Device compliance beleid in Intune: zo richt je het goed in

Met een device compliance beleid leg je vast aan welke eisen een laptop, telefoon of tablet moet voldoen voordat die bij je bedrijfsgegevens mag. Denk aan een actuele besturingssysteemversie, een pincode of wachtwoord en versleuteling. In Microsoft Intune stel je die eisen per platform in. Intune beoordeelt elk apparaat als compatibel of niet-compatibel, en met Conditional Access zorg je dat alleen goedgekeurde apparaten toegang krijgen tot Microsoft 365. In dit artikel lees je wat je controleert, hoe je het beleid stap voor stap opbouwt en hoe je voorkomt dat je collega’s per ongeluk buitensluit.

Kort samengevat

• ✅ Een compliance beleid controleert apparaten. Het stelt zelf niets in, dat doen configuratieprofielen.
• 🔐 De echte bescherming komt pas als je de nalevingsstatus koppelt aan Conditional Access: niet-compatibel betekent dan geen toegang.
• ⏱️ Met acties voor niet-naleving geef je medewerkers eerst een melding en een respijtperiode, voordat de blokkade ingaat.
• ⚠️ Standaard ziet Intune apparaten zonder beleid als compatibel. Zet die tenantinstelling om naar niet-compatibel.
• 🧪 Begin altijd met een testgroep en een Conditional Access-regel in de modus Alleen rapporteren.

Inhoudsopgave

• Wat is een device compliance beleid?
• Welke eisen kun je stellen per platform?
• Zo maak je een compliance beleid aan in Intune
• Acties voor niet-naleving: eerst waarschuwen, dan blokkeren
• Compliance koppelen aan Conditional Access
• Deze tenantinstelling vergeten veel bedrijven
• Waarom staat een apparaat op niet-compatibel?
• Je beleid op termijn goed houden
• Onze kijk op device compliance
• Compliance laten regelen door ASTIA
• Veelgestelde vragen
• Bronnen

Wat is een device compliance beleid?

Een compliance beleid (in de Nederlandse Intune-omgeving heet het nalevingsbeleid) is een set regels waaraan een beheerd apparaat moet voldoen. Volgens Microsoft legt zo’n beleid vast welke eisen gelden, zoals een minimale versie van het besturingssysteem en beveiliging met een wachtwoord of pincode. Voldoet het apparaat, dan krijgt het het label compatibel. Voldoet het niet, dan wordt het niet-compatibel.

Dat label blijft niet in Intune hangen. Intune geeft de status door aan Microsoft Entra ID, de identiteitsdienst achter Microsoft 365. Daar kan Conditional Access er een besluit op baseren: toegang toestaan of blokkeren.

Een voorbeeld uit de praktijk: een medewerker logt in op Outlook vanaf een laptop die al maanden geen Windows-update heeft gehad. Met een goed ingericht beleid ziet Intune dat de versie te oud is, markeert de laptop als niet-compatibel en krijgt de medewerker een melding om bij te werken. Tot die tijd blijft de mailbox dicht.

Werk je nog niet met Intune of twijfel je over de aanpak? In ons artikel over Intune voor bedrijven lees je wat de overstap voor een MKB-bedrijf betekent.

Compliance beleid en configuratieprofiel: het verschil

Deze twee worden vaak door elkaar gehaald, terwijl ze een andere taak hebben:

• Configuratieprofiel: zet instellingen op het apparaat. Bijvoorbeeld: zet BitLocker aan, stel een wifi-profiel in of blokkeer USB-opslag.
• Compliance beleid: controleert of het apparaat aan je eisen voldoet. Bijvoorbeeld: is BitLocker actief? Is de Windows-versie recent genoeg?

In een goede inrichting werken ze samen. Het profiel zorgt dat een apparaat in orde komt, het compliance beleid bewaakt dat het zo blijft. Wil je versleuteling netjes uitrollen voordat je het gaat afdwingen, lees dan hoe je BitLocker implementeert zonder extra helpdeskbelasting.

Welke eisen kun je stellen per platform?

Intune werkt met aparte beleidsregels per besturingssysteem. Microsoft noemt een aantal veelvoorkomende nalevingsvereisten: een minimale OS-versie, een wachtwoord of pincode met eisen aan lengte en complexiteit, en een bedreigingsniveau dat niet boven een grens mag komen, bijvoorbeeld gemeten door Microsoft Defender voor Eindpunt. De precieze set instellingen verschilt per platform.

Voor Windows kun je onder meer BitLocker vereisen, een minimale en maximale OS-versie instellen en een risiconiveau via Defender voor Eindpunt gebruiken.

