kunden vill veta om vi utför phishingsimulationer med anställda

Phishingtest är en del av medvetenhet, inte en separat åtgärdspunkt

Phishingsimuleringar faller under artikel 21 stycke 2 punkt g NIS2: cyberhygien och säkerhetskompetens. Det finns ingen krav på att det specifikt måste vara ett phishingtest — direktivet nämner "grundläggande metoder för cyberhygien och utbildning inom cybersäkerhet". En phishingsimulering är ett av de vanliga sätten att fylla denna norm, inte en självständig förpliktelse. Om du inte genomför simuleringar men har andra medvetenhetsaktiviteter — e-lärande, verktygslådesmöten, ett intranätmeddelande vid ett aktuellt hot — uppfyller du den bakomliggande normen, även om svaret på den bokstavliga frågan är "nej".

Märkningen beror på vad du faktiskt gör. Genomför du regelbundna phishingtest med rapportering till ledningen, är "ja" väl underbyggt och kan du vid behov ange frekvensen och det senaste resultatet (klickfrekvens, rapportfrekvens). Gör du detta inte, är "nej" rätt svar — fyll inte i vad din kund vill höra. Är du osäker på om ditt utbildningsprogram utan simuleringar ändå räknas som adekvat medvetenhet, hjälper det att först titta på den bredare frågan om anställda får utbildning i grundläggande cyberhygienmetoder; phishingtest är en del av detta, inte helheten.

Var detta finns: artikel 21 stycke 2 punkt g och Bilaga A.6.3

NIS2 artikel 21 stycke 2 punkt g nämner cyberhygien och säkerhetskompetens som en av tio obligatoriska åtgärder för enheter som omfattas av direktivet — huruvida detta är fallet beskrivs i huruvida företaget själv omfattas av NIS2. ISO/IEC 27001 Bilaga A utarbetar detta i åtgärd A.6.3, "medvetenhet, utbildning och kompetens för informationssäkerhet", utan att phishingsimuleringar nämns som ett obligatoriskt instrument. Den nederländska cybersäkerhetslag kommer att implementera denna artikel när lagen träder i kraft den 15 augusti 2026; fram till dess är direktivet själv källan för den som granskar enligt NIS2, och normen för den som granskar enligt ISO 27001.