Windows Secure Boot certificaten vernieuwen voor 2026

Introductie: waarom dit belangrijk is

Secure Boot is een van de belangrijkste boot-time beveiligingen van Windows en zorgt ervoor dat alleen vertrouwde, digitaal ondertekende componenten draaien voordat het OS laadt. Dat vertrouwen is verankerd in certificaten die in UEFI-firmware zijn opgeslagen—en Microsoft heeft bevestigd dat de oorspronkelijke Secure Boot-certificaten uit 2011 het einde van hun lifecycle bereiken en vanaf eind juni 2026 beginnen te verlopen. Voor IT-teams is dit een tijdgebonden, ecosysteem-brede security-onderhoudsactie: als apparaten de certificaatrefresh missen, kunnen ze waarschijnlijk blijven opstarten, maar verliezen ze de mogelijkheid om toekomstige boot-level beveiligingsmaatregelen te ontvangen.

Wat is er nieuw

Secure Boot “root of trust” wordt vernieuwd

• De langlopende Secure Boot-certificaten verlopen vanaf eind juni 2026.
• Nieuwe certificaten worden uitgerold naar ondersteunde Windows-apparaten via de normale maandelijkse Windows-updatecyclus.
• Dit is een gecoördineerde inspanning tussen Windows servicing, OEM-firmware en UEFI-providers om risico en verstoring te minimaliseren.

Brede OEM-gereedheid (vooral nieuwere apparaten)

• Veel pc’s die sinds 2024 zijn gebouwd—en vrijwel alle apparaten die in 2025 zijn geleverd—bevatten de bijgewerkte certificaten al.
• Voor een kleinere subset van apparaten in de markt kan het toepassen van de nieuwe certificaten eerst een OEM-firmware-update vereisen.

Verbeterde zichtbaarheid en gefaseerde uitrol

• Microsoft rolt de wijziging zorgvuldig en gefaseerd uit, op basis van tests en telemetry-gedreven readiness.
• Statusmeldingen over certificaatupdates worden de komende maanden verwacht in de Windows Security-app om gebruikers te helpen de voortgang te volgen.

Impact voor IT-beheerders en eindgebruikers

Als apparaten de nieuwe certificaten niet op tijd krijgen

• Apparaten blijven waarschijnlijk functioneren en bestaande software blijft draaien.
• Ze komen echter in een gedegradeerde beveiligingsstatus terecht en kunnen mogelijk geen toekomstige boot-level mitigations meer ontvangen (bijv. wanneer nieuwe boot-kwetsbaarheden worden ontdekt).
• Op termijn nemen compatibiliteitsrisico’s toe: nieuwere OS/firmware/hardware of software die afhankelijk is van Secure Boot kan mogelijk niet laden.

Niet-ondersteunde Windows-versies zijn een belangrijk risico

• Apparaten met niet-ondersteunde versies (met name Windows 10 nadat support is beëindigd op 14 okt 2025, tenzij ingeschreven voor ESU) ontvangen de updates niet via Windows Update.
• Behandel die endpoints als prioritaire remediation-items (upgraden/vervangen of ESU-geschiktheid en updatestrategie borgen).

Aanbevolen acties / volgende stappen

1. Inventariseren en afbakenen
   • Identificeer alle Windows- en Windows Server-endpoints binnen scope, inclusief kiosks, gespecialiseerde servers en IoT/edge-apparaten met mogelijk afwijkende servicing.
2. Servicing-pad valideren
   • Bevestig dat apparaten de nieuwste maandelijkse cumulative updates ontvangen (waar van toepassing Microsoft-managed).
   • Zorg dat diagnostic/telemetry-vereisten die voor readiness-validatie worden gebruikt, aansluiten op het beleid van je organisatie.
3. Firmware-gereedheidscheck
   • Bekijk proactief OEM-advisories en supportpagina’s (Dell/HP/Lenovo en anderen) en plan vereiste UEFI/firmware-updates.
   • Pilot firmware-updates op representatieve hardwaremodellen vóór brede uitrol.
4. Plannen voor uitzonderingen
   • Voor apparaten die niet met voldoende zekerheid via Microsofts gefaseerde aanpak zijn gevalideerd, gebruik je de Microsoft IT administrator playbook-richtlijnen en je bestaande tools (Intune, Configuration Manager of third-party) om uit te rollen en te monitoren.
5. Support-runbooks voorbereiden
   • Eerste-lijn stappen: pas de nieuwste Windows-updates toe, verifieer de nieuwste OEM-firmware en escaleer daarna via Microsoft/OEM supportkanalen als problemen blijven bestaan.