el cuestionario pregunta si realizamos pruebas de phishing con nuestro personal

Las pruebas de phishing forman parte de la ciberhigiene, no solo de la conciencia

Una prueba de phishing no es un requisito aislado, sino prueba de una de las diez medidas del artículo 21, apartado 2 de la NIS2: apartado g, ciberhigiene y formación en seguridad. La propia Directiva no prescribe una simulación de phishing — menciona "prácticas básicas en ciberhigiene y formación en ciberseguridad". Un cliente que pregunta específicamente por pruebas de phishing traduce esa norma en una práctica concreta y verificable. En ISO 27001 esto se encuentra en el Anexo A bajo la medida de control para conciencia, formación y capacitación del personal: la norma exige un programa, y una prueba de phishing es la evidencia más comúnmente utilizada.

Si no tienes pruebas de phishing estructuradas, "no" es la respuesta honesta — una formación de conciencia sin simulación es algo diferente y el evaluador del otro lado normalmente también lo sabe. Muchos clientes hacen preguntas de seguimiento sobre la frecuencia (anual, trimestral), sobre qué sucede con los empleados que caen en la trampa, y si hay un e-learning asociado. Si existe pero no está nombrado como "prueba de phishing", describe lo que sí haces en el campo de aclaración en lugar de simplemente marcar "sí". Este tema también afecta formación en prácticas básicas de ciberhigienedonde se encuentra la obligación de formación más amplia — las pruebas de phishing suelen ser una línea de un documento de política más grande.

Dónde aparece en la directiva y la norma

El artículo 21, apartado 2, letra g de la Directiva (UE) 2022/2555 menciona ciberhigiene y formación en seguridad como una de las diez medidas obligatorias; la Ley de Ciberseguridad lo transpone uno a uno cuando entre en vigor el 15 de agosto de 2026. ISO/IEC 27001 Anexo A lo desarrolla aún más bajo la medida de control para conciencia y formación del personal, siendo las simulaciones de phishing la forma de verificación común. El grado en que la propia empresa debe cumplir estrictamente con esto depende de la respuesta a si la empresa se incluye de forma independiente en la Directiva NIS2 un proveedor indirecto recibe la pregunta a menudo a través de transposición contractual, no a través de obligación legal directa.