Intune-nalevingsbeleid voor Windows: veilig invoeren en aantoonbaar beheren

Een laptop zonder schijfversleuteling, met een verouderde Windows-versie of met een verhoogd beveiligingsrisico hoort niet ongemerkt toegang te houden tot bedrijfsdata. Microsoft Intune kan zulke apparaten beoordelen met een nalevingsbeleid. Microsoft noemt dit een compliance policy. Het apparaat krijgt daarna de status compliant of noncompliant.

Die status is op zichzelf alleen een meetresultaat. De echte toegangsbeperking ontstaat pas wanneer je hem gebruikt in Microsoft Entra Conditional Access. Juist die koppeling maakt een beheerste invoering belangrijk. Een te ruim beleid geeft schijnveiligheid. Een te streng beleid dat direct voor iedereen geldt, kan medewerkers onverwacht blokkeren terwijl de oorzaak bijvoorbeeld een uitgestelde herstart is.

Deze gids helpt je de zakelijke keuzes vóór de configuratie te maken. Het doel is niet zo veel mogelijk vinkjes aanzetten, maar een aantoonbaar proces bouwen: meten, de gebruiker helpen herstellen en pas daarna risicovolle toegang begrenzen. De actualisatie van november 2026 voegt de tenantbrede geldigheidsduur, de samengestelde apparaatstatus en een praktisch escalatieschema toe. Wil je eerst weten welke apparaten en Microsoft 365-instellingen bij jouw organisatie aandacht nodig hebben? Laat de gratis IT-scan uitvoeren.

Wat een Intune-nalevingsbeleid wel en niet doet

Een nalevingsbeleid bevat eisen waaraan een beheerd apparaat moet voldoen. Voor Windows kun je onder meer instellingen beoordelen rond BitLocker, Secure Boot, de Windows-versie, eenvoudige wachtwoordvoorwaarden en het risiconiveau dat Microsoft Defender for Endpoint rapporteert. De beschikbare opties hangen af van platform, licenties en de technische inrichting.

Intune evalueert een apparaat en rapporteert de status. Het beleid zet BitLocker niet vanzelf aan en installeert ook niet automatisch de ontbrekende Windows-update. Daarvoor gebruik je aparte configuratie-, beveiligings- en updateprofielen. Dit onderscheid voorkomt een veelgemaakte fout: een organisatie stelt een eis in, maar bouwt geen herstelroute waarmee apparaten daadwerkelijk aan die eis kunnen gaan voldoen.

Denk daarom in twee lagen:

Laag	Functie	Voorbeeld
Configureren	Brengt een apparaat naar de gewenste toestand	BitLocker inschakelen of updates uitrollen
Controleren	Beoordeelt of de gewenste toestand werkelijk aanwezig is	BitLocker vereist of minimale Windows-build controleren

Conditional Access kan vervolgens toegang tot Microsoft 365 afhankelijk maken van de compliant-status. Voor die koppeling is volgens Microsoft een passende Microsoft Entra ID P1- of P2-licentie nodig. Controleer altijd de actuele licenties voor de gebruikers en scenario's die je wilt inzetten.

Ontwerp eerst een kleine, uitlegbare basis

Begin niet met iedere beschikbare regel. Kies eisen die je kunt uitleggen, technisch kunt ondersteunen en operationeel kunt opvolgen. Voor veel MKB-omgevingen is deze eerste set een bruikbaar gesprekspunt:

1. BitLocker vereist: beschermt gegevens op de Windows-schijf wanneer een laptop zoekraakt of wordt gestolen.
2. Secure Boot vereist: helpt controleren dat het apparaat vanuit een vertrouwde opstarttoestand start.
3. Ondersteunde Windows-versie: voorkomt dat structureel verouderde systemen onbeperkt toegang houden.
4. Geen onaanvaardbaar apparaatriscio: bruikbaar wanneer Defender for Endpoint correct is geïntegreerd en meldingen ook worden opgevolgd.

Dit is geen universele kopieerlijst. Controleer eerst of alle beheerde apparaten de gekozen functies ondersteunen. Secure Boot kan bijvoorbeeld een probleem zichtbaar maken op oudere hardware. Een minimumversie kan laptops blokkeren die door een updatefout achterlopen. Een Defender-risico-eis heeft weinig waarde als niemand de beveiligingsincidenten onderzoekt.

