- De extended support voor Windows Server 2016 eindigt op 12 januari 2027. De Patch Tuesday-update van januari is de laatste voor servers zonder ESU
- Extended Security Updates (ESU) lopen maximaal drie jaar, tot en met 2030, en dekken alleen beveiligingsfixes met de classificatie Critical of Important
- On-premises servers krijgen ESU via Azure Arc, maandelijks gefactureerd vanaf 13 januari 2027. U hebt Software Assurance, een serverabonnement of een SPLA-licentie nodig om het te kopen
- Microsoft heeft geen lijstprijs gepubliceerd voor Windows Server 2016 ESU. Vraag uw licentiepartner nu, vóór de deadline van januari, om een offerte
- De ondersteuning voor SQL Server 2016 eindigde op 14 juli 2026 en die voor Exchange Server 2016 op 14 oktober 2025, dus op veel servers uit 2016 draait al meer dan één niet-ondersteund product
Wat verandert er op 12 januari 2027
Windows Server 2016 werd uitgebracht in oktober 2016. De reguliere ondersteuning eindigde in januari 2022, en op de levenscycluspagina van Microsoft wordt het einde van de uitgebreide ondersteuning vermeld op 12 januari 2027. Die datum is ook de Patch Tuesday van januari, dus de cumulatieve update die die dag wordt uitgebracht, is de laatste voor elke server die niet is ingeschreven bij ESU.
Er wordt niets uitgeschakeld. De servers blijven opstarten, Active Directory blijft gebruikers authenticeren en bestandsshares blijven online. De beveiligingsfixes stoppen. Een kwetsbaarheid die in februari 2027 bekend wordt, wordt gepatcht op Windows Server 2019, 2022 en 2025, en aanvallers kunnen deze patches vergelijken om precies te bepalen wat er op 2016 nog openstaat. Containerimages die zijn gebouwd op de Windows Server 2016-basisimage volgen dezelfde data.
Waar Windows Server 2016 zich in uw omgeving verbergt
Uw belangrijkste applicatieservers staan waarschijnlijk al op de lijst. De installaties uit 2016 die problemen veroorzaken, zijn meestal de servers die buiten het serverproject vallen:
- Domeincontrollers die in 2017 of 2018 zijn gebouwd en sindsdien met rust zijn gelaten
- Hyper-V-hosts: als de host zelf wordt gecompromitteerd, ligt elke virtuele machine erop open
- Hosts van Remote Desktop Services en de licentieserver erachter
- Backup-, print- en fileservers, vaak op oudere hardware in een serverkast
- Door de leverancier geleverde systemen zoals CCTV-recorders, gebouwbeheer, laboratoriumapparatuur of een line-of-business-applicatie, waarbij de leverancier 2016 heeft geïnstalleerd en de upgrade beheert
- Een Exchange Server 2016-server die is blijven staan voor hybride beheer en sinds oktober 2025 niet meer wordt ondersteund
- SQL Server 2016-instanties, die in juli 2026 de ondersteuning verloren en hun eigen plan nodig hebben
Uw opties vergeleken
| Optie | Wat je krijgt | Beste voor |
|---|---|---|
| In-place upgrade naar Windows Server 2025 | Ondersteuning tot november 2034. Windows Server 2025 accepteert directe upgrades vanaf 2016. Controleer eerst of uw applicaties, back-upagent en leverancierssoftware 2025 ondersteunen | Stabiele servers met één rol, op hardware die nog een paar jaar meegaat |
| Nieuw bouwen en migreren | Een schone installatie zonder stuurprogramma's, agents en instellingen uit het 2016-tijdperk | Domeincontrollers, bestandsservers en alles op verouderde hardware |
| Verplaats de werklast naar Azure | Geen hardware om te vervangen. Microsoft heeft eerder ESU voor oudere Windows Server-versies zonder extra kosten in Azure opgenomen | Servers die al aan nieuwe hardware toe zijn |
| Koop ESU via Azure Arc | Tot drie jaar beveiligingsfixes, maandelijks gefactureerd | Servers die vóór januari niet kunnen verhuizen, zoals leverancierssystemen die wachten op een ondersteunde versie |
| Haal de server buiten gebruik | Eén systeem minder om te patchen en te licentiëren | Workloads die al zijn verplaatst naar SharePoint, een SaaS-product of een andere server |
Upgrade domeincontrollers niet in-place. Voeg Windows Server 2025-domeincontrollers toe, verplaats de FSMO-rollen, controleer de replicatie en degradeer en verwijder vervolgens de machines uit 2016. Zo blijft er geen geüpgradede systeemstatus achter. In een domein met één site kan dat in een dag of twee; meer sites, of een certificeringsinstantie op een domeincontroller, kosten extra tijd. Bevestig voor de Azure-route de huidige ESU-voorwaarden voor 2016 bij uw licentiepartner voordat u rekent op gratis dekking.
