kund frågar om vi genomför phishingtester bland medarbetare, vad gör vi om vi inte gör det

Phishingtester är bevis, inte en obligatorisk form

Nej, phishingtester är inte obligatoriska som sådana. Det som räknas är att medarbetare regelbundet får utbildning i cyberhygien, och ett phishingtest är det mest konkreta bevisstycket som en kund kan kontrollera. En utbildning utan test är svårare att verifiera; en simulering med en klickfrekvens och en rapport är omedelbar påvisbar för kunden. Därför dyker denna specifika del ofta upp separat i frågelistor, skild från den mer allmänna frågan om medarbetare får utbildning i grundläggande metoder för cyberhygien.

Om inget phishingtest genomförs är det mest ärligt svaret "nej", eventuellt kompletterat med vad som faktiskt görs: en e-learning, en instruktion vid inskolning, ett internt meddelande om senaste bedrägerifall. Det är ingen motsvarande ersättning, men det visar att något görs för att öka medvetenheten. Att simulera ett phishingtest som svar medan det inte finns är inte aktuellt — dossieren fylls bara i med vad som är påvisbart, och "ja" utan källa presenteras inte här. Förrutom att phishing ofta är orsaken till en säkerhetshändelse, så kan den som fyller i "nej" här även förvänta sig en uppföljningsfråga från kunden om förfarandet för hantering av säkerhetstillbud.

Var detta står: artikel 21 punkt 2, under g

Artikel 21 punkt 2 i NIS2-direktivet nämner bland de tio åtgärderna "grundläggande metoder för cyberhygien och utbildning inom cyberbevakning" (del g). Direktivet föreskriver ingen särskild åtgärd — inget phishingtest, ingen särskild undervisningsmetod — utan lämnar utformningen till enheten själv. ISO/IEC 27001 har i Annex A en motsvarande kontrollåtgärd om medvetenhet och utbildning, även där utan föreskrivning av form. Cybersäkerhetslagan är den svenska omvandlingen av detta direktiv och träder i kraft den 15 augusti 2026; fram till dess är detta för de flesta företag ännu ingen laglig skyldighet, men en kund kan redan nu ställa denna fråga genom sin egen frågelista, i förväntning på detta datum eller för att denne själv redan är under tillsyn.