spørgeskemaet spørger, om konti tilhørende afgåede medarbejdere bliver blokeret

Deprovisioning af konti ved ansættelsesophør

Ja, dette er et standardspørgsmål inden for adgangsstyring, og svaret er normalt "ja", hvis der findes en fast procedure for tilbagekaldelse af konti ved ansættelsesophør. Spørgsmålet tester ikke blot, om det sker, men også hvor hurtigt: direkte på sidste arbejdsdag, eller først ved næste personaleadministration-kørsel. Kunder, der stiller dybdegående spørgsmål, ønsker nogle gange at se en tidsangivelse, for eksempel i en SLA eller arbejdsinstruks.

Hvis der ikke findes en automatiseret kobling mellem HR-fratrædelsen og IT-miljøet, er "ja" stadig ofte forsvarligt, forudsat at der findes en manuel tjekliste, som en person med relevant funktion faktisk gennemgår. Hvis både kobllingen og tjeklist mangler, er "nej" det ærlige svar, selv om det i praksis normalt går godt — en spørgeskemaet stiller spørgsmål til processen, ikke til administratorens gode intentioner. Dette emne hænger tæt sammen med dokumentering af adgangspolitik og styring af virksomhedsmidler, og med spørgsmålet, om multifaktor-godkendelse særskilt bliver testet — konti, der ikke er deprovisjoneret, men alligevel sikret med MFA, vægtes i praksis anderledes end helt ubeskyttede konti.

Hvor dette falder ind under artikel 21 stk. 2

Deprovisioning falder under foranstaltningerne for adgangskontrol og styring af virksomhedsmidler ifølge artikel 21 stk. 2 i NIS2-direktivet (2022/2555), og genfindes i Annex A i ISO/IEC 27001 ved de kontrollerede foranstaltninger omkring ophør eller ændring af et ansættelsesforhold. For enheder, der kommer til at falde under Cybersikkerhedsloven, gælder samme betydning, når denne lov træder i kraft den 15. august 2026; indtil da er direktivet i sig selv endnu ikke direkte bindende for nederlandske virksomheder, men mange kundes spørgeskemaer løber allerede på teksten forud.