Gebruik bij Windows-buildnummers geen waarde die je eenmalig invult en daarna vergeet. Koppel de ondergrens aan het updatebeleid, de ondersteunde Windows-releases en een vaste maandelijkse review. Microsoft waarschuwt ook dat de juiste notatie nodig is. Een onjuist versienummer kan een hele apparaatgroep verkeerd beoordelen.

Wie Windows-apparaten eerst betrouwbaar wil registreren, kan de gids bedrijfsapparaten inschrijven met Intune gebruiken. Voor laptops die automatisch vanaf de eerste ingebruikname beheerd moeten worden, sluit Windows Autopilot zonder handmatige IT-inrichting hierop aan.

Bepaal hoe snel een probleem gevolgen krijgt

Iedere compliance policy bevat standaard de actie waarmee een apparaat als noncompliant wordt gemarkeerd. Microsoft geeft aan dat deze actie standaard direct, op nul dagen, staat. Je kunt aanvullende acties plannen, zoals een e-mail naar de eindgebruiker. Afhankelijk van platform zijn ook zwaardere acties beschikbaar.

Een hersteltermijn is geen excuus om risico te negeren. Het is tijd waarin een medewerker en IT een oplosbaar probleem kunnen herstellen voordat toegang wordt geraakt. Kies de termijn per soort risico:

Situatie	Mogelijke aanpak	Waarom
Uitgestelde herstart na versleuteling	Korte hersteltermijn met duidelijke instructie	De oplossing is vaak eenvoudig en controleerbaar
Windows-update loopt achter	Termijn passend bij updateproces en servicedeskcapaciteit	Voorkomt blokkade zonder realistisch herstelpad
Hoog apparaatriscio uit Defender	Snelle beveiligingsbeoordeling, mogelijk direct begrenzen	Kan wijzen op actieve dreiging
Onbekend of niet beheerd apparaat	Eerst inventariseren en eigenaarschap vaststellen	Status kan een registratieprobleem zijn

Let op het verschil tussen de Intune-status en de Conditional Access-beslissing. Zodra een apparaat noncompliant is en een toegangsbeleid compliant apparaten vereist, kan toegang worden geweigerd. Een hersteltermijn in de verkeerde laag kan dus anders uitpakken dan verwacht. Test de volledige keten met echte pilotapparaten.

Maak voor eindgebruikers een korte melding met drie onderdelen: wat er niet voldoet, wat zij zelf kunnen doen en waar ze hulp krijgen. Microsoft vermeldt dat compliance-e-mails het e-mailadres uit het gebruikersprofiel gebruiken. Ontbreekt dat adres, dan wordt de melding niet verstuurd. Controleer dus niet alleen het sjabloon, maar ook bezorging en profielgegevens. Vertrouw voor urgente situaties niet uitsluitend op een pushmelding.

Gebruik een pilot die ook uitzonderingen vindt

Een pilotgroep met alleen de nieuwste laptop van de IT-beheerder bewijst weinig. Neem verschillende reële situaties op:

• een recente Windows 11-laptop;
• een ouder maar nog ondersteund apparaat;
• een laptop die op afstand werkt en niet dagelijks op kantoor komt;
• een apparaat waarop BitLocker onlangs is ingeschakeld;
• een medewerker met normale gebruikersrechten;
• indien aanwezig, een gedeeld of speciaal ingericht apparaat.

Leg vóór de pilot vast wat succes betekent. Denk aan het percentage apparaten dat correct wordt beoordeeld, het aantal foutpositieven, de gemiddelde hersteltijd en het aantal supportvragen. Noteer ook hoe lang statuswijzigingen in de praktijk nodig hebben om van apparaat via Intune naar Conditional Access door te komen.

Begin met meten en rapporteren voordat je breed blokkeert. Onderzoek iedere noncompliant-status in de pilot. Is de configuratie werkelijk onveilig, ontbreekt een herstart, rapporteert het apparaat niet recent of is het beleid aan de verkeerde groep toegewezen? Pas het ontwerp aan op oorzaken, niet alleen op aantallen.

