vragenlijst vraagt of accounts van vertrokken medewerkers worden geblokkeerd

Deprovisioning van accounts bij uitdiensttreding

Ja, dit is een standaardvraag binnen toegangsbeheer, en meestal is het antwoord "ja" als er een vaste procedure staat voor het intrekken van accounts bij uitdiensttreding. De vraag toetst niet alleen of het gebeurt, maar ook hoe snel: direct op de laatste werkdag, of pas bij de volgende personeelsadministratie-run. Klanten die goed doorvragen willen soms een indicatie van de doorlooppijd zien, bijvoorbeeld in een SLA of werkinstructie.

Als er geen geautomatiseerde koppeling is tussen de HR-afvloeiing en de IT-omgeving, is "ja" nog steeds vaak verdedigbaar, mits er een handmatige checklist bestaat die iemand met een functie daadwerkelijk doorloopt. Ontbreekt zowel de koppeling als de checklist, dan is "nee" het eerlijke antwoord, ook als het in de praktijk meestal wel goed gaat — een vragenlijst vraagt naar het proces, niet naar de goede bedoelingen van de beheerder. Dit onderwerp hangt nauw samen met het vastleggen van toegangsbeleid en beheer van bedrijfsmiddelen, en met de vraag of gebruik van meerfactorauthenticatie apart wordt getoetst — accounts die niet zijn ingetrokken maar wél met MFA zijn beveiligd, wegen in de praktijk anders dan volledig onbeschermde accounts.

Waar dit onder valt in artikel 21 lid 2

Deprovisioning valt onder de maatregelen voor toegangscontrole en beheer van bedrijfsmiddelen uit artikel 21 lid 2 van de NIS2-richtlijn (2022/2555), en komt terug in Annex A van ISO/IEC 27001 bij de beheersmaatregelen rond beëindiging of wijziging van een dienstverband. Voor entiteiten die onder de Cyberbeveiligingswet gaan vallen, geldt dezelfde strekking zodra die wet op 15 augustus 2026 in werking treedt; tot die datum is de richtlijn zelf nog niet direct bindend voor Nederlandse ondernemingen, maar veel klantvragenlijsten lopen al op de tekst vooruit.