la formarea în practici de bază pentru igienă ciberneticăunde se găsește obligația de instruire mai largă — testele de phishing sunt de obicei o linie dintr-un document de politică mai amplu.

Unde apare în directivă și în normă

Articolul 21 alineatul 2 litera g din Directiva (UE) 2022/2555 menționează igienă cibernetică și instruire în materie de securitate ca una dintre cele zece măsuri obligatorii; Legea securității cibernetice implementează aceasta unu-la-unu când intră în vigoare pe 15 august 2026. ISO/IEC 27001 Anexa A elaborează aceasta mai departe sub măsura de control pentru conștientizare și instruire a personalului, în care simulările de phishing sunt forma obișnuită de evaluare. Dacă propria organizație trebuie să se conformeze riguros aici depinde de răspunsul la dacă întreprinderea se încadrează sub Directiva NIS2 — un furnizor indirect primește adesea întrebarea prin transmitere contractuală, nu prin obligație legală directă.