a kérdőív azt kérdezi, végzünk-e adathalász teszteket a személyzeténél

A phishing-tesztek a kiberhigiéniához tartoznak, nem csak a tudatosságnöveléshez

A phishing-teszt nem önálló követelmény, hanem bizonyíték a NIS2 21. cikk 2. bekezdésének tíz intézkedésének egyike mellett: g) pont, kiberhigiénia és biztonsági képzés. Maga az irányelv nem írja elő a phishing-szimulációt — „a kiberhigiénia és a kiberbiztonsági képzés alapvető gyakorlatairól

Ha nincs strukturált phishing-teszt, akkor a "nem" az őszinte válasz — az awareness-training szimuláció nélkül valami más, és ezt a másik oldalon lévő értékelő általában tudja is. Sok ügyfél további kérdéseket tesz fel a gyakoriságra vonatkozóan (éves, negyedéves), arra, hogy mi történik az azokba becsapódott alkalmazottakkal, és hogy van-e e-learning is. Ha ez megvan, de nem "phishing-test" néven nevezik meg, akkor írja le az Ön által ténylegesen végzett tevékenységeket a magyarázatmezőben, ahelyett hogy egyszerűen az "igen" jelölést választaná. Ez a téma is kapcsolódik az a kiberbiztonsági higiénia alapvető gyakorlatainak képzése]-hez, ahol a tágabb képzési kötelezettség szerepel — a phishing-tesztek általában ezt az egész irányelvs egyik sorát alkotják.

Ahol ez az irányelvben és a normában szerepel

Az EU 2022/2555 irányelv 21. cikk (2) bekezdés g) pontja a kibernetikai higiéniát és a biztonsági képzést említi meg a tíz kötelező intézkedés egyikeként; a Kiberbiztonsági törvény ezt egy az egyben átültetik, amint az 2026. augusztus 15-én hatályba lép. Az ISO/IEC 27001 Annex A ezt tovább részletezi a személyzet tudatosságára és képzésére vonatkozó ellenőrzési intézkedés alatt, amelyből a phishing szimulációk az általános tesztelési forma. Hogy a saját vállalkozásnak itt szigorúan meg kell-e felelnie, a válasz függvénye: vagy a vállalkozás maga az NIS2-irányelv hatálya alá tartozik-e — egy közvetett szállító gyakran szerződéses közvetítéssel, nem pedig közvetlen jogi kötelezettségvállalás révén kapja meg a kérdést.