Een apart punt is de tenantbrede instelling voor apparaten waaraan geen compliance policy is toegewezen. Microsoft beschrijft dat zulke apparaten standaard als compliant kunnen worden behandeld. Wanneer je Conditional Access op compliance baseert, adviseert Microsoft de instelling te overwegen waarmee apparaten zonder toegewezen beleid als noncompliant gelden. Doe dat pas nadat je hebt gecontroleerd dat alle bedoelde platformen, groepen en uitzonderingen werkelijk beleid ontvangen. Anders creëer je een blinde blokkade buiten de Windows-pilot.

Bewaak ook de tenantbrede geldigheidsduur

Naast de regels in een Windows-policy heeft Intune tenantbrede compliance-instellingen. Eén daarvan is de Compliance status validity period. Deze bepaalt hoe lang een apparaat mag uitblijven met een succesvolle compliancerapportage voordat Intune het als noncompliant behandelt. Microsoft documenteert een standaardwaarde van 30 dagen en een instelbaar bereik van 1 tot 120 dagen.

Deze waarde is geen vervanging voor een hersteltermijn. De geldigheidsduur beantwoordt de vraag of Intune nog op een voldoende recente beoordeling mag vertrouwen. Een actie voor noncompliance bepaalt wat er gebeurt nadat een concrete policyregel faalt. Houd die twee klokken daarom apart in je ontwerp en documentatie.

Een zeer ruime geldigheidsduur kan een laptop die wekenlang niet meer rapporteert te lang als vertrouwd laten gelden. Een zeer korte waarde kan vakantie, reparatie, magazijnvoorraad of onregelmatig gebruikte reserveapparaten onnodig in een blokkade laten belanden. Kies de waarde op basis van je apparaatpopulatie en het risico van verouderde statusinformatie. Controleer vervolgens in Devices > Monitor > Setting compliance de instelling Is active om apparaten met verlopen rapportage te herkennen.

Leg bij de maandelijkse review ten minste vast:

• hoeveel actieve apparaten hun geldigheidsduur naderen of hebben overschreden;
• of de oorzaak een synchronisatieprobleem, afwezigheid of buitengebruikstelling is;
• wie apparaten zonder recente eigenaar of check-in opschoont;
• of de ingestelde geldigheidsduur nog aansluit op thuiswerk, verlof en reserveapparaten.

Microsoft beschrijft daarnaast client-driven compliance evaluation voor ondersteunde Windows-apparaten. Daarmee kan een apparaat bij een gedetecteerde lokale statuswijziging om een nieuwe beoordeling vragen. Beschouw dit als een versnelling van de evaluatie, niet als reden om monitoring en normale check-ins los te laten.

Lees de samengestelde status voordat je een ticket opent

Een Windows-apparaat kan meerdere compliance policies ontvangen. Intune maakt daar één resulterende status van. Microsoft ordent de mogelijke uitkomsten op ernst: Unknown, Not applicable, Compliant, In grace period, Noncompliant en Error. Wanneer meerdere policies verschillende uitkomsten geven, bepaalt de uitkomst met de hoogste ernst de apparaatstatus.

Dat betekent dat een apparaat met twee groene policies en één policy in de hersteltermijn als In grace period kan verschijnen. Een technische evaluatiefout kan zelfs zwaarder wegen dan een gewone noncompliant-status. Open daarom niet automatisch hetzelfde standaardticket voor ieder rood of afwijkend apparaat. Bekijk eerst de policy, de falende instelling, het tijdstip van de laatste check-in en de onderliggende status.

Gebruik voor de operationele triage drie routes:

1. In grace period: informeer de gebruiker, controleer of het herstelpad werkt en bewaak de deadline.
2. Noncompliant: beoordeel het risico, help herstellen en controleer welke Conditional Access-gevolgen al gelden.
3. Error of Unknown: onderzoek eerst evaluatie, toewijzing en communicatie met Intune. Een technisch meetprobleem bewijst niet automatisch dat de beveiligingsinstelling ontbreekt, maar je kunt de veiligheid ook niet aantonen.

Deze scheiding voorkomt onnodige blokkades en levert beter bewijs op voor audits. Je registreert niet alleen dát een apparaat afweek, maar ook waarom, hoe snel iemand reageerde en wanneer een betrouwbare status terugkwam.

