zákazník sa pýta, či vykonávame testy na phishing medzi zamestnancami, čo ak ich nevykonávame

Testy phishingu sú dôkaz, nie povinná forma

Nie, testy phishingu nie sú ako také povinné. Čo sa počíta je, že zamestnanci dostávajú pravidelne školenie v oblasti kybernetickej hygieny, a test phishingu je najkonkrétnejším dôkazným materiálom, ktorý môže klient overiť. Školenie bez testu je ťažšie verifikovať; simulácia s percentom kliknutí a správou je pre klienta priamo dokazateľná. Preto sa tento špecifický prvok v zoznamoch otázok často objavuje osobitne, oddelene od všeobecnejšej otázky, či zamestnanci dostávajú školenie v základných postupoch kybernetickej hygieny.

Ak sa test phishingu nevykonáva, je najúprimnejšia odpoveď "nie", prípadne doplnená tým, čo sa naozaj deje: e-learning, pokyny pri nástupe, interný e-mail o nedávnych prípadoch podvodov. To nie je ekvivalentná náhrada, ale ukazuje, že sa na zvyšovaní povedomia niečo robí. Simulovať test phishingu ako odpoveď, keď sa v skutočnosti neuskutočňuje, neprichádza do úvahy — dossier zaznamenáva iba to, čo je dokazateľné, a "áno" bez zdroja sa tu neuvádzajú. Mimochodom, phishing sa často objavuje ako príčina bezpečnostného incidentu, takže ten, kto tu vyplní "nie", môže od klienta očakávať aj nasledujúcu otázku o postupom na spracovanie bezpečnostných incidentov.

Kde sa to nachádza: článok 21 odsek 2, písmeno g

Článok 21 odsek 2 smernice NIS2 uvádza medzi desiatimi opatreniami "základné postupy na úseku kybernetickej hygieny a opatrenia na zvyšovanie povedomia v oblasti kybernetickej bezpečnosti a školenie" (písmeno g). Smernica nepredpisuje žiaden konkrétny nástroj — žiadny test phishingu, žiadnu špecifickú učebnú metódu — ale ponecháva jej implementáciu na samotnej entite. ISO/IEC 27001 má v prílohe A podobný kontrolný zákaz týkajúci sa povedomia a školenia, tiež bez povinnej formy. Zákon o kybernetickej bezpečnosti je holandská transpozícia tejto smernice a nadobúda účinnosť 15. augusta 2026; až do tohto dátumu to pre väčšinu podnikov nie je ešte právna povinnosť, ale klient sa na to môže pýtať prostredníctvom svojho vlastného zoznam otázok, v predvídaní tohto dátumu alebo pretože on sám už podlieha dohľadu.