ügyfelem azt kérdezi, hogy végzünk-e adathalász teszteket az alkalmazottakkal, mit tegyek, ha nem

A phishing-tesztek bizonyíték, nem kötelező forma

Nem, a phishing-tesztek nem kötelezőek önmagukban. Ami valóban számít, az az, hogy a munkatársak rendszeresen oktatást kapnak a kiberhigiénia alapjaiban, és a phishing-teszt ennek a legkonkrétabb bizonyítéka, amelyet az ügyfél ellenőrizhet. Egy teszt nélküli oktatás nehezebben igazolható; egy szimulációs kattintásos aránnyal és jelentéssel az ügyfél számára azonnal bizonyítható. Ezért fordul elő gyakran ez az adott elem a kérdőívekben külön, az általánosabb kérdéstől függetlenül, hogy munkatársak oktatást kapnak-e a kiberhigiénia alapvető gyakorlatában.

Ha nem végeznek phishing-tesztet, a legőszintébb válasz a "nem", szükség esetén kiegészítve azzal, hogy mi történik helyette: e-learning, útmutatás az onboarding során, belső közlemény a közelmúltbeli csalási esetekről. Ez nem egyenértékű helyettesítés, de azt mutatja, hogy történt valamennyi tudatosítási erőfeszítés. Phishing-tesztet szimulálni válaszként, amikor az nem létezik, nem kerül szóba — a dossz csak azt tölti ki, ami igazolható, és a forrás nélküli "igen" itt nem kerül javaslatba. Egyébként a phishing gyakran visszatér egy biztonsági incidens okaként, így aki "nem"-et tölt ki, az ügyfélétől további kérdésre számíthat arról, hogy biztonsági incidensek kezelésének eljárásához.

Ez hol található: az NIS2-irányelv 21. cikk (2) bekezdése g) pont

Az NIS2-irányelv 21. cikk (2) bekezdése a tíz intézmény közül a "kiberhigiénia alapvető gyakorlatai és a kiberbiztonsági oktatás" (g) pont) említi. Az irányelv nem ír elő konkrét eszközt — sem phishing-tesztet, sem konkrét tanítási módszert —, hanem az entitásra bízza a megvalósítást. Az ISO/IEC 27001 Melléklete A hasonló vezérlési intézkedést tartalmaz a tudatosság és az oktatás tekintetében, szintén kötelező forma nélkül. A Kiberbiztonsági törvény a német irányelv nemzeti átültetése, és 2026. augusztus 15-én lép hatályba; addig a legtöbb vállalkozás számára még nem kötelező, de az ügyfél saját kérdőívén keresztül már most rákérdezhet erre, előrelátóan vagy mert maga már felügyelet alatt áll.