Intune-nalevingsbeleid voor Windows: veilig invoeren zonder medewerkers buiten te sluiten

Een laptop zonder schijfversleuteling, met een verouderde Windows-versie of met een verhoogd beveiligingsrisico hoort niet ongemerkt toegang te houden tot bedrijfsdata. Microsoft Intune kan zulke apparaten beoordelen met een nalevingsbeleid. Microsoft noemt dit een compliance policy. Het apparaat krijgt daarna de status compliant of noncompliant.

Die status is op zichzelf alleen een meetresultaat. De echte toegangsbeperking ontstaat pas wanneer je hem gebruikt in Microsoft Entra Conditional Access. Juist die koppeling maakt een beheerste invoering belangrijk. Een te ruim beleid geeft schijnveiligheid. Een te streng beleid dat direct voor iedereen geldt, kan medewerkers onverwacht blokkeren terwijl de oorzaak bijvoorbeeld een uitgestelde herstart is.

Deze gids helpt je de zakelijke keuzes vóór de configuratie te maken. Het doel is niet zo veel mogelijk vinkjes aanzetten, maar een aantoonbaar proces bouwen: meten, de gebruiker helpen herstellen en pas daarna risicovolle toegang begrenzen. Wil je eerst weten welke apparaten en Microsoft 365-instellingen bij jouw organisatie aandacht nodig hebben? Laat de gratis IT-scan uitvoeren.

Wat een Intune-nalevingsbeleid wel en niet doet

Een nalevingsbeleid bevat eisen waaraan een beheerd apparaat moet voldoen. Voor Windows kun je onder meer instellingen beoordelen rond BitLocker, Secure Boot, de Windows-versie, eenvoudige wachtwoordvoorwaarden en het risiconiveau dat Microsoft Defender for Endpoint rapporteert. De beschikbare opties hangen af van platform, licenties en de technische inrichting.

Intune evalueert een apparaat en rapporteert de status. Het beleid zet BitLocker niet vanzelf aan en installeert ook niet automatisch de ontbrekende Windows-update. Daarvoor gebruik je aparte configuratie-, beveiligings- en updateprofielen. Dit onderscheid voorkomt een veelgemaakte fout: een organisatie stelt een eis in, maar bouwt geen herstelroute waarmee apparaten daadwerkelijk aan die eis kunnen gaan voldoen.

Denk daarom in twee lagen:

Laag	Functie	Voorbeeld
Configureren	Brengt een apparaat naar de gewenste toestand	BitLocker inschakelen of updates uitrollen
Controleren	Beoordeelt of de gewenste toestand werkelijk aanwezig is	BitLocker vereist of minimale Windows-build controleren

Conditional Access kan vervolgens toegang tot Microsoft 365 afhankelijk maken van de compliant-status. Voor die koppeling is volgens Microsoft een passende Microsoft Entra ID P1- of P2-licentie nodig. Controleer altijd de actuele licenties voor de gebruikers en scenario's die je wilt inzetten.

Ontwerp eerst een kleine, uitlegbare basis

Begin niet met iedere beschikbare regel. Kies eisen die je kunt uitleggen, technisch kunt ondersteunen en operationeel kunt opvolgen. Voor veel MKB-omgevingen is deze eerste set een bruikbaar gesprekspunt:

1. BitLocker vereist: beschermt gegevens op de Windows-schijf wanneer een laptop zoekraakt of wordt gestolen.
2. Secure Boot vereist: helpt controleren dat het apparaat vanuit een vertrouwde opstarttoestand start.
3. Ondersteunde Windows-versie: voorkomt dat structureel verouderde systemen onbeperkt toegang houden.
4. Geen onaanvaardbaar apparaatriscio: bruikbaar wanneer Defender for Endpoint correct is geïntegreerd en meldingen ook worden opgevolgd.

Dit is geen universele kopieerlijst. Controleer eerst of alle beheerde apparaten de gekozen functies ondersteunen. Secure Boot kan bijvoorbeeld een probleem zichtbaar maken op oudere hardware. Een minimumversie kan laptops blokkeren die door een updatefout achterlopen. Een Defender-risico-eis heeft weinig waarde als niemand de beveiligingsincidenten onderzoekt.

Gebruik bij Windows-buildnummers geen waarde die je eenmalig invult en daarna vergeet. Koppel de ondergrens aan het updatebeleid, de ondersteunde Windows-releases en een vaste maandelijkse review. Microsoft waarschuwt ook dat de juiste notatie nodig is. Een onjuist versienummer kan een hele apparaatgroep verkeerd beoordelen.

Wie Windows-apparaten eerst betrouwbaar wil registreren, kan de gids bedrijfsapparaten inschrijven met Intune gebruiken. Voor laptops die automatisch vanaf de eerste ingebruikname beheerd moeten worden, sluit Windows Autopilot zonder handmatige IT-inrichting hierop aan.

Bepaal hoe snel een probleem gevolgen krijgt

Iedere compliance policy bevat standaard de actie waarmee een apparaat als noncompliant wordt gemarkeerd. Microsoft geeft aan dat deze actie standaard direct, op nul dagen, staat. Je kunt aanvullende acties plannen, zoals een e-mail naar de eindgebruiker. Afhankelijk van platform zijn ook zwaardere acties beschikbaar.

