kunde spørger, om vi udfører phishing-tests blandt medarbejdere, hvad hvis vi ikke gør det

Phishing-tests er bevis, ikke en obligatorisk form

Nej, phishing-tests er ikke som sådan obligatoriske. Hvad der derimod tæller, er at medarbeidere jævnligt modtager uddannelse i cyberhygiejne, og en phishing-test er det mest konkrete bevisstykke, som en kunde kan kontrollere. En uddannelse uden en test er sværere at verificere; en simulation med et klikpercentage og en rapport er direkte påviselig for kunden. Derfor dukker dette specifikke element ofte særskilt op i spørgeskemaer, adskilt fra det mere generelle spørgsmål om medarbeidere modtager uddannelse i basispraksis for cyberhygiejne.

Hvis der ikke foretages en phishing-test, er det mest ærligt svar "nej", eventuelt suppleret med, hvad der i stedet foregår: e-learning, instruktion ved onboarding, intern besked om nylige bedragerisager. Det er ikke en ligestillet erstatning, men det viser, at der gøres noget for at øge kendskabet. At simulere en phishing-test som svar, når den ikke finder sted, er ikke på tale — dossieret indeholder kun, hvad der er påviseligt, og "ja" uden kilde foreslås ikke her. Phishing dukker i øvrigt ofte op som årsag til en sikkerhedsbegivenhed, så den, der svarer "nej" her, kan også forvente et opfølgende spørgsmål fra kunden om proceduren for håndtering af sikkerhedshændelser.

Hvor dette står: artikel 21, stk. 2, litra g

Artikel 21, stk. 2 i NIS2-direktivet nævner blandt de ti foranstaltninger "basispraksis inden for cyberhygiejne og opleringsorienteret uddannelse inden for cybersikkerhed" (litra g). Direktivet foreskriver intet instrument — ingen phishing-test, ingen specifik undervisningsmetode — men overlader udformningen til enheden selv. ISO/IEC 27001 har en sammenlignelig kontrolforanstaltning i Annex A om bevidsthed og uddannelse, heller ikke uden obligatorisk form. Cybersikkerhedsloven er den danske omformning af dette direktiv og træder i kraft den 15. august 2026; indtil da er det for de fleste virksomheder endnu ikke et lovkrav, men en kunde kan allerede nu spørge om det via sit eget spørgeskema, i forventning om denne dato eller fordi han selv allerede er under tilsyn.