le client veut savoir si nous effectuons des simulations de phishing auprès des collaborateurs

Les tests de phishing font partie de la sensibilisation, non d'un point de mesure distinct

Les simulations de phishing relèvent de l'article 21, paragraphe 2, point g, de la NIS2 : hygiène de la cybersécurité et formation en matière de sécurité. Il n'y a pas d'exigence que ce soit spécifiquement un test de phishing — la directive mentionne « les pratiques de base en matière d'hygiène de la cybersécurité et la formation en matière de cybersécurité ». Une simulation de phishing est l'une des applications courantes de cela, non une obligation autonome. Celui qui ne lance pas de simulations mais a d'autres activités de sensibilisation — apprentissage en ligne, sessions d'information, un message sur l'intranet à propos d'une menace actuelle — satisfait à la norme sous-jacente, même si la réponse à la question littérale est « non ».

L'étiquette dépend de ce que vous faites réellement. Si vous lancez régulièrement des tests de phishing avec un signalement à la direction, alors « oui » est justifié et vous pouvez, si demandé, fournir la fréquence et le dernier résultat (pourcentage de clics, pourcentage de signalement). Si vous ne le faites pas, alors « non » est la bonne réponse — ne pas remplir ce que votre client veut entendre. Si vous doutez que votre programme de formation sans simulations compte néanmoins comme une sensibilisation adéquate, il est utile de d'abord regarder la question plus large si les employés reçoivent une formation sur les pratiques de base en matière d'hygiène de la cybersécurité; les tests de phishing en font partie, pas le tout.

Où cela figure : article 21, paragraphe 2, point g, et Annexe A.6.3

L'article 21, paragraphe 2, point g, de la NIS2 mentionne l'hygiène de la cybersécurité et la formation en matière de sécurité comme l'une des dix mesures obligatoires pour les entités couvertes par la directive — le fait que ce soit le cas est décrit dans si l'entreprise elle-même est soumise à NIS2. L'ISO/IEC 27001 Annex A développe cela dans la mesure A.6.3, « sensibilisation, éducation et formation à la sécurité de l'information », sans mentionner les simulations de phishing comme instrument obligatoire. La loi néerlandaise sur la cybersécurité transposera cet article dès que cette loi entrera en vigueur le 15 août 2026 ; jusqu'à cette date, la directive elle-même est le lieu de référence pour ceux qui appliquent la NIS2, et la norme pour ceux qui appliquent la norme ISO 27001.