como preencho que revogamos o acesso do pessoal que sai

Esta pergunta diz respeito à política de acesso, não ao processo de RH

Isto enquadra-se em a política de acesso, incluindo a gestão de ativos empresariais — e não numa parte separada de RH. A parte que faz as perguntas quer saber se as contas, palavras-passe e direitos de acesso do pessoal que sai são revogados estruturalmente, e se isso acontece dentro de um prazo fixo após o último dia de trabalho. Uma boa resposta menciona três coisas: quem executa a revogação (TI, RH, ou um processo automatizado), dentro de que prazo isso acontece, e se isto também se aplica ao acesso a sistemas de terceiros, como aplicações em nuvem ou VPN.

Se existe um procedimento fixo — por exemplo: RH comunica o fim do contrato, TI desativa todas as contas num prazo de 24 horas — então "sim" pode ser fundamentado, desde que esse processo esteja realmente documentado e não apenas ocorra na prática. Se falta essa documentação, ou se a revogação ocorre de forma ad hoc sem prazo fixo, então "a determinar" é a resposta mais honesta: o sistema coloca isso em proposta enquanto o dossier não tiver uma descrição de procedimento ou documento de prova, e o empresário confirma por si mesmo se quer melhorar isto antes de submeter. Frequentemente, trata-se apenas de documentar algo que já acontece, em vez de estabelecer um novo processo.

Por que isto se enquadra na gestão de acesso: artigo 21.º, n.º 2 e Anexo A

O artigo 21.º, n.º 2 da Diretiva NIS2 menciona a política de acesso e a gestão de ativos empresariais como uma das dez medidas obrigatórias; a revogação do acesso aquando da cessação do contrato é uma parte direta disso, porque uma conta que permanece ativa de um ex-funcionário é um ponto de acesso não gerido. A ISO/IEC 27001 desenvolve isto ainda mais no Anexo A, onde o encerramento ou alteração dos direitos de acesso ao fim do contrato de trabalho aparece como uma medida de controlo separada. Para empresas que caem pessoalmente no âmbito de aplicação destas regras — está descrito na pergunta sobre se a empresa se enquadra na diretiva ou na transposição nacional — isto também não é um detalhe facultativo, mas faz parte das medidas básicas obrigatórias.