Endpoint hardening checklist: Windows 11 veilig inrichten in het MKB

Met endpoint hardening zet je laptops en pc’s zo strak mogelijk af, zonder dat je team er last van heeft. Je haalt de standaardinstellingen weg die aanvallers misbruiken, zoals lokale adminrechten, onversleutelde schijven en uitgeschakelde logging. In dit artikel vind je een checklist voor Windows 11 die je direct kunt gebruiken. Je leest welke baseline je als startpunt neemt (CIS of Microsoft), hoe je de maatregelen uitrolt zonder dat bedrijfssoftware vastloopt, en waarom hardening werk is dat doorloopt. Hij is geschreven voor ondernemers en bedrijfsleiders die willen weten wat er op hun werkplekken moet gebeuren, ook als iemand anders het technische werk doet.

Kort samengevat

• ✅ Verzin geen eigen instellingen. Begin met een bekende baseline: de CIS Benchmark voor Windows 11 of de Microsoft security baseline.
• 🔒 De basis: geen adminrechten voor gebruikers, BitLocker op elke schijf, automatische updates, een goed ingestelde firewall en controle over welke software mag draaien.
• 🧪 Zet strenge regels altijd eerst in auditmodus. Dan zie je wat er geblokkeerd zou worden voordat je iemand echt tegenhoudt.
• 🔁 Hardening doe je niet één keer. Instellingen schuiven na verloop van tijd terug, dus je moet blijven controleren.
• ⚖️ Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Voor veel organisaties is passende beveiliging van werkplekken daarmee een wettelijke plicht geworden.

Inhoudsopgave

• Wat endpoint hardening is en waarom het nu telt
• Je startpunt: CIS Benchmark of Microsoft security baseline
• De checklist: 10 onderdelen voor elke Windows 11 werkplek
• Zo rol je hardening uit zonder je team stil te zetten
• Vergeet de andere apparaten in je netwerk niet
• Hoe wij naar endpoint hardening kijken
• Liever dat iemand dit voor je regelt?
• Veelgestelde vragen
• Bronnen

Wat endpoint hardening is en waarom het nu telt

Een endpoint is elk apparaat dat met je netwerk of je clouddiensten verbonden is: laptops, desktops, telefoons en tablets. Maar ook printers, routers en VoIP-toestellen. Hardening betekent dat je zo’n apparaat zo inricht dat aanvallers zo weinig mogelijk ingangen vinden. Je zet uit wat je niet gebruikt, je beperkt rechten en je zorgt dat afwijkingen opvallen.

Waarom zou je daar nu mee aan de slag gaan? Werkplekken zijn een favoriet doelwit. De Australische overheid zegt in haar handleiding voor het harden van Windows 11 dat aanvallers werkplekken aanvallen via kwaadaardige websites, e-mails en verwisselbare media. Een medewerker hoeft maar één keer op de verkeerde link te klikken. Een geharde laptop zorgt er dan voor dat zo’n fout geen bedrijfsbreed probleem wordt.

Daarnaast is er de wet. De Cyberbeveiligingswet (Cbw) is de Nederlandse invulling van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. Valt je organisatie onder de wet? Dan hebben bestuurders een zorgplicht en moeten ze zich ook laten opleiden. Ze moeten de risico’s voor hun netwerk- en informatiesystemen kennen en daar passende maatregelen tegen nemen. Of je organisatie eronder valt, hangt af van je sector en je omvang. Twijfel je? Vraag het na bij je brancheorganisatie of een jurist met kennis van de Cbw, voordat je aanneemt dat het niet voor jou geldt.

Het goede nieuws: “passend” betekent ook evenredig. Een bedrijf met vijftien medewerkers hoeft niet dezelfde beveiliging te bouwen als een multinational. Je moet wel kunnen laten zien dat je maatregelen werken tegen de risico’s die voor jou echt tellen, zoals uitval van je planning, administratie of klantcontact.

Je startpunt: CIS Benchmark of Microsoft security baseline

De grootste fout bij hardening is zelf gaan bedenken welke instellingen goed zijn. Windows 11 heeft duizenden instellingen. Microsoft zelf raadt aan een bekende, goed geteste standaardconfiguratie te gebruiken in plaats van zelf een baseline te bouwen. Er zijn twee gangbare keuzes.