Zo kun je de eisen per platform indelen:

De kolom “Per platform” betekent dat de instelling bestaat, maar dat je in het beheercentrum per besturingssysteem ziet hoe die precies heet en werkt. Voor iPhones en iPads is het daarnaast slim om na te denken over de manier van inschrijven. In ons artikel over iOS supervised mode leggen we uit wanneer dat nodig is.

Een praktische basis voor het MKB

Begin niet met twintig regels tegelijk. Voor de meeste bedrijven is dit een sterke eerste versie:

1. Minimale OS-versie: een versie die nog beveiligingsupdates krijgt.
2. Wachtwoord of pincode verplicht, met een minimale lengte.
3. Versleuteling verplicht (BitLocker op Windows).
4. Bedreigingsniveau: als je Defender voor Eindpunt gebruikt, een maximaal risiconiveau.

Daarna breid je stap voor stap uit. Elke nieuwe regel test je eerst in een kleine groep.

Zo maak je een compliance beleid aan in Intune

Het aanmaken zelf is overzichtelijk. Microsoft beschrijft het stappenplan voor een nalevingsbeleid zo:

1. Ga in het Intune-beheercentrum naar Apparaten > Naleving > Beleid maken.
2. Kies het platform, bijvoorbeeld Windows 10 en later.
3. Vul op het tabblad Basisinformatie een duidelijke naam en beschrijving in. Tip: gebruik een vaste naamgeving, zoals CP-Windows-Basis.
4. Stel op het tabblad Nalevingsinstellingen je eisen in.
5. Leg op het tabblad Acties voor niet-naleving vast wat er gebeurt als een apparaat niet voldoet (daarover hieronder meer).
6. Wijs het beleid op het tabblad Toewijzingen toe aan een groep.
7. Sla op. Apparaten krijgen het beleid zodra ze inchecken bij de Intune-service.

Heb je eisen die niet in de standaardlijst staan? Op ondersteunde platforms kun je aangepaste instellingen toevoegen. Je uploadt dan eerst een detectiescript naar Intune en gebruikt een JSON-bestand met je regels. Intune controleert die JSON en toont de regels daarna in een tabel.

Toewijzen aan gebruikers of apparaten?

Deze keuze maakt meer uit dan je denkt. Volgens Microsoft gaan instellingen voor apparaatgroepen mee met het apparaat, en gaan instellingen voor gebruikersgroepen mee met de gebruiker, dus ook naar elk apparaat waarop die persoon zich aanmeldt.

• 👤 Gebruikersgroep: handig als medewerkers op meerdere apparaten werken, zoals laptop en telefoon.
• 💻 Apparaatgroep: handig voor gedeelde apparaten, zoals een vaste pc in de werkplaats of een tablet aan de balie.

Acties voor niet-naleving: eerst waarschuwen, dan blokkeren

Hier gaat het in de praktijk vaak mis. Een te streng beleid zonder respijtperiode zorgt op maandagochtend voor een volle telefoonlijn. Met acties voor niet-naleving bouw je een reeks stappen op, gepland in dagen nadat het apparaat als niet-compatibel is gemarkeerd.

De standaardactie Apparaat als niet-compatibel markeren kan direct ingaan, na nul dagen. Vanaf dat moment kan Conditional Access de toegang blokkeren. Daarom is het verstandig om hier bewust een respijtperiode in te stellen.

Een voorbeeldschema dat goed werkt voor veel MKB-bedrijven:

De dagen in dit schema zijn een voorbeeld. Kies termijnen die passen bij je risico. Voor een ontbrekende pincode wil je minder respijt geven dan voor een update die nog moet worden geïnstalleerd.

Naast e-mail kun je ook acties toevoegen zoals het apparaat op afstand vergrendelen. Gebruik die voor situaties met echt risico, zoals een verloren telefoon.

💡 Tip: maak de e-mail concreet. “Je laptop voldoet niet aan het beleid” helpt niemand. “Installeer de nieuwste Windows-update en start je laptop opnieuw op” wel.

Compliance koppelen aan Conditional Access

Een compliance beleid zonder Conditional Access is een rapport. Pas met de koppeling wordt het een slot op de deur. Het werkt zo:

1. De gebruiker logt in op bijvoorbeeld Teams of SharePoint.
2. Microsoft Entra ID controleert de Conditional Access-regels.
3. Een regel eist een compatibel apparaat.
4. Entra ID vraagt de status op bij Intune: compatibel, dan toegang; niet-compatibel, dan blokkeren.

