klijen pita provodimo li testove za phishing među zaposlenicima, što ako to ne činimo

Testovi za phishing su dokaz, a ne obvezni oblik

Ne, testovi za phishing nisu kao takvi obavezni. Ono što stvarno računa jest da zaposlenici redovito dobivaju obuku iz cyber higijena, a test za phishing je od toga najkonkretniji dokaz koji klijent može provjeriti. Obuka bez testa je teža za provjeru; simulacija s postotkom klikanja i izvještajem je za klijenta odmah dokaziva. Zato se ovaj specifičan dio u upitnicima često pojavljuje odvojeno, odvojen od općenitijeg pitanja je li zaposlenici obučeni u osnovne prakse za cyber higijenu.

Ako se test za phishing ne provodi, najiskrenije je odgovoriti "ne", eventualno dopunjeno s onim što se zapravo događa: e-learning, uputa pri početku rada, interno obavijesti o nedavnim slučajevima prijevare. To nije jednakovrijedna zamjena, ali pokazuje da se nešto čini za podizanje svijesti. Simuliranje testa za phishing kao odgovora dok on zapravo ne postoji nije prihvatljivo — dosije samo puni ono što je dokazivo, a "da" bez izvora se ovdje ne predlaže. Inače se phishing često pojavljuje kao uzrok sigurnosnog incidenta, pa tko ovdje upiše "ne", može očekivati i dodatno pitanje od klijenta o postupkom rukovanja incidentima sigurnosti.

Gdje se to nalazi: članak 21 stavak 2, pododlomak g

Članak 21 stavak 2 Direktive NIS2 u deset mjera spominje "osnovne prakse u vezi s cyber higijenom i obuku u odjeljenju za cyber sigurnost" (pododlomak g). Direktiva ne propisuje instrument — bez testa za phishing, bez specifične metode nastave — već ostavljanja primjene na subjekt sam. ISO/IEC 27001 ima u Dodatku A sliku upravnu mjeru o svjesnosti i obuci, i ondje bez obveznog oblika. Zakon o cyber sigurnosti je slovenski prijevod ove direktive i počinje vrijediti 15. kolovoza 2026.; do tada to za većinu tvrtki nije zakonska obaveza, ali klijent može na nju pitati kroz vlastiti upitnik sada, unaprijed ili jer je sam već pod nadzorom.