klant wil weten of wij phishingsimulaties uitvoeren bij medewerkers

Phishingtests horen bij bewustwording, niet bij een apart maatregelpunt

Phishingsimulaties vallen onder artikel 21 lid 2 sub g NIS2: cyberhygiëne en beveiligingstraining. Er staat geen eis dat het specifiek een phishingtest moet zijn — de richtlijn noemt "basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging". Een phishingsimulatie is één van de gangbare invullingen daarvan, geen zelfstandige verplichting. Wie geen simulaties draait maar wel andere bewustwordingsactiviteiten heeft — e-learning, toolboxsessies, een intranetbericht bij een actuele dreiging — voldoet aan de achterliggende norm, ook al is het antwoord op de letterlijke vraag "nee".

Het label hangt af van wat je feitelijk doet. Draai je periodiek phishingtests met rapportage aan het management, dan is "ja" onderbouwd en mag je desgevraagd de frequentie en de laatste uitkomst (klikpercentage, meldpercentage) erbij leveren. Doe je dit niet, dan is "nee" het juiste antwoord — niet invullen wat je klant wil horen. Twijfel je of je trainingsprogramma zonder simulaties toch telt als adequate bewustwording, dan helpt het om eerst te kijken naar de bredere vraag of medewerkers training krijgen in basispraktijken voor cyberhygiëne; phishingtests zijn daar een onderdeel van, niet het geheel.

Waar dit staat: artikel 21 lid 2 sub g en Annex A.6.3

NIS2 artikel 21 lid 2 sub g noemt cyberhygiëne en trainingsopleiding als één van de tien verplichte maatregelen voor entiteiten die onder de richtlijn vallen — of dat zo is, staat beschreven bij of de onderneming zelf onder NIS2 valt. ISO/IEC 27001 Annex A werkt dit uit in maatregel A.6.3, "information security awareness, education and training", zonder phishingsimulaties als verplicht instrument te noemen. De Nederlandse Cyberbeveiligingswet zet dit artikel over zodra die wet op 15 augustus 2026 in werking treedt; tot die datum is de richtlijn zelf de vindplaats voor wie toetst aan NIS2, en de norm voor wie toetst aan ISO 27001.