In de praktijk combineer je ze vaak. Je rolt de Microsoft baseline uit via Intune, omdat dat snel en beheersbaar is. Daarna leg je de CIS Level 1-aanbevelingen ernaast om gaten te vinden. Wil je nog een derde blik? Het Amerikaanse NIST houdt in de National Checklist Program-catalogus een configuratiegids voor Windows 11 bij. En het Britse NCSC heeft praktische richtlijnen voor Windows-apparaten, bijvoorbeeld welke hardware moderne beveiligingsfuncties ondersteunt.

💡 Let op bij updates van de baseline: een nieuwe Microsoft baseline in Intune overschrijft je bestaande profielen niet vanzelf. Je moet bewust overstappen en daarbij je eigen aanpassingen opnieuw nalopen.

De checklist: 10 onderdelen voor elke Windows 11 werkplek

Loop deze punten per apparaat of per groep apparaten na. Je zult zien dat je al een deel op orde hebt. Bijna geen enkel bedrijf begint echt bij nul. Inventariseer dus eerst wat er al is, zoals antivirus of back-ups. Dan zie je waar de echte gaten zitten.

1. Een vaste configuratiebaseline

• ☐ Er is één vastgelegde baseline (CIS of Microsoft) voor alle werkplekken.
• ☐ Afwijkingen van de baseline zijn opgeschreven, met de reden erbij.
• ☐ Nieuwe apparaten krijgen de baseline automatisch bij de eerste keer opstarten, niet pas “later”.

2. Geen lokale adminrechten voor gebruikers

• ☐ Medewerkers werken met een standaardaccount, zonder beheerdersrechten.
• ☐ Het ingebouwde lokale administratoraccount is uitgeschakeld of heeft per apparaat een uniek wachtwoord dat automatisch wordt beheerd (Windows LAPS).
• ☐ Beheerders gebruiken een apart account voor beheertaken en niet hun dagelijkse account.

Dit is de maatregel met de meeste winst. Veel malware heeft adminrechten nodig om zich vast te zetten. Zonder die rechten loopt een aanval veel vaker vast.

3. Sterke aanmelding

• ☐ Meervoudige authenticatie (MFA) voor Microsoft 365 en alle clouddiensten.
• ☐ Windows Hello for Business of een vergelijkbare aanmelding zonder wachtwoord waar dat kan.
• ☐ Het scherm vergrendelt automatisch na een paar minuten zonder activiteit.
• ☐ Elk account heeft een wachtwoord. De CIS-update van september 2026 voegt hier zelfs een nieuwe aanbeveling voor toe.

4. Schijfversleuteling

• ☐ BitLocker staat aan op elke laptop en desktop.
• ☐ De herstelsleutels staan centraal opgeslagen, niet op een post-it of in een losse mail.
• ☐ Je controleert regelmatig of nieuwe apparaten echt versleuteld zijn.

Raakt een laptop kwijt in de trein? Met BitLocker kan een vinder niets met je klantgegevens.

5. Automatisch patchen

• ☐ Windows-updates worden automatisch geïnstalleerd, met een vaste deadline.
• ☐ Ook applicaties zoals browsers, pdf-lezers en zakelijke software worden bijgewerkt.
• ☐ Je hebt een overzicht van apparaten die achterlopen, en iemand die daar actie op neemt.

Wil je verder dan updates alleen? Lees dan ons artikel over vulnerability management voor het MKB.

6. Endpointbescherming

• ☐ Microsoft Defender Antivirus (of een vergelijkbare oplossing) staat aan en is up-to-date.
• ☐ Tamper Protection staat aan, zodat malware de bescherming niet zomaar uitzet.
• ☐ De regels voor Attack Surface Reduction (ASR) zijn ingesteld. Bijvoorbeeld: Office mag geen onderliggende processen starten.
• ☐ Bescherming tegen ransomware via gecontroleerde maptoegang is overwogen. Meer daarover lees je in ransomwarebescherming voor het MKB.

7. Application Control

• ☐ Je weet welke software er op je werkplekken mag draaien.
• ☐ WDAC (App Control for Business) of AppLocker is ingesteld, eerst in auditmodus.
• ☐ Meldingen uit de auditperiode zijn bekeken voordat je overstapt naar blokkeren.

Het NCSC heeft hier een uitgebreide configuratiehandleiding voor Application Control over geschreven. Daarin staat ook dat een WDAC-beleid pas echt werkt als je het actief monitort.

8. Firewall en onnodige functies

• ☐ De Windows Firewall staat aan voor alle profielen (domein, privé en openbaar).
• ☐ Inkomende verbindingen worden standaard geblokkeerd.
• ☐ Oude protocollen zoals SMBv1 staan uit.
• ☐ Diensten die je niet gebruikt, zoals Extern bureaublad, staan uit of zijn alleen bereikbaar via een beveiligde verbinding.

