Elke Windows 10-pc die nog in gebruik is, heeft deze week een van drie dingen nodig: een betaalde ESU-licentie, een gedocumenteerd isolatieplan of een vervangdatum waar iemand voor heeft getekend. De ondersteuning eindigde op 14 oktober 2025. Een machine zonder een van de drie is een ongepatcht endpoint met een gebruiker erop.
De pagina's van Microsoft beschrijven Year One op twee manieren. De dekking begint op de einddatum van de ondersteuning, terwijl het aankoopjaar zou beginnen in november 2025. Lees daarom uw eigen licentieadministratie in plaats van iets aan te nemen.
Stel vast wat ESU daadwerkelijk dekt
ESU is een betaald jaarabonnement dat beveiligingsupdates levert met de classificatie kritiek en belangrijk. Het omvat geen nieuwe functies, geen door klanten aangevraagde updates die geen beveiligingsupdates zijn en geen verzoeken om ontwerpwijzigingen. Technische ondersteuning beperkt zich tot licentieactivering, installatie en regressies van de ESU zelf, en vereist een actief supportplan.
Een apparaat komt alleen in aanmerking op Windows 10 versie 22H2. De lifecycle-pagina van Microsoft laat zien dat 21H2 in juni 2023 eindigde en 21H1 in december 2022. Een pc met een van die versies heeft dus eerst een feature update nodig. LTSC-releases volgen een eigen lifecycle tot na oktober 2025, dus laat die buiten deze oefening.
Controleer geschiktheid en sleutels
Haal uit uw inventarisatietool de Windows 10-featureversie op van elke machine die geen LTSC draait en markeer alles onder 22H2 als niet geschikt totdat het is bijgewerkt. Controleer daarna de sleutels. De ESU Multiple Activation Keys in het Microsoft 365 admin center waren pas bruikbaar vanaf de einddatum van de ondersteuning. Een sleutel die daar staat, is dus geen bewijs van dekking.
Bevestig de activering op elk apparaat en leg het resultaat vast. Het ESU-programmaoverzicht van Microsoft bevat geen activeringsstappen. Het verwijst naar een aparte pagina, "Enable Extended Security Updates (ESU)". Volg die pagina voor commerciële omgevingen.
Maak de rekensom
Year One kost $61 per apparaat via volumelicenties. De prijs verdubbelt elk jaar, voor maximaal drie jaar, dus het volledige traject kost $61 + $122 + $244 = $427 per apparaat. U kunt geen gedeeltelijke jaren kopen en ESU's zijn cumulatief.
Die cumulatieve regel bepaalt de timing. Een apparaat dat pas in Year Two wordt aangemeld, kost $183, omdat Year One ook betaald moet worden. Vergelijk het bedrag voor uw jaar met een vervangingsofferte plus de tijd om de machine te imagen en de gebruiker te verhuizen.
De dekking heeft ook een harde grens. Aangemelde commerciële pc's krijgen updates tot maximaal drie jaar na het einde van de ondersteuning. Elke datum bij "Vervangen vóór" moet dus vallen vóór het einde van het laatste betaalde ESU-jaar.
Windows 10 virtuele machines in Windows 365, Azure Virtual Desktop en Azure virtual machines krijgen ESU zonder extra kosten. Kijk of u achterblijvers daarheen kunt verhuizen.
Isoleer wat ESU niet dekt
Werk voor elke pc zonder ESU volgens de NCSC-richtlijnen voor verouderde producten. Het standpunt is ondubbelzinnig: niets in die richtlijnen maakt voortgezet gebruik risicoloos, en de enige volledig effectieve oplossing is het product niet meer gebruiken.
Begin met het afsnijden van de routes waarlangs onbetrouwbare content de machine bereikt: e-mail, webbrowsen, bestandsshares, netwerkpoorten en verwisselbare media. Dwing dit technisch af, want maatregelen die niet technisch worden afgedwongen, werken niet. Als de pc toegang moet hebben tot een browser of Office-apps, maak er dan een thin client van voor een remote desktop met gepatchte software, waarbij delen van het klembord en bestandsoverdracht zijn uitgeschakeld.
