zákazník chce vedieť, či vykonávame simulácie phishingu medzi zamestnancami

Testy phishingu patria k zvyšovaniu vedomia, nie k samostatnému bodu opatrení

Simulácie phishingu spadajú pod článok 21 odsek 2 písm. g NIS2: bezpečnosť v oblasti kybernetiky a bezpečnostné školenie. Neexistuje požiadavka, že to musí byť konkrétne test phishingu — smernica spomína "základné postupy v oblasti bezpečnosti v oblasti kybernetiky a vzdelávanie v oblasti kybernetickej bezpečnosti". Simulácia phishingu je jednou z bežných implementácií, nie samostatnou povinnosťou. Kto nespúšťa simulácie, ale má iné aktivity na zvyšovanie vedomia — e-learning, zasadnutia pri boxe nástrojov, správu na intranete o aktuálnej hrozbe — spĺňa základnú normu, aj keď je odpoveď na doslovec nej otázku "nie".

Označenie závisí od toho, čo skutočne robíš. Ak pravidelne spúšťaš testy phishingu s hlásením vedeniu, potom je "áno" podložené a na požiadanie môžeš poskytnúť frekvenciu a posledný výsledok (percento kliknutí, percento nahlásení). Ak to nerobíš, potom je "nie" správna odpoveď — nevyplňuj to, čo chce počuť tvoj zákazník. Ak si neistý, či tvoj program vzdelávania bez simulácií napriek tomu počítá ako adekvátne zvyšovanie vedomia, pomôže pozrieť sa najskôr na širšiu otázku či zamestnanci dostávajú školenie v základných postupoch bezpečnosti v oblasti kybernetiky; testy phishingu sú jeho súčasťou, nie celkom.

Kde sa to nachádza: článok 21 odsek 2 písm. g a Príloha A.6.3

NIS2 článok 21 odsek 2 písm. g spomína bezpečnosť v oblasti kybernetiky a vzdelávanie v oblasti školenia ako jedno z desiatich povinných opatrení pre subjekty podliehajúce smernici — či je to tak, je opísané v či podnik podlieha smernici NIS2. ISO/IEC 27001 Príloha A to rozpracúva v opatrení A.6.3, "informačná bezpečnosť, povedomie, vzdelávanie a školenie", bez uvedenia simulácií phishingu ako povinného nástroja. Holandský zákon o kybernetickej bezpečnosti (Cyberbeveiligingswet) tento článok preberá, keď tento zákon vstúpi do platnosti 15. augusta 2026; do tohto dátuma je samotná smernica zdrojom pre tých, ktorí overujú NIS2, a normou pre tých, ktorí overujú ISO 27001.