Bouw een meld- en escalatieschema dat mensen kunnen uitvoeren

Iedere compliance policy bevat standaard Mark device noncompliant op nul dagen. Microsoft laat toe om aanvullende acties op verschillende momenten te plannen en dezelfde actie meermaals te gebruiken. In het beheercentrum accepteert het schema hele dagen en stappen van 0,25 dag. Daarmee staat 0,25 voor zes uur en 0,5 voor twaalf uur. Andere fracties zijn alleen via Microsoft Graph instelbaar.

Een bruikbaar MKB-schema kan er zo uitzien:

Moment na detectie	Actie	Operationele eigenaar
Direct	Registreer de afwijking en bepaal risico	IT-beheer
Na 6 uur	Eerste melding bij een oplosbare gebruikersactie	Medewerker met servicedesk als vangnet
Na 2 dagen	Herinnering en actief opvolgen van open gevallen	Servicedesk
Voor einde hersteltermijn	Bevestig oplossing of leg een goedgekeurde uitzondering vast	IT-verantwoordelijke
Na overschrijding	Laat het vooraf geteste toegangsbeleid gelden	Security- of IT-eigenaar

Pas de tijden aan op risico. Een hoog apparaatriscio uit Defender hoort niet twee dagen in een algemene wachtrij te blijven. Een ontbrekende herstart kan juist prima via een korte zelfservice-instructie lopen.

Voor e-mail gebruikt Intune het e-mailadres uit het profiel van de eindgebruiker en niet automatisch de UPN. Microsoft vermeldt dat de melding naar verwachting binnen zes uur na de noncompliant-status wordt verzonden. Controleer daarom profielgegevens, aflevering vanaf microsoft-noreply@microsoft.com en de mailboxregels. Een gepland bericht is pas een werkende beheersmaatregel als de gebruiker het ontvangt, begrijpt en een uitvoerbare herstelroute krijgt.

Koppel Conditional Access pas na een toegangsplan

Een goede compliance policy zonder toegangsbeleid meet risico, maar begrenst het niet. Een Conditional Access-policy kan vervolgens voor geselecteerde cloudapps een compliant apparaat vereisen. Bouw die koppeling gecontroleerd op.

Gebruik eerst een beperkte pilotgroep en een testmodus waarin je de verwachte uitkomst kunt beoordelen zonder direct af te dwingen. Controleer aanmeldlogboeken en test zowel compliant als bewust noncompliant gemaakte pilotscenario's. Zorg daarnaast voor beheerde noodtoegang die niet afhankelijk is van hetzelfde apparaatbeleid. Een fout in beleid mag niet betekenen dat niemand meer kan herstellen.

Documenteer uitsluitingen. Een uitsluiting zonder eigenaar en einddatum wordt snel permanent. Leg ten minste vast:

• welke identiteit, apparaatgroep of cloudapp is uitgesloten;
• welke zakelijke of technische reden daarvoor bestaat;
• wie de uitzondering heeft goedgekeurd;
• welke aanvullende maatregel het risico beperkt;
• wanneer de uitzondering opnieuw wordt beoordeeld.

Conditional Access moet ook aansluiten op je bredere basis. Drie basisregels voor Conditional Access legt uit waarom gefaseerd testen, sterke authenticatie en noodtoegang samen horen. Naleving vervangt MFA niet. Een compliant laptop met een gestolen wachtwoord blijft zonder sterke aanmelding kwetsbaar.

Maak dagelijks beheer onderdeel van het ontwerp

Na de uitrol begint het echte beheer. Iemand moet de rapporten beoordelen, tickets opvolgen en grenswaarden onderhouden. Zonder eigenaar veroudert een technisch correct beleid alsnog.

Gebruik een vast operationeel ritme:

Frequentie	Controle
Dagelijks	Nieuwe noncompliant-apparaten, hoog risico en plotselinge stijgingen
Wekelijks	Openstaande herstelacties, terugkerende oorzaken en mislukte meldingen
Maandelijks	Windows-buildgrenzen, uitzonderingen, groepsdekking en supportbelasting
Per kwartaal	Beleidseffect, licenties, hardwarebeperkingen en Conditional Access-scope

Beoordeel een apparaat niet alleen op het rode label. Bekijk welke instelling faalt, wanneer het apparaat voor het laatst rapporteerde en of de gebruiker nog aan het apparaat gekoppeld is. Een laptop die al is afgevoerd vraagt om opschoning, niet om vijf herinneringsmails. Een actief apparaat met een Defender-incident vraagt mogelijk juist onmiddellijke analyse.

