Kunde fragt, ob wir Phishing-Tests bei Mitarbeitern durchführen

Phishing-Tests sind Nachweis, keine separate Anforderung

Phishing-Tests fallen nicht separat unter Artikel 21 Absatz 2 NIS2 — sie sind das Nachweisdokument, mit dem Sie nachweisen, dass die Schulungsverpflichtung unter Punkt g (Cyberhygiene und Sicherheitsschulung) tatsächlich funktioniert. Wenn Ihr Kunde speziell nach Phishing-Tests fragt, möchte er nicht wissen, ob Sie eine Schulung durchgeführt haben, sondern ob Sie messen, ob diese Schulung Bestand hat. Wenn Sie diese Tests haben, ist die Antwort einfach: ja, mit dem Datum des letzten Tests und dem Prozentsatz der Mitarbeiter, die darauf geklickt haben oder es gemeldet haben. Wenn Sie sie nicht haben, dann ist "nein" die richtige Antwort — nicht "ja", weil es ein E-Learning gibt.

Führen Sie keine Phishing-Tests durch, tun aber etwas anderes — eine Schulung bei der Einarbeitung, eine jährliche Toolbox, einen internen Newsletter über verdächtige E-Mails — dann ist das eine separate Antwort, kein Ersatz für die gestellte Frage. Viele Fragelisten bieten Platz für eine Erläuterung; nutzen Sie diese, um zu beschreiben, was vorhanden ist, ohne vorzuschlagen, dass es sich um einen Phishing-Test handelt. Dies gehört zur gleichen Kategorie wie Schulung in Grundpraktiken der Cyberhygiene: wenn dort bereits "nein" steht, liegt "nein" bei dieser Frage nahe, und die Wahrscheinlichkeit ist gering, dass Sie hier plötzlich einen Nachweis haben.

Begründung: Artikel 21 Absatz 2, Punkt g und deren Überprüfung

Artikel 21 Absatz 2 Buchstabe g der Richtlinie (EU) 2022/2555 nennt ausdrücklich "Grundpraktiken der Cyberhygiene und Schulung im Bereich der Cybersicherheit" als eine der zehn obligatorischen Maßnahmen; ISO/IEC 27001 Anhang A entwickelt dies weiter unter den Managementmaßnahmen für Bewusstsein und Personalschulung. Phishing-Tests sind in der Praxis das Messinstrument, mit dem Unternehmen nachweisen, dass diese Schulung nicht nur erteilt wurde, sondern auch Wirkung zeigt — vergleichbar mit dem, was gefordert wird bei der regelmäßigen Prüfung von Sicherheitsmaßnahmen". Die niederländische Cybersicherheitsgesetze setzt diese Anforderung eins zu eins um, mit Inkrafttreten am 15. August 2026.