comment remplir le fait que nous révoquons l'accès du personnel qui part

Cette question relève de la politique d'accès, non du processus RH

Cela relève de la politique d'accès, y compris la gestion des actifs informatiques — et non d'une partie RH séparée. La partie qui pose la question souhaite savoir si les comptes, mots de passe et droits d'accès du personnel sortant sont révoqués de manière structurelle, et si cela se fait dans un délai fixe après le dernier jour de travail. Une bonne réponse énumère trois éléments : qui exécute la révocation (IT, RH, ou un processus automatisé), dans quel délai cela se fait, et si cela s'applique également à l'accès aux systèmes de tiers tels que les applications cloud ou le VPN.

S'il existe une procédure fixe — par exemple : RH signale le départ, IT désactive tous les comptes dans les 24 heures — alors « oui » peut être justifié, à condition que ce processus soit effectivement documenté et ne se fasse pas seulement en pratique. Si cette documentation fait défaut, ou si la révocation se fait de manière ponctuelle sans délai fixe, alors « à déterminer » est la réponse plus honnête : le système le propose aussi longtemps que le dossier ne contient pas de description de procédure ou de preuve, et l'entrepreneur confirme lui-même s'il souhaite l'améliorer avant de soumettre. Souvent, il s'agit simplement de documenter ce qui se fait déjà, au lieu de mettre en place un nouveau processus.

Pourquoi cela relève de la gestion des accès : article 21, paragraphe 2, et Annexe A

L'article 21, paragraphe 2, de la directive NIS2 énumère la politique d'accès et la gestion des actifs informatiques comme l'une des dix mesures obligatoires ; la révocation de l'accès à la fin du contrat de travail en est une partie directe, car un compte toujours actif d'un ancien salarié constitue un point d'accès non géré. ISO/IEC 27001 développe cela davantage dans l'Annexe A, où la cessation ou la modification des droits d'accès à la fin du contrat de travail réapparaît comme une mesure de contrôle distincte. Pour les entreprises qui relèvent elles-mêmes du champ d'application de ces règles — cela est décrit dans la question de savoir si l'entreprise relève de la directive ou de sa transposition nationale — cela n'est donc pas un détail facultatif, mais fait partie des mesures de base obligatoires.