naročnik sprašuje, ali izvajamo teste lova na ribiče na zaposlencih

Testi za ribniške napade so dokaz, ne samostojna zahteva

Testi za ribniške napade se ne pojavljajo posebej v členu 21 odstavek 2 NIS2 — so dokazilo, s katerim pokažeš, da je obveznost usposabljanja pod točko g (kibernetska higiena in varnostno usposabljanje) res učinkovita. Če te tvoj naročnik posebej vpraša o testih za ribniške napade, ne želi vedeti, ali ste izvedli usposabljanje, ampak ali merite, ali se je to usposabljanje obneslo. Če imaš te teste, je odgovor preprost: da, z najnovejšim datumom testa in odstotkom zaposlenih, ki so kliknili ali prijavili. Če jih nemaš, je »ne« pravi odgovor — ne »da« zato, ker obstaja e-učenje.

Če ne izvajate testov za ribniške napade, ampak naredite kaj drugega — usposabljanje ob zaposlitvi, letni toolbox, interno novičko o sumljivih e-poštah — je to samostojen odgovor, ne zamjena za vprašanje, kot je zastavljeno. Številne vprašalnike nudijo prostor za pojasnilo; uporabi ga za opis tega, kar obstaja, brez suggeriranja, da gre za test za ribniške napade. To spada v isto kategorijo kot usposabljanje v osnovnih praksah kibernetske higiene: če tam že stoji »ne«, je »ne« verjetna odgovor tudi na to vprašanje, in je malo verjetno, da imaš tukaj naenkrat res dokaz.

Utemeljitev: člen 21 odstavek 2, točka g in njegovo preverjanje

Člen 21 odstavek 2 pod g Direktive (EU) 2022/2555 izrecno omenja »osnovne prakse na področju kibernetske higiene in izobraževanje na področju kibernetske varnosti« kot eno od desetih obveznih ukrepov; ISO/IEC 27001 Priloga A to nadaljuje z nadzornimi ukrepi za ozaveščenost in usposabljanje osebja. Testi za ribniške napade so v praksi merilni instrument, s katerim podjetja dokazujejo, da je to usposabljanje ne samo dano, ampak tudi učinkovito — primerljivo s tem, kar se zahteva pri periodičnim testiranjem varnostnih ukrepov. Nizozemski zakon o kibernetski varnosti to obveznost prenaša ena na ena, z začetkom veljavnosti 15. avgusta 2026.