frågelistan frågar om vi genomför phishing-tester bland personalen

Phishingtester är bevis för medvetenhet, inte för åtkomst

Phishingsimuleringar ingår i medvetandeprogram enligt artikel 21 punkt 2 bokstav g NIS2, inte i åtkomststyring eller MFA. Frågan testar därför inte om din teknik är i ordning, utan om medarbetarna är tränade för att känna igen sociala ingenörsattacker. Har du ett periodiskt phishingtest med rapportrapport och uppföljning (till exempel extra utbildning för den som klickar), är detta ett tydligt "ja" tillsammans med ett starkt bevis. Har du bara en e-learning utan simulering är svaret ofta fortfarande "nej" på denna specifika fråga — frågeformuläret frågar vanligtvis explicit efter ett test, inte efter utbildning i allmän bemärkelse.

Utan phishingtest är "nej, men" här det ärliga svaret: nämn då vad du istället har, som obligatorisk medvetandeutbildning eller en rapportknapp för misstänkta mail. Det är ingen svaghetsbid — många företag börjar med utbildning och bygger ut simuleringar senare. Är du osäker på om din kampanj är tillräckligt representativ (till exempel ett test per år kontra månadsvis), sätt istället "återstår att bestämma" och fråga internt hos den som hanterar kampanjerna, vanligtvis IT eller HR. Kontrollera också om detta ämne är skilt från den utbildning som medarbetarna får i cyberhygien i mer allmän mening — vissa kunder frågar om det i två separata frågor, andra slår samman det.

Var detta kommer ifrån: artikel 21 punkt 2 bokstav g

Artikel 21 punkt 2 bokstav g i NIS2 nämner explicit "grundläggande metoder för cyberhygien och utbildning inom cybersäkerhet" som ett av de tio obligatoriska åtgärderna. Phishingsimuleringar faller i praktiken under denna utbildningsskyldighet; ISO/IEC 27001 Annex A nämner medvetande- och träningsåtgärder i samma anda, utan att nämna ett phishingtest som ett separat krav. Om du själv omfattas av cybersäkerhetslagens bestämmelser som en enhet som omfattas av NIS2-direktivetär detta från ikraftträdandet en av de åtgärder som övervakning kan vara möjlig för — för närvarande är det främst en fråga som kunder redan ställer, i förväntan på denna lag.