spørgeskemaet spørger, om vi udfører phishing-tests blandt personalet

Phishing-tests er bevis for bevidstgørelse, ikke for adgang

Phishing-simuleringer hører til bevidstheds-programmet i artikel 21, stk. 2, litra g NIS2, ikke til adgangskontrol eller MFA. Spørgsmålet tester således ikke, om din teknik er i orden, men om medarbejderne er blevet trænet til at genkende social engineering. Hvis du har en periodisk phishing-test med rapportering og opfølgning (for eksempel ekstra træning for dem, der klikker), er dette et klart "ja" med et stærkt bevisstykke ved siden af. Hvis du kun har en e-learning uden simulering, er svaret ofte stadig "nej" på dette specifikke spørgsmål — spørgeskemaet spørger normalt eksplicit efter en test, ikke efter træning i generel forstand.

Uden phishing-test er "nej, men" det ærlige svar her: navngiv derefter det, der faktisk findes, såsom obligatorisk bevidsthedstræning eller en rapporteringsknap for mistænkelige mails. Det er ikke en svaghedsbetingelse — mange virksomheder starter med træning og bygger simuleringer ud senere. Hvis du er i tvivl om, hvorvidt jeres kampagne er repræsentativ nok (for eksempel én test per år versus månedligt), skal du hellere sætte "skal fastlægges" og forespørge internt hos dem, der administrerer kampagnerne, normalt IT eller HR. Kontroller også, om dette emne står adskilt fra den træning, medarbejderne modtager inden for cyberhygiejne i bredere forstand — nogle kunder spørger om det i to separate spørgsmål, andre kombinerer det.

Hvor dette stammer fra: artikel 21, stk. 2, litra g

Artikel 21, stk. 2, litra g i NIS2 nævner eksplicit "grundlæggende cyberhydgiejne-praksis og cybersikkerhedstræning" som en af de ti obligatoriske foranstaltninger. Phishing-simuleringer falder i praksis under denne træningspligt; ISO/IEC 27001 bilag A nævner bevidstgørelses- og træningsforanstaltninger i samme ånd, uden at navngive en phishing-test som et separat krav. Hvis du selv falder ind under Cybersikkerhedsloven som en enhed, der falder ind under NIS2-direktivet, så er dette fra ikrafttrædelsestidspunktet en af de foranstaltninger, som tilsyn kan fokusere på — for nu forbliver det primært et spørgsmål, som kunderne selv allerede stiller, i forventning om denne lov.