Neem een CNC-besturings-pc die op Windows 10 vastzit omdat het stuurprogramma van de leverancier nooit voor Windows 11 is verschenen. Ik zou die een eigen zone geven, verkeer alleen toestaan naar de bestandsserver met de machineprogramma's, internet en e-mail volledig blokkeren, usb-poorten uitschakelen en bestanden binnenbrengen via een scanning gateway.
Behandel elke zo'n pc als onbeheerd en onbetrouwbaar, vergelijkbaar met een BYOD-apparaat. Definieer de verkeersstromen tussen zones en ga er niet van uit dat de softwarefirewall op een gecompromitteerd apparaat nog werkt. Houd verouderde Windows-clients waar mogelijk in een aparte Active Directory forest, los van de remote desktop-dienst.
Opnieuw imagen kan aanwezige malware een tijd opruimen, maar de kwetsbaarheid die ervoor is gebruikt, blijft bestaan. Reken het niet als oplossing.
Detectie en de mensen rondom de machines
Antivirus en intrusion detection vangen nog steeds een deel van de kwaadaardige code af, maar hun signatures zijn mogelijk niet afgestemd op aanvallen op verouderde systemen. Leun er niet op.
Loggen zonder alerting levert weinig op, omdat veel organisaties beveiligingsgebeurtenissen vastleggen en er nooit iets mee doen. Zorg dat iemand wordt opgeroepen wanneer een legacy-machine zich vreemd gedraagt, en spreek vooraf af wie de machine isoleert en hoe. Onze incident response-dienst kan u helpen dat te oefenen, en managed monitoring kan de alerting zelf overnemen.
Controleer ook derde partijen. Leveranciers die hun eigen apparaten aansluiten, draaien mogelijk ook niet-ondersteund Windows. Vraag het dus vóór een incident na en plaats hun verbindingen in een aparte zone.
Maak de lijst met vervangdata
De NCSC-richtlijnen voor vulnerability management noemen een besluit om niet te updaten een risicobeslissing op senior niveau. Leg elk van die besluiten vast in uw risicoregister, met bijbehorende tijd en budget, zodat de eigenaar zichtbaar is. Als er een nieuwe kwetsbaarheid opduikt op een machine die u niet kunt patchen, voer dan eerst triage uit. Onze CVSS-calculator helpt bij de scoring. Bouw daarna een tabel als deze, met één rij per machine:
| Asset | Eigenaar | Waarom nog op Windows 10 | ESU-status | Toegepaste maatregelen | Vervangen vóór | Risico geaccepteerd door |
|---|---|---|---|---|---|---|
| (hostnaam) | (naam) | (applicatie, stuurprogramma, budget) | (ja / nee) | (zone, geen web, geen e-mail) | (datum, vóór het einde van ESU) | (naam) |
Elke rij heeft een echte datum en een benoemde goedkeurder nodig. Evalueer de lijst regelmatig, want nieuwe dreigingen en kwetsbaarheden kunnen het antwoord veranderen.
Waar u kunt beginnen
- Exporteer uw Windows 10-inventaris, filter LTSC-apparaten eruit en markeer alles onder versie 22H2.
- Controleer de licentieadministratie op ESU-sleutels, bevestig dat elk apparaat is geactiveerd en vergelijk $427 per apparaat (of $183 als u in Year Two instapt) met uw vervangingsofferte.
- Verhuis wat kan naar Windows 365 of in Azure gehoste Windows 10-VM's, waar ESU geen extra kosten met zich meebrengt.
- Blokkeer voor de rest e-mail, webbrowsen, bestandsshares, verwisselbare media en onnodige poorten, en plaats die machines in een aparte zone.
- Schakel alerting in voor die zone, niet alleen logging, en leg vast wie een incident indamt en hoe.
- Vul de vervangtabel in met eigenaren en data binnen de betaalde ESU-periode, en laat een senior persoon de risicoacceptatie ondertekenen.