Hoe ESU voor Windows Server 2016 werkt
Microsoft heeft Windows Server 2016 ESU in februari 2026 aangekondigd en levert deze voor on-premises en multi-cloud servers via Azure Arc. U installeert de Azure Connected Machine-agent (versie 1.62 of hoger) op elke server, koppelt deze aan uw Azure-abonnement en schrijft hem in voor ESU via de Azure-portal of met Azure Policy. Inschrijven kan sinds 3 augustus 2026 en de facturering begint op 13 januari 2027.
De voorwaarden zijn beperkter dan veel teams verwachten:
- Alleen de Standard- en Datacenter-edities komen in aanmerking
- Om ESU te kopen heeft u Software Assurance nodig via een Volume Licensing-programma zoals een Enterprise Agreement, Server- en Cloud Enrollment of Open Value. Servers met een licentie via SPLA of een serverabonnement hebben geen Software Assurance nodig
- ESU dekt beveiligingsupdates met de classificatie Critical of Important. Nieuwe functies, andere fixes en ontwerpwijzigingen vallen erbuiten
- U betaalt per maand op basis van gebruik, dus u stopt met betalen voor een server zodra die is gemigreerd. De kosten kunnen worden verrekend met een bestaande Azure-verbruikstoezegging
- Virtuele desktops (VDI) gebruiken geen Arc. Microsoft verwijst daarvoor naar Multiple Activation Keys (MAK)
- Ingeschreven servers krijgen Azure Update Manager, Change Tracking and Inventory en Azure Policy guest configuration zonder extra kosten
Microsoft had op het moment van schrijven nog geen lijstprijs voor Windows Server 2016 ESU gepubliceerd. Vraag uw licentiepartner om een schriftelijke offerte op basis van uw aantal cores en controleer of uw Software Assurance niet vervalt tijdens de ESU-periode.
Elke ingeschreven server moet Microsoft Entra ID, de Azure Arc-service-eindpunten en de certificaatdownloadsite van Microsoft bereiken, rechtstreeks, via een proxy of via Private Link. Servers op geïsoleerde netwerken, zoals productie- of gebouwbeheersystemen, hebben die route nodig, afgesproken met de eigenaar van de firewall. Microsoft houdt de actuele lijst met eindpunten en agentvereisten bij in de Arc ESU-voorbereidingsgids (Engels). Die lijst verandert, dus controleer hem voordat u firewallaanvragen indient. Test één server in november, niet op 11 januari.
Een plan van 11 weken
Dit schema is krap. Leverancierssystemen, hardwarebestellingen en de change freeze rond Kerstmis kunnen sommige servers over januari heen duwen; stap 4 en 6 zijn daarvoor bedoeld.
Gevolgen voor compliance
AVG artikel 32 vereist passende technische maatregelen om persoonsgegevens te beschermen. Na een datalek via een server zonder updates kan de Autoriteit Persoonsgegevens de ontbrekende patches zien als bewijs dat die maatregelen niet passend waren. Een datalek meldt u binnen 72 uur bij de AP.
ISO 27001:2022, Annex A.8.8 (beheer van technische kwetsbaarheden) verwacht dat u kwetsbaarheden vaststelt en binnen een afgesproken termijn aanpakt. Een auditor wil voor elke server die geen patches meer krijgt een gedateerd herstelplan zien.
NIS2 artikel 21 noemt het behandelen van kwetsbaarheden uitdrukkelijk als verplichte maatregel. In Nederland wordt NIS2 ingevoerd via de Cyberbeveiligingswet. Valt u daaronder, of levert u aan organisaties die eronder vallen, dan kunt u die vraag verwachten van de toezichthouder en van klanten in hun leveranciersbeoordeling.
Faseert u ook Windows 10 uit? Onze gids over het einde van Windows 10 behandelt de desktopkant, en de gids voor kwetsbaarheidsbeheer legt uit hoe u ongepatchte systemen na de deadline blijft volgen.