la lista di domande chiede se conduciamo test di phishing tra il nostro personale

I test di phishing fanno parte dell'igiene informatica, non solo della sensibilizzazione

Un test di phishing non è un requisito isolato, ma una prova di una delle dieci misure di cui all'articolo 21, paragrafo 2, della direttiva NIS2: lettera g, igiene informatica e formazione sulla sicurezza. La direttiva stessa non prescrive una simulazione di phishing — menziona "pratiche di base in materia di igiene informatica e formazione in materia di cibersicurezza". Un cliente che chiede specificamente i test di phishing traduce tale norma in una pratica concreta e verificabile. In ISO 27001, questo si trova nell'Annex A, secondo la misura di controllo per la consapevolezza, la formazione e l'addestramento del personale: la norma richiede un programma e un test di phishing è il documento probatorio più comune.

Se non hai test di phishing strutturati, allora "no" è la risposta onesta — una formazione di sensibilizzazione senza simulazione è qualcosa di diverso e di solito anche il valutatore dall'altro lato lo sa. Molti clienti approfondiscono sulla frequenza (annuale, trimestrale), su cosa succede ai dipendenti che cadono nella trappola e se vi è allegata una formazione online. Se questo esiste ma non è denominato "test di phishing", descrivi allora ciò che fai effettivamente nel campo di chiarimento invece di selezionare semplicemente "sì". Questo argomento tocca anche formazione nelle pratiche fondamentali di igiene informaticadove si trova l'obbligo di formazione più ampio — i test di phishing sono di solito una riga da un pezzo di normativa più grande.

Dove si trova nella direttiva e nella norma

L'articolo 21, paragrafo 2, lettera g, della Direttiva (UE) 2022/2555 menziona l'igiene informatica e la formazione sulla sicurezza come una delle dieci misure obbligatorie; la Legge sulla cibersicurezza lo recepisce uno a uno non appena entra in vigore il 15 agosto 2026. ISO/IEC 27001 Annex A lo sviluppa ulteriormente secondo la misura di controllo per la consapevolezza e la formazione del personale, all'interno della quale le simulazioni di phishing sono la forma comune di verifica. Se la propria organizzazione deve conformarsi rigorosamente a questo dipende dalla risposta a se l'azienda stessa rientra nella direttiva NIS2 — un fornitore indiretto riceve spesso la domanda attraverso la traduzione contrattuale, non attraverso l'obbligo legale diretto.