9. USB en verwisselbare media

• ☐ Automatisch afspelen (AutoPlay/AutoRun) staat uit.
• ☐ Je hebt besloten of USB-sticks mogen, alleen lezen of helemaal niet.
• ☐ Toegestane USB-sticks zijn versleuteld (BitLocker To Go).

10. Logging en monitoring

• ☐ Beveiligingslogs van werkplekken komen op één centrale plek binnen.
• ☐ Iemand kijkt echt naar waarschuwingen, ook buiten kantoortijd.
• ☐ Je krijgt een melding als een apparaat afwijkt van de baseline.

Dat laatste punt wordt vaak vergeten. Na een update, een nieuw programma of een “handige” aanpassing van een collega schuiven instellingen ongemerkt terug. Dat heet configuration drift. Je wilt dus tools die niet alleen instellen, maar je ook waarschuwen als er iets verandert.

Zo rol je hardening uit zonder je team stil te zetten

De grootste valkuil in het MKB is werkplekken in één keer dichtzetten. Op maandagochtend start het boekhoudpakket niet meer, de planningstool loopt vast en de telefoon staat roodgloeiend. Met deze volgorde voorkom je dat:

1. Inventariseer. Maak een lijst van alle apparaten en de software die je team echt gebruikt. Vergeet de oude tool op die ene pc in het magazijn niet.
2. Kies je baseline. Neem de Microsoft baseline of CIS Level 1 als basis. Level 2 bewaar je voor apparaten met extra gevoelige gegevens.
3. Begin met een testgroep. Kies drie tot vijf collega’s met verschillende functies, bijvoorbeeld iemand van administratie, verkoop en de buitendienst.
4. Draai in auditmodus. Vooral voor Application Control en ASR-regels. Kijk een paar weken mee wat er geblokkeerd zou worden.
5. Pas aan en leg vast. Maak uitzonderingen alleen waar het echt moet en schrijf op waarom.
6. Rol uit in groepen. Eerst de testgroep, daarna per afdeling. Zo blijft een probleem klein.
7. Monitor en herhaal. Controleer elke maand op afwijkingen en kijk bij elke nieuwe baselineversie wat er verandert.

Deze aanpak past bij wat het NCSC “risicogedreven werken” noemt. In de publicatie over exposure management beschrijft het NCSC hoe je vooraf inzicht krijgt in waar je kwetsbaar bent, in plaats van te wachten tot er iets misgaat. Cybersecurity is dan geen los IT-project meer, maar een vast onderdeel van hoe je risico’s in je bedrijf beheert.

Vergeet de andere apparaten in je netwerk niet

Een perfect geharde laptop helpt weinig als de router, de printer of het VoIP-toestel in hetzelfde netwerk slecht beveiligd is. Het NCSC wijst er in dezelfde publicatie op dat juist zulke apparaten aan de rand van je netwerk vaak een toegangspoort zijn. Neem ze dus mee in je checklist:

• 🖨️ Printers en multifunctionals: standaardwachtwoord vervangen, firmware bijwerken, webinterface niet vanaf internet bereikbaar.
• 📞 VoIP-toestellen: beheerwachtwoord aangepast, firmware actueel, in een eigen netwerksegment.
• 📡 Routers en firewalls: beheer alleen intern, updates automatisch of volgens een vast schema.
• 📱 Smartphones: schermvergrendeling, versleuteling en de mogelijkheid om zakelijke gegevens op afstand te wissen.

Apparaten scheiden die niet bij elkaar horen, beperkt de schade als er toch iets binnenkomt. Hoe je dat praktisch aanpakt, lees je in netwerksegmentatie voor het MKB. Werkt je team ook vanuit huis? Dan zijn de maatregelen voor veilig thuiswerken een goede aanvulling op deze checklist.

Hoe wij naar endpoint hardening kijken

We zien bij ondernemers vaak hetzelfde patroon. Er is ooit iemand geweest die de laptops netjes heeft ingericht. Een paar jaar later zijn er nieuwe collega’s, nieuwe apparaten en nieuwe programma’s bijgekomen. Niemand weet nog precies welke instellingen er staan. De checklist van toen is dan niet veel meer waard.

