el cliente quiere saber si realizamos simulaciones de phishing con los empleados

Las pruebas de phishing forman parte de la concienciación, no de un punto de medida independiente

Las simulaciones de phishing se incluyen en el artículo 21, apartado 2, letra g de la NIS2: ciberhigiene y formación en ciberseguridad. No existe un requisito de que sea específicamente una prueba de phishing — la directiva menciona "prácticas básicas de ciberhigiene y formación en ciberseguridad". Una simulación de phishing es una de las formas comunes de cumplir esto, no una obligación independiente. Quien no realiza simulaciones pero sí otras actividades de concienciación — aprendizaje electrónico, sesiones de herramientas, un mensaje en la intranet sobre una amenaza actual — cumple la norma subyacente, aunque la respuesta a la pregunta literal sea "no".

La etiqueta depende de lo que realmente haces. Si realizas pruebas de phishing periódicas con informe a la dirección, entonces "sí" está fundamentado y puedes proporcionar, si se te solicita, la frecuencia y el último resultado (porcentaje de clics, porcentaje de informes). Si no lo haces, entonces "no" es la respuesta correcta — no rellenes lo que tu cliente quiere oír. Si dudas de si tu programa de formación sin simulaciones cuenta como concienciación adecuada, entonces ayuda mirar primero la pregunta más amplia si los empleados reciben formación en prácticas básicas de ciberhigiene; las pruebas de phishing son parte de esto, no el todo.

Donde aparece esto: artículo 21, apartado 2, letra g y Anexo A.6.3

El artículo 21, apartado 2, letra g de la NIS2 menciona ciberhigiene y formación de capacitación como una de las diez medidas obligatorias para entidades que se encuentran bajo la directiva — si es así, se describe en si la empresa está sujeta a NIS2. El Anexo A de ISO/IEC 27001 desarrolla esto en la medida A.6.3, "information security awareness, education and training", sin mencionar las simulaciones de phishing como un instrumento obligatorio. La Ley holandesa de ciberseguridad transpone este artículo cuando la ley entra en vigor el 15 de agosto de 2026; hasta entonces, la directiva en sí es la fuente de referencia para quien evalúa con respecto a la NIS2, y la norma para quien evalúa con respecto a ISO 27001.