vragenlijst vraagt of wij phishingtesten doen bij ons personeel

Phishingtests horen bij cyberhygiëne, niet bij bewustwording alleen

Een phishingtest is geen losse eis, maar bewijs bij een van de tien maatregelen uit artikel 21 lid 2 NIS2: onderdeel g, cyberhygiëne en beveiligingstraining. De richtlijn zelf schrijft geen phishingsimulatie voor — ze noemt "basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging". Een klant die specifiek naar phishingtests vraagt, vertaalt die norm naar een concrete, toetsbare praktijk. Bij ISO 27001 zit dit in Annex A onder de beheersmaatregel voor bewustzijn, opleiding en training van personeel: de norm eist een programma, en een phishingtest is daarvan het meest gebruikte bewijsstuk.

Heb je geen gestructureerde phishingtests, dan is "nee" het eerlijke antwoord — een awareness-training zonder simulatie is iets anders en dat weet de beoordelaar aan de andere kant meestal ook. Veel klanten vragen door naar frequentie (jaarlijks, per kwartaal), naar wat er gebeurt met medewerkers die erin trappen, en of er een e-learning aan vastzit. Als dat er wel is maar niet als "phishingtest" benoemd, beschrijf dan wat je wél doet in het toelichtingsveld in plaats van simpelweg "ja" aan te vinken. Dit onderwerp raakt ook training in basispraktijken voor cyberhygiëne, waar de bredere trainingsverplichting staat — phishingtests zijn daar meestal één regel uit een groter beleidsstuk.

Waar dat in de richtlijn en de norm staat

Artikel 21 lid 2 sub g van Richtlijn (EU) 2022/2555 noemt cyberhygiëne en beveiligingsopleiding als een van de tien verplichte maatregelen; de Cyberbeveiligingswet zet dit één-op-één om zodra die op 15 augustus 2026 in werking treedt. ISO/IEC 27001 Annex A werkt dit verder uit onder de beheersmaatregel voor bewustzijn en training van personeel, waarbinnen phishingsimulaties de gangbare toetsingsvorm zijn. Of de eigen onderneming hier hard aan moet voldoen, hangt af van het antwoord op of de onderneming zelf onder de NIS2-richtlijn valt — een indirecte leverancier krijgt de vraag vaak via contractuele doorvertaling, niet via directe wettelijke plicht.