clientul întreabă dacă executăm teste de phishing cu angajații, ce fac dacă nu facem asta

Testele de phishing sunt dovadă, nu o formă obligatorie

Nu, testele de phishing nu sunt obligatorii ca atare. Ceea ce contează cu adevărat este că angajații primesc regular training în cyberhygenă, și un test de phishing este cel mai concret document justificativ pe care un client poate verifica. Un training fără test este mai greu de verificat; o simulare cu un procent de clicuri și un raport este direct demonstrabil pentru client. De aceea acest element specific apare adesea separat în chestionare, distinct de întrebarea mai generală dacă angajații primesc training în practici de bază pentru cyberhygenă.

Dacă nu se efectuează niciun test de phishing, răspunsul cel mai onest este "nu", eventual completat cu ceea ce se întâmplă de fapt: un e-learning, o instrucțiune la onboarding, o comunicare internă despre cazuri recente de fraudă. Aceasta nu este o înlocuire echivalentă, dar arată că se iau măsuri pentru sensibilizare. A simula un test de phishing ca răspuns în timp ce acesta nu există nu este acceptabil — dosarul completează doar ceea ce este demonstrabil, și "da" fără sursă nu este prezentat aici. De altfel, phishing-ul apare adesea ca motiv al unui incident de securitate, deci cine introduce "nu" aici se poate aștepta la o întrebare de urmărire din partea clientului săi despre procedura de gestionare a incidentelor de securitate.

Unde se află aceasta: articolul 21 alineatul 2, litera g

Articolul 21 alineatul 2 al Directivei NIS2 enumeră printre cele zece măsuri "practici de bază în domeniul igienii cibernetice și formarea în domeniul securității cibernetice" (litera g). Directiva nu prescrie niciun instrument — niciun test de phishing, nicio metodă de învățare specifică — ci lasă implementarea în seama entității. ISO/IEC 27001 cuprinde în Anexa A o măsură de control similară privind sensibilizarea și formarea, și acolo fără formă obligatorie. Legea de securitate cibernetică este transpunerea neerlandeză a acestei directive și intră în vigoare pe 15 august 2026; până la acea dată, aceasta nu este pentru majoritatea întreprinderilor încă o obligație legală, dar un client poate cere deja acum prin propria sa listă de întrebări, anticipând acea dată sau pentru că el însuși se află deja sub supraveghere.