klant vraagt hoe wij toegang intrekken van medewerkers die weg zijn

Intrekken van toegang na uitdiensttreding

Deze vraag toetst of het offboarding-proces sluitend is: gaat de toegang van een vertrokken medewerker écht dicht, en gebeurt dat snel genoeg. De klant wil geen beschrijving van de procedure op papier, maar bewijs dat het ook wérkt — dat er geen accounts blijven "hangen" na vertrek. Dit valt onder het toegangsbeleid en het beheer van bedrijfsmiddelen, specifiek het onderdeel dat gaat over het beëindigen van toegangsrechten.

Concreet bewijs hiervoor is een offboarding-checklist of -procedure die vastlegt wélke systemen worden afgesloten: e-mail, VPN, gedeelde schijven, SaaS-applicaties, gebouwtoegang en eventuele API-sleutels of servicelogins die op naam van die medewerker liepen. Sterker bewijs is een log of ticket-overzicht waaruit blijkt dat dit ook binnen een vastgestelde termijn gebeurt, bijvoorbeeld dezelfde dag of binnen 24 uur. Als er periodieke accountreviews zijn — een kwartaalcontrole die verweesde accounts opspoort — is dat een goede aanvulling, en die controle hoort ook bij de periodieke toetsing van beveiligingsmaatregelen. Ontbreekt een formele procedure, dan is "nee" het eerlijke antwoord; een belofte dat het "meestal wel gebeurt" is geen onderbouwd antwoord.

Waar dit onder valt: artikel 21 lid 2 en Annex A

Toegangsbeheer staat met naam in artikel 21 lid 2 van de NIS2-richtlijn als een van de tien verplichte maatregelen, en dat is precies de categorie waar deze vraag onder valt — niet apart benoemd als "offboarding", maar als onderdeel van toegangscontrole in brede zin. In ISO/IEC 27001 komt dit specifieker terug in de beheersmaatregelen van Annex A, waar het intrekken van toegangsrechten bij einde dienstverband een eigen controle is, los van de algemene toegangsverlening. Voor entiteiten die onder de Cyberbeveiligingswet gaan vallen zodra die in werking treedt, geldt dezelfde indeling als in de richtlijn.