Para responder a minha própria pergunta: O script postinst do grub-efi-amd64 tem o recurso que eu pedi. Ele irá passar --no-nvram
para o binário grub-install quando a variável debconf grub2/update_nvram
for falsa.
Execute dpkg-reconfigure grub-efi-amd64
e responda "Não" quando for perguntado se deseja manter as entradas nvram automaticamente.