el cuestionario pregunta si se bloquean las cuentas de empleados que se van

Desaprovisionamiento de cuentas al término de la relación laboral

Sí, se trata de una pregunta estándar dentro de la gestión de accesos, y normalmente la respuesta es "sí" si existe un procedimiento establecido para revocar cuentas al término de la relación laboral. La pregunta no solo evalúa si ocurre, sino también con qué rapidez: inmediatamente en el último día laboral, o solo en la siguiente ejecución de nómina. Los clientes que investigan a fondo a veces desean ver una indicación del plazo de tramitación, por ejemplo en un SLA o una instrucción de trabajo.

Si no existe un acoplamiento automatizado entre la extinción de la relación laboral en RRHH y el entorno de TI, "sí" sigue siendo frecuentemente defendible, siempre que exista una lista de control manual que alguien con una función designada realmente ejecute. Si falta tanto el acoplamiento como la lista de control, "no" es la respuesta honesta, incluso si en la práctica generalmente funciona bien — una lista de preguntas pregunta por el proceso, no por las buenas intenciones del administrador. Este tema está estrechamente relacionado con el establecimiento de la política de acceso y la gestión de activos empresariales, y con la pregunta de si autenticación multifactor se evalúa por separado — cuentas que no han sido desaprovisionadas pero que sí están protegidas con MFA, tienen un peso diferente en la práctica que las cuentas completamente desprotegidas.

Dónde se incluye esto en el artículo 21, apartado 2

El desaprovisionamiento se incluye en las medidas de control de acceso y gestión de activos empresariales del artículo 21, apartado 2 de la Directiva NIS2 (2022/2555), y aparece de nuevo en el Anexo A de la ISO/IEC 27001 en las medidas de control relativas a la terminación o cambio de una relación contractual. Para las entidades que queden bajo el alcance de la Ley de Ciberseguridad, se aplica la misma línea cuando dicha ley entre en vigor el 15 de agosto de 2026; hasta esa fecha, la directiva en sí aún no es directamente vinculante para las empresas holandesas, pero muchos cuestionarios de clientes ya van adelantados en el texto.