Der Fragebogen fragt, wie wir den Zugriff entziehen, wenn ein Mitarbeiter aus dem Dienst ausscheidet

Deprovisioning ist Teil der Zugriffskontrollrichtlinie, nicht des HR-Prozesses

Die Frageliste möchte hier wissen, ob der Widerruf des Zugriffs bei Beendigung des Arbeitsverhältnisses ein fest etablierter, dokumentierter Prozess ist — keine Ad-hoc-Maßnahme, die davon abhängt, ob der Manager IT darüber benachrichtigt. Konkret wird üblicherweise geprüft: Wird der Zugriff am letzten Arbeitstag (oder früher) widerrufen, geschieht das für alle Systeme einschließlich gemeinsamer Konten und Cloud-Anwendungen, und gibt es eine Checkliste oder einen automatisierten Auslöser, der dies sicherstellt. Dies fällt unter der Zugriffsrichtlinie und Verwaltung von Unternehmensmitteln, und viele Kunden fragen explizit danach als separater Teil dieser Frage, nicht als separate Frage.

Falls kein formales Verfahren besteht, der Zugriff aber in der Praxis immer widerrufen wird, ist "nein" mit einer Erläuterung ehrlicher als ein "ja" ohne Nachweisdokument. Nachweise, die hier oft ausreichen: eine Verfahrensbeschreibung oder Checkliste aus dem Identity- und Zugriffsmanagementsystem, ein Export von Kontostatus nach Beendigung des Arbeitsverhältnisses, oder ein Verweis auf den HR-Offboarding-Prozess, in dem der IT-Schritt enthalten ist. Fehlt dieser Nachweis, lautet die Antwort vorerst "nein" — das ist keine Rüge der Frageliste, es ist eine Lücke, die sichtbar wird und die du unabhängig von dieser Liste schließen kannst. Prüfe auch, ob mehrstufige Authentifizierung eine Rolle in der Antwort spielt: Einige Kunden fragen explizit, ob MFA-Tokens und Hardware-Schlüssel ebenfalls eingezogen werden, was einen anderen Nachweis erfordert als nur den Widerruf eines Kontos; suche dafür nach Multi-Faktor-Authentifizierung für Unternehmenssysteme.

Wo dies unter die zehn Maßnahmen fällt

Die Zugriffskontrollrichtlinie, einschließlich des Widerrufs des Zugriffs bei Beendigung des Arbeitsverhältnisses, fällt unter die Maßnahmen zur Zugriffskontrolle und zum Schutz des Personals, die in Artikel 21 Absatz 2 der NIS2-Richtlinie (Richtlinie (EU) 2022/2555) genannt werden. Wer mit ISO/IEC 27001 arbeitet, erkennt dies als eine Kontrollmaßnahme aus Anlage A zur Zugriffskontrolle und Beendigung eines Beschäftigungsverhältnisses; ein Auditor wird dort üblicherweise explizit nach dem Nachweisdokument der letzten Beendigung fragen, nicht nur nach der schriftlichen Richtlinie.