Voor deze controle (de verleningsregel “apparaat als compatibel markeren”) moet er eerst een Intune-nalevingsbeleid bestaan en minimaal één compatibel apparaat zijn. Anders sluit je in het slechtste geval iedereen buiten, ook jezelf.

Gebruik je Microsoft Defender voor Eindpunt, dan kan Intune ook risicosignalen van Defender meenemen voor ingeschreven Windows-apparaten. Komt een apparaat boven de gekozen risicodrempel, dan wordt het niet-compatibel en kan Conditional Access de toegang blokkeren. Een besmette laptop komt zo niet meer bij je bedrijfsdata.

Microsoft adviseert daarbij een vaste volgorde:

• Valideer de resultaten eerst met een testapparaat.
• Breid de toewijzing daarna uit naar de beoogde gebruikers of apparaten.
• Maak de Conditional Access-regel eerst aan in de modus Alleen rapporteren.
• Zet de regel pas aan als de resultaten kloppen met wat je verwacht.

Wil je dieper in de toegangsregels duiken? In ons artikel over Conditional Access-beleid lees je hoe je slimme regels bouwt. En heb je MFA nog niet overal aanstaan, begin dan met MFA voor Microsoft 365. Voor de juiste licenties en inrichting van je identiteitsomgeving helpt ons stuk over Entra ID.

Deze tenantinstelling vergeten veel bedrijven

Naast de beleidsregels per platform heeft Intune instellingen voor de hele tenant. Eén daarvan is cruciaal: Apparaten markeren waarvoor geen nalevingsbeleid is toegewezen als. Volgens Microsoft markeert de standaardinstelling apparaten zonder beleid als compatibel. Microsoft raadt aan dit om te zetten naar niet-compatibel.

Waarom is dat belangrijk? Stel dat een nieuwe medewerker een telefoon inschrijft die (nog) in geen enkele groep zit. Met de standaardinstelling telt dat apparaat als compatibel en komt het gewoon langs Conditional Access. Zet je de instelling om, dan valt dit apparaat direct op in het rapport met apparaten zonder nalevingsbeleid en kun je het oplossen.

Let ook op: apparaten moeten zijn ingeschreven bij Intune om een nalevingsbeleid te krijgen. Een privételefoon die niet is ingeschreven, krijgt dus geen compliance-beoordeling.

Waarom staat een apparaat op niet-compatibel?

Intune markeert apparaten die niet aan de eisen voldoen als niet-compatibel, en gebruikers moeten het probleem oplossen voordat ze weer bij beveiligde bronnen kunnen. In de praktijk zien we vaak dezelfde oorzaken terugkomen:

• 🔄 BitLocker is net aangezet, maar de laptop is nog niet herstart. Op Windows wordt de BitLocker-status alleen tijdens het opstarten gemeten. Een herstart is dus nodig voordat de laptop compatibel wordt.
• 📦 De OS-versie is te oud. De gebruiker heeft een update uitgesteld.
• 🔑 Geen of een te korte pincode. Vooral op telefoons.
• 🕐 Het apparaat heeft nog niet ingecheckt. Nieuwe instellingen komen pas binnen als het apparaat contact maakt met de Intune-service.
• 👥 Dubbele of tegenstrijdige beleidsregels. Een apparaat valt onder twee beleidsregels met verschillende eisen.

Zo los je het op

1. Open het apparaat in het Intune-beheercentrum en bekijk per beleid welke instelling faalt.
2. Laat de gebruiker het probleem verhelpen, bijvoorbeeld updaten of een pincode instellen.
3. Start het apparaat opnieuw op en laat het synchroniseren via de Bedrijfsportal-app of de instellingen.
4. Controleer de status opnieuw in het nalevingsdashboard.

Blijft een apparaat langere tijd niet-compatibel? Dan kan het beleid het aanmerken als kandidaat voor buitengebruikstelling. Vaak gaat het dan om een oud apparaat dat niemand meer gebruikt.

Je beleid op termijn goed houden

Een compliance beleid is nooit af. Nieuwe Windows-versies, nieuwe telefoons en nieuwe dreigingen vragen om onderhoud. Een paar vaste gewoontes:

• 📅 Controleer elk kwartaal je minimale OS-versies. Verhoog ze als een oudere versie geen beveiligingsupdates meer krijgt.
• 📊 Kijk wekelijks naar het nalevingsdashboard. Een plotselinge stijging van niet-compatibele apparaten wijst vaak op een update die vastloopt.
• 🧪 Test elke wijziging eerst in een kleine groep, net als bij de eerste uitrol.
• 📝 Documenteer waarom een regel bestaat. Over een jaar weet je anders niet meer waarom een uitzondering er staat.
• 🧹 Ruim oude apparaten op via de lijst voor buitengebruikstelling.

