klient chce wiedzieć, czy przeprowadzamy symulacje phishingu wśród pracowników

Testy phishingu należą do świadomości, a nie do oddzielnego punktu środka

Symulacje phishingu podlegają artykułowi 21 ust. 2 lit. g dyrektywy NIS2: higiena cybernetyczna i szkolenie w zakresie bezpieczeństwa. Nie ma wymogu, aby był to konkretnie test phishingu — dyrektywa wymienia "podstawowe praktyki w zakresie higieny cybernetycznej i edukację w zakresie bezpieczeństwa cybernetycznego". Symulacja phishingu jest jednym z powszechnych wdrożeń tego wymogu, a nie niezależnym obowiązkiem. Kto nie przeprowadza symulacji, ale ma inne działania świadomościowe — e-learning, sesje toolbox, wiadomość w intranecie w wypadku aktualnego zagrożenia — spełnia podstawową normę, nawet jeśli odpowiedź na pytanie dosłowne to "nie".

Etykieta zależy od tego, co faktycznie robisz. Jeśli regularnie przeprowadzasz testy phishingu z raportowaniem dla kierownictwa, "tak" jest uzasadnione i możesz w razie potrzeby dostarczyć częstotliwość i ostatni wynik (procent kliknięć, procent zgłoszeń). Jeśli tego nie robisz, "nie" jest właściwą odpowiedzią — nie wpisuj tego, co chce usłyszeć twój klient. Jeśli wątpisz, czy program szkoleniowy bez symulacji liczy się jako odpowiednia świadomość, pomaga najpierw spojrzeć na szersze pytanie czy pracownicy otrzymują szkolenie w podstawowych praktykach higieny cybernetycznej; testy phishingu są jego częścią, a nie całością.

Gdzie to znajduje się: artykuł 21 ust. 2 lit. g i Załącznik A.6.3

Artykuł 21 ust. 2 lit. g dyrektywy NIS2 wymienia higienę cybernetyczną i szkolenie edukacyjne jako jeden z dziesięciu obowiązkowych środków dla podmiotów podlegających dyrektywie — czy tak jest, opisane jest w czy przedsiębiorstwo samo podlega NIS2Załącznik A normy ISO/IEC 27001 rozwija to w środku A.6.3, "świadomość bezpieczeństwa informacji, edukacja i szkolenie", bez wyszczególniania symulacji phishingu jako obowiązkowego narzędzia. Holenderska Ustawa o bezpieczeństwie cybernetycznym implementuje ten artykuł, gdy ta ustawa wejdzie w życie 15 sierpnia 2026 r.; do tego czasu sama dyrektywa jest źródłem dla tych, którzy testują pod kątem NIS2, a normą dla tych, którzy testują pod kątem ISO 27001.