клиентът пита дали провеждаме фишинг тестове на служителите

Тестовете за фишинг са доказателство, не отделно изискване

Тестовете за фишинг не попадат отделно в член 21, параграф 2 на NIS2 — те са доказателството, с което доказваш, че задължението за обучение по точка g (кибер хигиена и обучение по сигурност) наистина функционира. Ако вашият клиент конкретно попита за тестове за фишинг, той не иска да знае дали сте провели обучение, а дали измервате дали това обучение има ефект. Ако имате тези тестове, отговорът е прост: да, с датата на последния тест и процентът служители, които са кликнали или са докладвали. Ако ги нямате, тогава "не" е правилният отговор — не "да" защото съществува електронно обучение.

Ако не провеждате тестове за фишинг, но правите нещо друго — обучение при включване, годишна кутия с инструменти, вътрешен бюлетин относно подозрителни имейли — тогава това е отделен отговор, не замяна на въпроса, както е поставен. Много въпросници оставят място за уточнение; използвайте го, за да опишете какво има, без да предполагате, че е тест за фишинг. Това попада в същата категория като обучение в основни практики за кибер хигиена: ако там вече е отговорено "не", "не" е логичният отговор и на този въпрос, и е малко вероятно да имате тук ясно доказателство.

Обоснование: член 21, параграф 2, буква g и неговото оценяване

Член 21, параграф 2, буква g на Директива (EU) 2022/2555 изрично се позовава на "основни практики в областта на кибerhygiëne и обучение в областта на кибербезопасността" като една от десетте задължителни мерки; ISO/IEC 27001 Приложение A развива това допълнително под мерките за контрол, свързани с осведомяване и обучение на персонала. Тестовете за фишинг са на практика измервателният инструмент, с който компаниите демонстрират, че това обучение не само е проведено, но и е имало效果— подобно на това, което се изисква при периодична проверка на мерките за сигурност. Законът на Нидерландия за кибербезопасност прилага това задължение един в един, със влизане в сила на 15 август 2026 г.