Wie vermerke ich, dass wir den Zugriff von ausscheidenden Mitarbeitern entziehen

Diese Frage gehört zur Zugriffskontrollrichtlinie, nicht zum HR-Prozess

Dies fällt unter die Zugriffskontrollrichtlinie, einschließlich der Verwaltung von Betriebsmitteln — nicht unter einen separaten HR-Bereich. Die fragende Partei möchte wissen, ob Konten, Passwörter und Zugriffsrechte von ausscheidenden Mitarbeitern strukturell entzogen werden und ob dies innerhalb einer festgelegten Frist nach dem letzten Arbeitstag geschieht. Eine gute Antwort nennt drei Dinge: wer die Entzug durchführt (IT, HR oder ein automatisierter Prozess), innerhalb welcher Frist dies geschieht und ob dies auch für den Zugriff auf Systeme Dritter wie Cloud-Anwendungen oder VPN gilt.

Wenn es ein festes Verfahren gibt — zum Beispiel: HR meldet Ausscheiden, IT deaktiviert alle Konten innerhalb von 24 Stunden — dann ist "ja" zu begründen, vorausgesetzt, dieser Prozess ist tatsächlich dokumentiert und nicht nur in der Praxis vorhanden. Fehlt diese Dokumentation oder geschieht die Entzug ad hoc ohne festgelegte Frist, dann ist "noch zu bestimmen" die ehrlichere Antwort: das System schlägt dies vor, solange das Dossier keine Verfahrensbeschreibung oder Beweismittel enthält, und der Unternehmer bestätigt selbst, ob er dies vor der Einreichung verschärfen möchte. Oft ist dies eine Frage der Dokumentation von etwas, das bereits geschieht, anstatt eines neuen Prozesses.

Warum dies unter Zugriffskontrolle fällt: Artikel 21 Absatz 2 und Anlage A

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt Zugriffskontrollrichtlinie und Verwaltung von Betriebsmitteln als eine der zehn erforderlichen Maßnahmen; die Aufhebung des Zugriffs bei Ausscheiden ist dort ein direkter Teil davon, weil ein weiterhin aktives Konto eines ehemaligen Mitarbeiters ein unkontrollierter Zugangspunkt ist. ISO/IEC 27001 konkretisiert dies weiter in Anlage A, wo die Beendigung oder Änderung von Zugriffsrechten bei Ende des Dienstverhältnisses als separate Kontrollmaßnahme wiederkehrt. Für Unternehmen, die selbst unter den Anwendungsbereich dieser Regeln fallen — dies wird bei der Frage beschrieben, ob das Unternehmen unter die Richtlinie oder deren nationale Umsetzung fällt — ist dies daher kein freiwilliges Detail, sondern Teil der erforderlichen Grundmaßnahmen.