stranka sprašuje, ali izvajamo phishing teste pri zaposlenih, kaj če tega ne počnemo

Phishing testi so dokaz, ne obvezna oblika

Ne, phishing testi niso kot taki obvezni. Kar pa šteje, je to, da zaposleni redno prejemajo usposabljanje s področja osnovnih praks kibernetske higiene, phishing test pa je najbolj konkretni dokazni material, ki ga lahko stranke nadzorujejo. Usposabljanje brez testa je težje preveriti; simulacija s odstotkom klikov in poročilom je za stranko takoj dokazljiva. Zato se ta specifičen primer v vprašalnikih pogosto pojavi ločeno, ločeno od splošnejšega vprašanja, ali zaposleni prejemajo usposabljanje v osnovnih praksah kibernetske higiene.

Če phishing test ni izveden, je najbolj pošten odgovor "ne", po potrebi dopolnjen s tem, kaj se pravzaprav dogaja: e-učenje, navodila ob začetku zaposlitve, notranja sporočila o nedavnih primerih goljufije. To ni enakovredna zamenjava, vendar kaže, da se kaj naredi za ozaveščanje. Phishing test simulirati kot odgovor, medtem ko ga pravzaprav ni, ni na mestu — dossier samo vnese tisto, kar je dokazljivo, in "da" brez vira tukaj ni predstavljeno. Mimogrede, phishing se pogosto pojavi kot razlog za varnostni incident, zato lahko tisti, ki tu vnese "ne", pričakuje nadaljnje vprašanje stranke o postopkom za obravnavo varnostnih incidentov.

Kjer je to navedeno: člen 21 odstavek 2, točka g

Člen 21 odstavek 2 Direktive NIS2 navaja med desetimi ukrepi "osnovne prakse kibernetske higiene in usposabljanje s področja kibernetske varnosti" (točka g). Direktiva ne predpiše nobenega instrumenta — ne phishing testa, ne določene učne metode — ampak prepušča izvedbo subjektu samemu. ISO/IEC 27001 ima v Prilogah podobno ukrep za ozaveščenost in usposabljanje, tudi tam brez obvezne oblike. Zakon o kibernetski varnosti je velika razlaga te direktive in v veljavo stopa 15. avgusta 2026; do tega datuma to za večino podjetij še ni zakonska obveza, vendar lahko stranka preko lastnega vprašalnika to že vprašuje, v pričakivanju te datume ali ker je tudi sama že pod nadzorom.