Az ügyfelem tudni akarja, hogy végzünk-e adathalászat-szimulációkat alkalmazottaink körében

Az adathalászat-szimulációs tesztek a tudatosságnöveléshez tartoznak, nem pedig egy külön intézkedésponthoz

Az adathalászat-szimulációs szimulációk az NIS2 21. cikk (2) bekezdés g) pontja alá tartoznak: kiberbiztonsági higiénia és biztonsági képzés. Nincs olyan követelmény, hogy kifejezetten adathalászat-szimulációs teszt legyen — az irányelvben a "kiberbiztonsági higiéniában és kiberbiztonsági képzésben alkalmazott alapvető gyakorlatok" szerepelnek. Az adathalászat-szimulációs szimuláció ezen közül egy, amely gyakran alkalmazott megoldás, nem pedig önálló kötelezettség. Aki nem végez szimulációkat, de egyéb tudatosságnövelő tevékenységeket folytat — e-learning, eszköztárbeszélgetéseket, intranetes üzenetet egy aktuális fenyegetés esetén — teljesíti az alapul szolgáló normát, még ha a szó szerinti kérdésre adott válasz "nem" is.

A címke attól függ, hogy mit is teszel valójában. Ha rendszeresen végzel adathalászat-szimulációs teszteket vezetői jelentéssel, akkor az "igen" alátámasztott, és szükség esetén csatornázhatsz a gyakorisággal és a legutolsó eredménnyel (kattintási arány, jelentési arány). Ha ezt nem teszed, akkor a "nem" a helyes válasz — ne azt válaszolj, amit az ügyfeled hallani szeretne. Ha nem vagy biztos abban, hogy a szimulációk nélküli képzési programod mégis megfelelő tudatosságnövelésnek számít-e, segít, ha először a tágabb kérdésre nézol rá hogy a munkavállalók képzést kapnak-e a kiberbiztonsági higiénia alapvető gyakorlataiban; az adathalászat-szimulációs tesztek ennek egy részét képezik, nem az egészét.

Ahol ez szerepel: 21. cikk (2) bekezdés g) pont és A melléklet A.6.3

A NIS2 21. cikk (2) bekezdés g) pontja a kiberbiztonsággal kapcsolatos higiéniát és képzést nevezi meg a direktívára vonatkozó tíz kötelező intézmény egyikeként — hogy ez így van-e, a következőben leírtak szerint lehetséges vagy a vállalkozás maga a NIS2 alá tartozikAz ISO/IEC 27001 A melléklete ezt az A.6.3 intézkedésben fejti ki, az "information security awareness, education and training" (információbiztonsági tudatosság, oktatás és képzés) formájában, anélkül, hogy a phishing-szimulációkat kötelező eszközként említené. A holland Cyberbeveiligingswet ezt a cikket átveszi, amint a törvény 2026. augusztus 15-én hatályba lép; addig akkor a direktíva maga a hivatkozási forrás azoknak, akik a NIS2-nek megfelelően végzik az ellenőrzést, és a norma azoknak, akik az ISO 27001-nek megfelelően végzik azt.