Zákazník chce vědět, zda provádíme simulace phishingu u zaměstnanců

Phishingové testy jsou součástí povědomí, nikoli samostatného bodu opatření

Phishingové simulace spadají pod článek 21 odstavec 2 písmo g NIS2: kybernetická hygiena a školení v oblasti bezpečnosti. Neexistuje požadavek, aby to konkrétně musel být phishingový test — směrnice uvádí "základní postupy v oblasti kybernetické hygieny a vzdělávání v oblasti kybernetické bezpečnosti". Phishingová simulace je jedním z obvyklých způsobů jejich naplnění, nikoli samostatnou povinností. Kdo neproводí simulace, ale má jiné aktivity na zvýšení povědomí — e-learning, toolbox sessiony, zprávu na intranetu o aktuální hrozbě — splňuje základní normu, i když je odpověď na doslovu položenou otázku "ne".

Štítek závisí na tom, co skutečně děláš. Provedeš-li periodicky phishingové testy s hlášením vedení, pak je "ano" zdůvodněno a můžeš na požádání poskytnout frekvenci a poslední výsledky (procento kliknutí, procento hlášení). Pokud to neděláš, pak je "ne" správná odpověď — nevyplňuj to, co chce tvůj zákazník slyšet. Jestliže si nejsi jistý, zda tvůj školící program bez simulací přesto počítá jako adekvátní zvýšení povědomí, pomůže se nejprve podívat na širší otázku zda zaměstnanci dostávají školení v základních postupech kybernetické hygieny; phishingové testy jsou jeho součástí, nikoli celek.

Kde se to nachází: článek 21 odst. 2 písm. g a Příloha A.6.3

NIS2 článek 21 odst. 2 písm. g jmenuje kybernetickou hygienu a vzdělávání a školení jako jednu z deseti povinných opatření pro subjekty spadající pod směrnici — nebo zda tomu tak je, je popsáno v zda se podnik sám podřizuje NIS2. ISO/IEC 27001 Příloha A toto rozpracovává v opatření A.6.3, "information security awareness, education and training", aniž by jmenovalo phishingové simulace jako povinný nástroj. Nizozemský Kybernetickobezpečnostní zákon implementuje tento článek, jakmile vstoupí v platnost dne 15. srpna 2026; do té doby je směrnice samotná zdrojem pro ty, kteří testují podle NIS2, a normou pro ty, kteří testují podle ISO 27001.