popis pitanja pita provodimo li testove phishinga među našim zaposlenicima

Testovi za phishing dio su cyber-higijene, a ne samo svijesti

Test za phishing nije zasebna zahtjev, već dokaz pri jednoj od deset mjera iz članka 21. stavka 2. NIS2: dio g, cyber-higijena i obuka za sigurnost. Sama direktiva ne propisuje simulaciju phishinga — spominje "osnovne prakse cyber-higijene i obuku iz cyber-sigurnosti". Kupac koji specifično traži testove za phishing prevodi tu normu u konkretnu, mjerljivu praksu. U ISO 27001 nalazi se ovo u Prilogu A pod mjerom kontrole za svjesnost, obuku i obuku osoblja: norma zahtijeva program, a test za phishing je najčešće korišteni dokaz toga.

Ako nemaš strukturirane testove za phishing, onda je "ne" iskreit odgovor — obuka o svijesti bez simulacije je nešto drugačije i obično to zna procjenjivač na drugoj strani. Mnogi kupci dalje pitaju o učestalosti (godišnje, tromjesečno), o tome što se događa sa zaposlenicima koji padnu na to, i postoji li e-learning povezan s tim. Ako postoji ali se ne naziva "testom za phishing", onda umjesto jednostavnog "da" opisati što zaista radiš u polju za pojašnjenje. Ova tema se odnosi i osposobljavanje u osnovnim praksama cyberhigijene, gdje se nalazi šira obveza obuke — testovi za phishing su obično jedan red iz većeg dokumenta o politici.

Gdje je to navedeno u Direktivi i normi

Članak 21. stavak 2. točka g Direktive (EU) 2022/2555 navodi cyber-higijenu i obuku za sigurnost kao jednu od deset obaveznih mjera; Zakon o cyber-sigurnosti ovo pretvara jedan-na-jedan čim stupi na snagu 15. kolovoza 2026. ISO/IEC 27001 Prilog A ovo dalje razrađuje pod mjerom kontrole za svjesnost i obuku osoblja, u kojoj su simulacije phishinga uobičajeni oblik provjere. Mora li vlastita poduzeća strogo poštovati ovo ovisi o odgovoru na jesu li poduzećem predmet Direktive NIS2 — neizravni dobavljač često dobije pitanje kroz ugovorni prijenos, a ne kroz izravnu zakonsku obvezu.