a lista de questões pergunta se as contas de colaboradores que saíram são bloqueadas

Desprovisionamento de contas no término do vínculo

Sim, esta é uma pergunta padrão dentro de controle de acesso e, normalmente, a resposta é "sim" se existe um procedimento estabelecido para revogar contas no término do vínculo. A pergunta não apenas testa se isso acontece, mas também com que rapidez: no último dia de trabalho ou apenas na próxima execução de administração de pessoal. Clientes que investigam mais a fundo às vezes querem ver uma indicação do tempo de processamento, por exemplo, num SLA ou instrução de trabalho.

Se não existir uma ligação automatizada entre a saída de RH e o ambiente de TI, "sim" ainda é frequentemente defensável, desde que exista uma lista de verificação manual que alguém com uma função executa efetivamente. Se faltarem tanto a ligação quanto a lista de verificação, então "não" é a resposta honesta, mesmo que na prática geralmente corra bem — uma lista de questões pergunta sobre o processo, não sobre as boas intenções do gestor. Este tópico está estreitamente relacionado com o estabelecimento de políticas de acesso e gestão de ativos empresariais, e com a questão de se autenticação multifator é testado separadamente — contas que não foram desprovisionadas mas estão protegidas com MFA pesam de forma diferente na prática do que contas completamente desprotegidas.

Onde isto se enquadra no artigo 21.º, n.º 2

O desprovisionamento enquadra-se nas medidas de controle de acesso e gestão de ativos empresariais do artigo 21.º, n.º 2 da Diretiva NIS2 (2022/2555), e reaparece no Anexo A da ISO/IEC 27001 nas medidas de controle em torno do término ou alteração de uma relação de trabalho. Para entidades que se enquadram na Lei de Cibersegurança, a mesma orientação é aplicável assim que essa lei entrar em vigor em 15 de agosto de 2026; até essa data, a diretiva em si ainda não é vinculativa para empresas holandesas, mas muitos questionários dos clientes já estão a antecipar o texto.