El problema es que el devolver una cadena en el método usado como action indicará que JSF ejecute un forward a la vista cuyo nombre sea la cadena devuelta. Es decir: public String metodoAction() { /* lógica de tu action... */ return "/pagina.xhtml"; //<-- nombre de la vista a hacer forward } Puesto que haces forward, tu contenedor de servlets/servidor de aplicaciones intentará reutilizar los elementos del request actual, entre ellos la sesión, pero tu sesión ha quedado invalidada por la ejecución de `Session#invalidate`, lo que hace que la sesión de **el request actual** (el que se usa para generar la vista en el forward) sea `null`. Por ende, el NPE. Lo que debes hacer es iniciar un nuevo request. Para ello, en lugar de hacer forward lo que debes hacer es redireccionar a una página. El redirect indica que se generará un nuevo ciclo request/response para tu aplicación. Este nuevo request estará asociado a una nueva sesión. Los conceptos de forward y redirect no son propios de JSF, pertenecen a Java EE. Puedes ver una explicación de las diferencias [aquí](http://es.stackoverflow.com/a/4698/227). ---- Adicional a ello, puedes mejorar la aplicación al dividir ciertas acciones al request donde debería estar. Por ejemplo, un cierre de sesión le corresponde más a un bean de alcance request, puesto que los bean con `@ViewScoped` o `@SessionScoped` se almacenan en la sesión (aquella que estás invalidando y que puede eliminar la sesión y los elementos que hay en ella).