клиентът иска да знае дали провеждаме фишинг симулации при служители

Фишинг тестовете са част от повишаване на осведомеността, а не отделна точка на мерките

Фишинг симулациите попадат под член 21, параграф 2, буква g на NIS2: кибер хигиена и обучение по кибербезопасност. Няма изискване това да бъде специално фишинг тест — директивата споменава "основни практики в областта на кибер хигиената и обучение по кибербезопасност". Фишинг симулация е един от обичайните начини за прилагане на това, не самостоятелна задължение. Който не провежда симулации, но има други дейности за повишаване на осведомеността — електронно обучение, сесии на място, съобщение в интранета при актуална заплаха — отговаря на основната норма, дори и отговорът на буквалния въпрос да е "не".

Етикетът зависи от това, което фактически правите. Ако редовно провеждате фишинг тестове с докладване към управлението, тогава "да" е обосновано и можете по желание да предоставите честотата и последния резултат (процент щраквания, процент докладване). Ако не правите това, тогава "не" е правилният отговор — не попълвайте това, което клиентът ви желае да чуе. Ако се колебаете дали програмата ви за обучение без симулации все още се счита за адекватно повишаване на осведомеността, помогнало е да погледнете първо по-широкия въпрос дали служителите получават обучение по основни практики за кибер хигиена; фишинг тестовете са част от него, а не целото.

Където това се намира: член 21, параграф 2, буква g и Приложение A.6.3

NIS2 член 21, параграф 2, буква g споменава кибер хигиена и обучение като един от десетте задължителни мерки за субекти, които подпадат под директивата — това е описано при дали предприятието само по себе си попада под NIS2. ISO/IEC 27001 Приложение A разработва това в мярка A.6.3, "информационна безопасност, осведомяване, образование и обучение", без да споменава фишинг симулациите като задължителен инструмент. Нидерландския закон за кибербезопасност прилага този член след като законът влезе в сила на 15 август 2026 г.; до този момент директивата е самата себе си е източникът за тези, които проверяват спрямо NIS2, и норма за тези, които проверяват спрямо ISO 27001.