il cliente chiede se effettuiamo test di phishing tra i dipendenti, cosa fare se non lo facciamo

I test di phishing sono prova, non una forma obbligatoria

No, i test di phishing non sono obbligatori in quanto tali. Ciò che conta davvero è che i dipendenti ricevano regolarmente formazione in cybersicurezza di base, e un test di phishing è il documento probatorio più concreto che un cliente può verificare. Una formazione senza verifica è più difficile da verificare; una simulazione con una percentuale di clic e un rapporto è immediatamente dimostrabile al cliente. Per questo motivo questo elemento specifico appare spesso separatamente nei questionari, a parte la domanda più generale se i dipendenti ricevano formazione nelle pratiche di base per la cybersicurezza.

Se non viene eseguito alcun test di phishing, la risposta più onesta è "no", eventualmente integrata con ciò che effettivamente accade: un e-learning, un'istruzione durante l'onboarding, un'e-mail interna su casi di frode recenti. Non è una sostituzione equivalente, ma dimostra che viene fatto qualcosa per sensibilizzare. Simulare un test di phishing come risposta quando non esiste non è appropriato — il fascicolo compila solo ciò che è dimostrabile, e "sì" senza fonte non viene qui proposto. Del resto, il phishing spesso ricorre come causa di un incidente di sicurezza, quindi chi compila "no" qui può aspettarsi anche una domanda di follow-up dal cliente su la procedura per la gestione degli incidenti di sicurezza.

Dove si trova: articolo 21 paragrafo 2, lettera g

L'articolo 21 paragrafo 2 della direttiva NIS2 elenca tra le dieci misure "pratiche di base di igiene della cibersicurezza e formazione in materia di cibersicurezza" (lettera g). La direttiva non prescrive uno strumento specifico — nessun test di phishing, nessun metodo didattico particolare — ma lascia l'implementazione all'entità stessa. ISO/IEC 27001 contiene in Allegato A una misura di controllo comparabile sulla consapevolezza e la formazione, nemmeno lì con una forma obbligatoria. La Legge sulla cibersicurezza è la trasposizione olandese di questa direttiva e entra in vigore il 15 agosto 2026; fino a quella data, per la maggior parte delle aziende non è ancora un obbligo legale, ma un cliente può già chiederne conto tramite il proprio questionario, in anticipo su quella data o perché lui stesso è già sottoposto a vigilanza.