le questionnaire demande si les comptes des collaborateurs partis sont désactivés

Déprovisionnement des comptes lors de la cessation d'emploi

Oui, c'est une question standard dans le contexte de la gestion des accès, et la réponse est généralement « oui » s'il existe une procédure établie pour révoquer les accès lors de la cessation d'emploi. La question ne teste pas seulement si cela se produit, mais aussi à quelle vitesse : immédiatement le dernier jour de travail, ou seulement lors de la prochaine exécution de l'administration du personnel. Les clients qui posent des questions approfondies souhaitent parfois voir une indication du délai de traitement, par exemple dans un SLA ou une instruction de travail.

S'il n'y a pas de couplage automatisé entre la cessation d'emploi en RH et l'environnement informatique, « oui » reste souvent défendable, à condition qu'il existe une liste de contrôle manuelle qu'une personne ayant une fonction effectue réellement. Si à la fois le couplage et la liste de contrôle font défaut, alors « non » est la réponse honnête, même si en pratique tout se passe généralement bien — un questionnaire demande le processus, non les bonnes intentions du responsable. Ce sujet est étroitement lié à l'établissement de la politique d'accès et de la gestion des actifs informatiques, et à la question de savoir si l'utilisation de l'authentification multifacteur est testé séparément — les comptes qui n'ont pas été déprovisionnés mais qui sont protégés par l'authentification multifacteur pèsent différemment dans la pratique que les comptes entièrement non protégés.

Où cela relève de l'article 21, paragraphe 2

Le déprovisionnement relève des mesures de contrôle d'accès et de gestion des actifs informatiques énoncées à l'article 21, paragraphe 2, de la directive NIS2 (2022/2555), et figure dans l'Annexe A de l'ISO/IEC 27001 parmi les mesures de contrôle concernant la fin ou la modification d'un contrat de travail. Pour les entités relevant de la Loi sur la cybersécurité, la même portée s'applique dès que cette loi entrera en vigueur le 15 août 2026 ; jusqu'à cette date, la directive elle-même n'est pas encore directement contraignante pour les entreprises néerlandaises, mais de nombreuses listes de questions des clients anticipent déjà le texte.