Windows 10 end-of-life: wat uw bedrijf nu moet doen

Wat levenseinde in de praktijk betekent

Het einde van de levensduur betekent niet dat Windows 10 niet meer werkt. Het betekent dat Microsoft stopt met het repareren ervan. Patch Tuesday-updates stopten op 14 oktober 2025. Elke kwetsbaarheid die na die datum wordt ontdekt, of het nu een zero-day is die wordt uitgebuit door ransomware-groepen of een bekendgemaakte CVE die is gepubliceerd in de National Vulnerability Database, blijft voor onbepaalde tijd open op Windows 10-machines. Er komt geen patch.

De vergelijking met het einde van de levensduur van Windows 7 in januari 2020 is leerzaam. Binnen enkele maanden nam de exploitatieactiviteit gericht op niet-gepatchte Windows 7-machines sterk toe. Bedreigingsactoren houden lijsten bij van besturingssystemen die het einde van hun levensduur hebben, juist omdat het aanvalsoppervlak bekend en permanent is en groeit met elke nieuwe CVE-onthulling.

Naast de beveiliging verliest Windows 10 geleidelijk de ondersteuning van derden. Softwareleveranciers werken hun compatibiliteitsmatrices bij wanneer er een nieuwe versie wordt uitgebracht. Applicaties zullen op korte termijn blijven werken, maar door leveranciers ondersteunde configuraties, driverupdates voor nieuwe hardware en verbeteringen in de browserbeveiliging zullen de komende één tot twee jaar niet meer beschikbaar zijn op Windows 10.

De omvang van het probleem

Volgens Statcounter draaide in september 2026 nog 21,06% van de Windows-desktops in Nederland op Windows 10. Bij een park van 100 machines zijn dat ongeveer 21 apparaten die al bijna een jaar geen beveiligingspatches krijgen.

De concentratie is hoger bij bedrijven die in 2017-2019 hardware hebben gekocht, ofwel omdat die machines niet voldoen aan de hardwarevereisten van Windows 11, ofwel omdat er geen migratie gepland was toen Windows 11 in 2021 uitkwam. Veel organisaties ontdekten het probleem pas toen een ISO 27001-auditor of een klantbeoordeling het signaleerde.

Uw drie opties

Optie 1: Upgrade ter plaatse (gratis)

Als de machine voldoet aan de hardwarevereisten van Windows 11, is de upgrade gratis via Windows Update of de Windows 11 Installatieassistent. Het proces duurt 45 tot 90 minuten, behoudt bestaande applicaties en bestanden en vereist geen licentieaankoop. Voor machines die in aanmerking komen, is dit het traject met de laagste wrijving.

De gebruikelijke blokkering is TPM 2.0. Windows 11 vereist een Trusted Platform Module van versie 2.0. Veel machines uit 2016–2018 werden geleverd met TPM 1.2 of met TPM 2.0 aanwezig, maar uitgeschakeld in de BIOS-instellingen. Controleer de BIOS-firmware-instellingen voordat u besluit dat een machine niet kan worden geüpgraded. Een uitgeschakelde TPM 2.0-chip kan binnen enkele minuten worden ingeschakeld en zorgt ervoor dat de machine in aanmerking komt voor een gratis upgrade. Voer de Microsoft PC Health Check-applicatie uit op elk apparaat om de geschiktheidsstatus te bevestigen voordat u iets anders plant.

Optie 2: hardware vervangen

Machines die na BIOS-inspectie de compatibiliteitscontroles niet doorstaan, komen in aanmerking voor vervanging. Een laptop met een vernieuwingscyclus van 4 à 5 jaar zou normaal gesproken toch rond deze periode aan vervanging toe zijn. De deadline voor Windows 10 versnelt een hardwarevernieuwing die al in aantocht was.

Als u vervangt, standaardiseer dan op basis van een hardwarespecificatie. Consistente hardware vermindert de complexiteit van de ondersteuning en maakt imaging, implementatie en probleemoplossing sneller. Documenteer de minimumspecificaties voor nieuwe aankopen in de toekomst, zodat aanbestedingsbeslissingen niet binnen vier jaar hetzelfde probleem veroorzaken.