Een hersteltermijn is geen excuus om risico te negeren. Het is tijd waarin een medewerker en IT een oplosbaar probleem kunnen herstellen voordat toegang wordt geraakt. Kies de termijn per soort risico:

Situatie	Mogelijke aanpak	Waarom
Uitgestelde herstart na versleuteling	Korte hersteltermijn met duidelijke instructie	De oplossing is vaak eenvoudig en controleerbaar
Windows-update loopt achter	Termijn passend bij updateproces en servicedeskcapaciteit	Voorkomt blokkade zonder realistisch herstelpad
Hoog apparaatriscio uit Defender	Snelle beveiligingsbeoordeling, mogelijk direct begrenzen	Kan wijzen op actieve dreiging
Onbekend of niet beheerd apparaat	Eerst inventariseren en eigenaarschap vaststellen	Status kan een registratieprobleem zijn

Let op het verschil tussen de Intune-status en de Conditional Access-beslissing. Zodra een apparaat noncompliant is en een toegangsbeleid compliant apparaten vereist, kan toegang worden geweigerd. Een hersteltermijn in de verkeerde laag kan dus anders uitpakken dan verwacht. Test de volledige keten met echte pilotapparaten.

Maak voor eindgebruikers een korte melding met drie onderdelen: wat er niet voldoet, wat zij zelf kunnen doen en waar ze hulp krijgen. Microsoft vermeldt dat compliance-e-mails het e-mailadres uit het gebruikersprofiel gebruiken. Ontbreekt dat adres, dan wordt de melding niet verstuurd. Controleer dus niet alleen het sjabloon, maar ook bezorging en profielgegevens. Vertrouw voor urgente situaties niet uitsluitend op een pushmelding.

Gebruik een pilot die ook uitzonderingen vindt

Een pilotgroep met alleen de nieuwste laptop van de IT-beheerder bewijst weinig. Neem verschillende reële situaties op:

• een recente Windows 11-laptop;
• een ouder maar nog ondersteund apparaat;
• een laptop die op afstand werkt en niet dagelijks op kantoor komt;
• een apparaat waarop BitLocker onlangs is ingeschakeld;
• een medewerker met normale gebruikersrechten;
• indien aanwezig, een gedeeld of speciaal ingericht apparaat.

Leg vóór de pilot vast wat succes betekent. Denk aan het percentage apparaten dat correct wordt beoordeeld, het aantal foutpositieven, de gemiddelde hersteltijd en het aantal supportvragen. Noteer ook hoe lang statuswijzigingen in de praktijk nodig hebben om van apparaat via Intune naar Conditional Access door te komen.

Begin met meten en rapporteren voordat je breed blokkeert. Onderzoek iedere noncompliant-status in de pilot. Is de configuratie werkelijk onveilig, ontbreekt een herstart, rapporteert het apparaat niet recent of is het beleid aan de verkeerde groep toegewezen? Pas het ontwerp aan op oorzaken, niet alleen op aantallen.

Een apart punt is de tenantbrede instelling voor apparaten waaraan geen compliance policy is toegewezen. Microsoft beschrijft dat zulke apparaten standaard als compliant kunnen worden behandeld. Wanneer je Conditional Access op compliance baseert, adviseert Microsoft de instelling te overwegen waarmee apparaten zonder toegewezen beleid als noncompliant gelden. Doe dat pas nadat je hebt gecontroleerd dat alle bedoelde platformen, groepen en uitzonderingen werkelijk beleid ontvangen. Anders creëer je een blinde blokkade buiten de Windows-pilot.

Koppel Conditional Access pas na een toegangsplan

Een goede compliance policy zonder toegangsbeleid meet risico, maar begrenst het niet. Een Conditional Access-policy kan vervolgens voor geselecteerde cloudapps een compliant apparaat vereisen. Bouw die koppeling gecontroleerd op.

Gebruik eerst een beperkte pilotgroep en een testmodus waarin je de verwachte uitkomst kunt beoordelen zonder direct af te dwingen. Controleer aanmeldlogboeken en test zowel compliant als bewust noncompliant gemaakte pilotscenario's. Zorg daarnaast voor beheerde noodtoegang die niet afhankelijk is van hetzelfde apparaatbeleid. Een fout in beleid mag niet betekenen dat niemand meer kan herstellen.

Documenteer uitsluitingen. Een uitsluiting zonder eigenaar en einddatum wordt snel permanent. Leg ten minste vast:

• welke identiteit, apparaatgroep of cloudapp is uitgesloten;
• welke zakelijke of technische reden daarvoor bestaat;
• wie de uitzondering heeft goedgekeurd;
• welke aanvullende maatregel het risico beperkt;
• wanneer de uitzondering opnieuw wordt beoordeeld.

Conditional Access moet ook aansluiten op je bredere basis. Drie basisregels voor Conditional Access legt uit waarom gefaseerd testen, sterke authenticatie en noodtoegang samen horen. Naleving vervangt MFA niet. Een compliant laptop met een gestolen wachtwoord blijft zonder sterke aanmelding kwetsbaar.