Daarom zien we hardening niet als een project met een einddatum, maar als onderdeel van dagelijks beheer. Een baseline instellen kost een paar dagen. Hem blijven bewaken, dat is waar het echt om draait. Wij monitoren daarom 24/7 en werken proactief. Ons doel is dat een afwijking of een gemiste update wordt opgelost voordat jij of je team er iets van merkt.

We merken ook dat werkplekken niet los staan van de rest. Een laptop is zo veilig als het netwerk waarop hij draait, de wifi waarmee hij verbindt en de telefonie die in hetzelfde netwerk hangt. Juist daarom nemen we graag de verantwoordelijkheid voor het hele IT-fundament. Dan hoeft niemand na een incident te zoeken bij welke leverancier het probleem zit.

En als er toch iets blokkeert omdat een instelling strenger is geworden? Dan bel je ons en krijg je direct iemand aan de lijn. Geen ticket dat drie dagen ergens in een wachtrij staat. Strenge beveiliging werkt alleen als je team er ook gewoon mee kan werken.

— Mick

Liever dat iemand dit voor je regelt?

Deze checklist is veel werk als je hem goed wilt bijhouden naast je eigen werk. Met ons werkplekbeheer richten we je Windows 11 werkplekken veilig in en houden we ze daarna ook zo: updates, beveiliging, monitoring en support, voor een vaste prijs per werkplek. Wil je ook direct je netwerk, wifi en telefonie meenemen? Kijk dan wat IT uitbesteden bij ons inhoudt. Wil je eerst een breder beeld van je beveiliging? Op onze pagina over IT-beveiliging voor het MKB lees je hoe we werkplekken, e-mail en netwerk samen beschermen.

Veelgestelde vragen

Wat is het verschil tussen een CIS Benchmark en een Microsoft security baseline?

Beide zijn sets aanbevolen instellingen voor Windows 11. De CIS Benchmark wordt opgesteld door een onafhankelijke organisatie op basis van consensus tussen experts en kent twee niveaus. De Microsoft baseline komt van Microsoft zelf en kun je direct als profiel uitrollen in Intune. Veel bedrijven gebruiken de Microsoft baseline als basis en controleren daarna met CIS of er nog gaten zijn.

Is Windows 11 standaard niet al veilig genoeg?

Windows 11 heeft goede beveiligingsfuncties, maar een flink deel staat niet standaard aan of is ruim ingesteld. Denk aan adminrechten voor gebruikers, AutoPlay of het ontbreken van Application Control. Hardening zorgt dat je die functies ook echt gebruikt en dat ze op alle apparaten hetzelfde staan.

Hoe vaak moet ik mijn werkplekken opnieuw controleren?

Controleer minimaal elke maand of apparaten nog aan je baseline voldoen. Kijk ook bij elke nieuwe versie van Windows of van de baseline wat er verandert. Het beste is automatische monitoring die je direct waarschuwt bij een afwijking, zodat je niet hoeft te wachten op een handmatige controle.

Moet ik als klein bedrijf echt met de Cyberbeveiligingswet rekening houden?

Dat hangt af van je sector en omvang. De Cbw geldt sinds 15 augustus 2026 voor organisaties in aangewezen sectoren, en ook als leverancier van zo’n organisatie kun je eisen krijgen. Check bij je brancheorganisatie of een jurist of de wet op jou van toepassing is. Ook als dat niet zo is, is deze checklist een goede basis om je bedrijf te beschermen.

Kan hardening mijn bedrijfssoftware laten vastlopen?

Ja, vooral strenge regels voor Application Control en ASR kunnen legitieme programma’s blokkeren. Daarom begin je altijd in auditmodus met een kleine testgroep. Zo zie je vooraf wat er misgaat en kun je dat oplossen voordat je de regels voor iedereen aanzet.

Bronnen

• CIS Benchmarks September 2026 Update
• Tijdlijn en planning Cyberbeveiligingswet (Cbw)
• Security baselines guide, Microsoft Learn
• Microsoft Intune Settings Catalog updated to support Windows 11, version 26H2
• Security baselines in Microsoft Intune
• Hardening Microsoft Windows 11 workstations, Cyber.gov.au
• NIST National Checklist Program, Windows 11
• NCSC UK, Device security guidance voor Windows
• NCSC, Configuratiehandleiding Application Control
• NCSC, Exposure Management

Aanbevelingen

• Vulnerability management voor het MKB: waar u vandaag mee begint
• BitLocker implementeren voor MKB zonder extra helpdeskbelasting
• VPN voor bedrijven: alles wat MKB’ers moeten weten
• Hybride werken ICT: beveiligd en beheersbaar voor het MKB