a lista de questões pergunta se realizamos testes de phishing entre o pessoal

Os testes de phishing são prova de consciencialização, não de acesso

As simulações de phishing fazem parte do programa de consciencialização do artigo 21.º, n.º 2, alínea g) da NIS2, não de controlo de acesso ou MFA. A pergunta testa portanto não se a tua técnica está em ordem, mas se os colaboradores são treinados para reconhecer engenharia social. Se tens um teste de phishing periódico com relatório e acompanhamento (por exemplo, formação adicional para quem clica), então esta é uma clara "sim" com um documento de prova forte. Se tens apenas um e-learning sem simulação, a resposta é muitas vezes ainda "não" a esta pergunta específica — a lista de verificação geralmente pergunta explicitamente por um teste, não por formação em sentido geral.

Sem teste de phishing, "não, mas" é aqui a resposta honesta: nomeia então o que existe, como formação de consciencialização obrigatória ou um botão de denúncia para emails suspeitos. Isso não é uma concessão fraca — muitas empresas começam com formação e expandem simulações mais tarde. Se tens dúvidas sobre se a tua campanha é representativa o suficiente (por exemplo, um teste por ano versus mensalmente), marca antes "ainda a determinar" e verifica internamente com quem gere as campanhas, normalmente TI ou RH. Verifica também se este tema está separado de da formação que os colaboradores recebem em higiene cibernética em sentido mais lato — alguns clientes fazem essa pergunta em duas questões separadas, outros combinam-na.

De onde vem isto: artigo 21.º, n.º 2, alínea g)

O artigo 21.º, n.º 2, alínea g) da NIS2 menciona explicitamente "práticas básicas de higiene cibernética e formação em cibersegurança" como uma das dez medidas obrigatórias. As simulações de phishing enquadram-se na prática nesta obrigação de formação; a ISO/IEC 27001 Anexo A menciona medidas de consciencialização e formação no mesmo sentido, sem nomear um teste de phishing como requisito separado. Se cais pessoalmente sob a Lei de Cibersegurança como entidade abrangida pela diretiva NIS2, então esta é a partir da entrada em vigor uma das medidas sobre as quais a supervisão é possível — por enquanto continua principalmente uma pergunta que os clientes já colocam, em antecipação dessa lei.