Maak dagelijks beheer onderdeel van het ontwerp

Na de uitrol begint het echte beheer. Iemand moet de rapporten beoordelen, tickets opvolgen en grenswaarden onderhouden. Zonder eigenaar veroudert een technisch correct beleid alsnog.

Gebruik een vast operationeel ritme:

Frequentie	Controle
Dagelijks	Nieuwe noncompliant-apparaten, hoog risico en plotselinge stijgingen
Wekelijks	Openstaande herstelacties, terugkerende oorzaken en mislukte meldingen
Maandelijks	Windows-buildgrenzen, uitzonderingen, groepsdekking en supportbelasting
Per kwartaal	Beleidseffect, licenties, hardwarebeperkingen en Conditional Access-scope

Beoordeel een apparaat niet alleen op het rode label. Bekijk welke instelling faalt, wanneer het apparaat voor het laatst rapporteerde en of de gebruiker nog aan het apparaat gekoppeld is. Een laptop die al is afgevoerd vraagt om opschoning, niet om vijf herinneringsmails. Een actief apparaat met een Defender-incident vraagt mogelijk juist onmiddellijke analyse.

Bewaar bewijs van belangrijke besluiten. Voor ISO 27001- en NIS2-governance is niet alleen de beleidsnaam interessant, maar ook de scope, goedkeuring, pilotuitkomst, uitzonderingen, periodieke review en afhandeling van afwijkingen. Zo laat je zien dat het beleid deel is van een werkend beheersproces.

Veelgemaakte fouten

Compliance gebruiken als configuratieprofiel

Een eis detecteert een probleem, maar herstelt het niet automatisch. Zorg dat update-, encryptie- en beveiligingsprofielen de gewenste toestand daadwerkelijk realiseren.

Direct voor alle medewerkers blokkeren

Zonder pilot ontdek je ontbrekende groepsdekking, oude hardware en statusvertraging pas wanneer de servicedesk volloopt.

Een maximale Windows-versie invullen zonder noodzaak

Een bovengrens kan nieuwere, legitieme builds blokkeren. Gebruik alleen grenzen die je bewust beheert en periodiek bijwerkt.

Alleen e-mail als herstelproces gebruiken

Een bericht kan ontbreken, vertraagd zijn of niet worden begrepen. Geef gebruikers een herkenbaar supportkanaal en laat IT op ernstige afwijkingen actief reageren.

Uitzonderingen niet laten verlopen

Tijdelijke uitzonderingen ondermijnen het beleid als niemand ze herbeoordeelt. Geef elke uitzondering een eigenaar en reviewdatum.

Statusvertraging aanzien voor een fout

Apparaten evalueren beleid rond hun check-in en verversingscyclus. Een recente wijziging hoeft niet direct overal zichtbaar te zijn. Controleer tijdstempels en laat een apparaat opnieuw synchroniseren voordat je conclusies trekt.

Veelgestelde vragen

Blokkeert Intune zelf een noncompliant Windows-apparaat?

Niet alleen door de compliance-status. Intune beoordeelt en rapporteert het apparaat. Microsoft Entra Conditional Access kan die status gebruiken om toegang tot gekozen bedrijfsbronnen te beperken.

Moeten apparaten in Intune zijn ingeschreven?

Voor de normale apparaatcompliance moet Intune het apparaat kunnen beheren en beoordelen. Microsoft noemt inschrijving als vereiste om de compliance-status te zien. Controleer uitzonderlijke beheerscenario's apart.

Is BitLocker direct compliant nadat versleuteling klaar is?

Niet altijd. Microsoft merkt op dat de betreffende apparaatstatus bij het opstarten wordt gemeten. Na het voltooien van versleuteling kan daarom een herstart nodig zijn voordat het apparaat compliant rapporteert.

Welke hersteltermijn is goed?

Er is geen universeel aantal dagen. Stem de termijn af op risico, gebruikersimpact en de snelheid waarmee IT kan helpen. Een verhoogd Defender-risico vraagt een andere reactie dan een geplande Windows-update.

Moeten apparaten zonder toegewezen beleid als noncompliant gelden?

Als compliance toegang bepaalt, voorkomt dat een apparaat zonder beleid automatisch als veilig wordt gezien. Controleer eerst dat al je bedoelde apparaten daadwerkelijk het juiste platformbeleid ontvangen en voer de wijziging via een pilot in.

Hoe weten we of het beleid werkt?

Meet niet alleen het percentage compliant apparaten. Kijk ook naar foutpositieven, hersteltijd, terugkerende oorzaken, uitzonderingen, supportbelasting en of Conditional Access de geteste risicoscenario's werkelijk begrenst.

Gebruikte bronnen

De productwerking en beschreven instellingen zijn op 18 augustus 2026 gecontroleerd tegen Microsoft Learn:

• Use compliance policies to set rules for devices you manage with Intune
• Create a compliance policy in Microsoft Intune
• Device compliance settings for Windows in Intune
• Configure actions for noncompliant devices in Intune