Dit soort controles werkt het best als het niet afhangt van iemand die er tijd voor vrijmaakt. Met proactieve monitoring van werkplekken zie je afwijkingen voordat een medewerker ertegenaan loopt.

Onze kijk op device compliance

Wij zien device compliance als het fundament van een veilige werkplek. Niet als losse instelling, maar als de afspraak tussen je apparaten en je bedrijfsdata: alleen wie in orde is, komt binnen.

Het grootste risico zit volgens ons niet in de techniek, maar in de uitrol. Een beleid dat te streng start, legt een team stil. Een beleid dat te soepel blijft, beschermt niemand. Daarom bouwen we het altijd in stappen op: eerst rapporteren, dan een testgroep, dan de rest van het bedrijf.

We houden de apparaten van onze klanten 24/7 in de gaten. Zo zien we een laptop die uit de pas loopt meestal eerder dan de medewerker zelf. En als iemand toch geblokkeerd wordt, belt die ons direct. Geen ticket, gewoon een collega aan de lijn die het samen met je oplost.

Compliance hoort bij het hele IT-fundament: werkplekken, Microsoft 365, netwerk en beveiliging. Als één partij daar verantwoordelijk voor is, sluiten de regels op elkaar aan en hoef je niet te schakelen tussen leveranciers.

Mick

Compliance laten regelen door ASTIA

Geen tijd of zin om zelf beleidsregels, respijtperiodes en Conditional Access op elkaar af te stemmen? Bij ASTIA richten we device compliance in als onderdeel van ons werkplekbeheer. We stellen de eisen per platform op, testen ze met een pilotgroep en houden alles daarna 24/7 in de gaten.

Je betaalt een vast, transparant bedrag per werkplek en hebt bij vragen direct telefonisch contact met ons team. Wil je compliance meteen goed laten aansluiten op de rest van je beveiliging? Bekijk dan ook onze aanpak voor IT-beveiliging of Microsoft 365-beheer.

Veelgestelde vragen

Heb ik Conditional Access nodig voor een compliance beleid?

Voor het beoordelen niet: Intune markeert apparaten ook zonder Conditional Access als compatibel of niet-compatibel. Maar zonder koppeling blijft het bij een rapport. Pas met Conditional Access blokkeer je echt de toegang van apparaten die niet voldoen.

Hoe snel wordt een apparaat geblokkeerd als het niet voldoet?

Dat bepaal je zelf met de acties voor niet-naleving. De standaardactie om een apparaat als niet-compatibel te markeren kan direct ingaan, na nul dagen. Met een respijtperiode van een paar dagen geef je medewerkers tijd om het probleem eerst zelf op te lossen.

Kan ik verschillende eisen stellen voor laptops en telefoons?

Ja. Je maakt per platform een apart beleid, bijvoorbeeld voor Windows, macOS, iOS/iPadOS en Android. Elk beleid heeft zijn eigen instellingen en kan aan andere groepen worden toegewezen.

Waarom blijft een laptop niet-compatibel terwijl BitLocker aanstaat?

Op Windows meet Intune de BitLocker-status alleen tijdens het opstarten. Na het versleutelen moet de laptop dus eerst opnieuw opstarten. Laat daarna het apparaat synchroniseren en controleer de status opnieuw.

Bronnen

• Microsoft: Compliancebeleid instellen voor apparaten met Intune (Zero Trust)
• Microsoft: Nalevingsbeleid voor apparaten maken in Intune
• Microsoft: Apparaatprofielen toewijzen in Intune
• Microsoft: Compliancebeleid configureren
• Microsoft: Windows-nalevingsinstellingen in Intune
• Microsoft: Acties voor niet-naleving configureren
• Microsoft: Voorwaardelijke toegang met Defender voor Eindpunt
• Microsoft Entra-documentatie: Conditional Access met apparaatcompliance
• Microsoft: Resultaten van nalevingsbeleid bewaken
• Microsoft: Implementatiehandleiding voor Windows-apparaatbeheer

Aanbevelingen

• Conditional access beleid: zo bouw je slimme toegangsregels
• BitLocker implementeren voor MKB zonder extra helpdeskbelasting
• BYOD-beleid opstellen: praktische richtlijn voor het MKB
• Lifecycle beheer apparaten: praktisch stappenplan voor het MKB