klient küsib, kas me jooksutame töötajate seas phishing'i teste, kuidas kui me seda ei tee

Phishingu-testid on tõendusmaterjal, mitte kohustuslik vorming

Ei, phishingu-testid ei ole kui sellised kohustuslikud. Oluline on, et töötajad saavad regulaarselt koolitust küberhügieeni alal, ja phishingu-test on sellest kõige konkreetsem tõendusmaterjal, mida klient saab kontrollida. Koolitus ilma kontrollita on raskemini tõestatav; simulatsioon klikide protsendiga ja aruandega on kliendi jaoks otse tõestatav. Seetõttu esineb see konkreetne element küsimustikes sageli eraldi, üldisemast küsimusest lahus, kas töötajad saavad koolitust küberhügieeni aluspraktikates.

Kui phishingu-testi ei viida läbi, on ausaim vastus "ei", võimaluse korral täiendatuna sellega, mis tegelikult toimub: e-õpe, juhendamine sisseelamisel, sisemine teadaanne hiljutiste pettusearvudega. See ei ole samaväärne asendus, kuid see näitab, et teadlikkuse tõstmiseks midagi tehakse. Phishingu-testi jäljendamine vastusena, kui seda tegelikult ei toimu, ei ole asjakohane — dokumendis täidetakse ainult see, mis on tõestatav, ja "jah" ilma allikaviidata siin ei panda. Muide, phishing tekib sageli turvaintsidendi põhjusena, seega kes siia "ei" sisestab, võib kliendilt eeldada järelküsimust ka turvalisusincidendi käsitlemise menetlusest.

Kus see asub: artikli 21 lõige 2, punkt g

NIS2-direktiivi artikli 21 lõige 2 loetleb kümne meetme hulgas "küberhügieeni ja küberjulgeoleku alase koolituse aluspraktikad" (punkt g). Direktiiv ei määra instrumenti — ei phishingu-testi, ei spetiifilisi õpemeetodeid — vaid jätab selle täitmise üksusele endale. ISO/IEC 27001-s on Lisas A sarnane kontrollmeede teadlikkuse ja koolituse kohta, ka seal ilma kohustusliku vormita. Küberjulgeolekuseadus on selle direktiivi Hollandi transponeering ja jõustub 15. augustil 2026; kuni selle ajani ei ole see enamikule ettevõtetele veel seaduselik kohustus, kuid klient võib oma küsimustiku kaudu sellele juba nüüd küsida, ette nähes seda kuupäeva või sest ta ise on juba järelevalve all.