la lista di domande chiede se gli account dei dipendenti che se ne vanno vengono bloccati

Deprovisioning degli account al termine del rapporto di lavoro

Sì, questa è una domanda standard nell'ambito del controllo degli accessi, e di solito la risposta è "sì" se esiste una procedura consolidata per la revoca degli account al termine del rapporto di lavoro. La domanda non valuta solo se ciò accade, ma anche con quale rapidità: immediatamente l'ultimo giorno lavorativo, oppure solo con la successiva esecuzione dell'amministrazione del personale. I clienti che pongono domande più approfondite a volte desiderano vedere un'indicazione dei tempi di elaborazione, ad esempio in un SLA o in istruzioni operative.

Se non esiste un collegamento automatizzato tra la cessazione dei rapporti HR e l'ambiente IT, "sì" rimane comunque spesso difendibile, purché esista una checklist manuale che qualcuno con una funzione appropriata effettivamente percorre. Se mancano sia il collegamento automatizzato che la checklist, allora "no" è la risposta onesta, anche se in pratica di solito funziona bene — una lista di domande valuta il processo, non le buone intenzioni del gestore. Questo argomento è strettamente correlato a la documentazione della politica di accesso e della gestione dei beni aziendali, e con la domanda se autenticazione multifattore viene valutato separatamente — gli account non revocati ma protetti con MFA hanno un peso diverso nella pratica rispetto agli account completamente indifesi.

Dove rientra questo nell'articolo 21 paragrafo 2

Il deprovisioning rientra nelle misure di controllo degli accessi e gestione dei beni aziendali di cui all'articolo 21 paragrafo 2 della direttiva NIS2 (2022/2555), e ricorre nell'Allegato A della norma ISO/IEC 27001 tra le misure di controllo relative alla cessazione o al cambiamento di un rapporto di lavoro. Per le entità che rientreranno nella Legge sulla cibersicurezza, si applica lo stesso principio una volta che tale legge entrerà in vigore il 15 agosto 2026; fino a tale data la direttiva stessa non è ancora direttamente vincolante per le imprese olandesi, ma molte liste di domande dei clienti già anticipano il testo.