Bewaar bewijs van belangrijke besluiten. Voor ISO 27001- en NIS2-governance is niet alleen de beleidsnaam interessant, maar ook de scope, goedkeuring, pilotuitkomst, uitzonderingen, periodieke review en afhandeling van afwijkingen. Zo laat je zien dat het beleid deel is van een werkend beheersproces.

Veelgemaakte fouten

Compliance gebruiken als configuratieprofiel

Een eis detecteert een probleem, maar herstelt het niet automatisch. Zorg dat update-, encryptie- en beveiligingsprofielen de gewenste toestand daadwerkelijk realiseren.

Direct voor alle medewerkers blokkeren

Zonder pilot ontdek je ontbrekende groepsdekking, oude hardware en statusvertraging pas wanneer de servicedesk volloopt.

Een maximale Windows-versie invullen zonder noodzaak

Een bovengrens kan nieuwere, legitieme builds blokkeren. Gebruik alleen grenzen die je bewust beheert en periodiek bijwerkt.

Alleen e-mail als herstelproces gebruiken

Een bericht kan ontbreken, vertraagd zijn of niet worden begrepen. Geef gebruikers een herkenbaar supportkanaal en laat IT op ernstige afwijkingen actief reageren.

Uitzonderingen niet laten verlopen

Tijdelijke uitzonderingen ondermijnen het beleid als niemand ze herbeoordeelt. Geef elke uitzondering een eigenaar en reviewdatum.

Statusvertraging aanzien voor een fout

Apparaten evalueren beleid rond hun check-in en verversingscyclus. Een recente wijziging hoeft niet direct overal zichtbaar te zijn. Controleer tijdstempels en laat een apparaat opnieuw synchroniseren voordat je conclusies trekt.

Veelgestelde vragen

Blokkeert Intune zelf een noncompliant Windows-apparaat?

Niet alleen door de compliance-status. Intune beoordeelt en rapporteert het apparaat. Microsoft Entra Conditional Access kan die status gebruiken om toegang tot gekozen bedrijfsbronnen te beperken.

Moeten apparaten in Intune zijn ingeschreven?

Voor de normale apparaatcompliance moet Intune het apparaat kunnen beheren en beoordelen. Microsoft noemt inschrijving als vereiste om de compliance-status te zien. Controleer uitzonderlijke beheerscenario's apart.

Is BitLocker direct compliant nadat versleuteling klaar is?

Niet altijd. Microsoft merkt op dat de betreffende apparaatstatus bij het opstarten wordt gemeten. Na het voltooien van versleuteling kan daarom een herstart nodig zijn voordat het apparaat compliant rapporteert.

Welke hersteltermijn is goed?

Er is geen universeel aantal dagen. Stem de termijn af op risico, gebruikersimpact en de snelheid waarmee IT kan helpen. Een verhoogd Defender-risico vraagt een andere reactie dan een geplande Windows-update.

Moeten apparaten zonder toegewezen beleid als noncompliant gelden?

Als compliance toegang bepaalt, voorkomt dat een apparaat zonder beleid automatisch als veilig wordt gezien. Controleer eerst dat al je bedoelde apparaten daadwerkelijk het juiste platformbeleid ontvangen en voer de wijziging via een pilot in.

Hoe weten we of het beleid werkt?

Meet niet alleen het percentage compliant apparaten. Kijk ook naar foutpositieven, hersteltijd, terugkerende oorzaken, uitzonderingen, supportbelasting en of Conditional Access de geteste risicoscenario's werkelijk begrenst.

Gebruikte bronnen

De productwerking en beschreven instellingen zijn op 3 november 2026 opnieuw gecontroleerd tegen Microsoft Learn. De actualisatie is gebaseerd op documentversies die Microsoft bijwerkte op 20 mei, 2 juli en 17 september 2026:

• Use compliance policies to set rules for devices you manage with Intune
• Create a compliance policy in Microsoft Intune
• Device compliance settings for Windows in Intune
• Configure actions for noncompliant devices in Intune