cómo indico que revocamos el acceso del personal que se va

Esta pregunta pertenece a la política de acceso, no al proceso de RR.HH.

Esto cae bajo la política de acceso, incluida la gestión de activos empresariales — no bajo un departamento de RR.HH. separado. La parte que realiza la consulta desea saber si las cuentas, contraseñas y derechos de acceso del personal que se va son revocados de forma estructurada, y si esto ocurre dentro de un plazo fijo después del último día de trabajo. Una buena respuesta menciona tres cosas: quién ejecuta la revocación (TI, RR.HH. o un proceso automatizado), en qué plazo ocurre esto, y si también se aplica al acceso a sistemas de terceros como aplicaciones en la nube o VPN.

Si existe un procedimiento fijo —por ejemplo: RR.HH. notifica el cese de empleo, TI desactiva todas las cuentas en 24 horas— entonces "sí" puede justificarse, siempre que ese proceso esté realmente documentado y no solo ocurra en la práctica. Si falta esa documentación, o la revocación ocurre de forma ad hoc sin plazo fijo, entonces "por determinar" es la respuesta más honesta: el sistema lo sugiere mientras el expediente carezca de descripción de procedimiento o prueba, y el empresario confirma por sí mismo si desea precisarlo antes de presentar. Con frecuencia, se trata simplemente de documentar algo que ya ocurre, en lugar de crear un nuevo proceso.

Por qué esto cae bajo la gestión de acceso: artículo 21 apartado 2 y Anexo A

El artículo 21 apartado 2 de la Directiva NIS2 menciona la política de acceso y la gestión de activos empresariales como una de las diez medidas obligatorias; la revocación de acceso tras el cese de empleo es una parte directa de esto, porque una cuenta que sigue activa de un ex-empleado es un punto de acceso sin supervisión. La norma ISO/IEC 27001 lo desarrolla más en el Anexo A, donde la terminación o modificación de derechos de acceso al final de la relación laboral reaparece como una medida de control separada. Para empresas que se encuentren dentro del alcance de estas normas — esto está descrito en la pregunta sobre si la empresa está incluida en el alcance de la directiva o de su transposición nacional — entonces tampoco es un detalle opcional, sino parte de las medidas básicas obligatorias.