hoe vul ik in dat we toegang van vertrekkend personeel intrekken

Deze vraag hoort bij toegangsbeleid, niet bij HR-proces

Dit valt onder het toegangsbeleid, inclusief het beheer van bedrijfsmiddelen — niet onder een apart HR-onderdeel. De vragende partij wil weten of accounts, wachtwoorden en toegangsrechten van vertrekkend personeel structureel worden ingetrokken, en of dat binnen een vaste termijn gebeurt na de laatste werkdag. Een goed antwoord noemt drie dingen: wie de intrekking uitvoert (IT, HR, of een geautomatiseerd proces), binnen welke termijn dat gebeurt, en of dit ook geldt voor toegang tot systemen van derden zoals cloudapplicaties of VPN.

Als er een vaste procedure is — bijvoorbeeld: HR meldt uitdiensttreding, IT deactiveert alle accounts binnen 24 uur — dan is "ja" te onderbouwen, mits dat proces ook echt is vastgelegd en niet alleen in de praktijk gebeurt. Ontbreekt die vastlegging, of gebeurt intrekking ad hoc zonder vaste termijn, dan is "nog te bepalen" het eerlijkere antwoord: het systeem stelt dat voor zolang het dossier geen procedurebeschrijving of bewijsstuk heeft, en de ondernemer bevestigt zelf of hij dat wil aanscherpen voordat hij indient. Vaak is dit een kwestie van iets vastleggen wat al gebeurt, in plaats van een nieuw proces optuigen.

Waarom dit onder toegangsbeheer valt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn noemt toegangsbeleid en beheer van bedrijfsmiddelen als een van de tien verplichte maatregelen; het intrekken van toegang bij uitdiensttreding is daar een direct onderdeel van, omdat een blijvend actief account van een oud-medewerker een onbeheerd toegangspunt is. ISO/IEC 27001 werkt dit verder uit in Annex A, waar beëindiging of wijziging van toegangsrechten bij einde dienstverband als afzonderlijke beheersmaatregel terugkomt. Voor bedrijven die zelf onder de reikwijdte van deze regels vallen — dat staat beschreven bij de vraag of de onderneming onder de richtlijn of de nationale omzetting valt — is dit dan ook geen vrijblijvend detail, maar onderdeel van de verplichte basismaatregelen.