Op 14 oktober 2025 stopte de reguliere ondersteuning van Windows 10. Wie zich inschreef voor Extended Security Updates kocht een jaar respijt: kritieke en belangrijke beveiligingsupdates, niets meer. Dat eerste ESU-jaar eindigt op 13 oktober 2026. Voor zakelijke organisaties is verlenging mogelijk tot uiterlijk oktober 2028, maar elk jaar wordt duurder, en wie later instapt betaalt de eerdere jaren alsnog. Microsoft maakt daarmee duidelijk wat ESU is: een brug, geen bestemming.
Waarom "het werkt nog" geen argument is
Een werkplek op Windows 10 doet op 14 oktober 2026 nog precies wat hij op de 13e deed. Het verschil zit in wat er daarna niet meer gebeurt. Elke kwetsbaarheid die na die datum wordt ontdekt, blijft open. Aanvallers weten dat en bewaren exploits juist voor systemen waarvan ze weten dat ze niet meer worden gerepareerd. Wie ooit de nasleep van een oud Windows 7-systeem in een productieomgeving heeft meegemaakt, kent het patroon: het is niet de vraag óf het systeem misbruikt wordt, maar wanneer.
Daar komt een minder bekend punt bij. Vanaf juni 2026 verlopen de oorspronkelijke Secure Boot-certificaten uit 2011. Apparaten die de vervangende certificaten niet via updates hebben gekregen, kunnen problemen krijgen met veilig opstarten of verliezen die bescherming. Voor Windows 10 komen die certificaatupdates alleen nog via ESU.
Wat het betekent voor compliance en verzekering
De Cyberbeveiligingswet vraagt om passende maatregelen. Een besturingssysteem zonder beveiligingsupdates is daar per definitie niet mee te rijmen; geen toezichthouder of auditor accepteert dat als "passend". Cyberverzekeraars stellen inmiddels dezelfde vraag in hun intake: draaien er onondersteunde systemen, en zo ja, hoe zijn die geïsoleerd? Een eerlijk antwoord kan de premie verhogen of de dekking beperken. Een oneerlijk antwoord is erger.
Drie routes, in volgorde van voorkeur
- Upgraden naar Windows 11 op bestaande hardware. Kan waar de hardware voldoet: TPM 2.0, Secure Boot, een ondersteunde processor. Voor de meeste apparaten van na 2019 is dat het geval. Intune vertelt je per apparaat of het klaar is.
- Vervangen wat niet kan upgraden. Apparaten die niet aan de eisen voldoen zijn doorgaans zes jaar of ouder. Vervangen, gespreid over een paar maanden, is goedkoper dan ESU plus het risico. Bestel tijdig; levertijden zijn in het najaar langer.
- ESU alleen voor wat echt niet anders kan. Een meetsysteem met leverancierssoftware die alleen op Windows 10 draait, een machine in de fabriek. Koop ESU voor precies die apparaten, en isoleer ze: eigen netwerksegment, geen internettoegang, geen mail, geen beheerdersrechten. En zet een einddatum in de agenda.
Gebruik het moment om de werkplek goed te zetten
Een migratie is het moment waarop je zonder extra moeite dingen goed kunt doen die anders jaren blijven liggen. Zet nieuwe apparaten met Windows Autopilot direct in Intune, zonder oude images en zonder domeinjoin. Dwing Windows Hello for Business af, zodat het wachtwoord van de werkplek verdwijnt. Zet BitLocker, de firewall en Defender for Endpoint via beleid aan in plaats van per apparaat. Haal lokale beheerdersrechten weg. Zo levert de migratie niet alleen een ondersteund besturingssysteem op, maar een werkplek die in Conditional Access als "compliant" telt, en dat is de basis van elke Zero Trust-inrichting.
Weet je niet welke apparaten wel of niet kunnen, of hoe je Intune inricht zonder de organisatie stil te leggen? Plan een gesprek; dat is wat we dagelijks doen.