Windows 10 ESU zakelijk: jaar 2 kost twee keer zoveel

Op 13 oktober 2026 loopt het eerste jaar Extended Security Updates voor Windows 10 af. Wie daarna nog beveiligingsupdates wil op zijn zakelijke Windows 10-machines, betaalt vanaf 14 oktober het dubbele: 122 dollar per apparaat in plaats van 61. Windows 10 ESU zakelijk afnemen is dus geen kwestie meer van "we zien het volgend jaar wel", want het bedrag verdubbelt daarna nog een keer.

De verwarring die ik de laatste weken het vaakst tegenkom komt door het nieuws van afgelopen zomer. Microsoft heeft de consumentenversie van ESU stilletjes met een jaar verlengd, tot 12 oktober 2027, en gratis. Ondernemers lezen dat, denken dat het probleem van tafel is, en komen er in oktober achter dat hun kantoorpc's er niet onder vallen.

Waarom de gratis verlenging niet geldt voor je kantoor

Het consumentenprogramma sluit apparaten uit die aan een Active Directory-domein hangen, die Entra joined zijn, of die in een MDM-oplossing als Intune zitten. Kioskapparaten vallen er ook buiten. Dat is precies de inrichting van het gemiddelde MKB-kantoor.

Eén uitzondering is de moeite waard om te controleren: een pc die alleen Entra registered is, dus met een werkaccount toegevoegd maar niet volledig gejoind, mag het consumentenprogramma wel gebruiken. Bij eenmanszaken en kleine kantoren zonder centraal beheer zie ik dat regelmatig. Kijk in dsregcmd /status of er AzureAdJoined : YES staat. Staat daar NO en bij WorkplaceJoined : YES, dan valt het apparaat onder consument.

Wat Windows 10 ESU zakelijk kost tot 2028

Dat is de lijstprijs van Microsoft. Via een Nederlandse CSP betaal je in euro's en wijkt het iets af, maar reken op ongeveer 60 euro voor jaar 1 en 120 euro voor jaar 2.

Let op die kolom rechts. ESU-licenties zijn cumulatief. Stap je nu pas in voor jaar 2, dan moet je jaar 1 alsnog afrekenen. Overslaan kan niet, achteraf goedkoop instappen ook niet. Wie in oktober 2027 wakker wordt betaalt 427 dollar per apparaat om weer bij te zijn.

Wat je voor dat geld krijgt is beperkt: alleen updates die Microsoft als critical of important classificeert. Geen nieuwe functies, geen technische support, geen fixes voor bugs die niets met beveiliging te maken hebben, en geen garantie dat een nieuwe printer of scanner nog een werkende driver krijgt.

Twee dingen die vaak vergeten worden. Microsoft 365 Apps blijven op Windows 10 beveiligingsupdates krijgen tot 10 oktober 2028, maar ze blijven functioneel staan op versie 2608. Je Office loopt dus niet meteen vast. En draai je werkplekken al op Windows 365 of Azure Virtual Desktop, dan zit ESU zonder meerkosten in die dienst.

ESU verlengen of de pc's vervangen

Neem een kantoor met twintig werkplekken die nog op Windows 10 draaien. Jaar 2 ESU kost daar ongeveer 2.400 euro voor twaalf maanden, en je hebt na die twaalf maanden nog steeds dezelfde twintig pc's. Jaar 3 kost er 4.800. Een fatsoenlijke zakelijke laptop kost 700 tot 900 euro en gaat vier tot vijf jaar mee. Twee jaar ESU op een apparaat van zeven jaar oud is zelden de goedkoopste optie.

Dat rekensommetje kantelt wel als je een specifieke reden hebt. Een machine die vastzit aan software die niet op Windows 11 draait, een pc aan een productiemachine, een kassasysteem waar de leverancier nog aan werkt. Voor die groep is ESU precies waar het voor bedoeld is: tijd kopen voor een handvol apparaten, niet voor het hele pand.

