cliente pergunta se revogamos o acesso dos funcionários desligados imediatamente, como comprovo

A revogação na rescisão é geralmente a resposta; "imediato" é a armadilha

Sim, na maioria dos casos pode responder afirmativamente aqui — mas apenas se conseguir demonstrar que o processo realmente ocorre dentro de um prazo fixo e curto, não apenas porque a política o prescreve. A pergunta testa duas coisas simultaneamente: a regra está documentada e o processo funciona também na prática. Muitos empresários respondem "sim" porque o documento de política o diz, enquanto a prova que falta é: um registo ou resumo de chamados que mostre quando uma conta foi realmente desativada, comparado com o último dia de trabalho na administração de RH.

Se não tem esse resumo, não responda automaticamente "sim". Sem prova subjacente, "não" ou "parcialmente" é a resposta mais honesta, mesmo que tenha certeza de que o processo existe — o cliente está pedindo demonstrabilidade, não uma promessa. Este tópico está relacionado com a política de acesso e a gestão de ativos: quem não regista centralmente o acesso aos sistemas e equipamento não consegue demonstrar na rescisão que tudo foi revogado. E porque a revogação de acesso frequentemente coincide com uma ação tipo incidente (uma conta que tem de ser "desligada"), é sensato alinhar esta resposta com o procedimento para incidentes de segurança: alguns clientes esperam que uma conta esquecida seja registada como incidente.

A base está no artigo 21.º, n.º 2, alínea i

Esta pergunta faz parte das dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2, especificamente a alínea i sobre segurança do pessoal e política de acesso. A norma ISO/IEC 27001 desenvolve isto mais na Anexa A, nas medidas de controlo sobre término ou alteração da relação de trabalho e sobre direitos de acesso. As empresas que já estão certificadas ISO 27001 têm geralmente esta prova no seu dossiê de auditoria — sem certificado, um registo próprio ou resumo de chamados é a alternativa mais direta.