Kunde fragt, ob wir den Zugriff von ausgeschiedenen Mitarbeitern sofort entziehen, wie beweise ich das

Das Entziehen bei Beendigung des Arbeitsverhältnisses ist normalerweise die Antwort, "unmittelbar" ist die Falle

Ja, in den meisten Fällen darfst du hier zustimmend antworten — aber nur, wenn du nachweisen kannst, dass der Prozess auch wirklich innerhalb einer festgelegten, kurzen Frist abläuft, nicht nur dass die Richtlinie es vorschreibt. Die Frage prüft zwei Dinge gleichzeitig: steht die Regel auf dem Papier, und funktioniert der Prozess auch in der Praxis. Viele Unternehmer antworten "ja", weil das Richtliniendokument es sagt, während das fehlende Beweismittel ist: ein Protokoll oder Ticket-Überblick, der zeigt, wann ein Konto tatsächlich deaktiviert wurde, abgeglichen mit dem letzten Arbeitstag aus der HR-Verwaltung.

Wenn du diesen Überblick nicht hast, antworte dann nicht automatisch "ja". Ohne zugrunde liegende Nachweise ist "nein" oder "teilweise" die ehrlichere Antwort, auch wenn du sicher weißt, dass der Prozess existiert — der Kunde fragt nämlich nach Nachweisbarkeit, nicht nach einem Versprechen. Dieses Thema hängt zusammen mit der Zugangsrichtlinie und der Verwaltung von Unternehmensressourcen: wer seinen Zugang zu Systemen und Ausrüstung nicht zentral registriert, kann bei Beendigung des Arbeitsverhältnisses auch nicht nachweisen, dass alles entzogen wurde. Und weil die Zugangsent­ziehung oft mit einer ereignisartigen Aktion zusammenfällt (ein Konto, das "aus" gehen muss), ist es klug, diese Antwort mit das Verfahren für Sicherheitsvorfälle" abzustimmen: manche Kunden erwarten, dass ein vergessenes Konto als Vorfall protokolliert wird.

Die Grundlagen stehen in Artikel 21 Absatz 2, Buchstabe i

Diese Frage fällt unter die zehn Maßnahmen von Artikel 21 Absatz 2 der NIS2-Richtlinie, speziell Buchstabe i über Personalschutz und Zugangsrichtlinie. ISO/IEC 27001 konkretisiert dies weiter in Annex A, in den Kontrollmaßnahmen zur Beendigung oder Änderung des Arbeitsverhältnisses und zu Zugriffsrechten. Unternehmen, die bereits ISO 27001-zertifiziert sind, haben diesen Nachweis normalerweise bereits als Teil ihres Auditdossiers — kein Zertifikat, dann ist ein eigenes Protokoll- oder Ticket-Verzeichnis die direkteste Alternative.