klant vraagt of we toegang van uitdiensttreders direct intrekken, hoe bewijs ik dat

Intrekken bij uitdiensttreding is meestal wel het antwoord, "direct" is de valkuil

Ja, in de meeste gevallen mag je hier bevestigend antwoorden — maar alleen als je kunt laten zien dat het proces ook echt binnen een vaste, korte termijn gebeurt, niet alleen dat het beleid het voorschrijft. De vraag test twee dingen tegelijk: staat de regel op papier, en werkt het proces ook in de praktijk. Veel ondernemers antwoorden "ja" omdat het beleidsdocument het zegt, terwijl het bewijsstuk dat ontbreekt is: een log of ticketoverzicht waaruit blijkt wanneer een account daadwerkelijk is uitgeschakeld, afgezet tegen de laatste werkdag uit de HR-administratie.

Heb je dat overzicht niet, antwoord dan niet automatisch "ja". Zonder onderliggend bewijs is "nee" of "deels" het eerlijkere antwoord, ook als je zeker weet dat het proces bestaat — de klant vraagt namelijk om aantoonbaarheid, niet om een belofte. Dit onderwerp hangt samen met het toegangsbeleid en het beheer van bedrijfsmiddelen: wie zijn toegang tot systemen en apparatuur niet centraal registreert, kan bij uitdiensttreding ook niet aantonen dat alles is ingetrokken. En omdat toegangsintrekking vaak samenvalt met een incident-achtige actie (een account dat "uit" moet), is het slim om dit antwoord te laten aansluiten op de procedure voor beveiligingsincidenten: sommige klanten verwachten dat een vergeten account als incident wordt gelogd.

De basis staat in artikel 21 lid 2, onderdeel i

Deze vraag valt onder de tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn, specifiek onderdeel i over personeelsbeveiliging en toegangsbeleid. ISO/IEC 27001 werkt dit verder uit in Annex A, in de beheersmaatregelen over beëindiging of wijziging van het dienstverband en over toegangsrechten. Bedrijven die al ISO 27001-gecertificeerd zijn, hebben dit bewijs meestal al liggen als onderdeel van hun auditdossier — geen certificaat, dan is een eigen log- of ticketoverzicht het meest directe alternatief.