El problema es que el devolver una cadena en el método usado como action indicará que JSF ejecute un forward a la vista cuyo nombre sea la cadena devuelta. Es decir:

    public String metodoAction() {
        /* lógica de tu action... */
        return "/pagina.xhtml"; //<-- nombre de la vista a hacer forward
    }

Puesto que haces forward, tu contenedor de servlets/servidor de aplicaciones intentará reutilizar los elementos del request actual, entre ellos la sesión, pero tu sesión ha quedado invalidada por la ejecución de `Session#invalidate`, lo que hace que la sesión de **el request actual** (el que se usa para generar la vista en el forward) sea `null`. Por ende, el NPE.

Lo que debes hacer es iniciar un nuevo request. Para ello, en lugar de hacer forward lo que debes hacer es redireccionar a una página. El redirect indica que se generará un nuevo ciclo request/response para tu aplicación. Este nuevo request estará asociado a una nueva sesión. Para lograr un redirect desde un action en JSF, debes agregar `?faces-redirect=true` al final de la cadena:

    public String metodoAction() {
        /* lógica de tu action... */
        // nombre de la vista, con el parámetro JSF lo interpreta
        // para hacer un redirect (retornar código 303) y no un forward
        return "/pagina.xhtml?faces-redirect=true";
    }

Los conceptos de forward y redirect no son propios de JSF, pertenecen a Java EE. Puedes ver una explicación de las diferencias [aquí](https://es.stackoverflow.com/a/4698/227).

----

Adicional a ello, puedes mejorar la aplicación al dividir ciertas acciones al request donde debería estar. Por ejemplo, un cierre de sesión le corresponde más a un bean de alcance request, puesto que los bean con `@ViewScoped` o `@SessionScoped` se almacenan en la sesión (aquella que estás invalidando y que puede eliminar la sesión y los elementos que hay en ella).