frågelistan frågar om vi genomför phishing-tester bland vår personal

Phishingtester hör till cyberhygien, inte bara till medvetenhet

Ett phishingtest är ingen separat krav, utan bevis för en av de tio åtgärderna i artikel 21 punkt 2 NIS2: underpunkt g, cyberhygien och säkerhetskompetens. Direktivet föreskriver själv ingen phishingsimulering — det nämner "grundläggande metoder för cyberhygien och utbildning inom cybersäkerhet". En kund som specifikt frågar om phishingtester omvandlar denna norm till en konkret, testbar praxis. I ISO 27001 finns detta i Annex A under kontrollmåttet för personalens medvetenhet, utbildning och träning: standarden kräver ett program, och ett phishingtest är det mest använda beviset för detta.

Om du inte har strukturerade phishingtester är "nej" det ärliga svaret — en medvetenhetskurs utan simulering är något annat och den bedömare på andra sidan vet det vanligtvis också. Många kunder följer upp med frågor om frekvens (årligt, per kvartal), vad som händer med medarbetare som faller för det, och om det finns en e-utbildning kopplad till det. Om det finns men inte benämns som "phishingtest", beskriv istället vad du faktiskt gör i förklaringsfältet i stället för att helt enkelt kryssa i "ja". Detta ämne berör också grundläggande cyberhygienisk träning, där den bredare utbildningsskyldigheten finns — phishingtester är där vanligtvis en rad från ett större policydokument.

Var det finns i riktlinjen och normen

Artikel 21 punkt 2 underpunkt g i Direktiv (EU) 2022/2555 nämner cyberhygien och säkerhetskompetens som en av de tio obligatoriska åtgärderna; Cybersäkerhetslag implementerar detta ett-till-ett när den träder i kraft den 15 augusti 2026. ISO/IEC 27001 Annex A utvecklar detta vidare under kontrollmåttet för personalens medvetenhet och träning, inom vilket phishingsimuleringarna är den vanliga testningsformen. Huruvida det egna företaget måste uppfylla detta strikt beror på svaret på eller om företaget självt omfattas av NIS2-direktivet — en indirekt leverantör får ofta frågan via avtalsöverföring, inte via direkt lagstiftningsplikt.