Fragensammlung fragt, ob wir Phishing-Tests bei unserem Personal durchführen

Phishing-Tests gehören zur Cyberhygiene, nicht nur zum Sicherheitsbewusstsein

Ein Phishing-Test ist keine eigenständige Anforderung, sondern ein Nachweis für eine der zehn Maßnahmen gemäß Artikel 21 Absatz 2 NIS2: Buchstabe g, Cyberhygiene und Sicherheitsschulung. Die Richtlinie selbst schreibt keine Phishing-Simulation vor — sie erwähnt "grundlegende Praktiken in den Bereichen Cyberhygiene und Schulung auf dem Gebiet der Cybersicherheit". Ein Kunde, der speziell nach Phishing-Tests fragt, übersetzt diese Norm in eine konkrete, überprüfbare Praxis. Bei ISO 27001 findet sich dies in Annex A unter der Kontrollmaßnahme für Bewusstsein, Schulung und Training des Personals: die Norm fordert ein Programm, und ein Phishing-Test ist das am häufigsten verwendete Nachweisdokument dafür.

Wenn du keine strukturierten Phishing-Tests durchführst, ist "nein" die ehrliche Antwort — ein Awareness-Training ohne Simulation ist etwas anderes und das weiß der Bewerter auf der anderen Seite meist auch. Viele Kunden fragen nach der Häufigkeit (jährlich, pro Quartal), nach dem Umgang mit Mitarbeitern, die darauf hereinfallen, und ob ein E-Learning damit verbunden ist. Falls das vorhanden ist, aber nicht als "Phishing-Test" bezeichnet wird, beschreibe dann, was du tatsächlich tust, im Erläuterungsfeld, anstatt einfach "ja" anzukreuzen. Dieses Thema berührt auch Schulung in Grundpraktiken der Cyberhygiene, wo die umfassendere Schulungsverpflichtung festgehalten ist — Phishing-Tests sind dort normalerweise eine Zeile aus einem größeren Richtliniendokument.

Wo dies in der Richtlinie und der Norm festgehalten ist

Artikel 21 Absatz 2 Buchstabe g der Richtlinie (EU) 2022/2555 nennt Cyberhygiene und Sicherheitsschulung als eine der zehn obligatorischen Maßnahmen; das Cybersicherheitsgesetz setzt dies eins-zu-eins um, sobald es am 15. August 2026 in Kraft tritt. ISO/IEC 27001 Annex A konkretisiert dies weiter unter der Kontrollmaßnahme für Bewusstsein und Schulung des Personals, bei der Phishing-Simulationen die übliche Überprüfungsform sind. Ob das eigene Unternehmen hieran streng angepasst werden muss, hängt von der Antwort auf oder ob das Unternehmen selbst unter die NIS2-Richtlinie fällt ab — ein indirekter Lieferant erhält die Frage oft durch vertragliche Weitergabe, nicht durch direkte gesetzliche Pflicht.