Optie 3: Uitgebreide beveiligingsupdates (ESU)

Voor thuisgebruikers in de EER was ESU gratis, mits ingelogd met een persoonlijk Microsoft-account. Die dekking stopt op 13 oktober 2026 en Microsoft biedt consumenten geen tweede jaar. Gebruiken uw medewerkers een eigen Windows 10-laptop voor hun werk, dan krijgt die op de Patch Tuesday van oktober 2026 zijn laatste patch. Behandel zulke apparaten als onbeheerd en blokkeer hun toegang tot bedrijfsgegevens met conditional access.

Zakelijke gebruikers kopen ESU per apparaat via volumelicenties of cloudproviders. Jaar 1 loopt tot 13 oktober 2026 en kost circa €61–65 per apparaat. Jaar 2 loopt van 14 oktober 2026 tot oktober 2027 en kost circa €130; jaar 3 verdubbelt opnieuw naar circa €261. Stapt u in jaar 2 in, dan betaalt u jaar 1 ook, dus circa €195 per apparaat. Windows 10-apparaten die verbinding maken met Windows 365 of Azure Virtual Desktop krijgen ESU zonder extra kosten. Zakelijke ESU stopt in oktober 2028.

ESU zorgt ervoor dat machines worden gepatcht tegen openbaar gemaakte kwetsbaarheden, maar herstelt geen functie-updates, driverondersteuning voor nieuwe hardware of compatibiliteit met toekomstige softwarereleases. Het is een brug bij het plannen en uitvoeren van migratie, en geen permanent alternatief. Als uw plan nu ESU is en later migratie, stel dan de migratiedeadline in voordat de ESU-periode afloopt.

Controle van uw nalatenschap

Voordat u een migratie plant, heeft u een nauwkeurige inventaris nodig van elk apparaat, de versie van het besturingssysteem en de compatibiliteitsstatus met Windows 11.

Als uw organisatie Microsoft Intune gebruikt, voert u een apparaatcompliancerapport uit, gefilterd op besturingssysteemversie. Intune kan ook PC Health Check-resultaten op schaal uitvoeren via een compliancebeleid. Als u een ander RMM-platform gebruikt, genereer dan een OS-inventarisrapport vanuit de beheerconsole. Als u niet over tools voor extern beheer beschikt, kan de Microsoft PC Health Check-applicatie lokaal op elke machine worden uitgevoerd.

Exporteer de resultaten naar een spreadsheet en groepeer apparaten in drie categorieën: komen in aanmerking voor een interne upgrade, vereisen hardwarevervanging en worden gedekt door ESU in afwachting van vervanging. Maak een herstelopdracht met prioriteit: beheerdersaccounts en machines die eerst toegang hebben tot financiële systemen, bevoorrechte gegevens of VPN-verbonden bronnen.

Hardwarevereisten voor Windows 11

Gevolgen voor compliance

AVG (artikel 32) vraagt passende technische maatregelen om persoonsgegevens te beveiligen. Na een datalek kan de Autoriteit Persoonsgegevens een niet-ondersteund besturingssysteem meewegen bij de beoordeling of die maatregelen passend waren.

ISO 27001:2022, bijlage A.8.8 (Management of Technical Vulnerabilities) vereist dat organisaties kwetsbaarheden in hun informatiemiddelen identificeren en deze binnen een gedefinieerd tijdsbestek aanpakken. Een besturingssysteem dat permanent niet-gepatchte CVE's verzamelt, is een gedocumenteerde technische kwetsbaarheid waarvoor een auditor een schriftelijk herstelplan nodig heeft.

NIS2 (EU, artikel 21) vereist dat essentiële en belangrijke entiteiten hun systemen in een veilige staat houden, inclusief het toepassen van patches en updates. In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet, met sectorale toezichthouders zoals de RDI. Niet-gepatchte, niet-ondersteunde besturingssystemen op systemen binnen het bereik zijn een controlefout die toezichthoudende autoriteiten zullen documenteren.