Splits je park daarom in drie stapels. Pc's die Windows 11 aankunnen upgrade je, pc's die dat niet kunnen vervang je, en alleen wat overblijft koop je ESU voor. Die derde stapel is meestal kleiner dan klanten vooraf denken.

Welke pc's kunnen tóch naar Windows 11

Voor je een offerte voor twintig laptops aanvraagt: een deel van je machines is waarschijnlijk geschikt zonder dat je het weet. Windows 11 vraagt om TPM 2.0, Secure Boot, UEFI-boot, 4 GB geheugen, 64 GB opslag en een ondersteunde processor, in de praktijk Intel 8e generatie of nieuwer en AMD Ryzen 2000 of nieuwer.

De TPM-eis is degene die het vaakst ten onrechte een pc afkeurt. Op zakelijke machines uit 2018 en later zit die functie er meestal wel in, maar staat hij uit in de firmware. Bij Intel heet het Platform Trust Technology (PTT), bij AMD fTPM. Aanzetten in de BIOS en de pc is opeens geschikt. Hetzelfde geldt voor schijven die nog in MBR staan in plaats van GPT: die zet je om met mbr2gpt.exe zonder de installatie opnieuw te doen.

Twee waarschuwingen daarbij. Onderbreek BitLocker voordat je iets in de firmware wijzigt, anders vraagt de machine bij de volgende start om een herstelsleutel die niemand bij de hand heeft. En controleer eerst of je die herstelsleutels überhaupt ergens hebt staan, in Entra of in je documentatie.

Beheer je de werkplekken met Intune, dan laat het rapport onder Rapporten, Endpoint analytics, Werkplekgereedheid per apparaat zien waarom een machine wordt afgekeurd. Dat scheelt een middag handmatig langslopen.

Zo activeer je de ESU-sleutel met Intune

Koop je toch ESU, dan is de uitrol zelf niet ingewikkeld, mits de basis klopt.

1. Zet elk apparaat op Windows 10 versie 22H2. Andere versies komen niet in aanmerking.
2. Installeer de laatste servicing stack update en cumulatieve update, minimaal KB5046613 uit november 2024.
3. Zorg dat de machines activation.sls.microsoft.com en validation.sls.microsoft.com kunnen bereiken. Achter een strak dichtgezette firewall gaat het hier mis.
4. Haal de MAK-sleutel op uit het Volume Licensing Service Center of bij je CSP.
5. Rol een PowerShell-script uit via Intune, onder Apparaten, Scripts en herstel, Platformscripts.

Het script doet twee dingen: cscript.exe $env:windir\system32\slmgr.vbs /ipk <MAK-sleutel> en daarna slmgr.vbs /ato <activatie-ID>. Elk ESU-jaar heeft een eigen activatie-ID, dus voor jaar 2 gebruik je een andere dan voor jaar 1. Controleren doe je met slmgr /dlv; daar hoort de ESU-licentie als licensed te staan. Zet er een detectiescript naast dat dat controleert, anders ontdek je pas bij de patchdinsdag van november dat vier machines nooit geactiveerd zijn.

Wat je nu het beste doet

Er zitten ruim acht weken tussen vandaag en 13 oktober. Genoeg om het rustig te doen, te weinig om het te laten liggen tot september, want levertijden op zakelijke laptops lopen in het najaar altijd op.

Begin met tellen: hoeveel machines draaien er nog op Windows 10, en welke daarvan zijn technisch geschikt voor Windows 11. Zet daarna per apparaat wat het gaat worden: upgraden, vervangen of ESU. Bestel wat besteld moet worden, en regel de ESU-inkoop voor de apparaten die overblijven ruim voor 13 oktober, zodat je de activatie nog kunt controleren voordat de eerste update van jaar 2 uitkomt.

Wil je die inventarisatie laten doen, of de upgrade en uitrol uit handen geven, kijk dan bij hardware en MDM of ICT support. Even sparren over de rekensom voor jouw aantal werkplekken kan ook: bel 010 89 008 89 of stel je vraag via contact.