Phishingtest voor uw audit: zo toont u bewustwording aan
ISO 27001, NEN 7510, de BIO2 en de Cyberbeveiligingswet vragen dat u aan de bewustwording van uw medewerkers werkt en dat kunt laten zien. Een phishingtest van BSM is zelf een oefening, en het eindrapport, de risicomatrix en de herkenningsbrief helpen aantonen dat u oefent en meet of het werkt. Wat uw auditor precies wil zien, bespreken wij in de intake.
- Eindrapport zonder namen
- Vast risicomodel
- Gegevens in Europa
- Vergunning POB 1104
Voor welke normen en wetten een phishingtest helpt aantonen
Geen van deze kaders schrijft een phishingtest voor. Alle vier vragen dat medewerkers de kennis krijgen die bij hun werk past, dat die kennis regelmatig wordt bijgewerkt, en dat u kunt laten zien dat dat gebeurt. Een phishingtest levert de meting die daarbij hoort.
ISO 27001: maatregel A.6.3
Maatregel A.6.3 gaat over bewustwording, opleiding en training. De norm vraagt ook dat u nagaat of uw acties effect hadden. Of medewerkers een phishingmail herkennen en melden, blijkt pas als zij er een in hun eigen inbox krijgen.
Lees over ISO 27001 en bewustwordingNEN 7510: de zorg
NEN 7510 is de norm voor informatiebeveiliging in de zorg, gebaseerd op ISO 27001. Ook deze norm vraagt bewustwording, opleiding en training, en een manier om na te gaan of die werkt. Zorgmedewerkers werken met gezondheidsgegevens, dus melden telt extra.
Lees over NEN 7510BIO2 en ENSIA: de overheid
De BIO2 vraagt dat wie met de systemen van de gemeente werkt, aantoonbaar een training over informatiebewustzijn volgde en de meldprocedure kent. In de jaarlijkse ENSIA-zelfevaluatie, van 1 juli tot en met 31 december, verantwoordt een gemeente ook die maatregelen.
Lees over BIO2 en ENSIACyberbeveiligingswet: de zorgplicht
De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Onder de zorgplicht vallen basispraktijken voor cyberhygiëne en training van medewerkers, en het beoordelen of uw maatregelen werken. Een bestuurder moet kunnen uitleggen hoe hij dat doet.
Lees over de CyberbeveiligingswetWat uw auditor na een phishingtest van u krijgt
Een auditor wil zien dat bewustwording bij u een vast proces is: gepland, uitgevoerd, gemeten en verbeterd. Na een phishingtest van BSM heeft u voor elke stap een stuk in handen.
Het geanonimiseerde eindrapport
Geschreven door de specialisten die uw test uitvoerden. Het beschrijft het scenario, de technische bevindingen en wat er per route gebeurde: wie klikte of gegevens invulde, wie terugmailde en wie de mail meldde of navraag deed. Het eindrapport noemt nooit namen, dus u kunt het delen met uw auditor, de directie of het college.
De risicomatrix en de verbeterpunten
De risicomatrix vat de uitkomsten samen en laat zien waar het risico het grootst is. Wij beoordelen elke test met hetzelfde risicomodel, dus een reeks eindrapporten laat een ontwikkeling zien; dat zegt een auditor meer dan één momentopname. Bij de matrix staat wat u kunt verbeteren, bijvoorbeeld in uw phishingprotocol.
De herkenningsbrief voor alle medewerkers
De uitleg die iedereen na de test kreeg: waaraan de mail te herkennen was en bij wie een verdachte mail gemeld hoort te worden. Bewaar de brief met de datum waarop u hem deelde. Zo laat u zien dat alle medewerkers dezelfde uitleg kregen, ook wie niet klikte.
Het Excel-overzicht en de verwerkersovereenkomst
Het Excel-overzicht toont zonder namen per deelnemer of die klikte en of die een wachtwoord invulde; ingevulde wachtwoorden slaan wij nooit volledig op. De verwerkersovereenkomst laat zien hoe de gegevens van uw medewerkers beschermd zijn.
Plan de phishingtest op tijd, en herhaal hem om regelmaat te laten zien
Plan de test ruim voor de audit, zodat het eindrapport klaar is en u ook de opvolging kunt laten zien: wat u verbeterde en wanneer u opnieuw meet. De test kan binnen een dag starten. Het eindrapport heeft u meestal binnen een week, sneller als uw IT-beheerder de testmail snel doorlaat.
Alle vier de kaders vragen om regelmaat. Eén test laat zien waar u nu staat; een volgende test, met een ander scenario, laat zien of het beter gaat. Hoe vaak u test, bepaalt u: van één tot twaalf keer per jaar. De meeste organisaties kiezen twee of vier keer. Wilt u dit als vast ritme, dan voeren wij het uit als phishing as a service.
Een phishingtest is één onderdeel van uw bewustwordingsprogramma. Uitleg bij indiensttreding, de opleiding van bestuurders en een training voor groepen met een hoger risico regelt u daarnaast; na een test kunnen onze eigen trainers die training geven. Wat de auditor accepteert, bepaalt de auditor.
- Eindrapport meestal binnen een week na de start
- Hetzelfde risicomodel bij elke test
- Herhalen zo vaak als u kiest, steeds met een ander scenario
- Desgewenst een training door onze eigen trainers
Verdieping per norm en wet
In de kennisbank leest u per kader wat de auditor wil zien en welke stukken u van ons krijgt.
ISO 27001 awareness training: maatregel A.6.3 aantonen met een phishingtest
Wat de norm over bewustwording vraagt, de vier vragen van de auditor en wat een phishingtest aan uw dossier toevoegt.
Lees het artikelNEN 7510 awareness: bewustwording in de zorg aantonen met een phishingtest
Wat NEN 7510 vraagt, waarom melden in de zorg extra telt en wat u na de test in uw dossier heeft.
Lees het artikelBIO2 en ENSIA: bewustwording aantonen als gemeente, met een phishingtest
De BIO2-maatregel voor bewustwording, het ENSIA-ritme en hoe een eindrapport helpt richting college en raad.
Lees het artikelCyberbeveiligingswet en medewerkers: wat u kunt aantonen
De zorgplicht voor cyberhygiëne en training, de vier vragen die een bestuurder kan beantwoorden en de rol van de meldplicht.
Lees het artikelZo verloopt een phishingtest bij BSM
Van intake tot eindrapport en brief: bekijk stap voor stap wat wij doen en wat u doet.
Bespreek in een gratis intake wat uw audit nodig heeft
In de intake bespreken wij welke norm of wet voor u geldt, wanneer de audit is en welk niveau bij uw organisatie past. Daarna ontvangt u een offerte. Bellen kan ook: +31 (0)20 820 36 93.