kund frågar om vi genomför phishingtester på medarbetare

Phishingtester är bevis, inte ett separat krav

Phishingtester omnämns inte separat i artikel 21 stycke 2 NIS2 — de är det bevisstycke med vilket du visar att träningsplikten under punkt g (cyberhygien och säkerhetskompetens) faktiskt fungerar. Om din kund specifikt frågar om phishingtester vill han inte veta om ni har genomfört en utbildning, utan om ni mäter om den utbildningen faktiskt satt sig. Har du dessa tester är svaret enkelt: ja, med testdatum för den senaste testen och procentandelen anställda som klickade igenom eller rapporterade. Har du dem inte är "nej" det rätta svaret — inte "ja" för att det finns en e-utbildning.

Genomför du inga phishingtester men något annat — en utbildning vid anställning, ett årligt säkerhetsmöte, ett internt nyhetsbrev om misstänkta e-postmeddelanden — är det ett separat svar, ingen ersättning för frågan som ställd. Många frågeformulär lämnar utrymme för en kommentar; använd det för att beskriva vad som finns, utan att antyda att det är ett phishingtest. Detta hör till samma kategori som grundläggande cyberhygienisk träning: om det redan står "nej" där, ligger "nej" på denna fråga nära till hands, och sannolikheten är liten att du här plötsligt har bevis.

Grund: artikel 21 stycke 2, punkt g och dess granskning

Artikel 21 stycke 2 g i Europaparlamentets och rådets direktiv (EU) 2022/2555 nämner uttryckligen "grundläggande cyberhygienisk praxis och cybersäkerhetskompetens" som en av tio obligatoriska åtgärder; ISO/IEC 27001 Annex A utvecklar detta vidare under kontrollåtgärder för personals medvetenhet och cybersäkerhetskompetens. Phishingtester är i praktiken det mätinstrument som företag använder för att visa att denna utbildning inte bara har genomförts utan också har effekt — jämförbart med vad som krävs vid den periodiska testningen av säkerhetskontroller. Nederländsk cybersäkerhetslag implementerar denna skyldighet ett-till-ett, med ikraftträdande den 15 augusti 2026.