klient sa pýta, či vykonávame phishingové testy na zamestnancov

Phishingové testy sú dôkaz, nie samostatná požiadavka

Phishingové testy sa nezačleňujú osobitne do článku 21 odsek 2 NIS2 — sú to dokladový materiál, ktorým dokazujete, že povinnosť zaškolenia podľa bodu g (kybernetická hygiena a bezpečnostná príprava) skutočne funguje. Ak váš zákazník konkrétne žiada o phishingové testy, nechce vedieť, či ste poskytli školenie, ale či meriate, či sa to školenie zachytilo. Ak máte tieto testy, odpoveď je jednoduchá: áno, s posledným dátumom testu a s percentom zamestnancov, ktorí klikli alebo hlásili. Ak ich nemáte, potom je "nie" správna odpoveď — nie "áno" len preto, že existuje e-learning.

Ak nerobíte phishingové testy, ale niečo iné — školenie pri nástupe do práce, ročnú bezpečnostnú poradu, interný spravodaj o podozrivých mailoch — potom je to samostatná odpoveď, nie náhrada za otázku tak, ako je položená. Množstvo otáznikov ponúka priestor na vysvetlenie; použite ho na popis toho, čo naozaj existuje, bez toho, aby ste naznačili, že ide o phishingový test. To patrí do tej istej kategórie ako základný výcvik v praktikách kybernetickej hygieny: ak tam už stojí "nie", je "nie" na túto otázku zrejmé, a je malá pravdepodobnosť, že tu budete mať dôkaz.

Odôvodnenie: článok 21 odsek 2 bod g a jeho posúdenie

Článok 21 odsek 2 bod g Smernice (EÚ) 2022/2555 výslovne uvádza "základné postupy v oblasti kybernetickej hygieny a vzdelávanie v oblasti kybernetickej bezpečnosti" ako jedno z desiatich povinných opatrení; ISO/IEC 27001 Annex A to ďalej rozpracúva v rámci kontrolných opatrení na zvyšovanie povedomia a školenia zamestnancov. Phishingové testy sú v praxi meracím nástrojom, pomocou ktorého podniky demonštrujú, že školenie nebolo len poskytnuté, ale má aj účinok — podobne ako sa požaduje pri NDA. periodickým testovaním bezpečnostných opatreníDe Nederlandse Cyberbeveiligingswet zet deze verplichting één op één om, met inwerkingtreding op 15 augustus 2026.