stranka želi vedeti, ali izvajamo simulacije ribarjenja pri zaposlencih

Testi napadov s phishingom spadajo pod zavedanje, ne pod ločeno točko ukrepov

Simulacije napadov s phishingom spadajo pod členik 21 odstavek 2 pododstavek g Direktive NIS2: kibernetska higiena in usposabljanje v varnosti. Ni zahteve, da bi bil test specifično test napada s phishingom — direktiva omenja »osnovne prakse na področju kibernetske higiene in usposabljanja na področju kibernetske varnosti«. Simulacija napada s phishingom je ena od običajnih izvedb tega, ne samostojna obveznost. Kdor simulacij ne izvaja, ima pa druge dejavnosti za povečanje zavedanja — e-učenje, seje za izmenjo izkušenj, sporočilo na intranetu ob sodobni grožnji — izpolnjuje temeljna merila, tudi če je odgovor na dobesedno vprašanje »ne«.

Oznaka je odvisna od tega, kaj dejansko počneš. Če periodično izvajaš teste napadov s phishingom z poročanjem vodstvu, je »da« utemeljeno in lahko na zahtevo določi pogostnost in zadnji rezultat (odstotek klikov, odstotek prijav). Če tega ne počneš, je »ne« pravi odgovor — ne izpolnjuj tega, kar želi tvoj naročnik. Če te skrbi, ali je tvoj program usposabljanja brez simulacij še vedno zadostna oblika povečanja zavedanja, je koristno, da se najprej oziram na širše vprašanje ali zaposleni dobijo usposabljanje v osnovnih praksah kibernetske higiene; testi napadov s phishingom so del tega, ne pa celota.

Kje se to nahaja: členik 21 odstavek 2 pododstavek g in Prilog A.6.3

Direktiva NIS2 členik 21 odstavek 2 pododstavek g našteva kibernetsko higieno in usposabljanje kot eno od desetih obveznih ukrepov za entitete, ki jih zajema direktiva — ali je to tako, je opisano pri ali podjetje samo spada pod NIS2. ISO/IEC 27001 Prilog A to podrobno razlaga v ukrepih A.6.3, »informacijska varnost, ozaveščenost, izobraževanje in usposabljanje«, ne da bi navedli simulacije napadov s phishingom kot obvezno orodje. Nizozemski zakon o kibernetski varnosti to zakonsko določbo prekorači, ko ta zakon začne veljati 15. avgusta 2026; do tega datuma je sama direktiva vir za tiste, ki se sklicujejo na NIS2, in merilo za tiste, ki se sklicujejo na ISO 27001.