spørgeskemaet spørger, om vi udfører phishing-tests blandt vores personale

Phishing-tests er en del af cyberhygiejne, ikke blot bevidsthed

En phishing-test er ikke et isoleret krav, men bevis for en af ti foranstaltninger i artikel 21, stk. 2, NIS2: punkt g, cyberhygiejne og sikkerhedstræning. Selv direktivet foreskriver ikke phishing-simulering — det nævner "basispraksis inden for cyberhygiejne og uddannelse inden for cybersikkerhed". En kunde, der specifikt spørger om phishing-tests, omsætter denne norm til en konkret, testbar praksis. I ISO 27001 finder dette sted i Annex A under foranstaltningen for medarbeidernes bevidsthed, uddannelse og træning: normen kræver et program, og en phishing-test er det mest benyttede bevisstykke herfor.

Hvis du ikke har strukturerede phishing-tests, er "nej" det ærlige svar — en awareness-træning uden simulering er noget andet, og bedømmeren på den anden side ved det normalt også. Mange kunder spørger videre om hyppighed (årligt, pr. kvartal), hvad der sker med medarbeidere, der falder for det, og om der er en e-learning knyttet til det. Hvis det er der, men ikke benævnt som "phishing-test", skal du i stedet beskrive, hvad du rent faktisk gør i erklæringsfeltet i stedet for blot at markere "ja". Dette emne berører også træning i basale cyberhygiejnepraksisserhvor den bredere træningspligt står — phishing-tests er der normalt én linje ud af et større politikdokument.

Hvor det står i direktivet og normen

Artikel 21, stk. 2, punkt g i direktiv (EU) 2022/2555 nævner cyberhygiejne og sikkerhedstræning som en af ti obligatoriske foranstaltninger; Cybersikkerhedsloven implementerer dette en-til-en, når den træder i kraft den 15. august 2026. ISO/IEC 27001 Annex A udvikler dette videre under foranstaltningen for medarbeidernes bevidsthed og træning, inden for hvilket phishing-simuleringer er den almindelige testform. Om virksomheden selv skal opfylde dette stramt, afhænger af svaret på eller om virksomheden selv falder under NIS2-direktivet — en indirekte leverandør får spørgsmålet ofte gennem kontraktuel videreformidling, ikke gennem direkte juridisk pligt.