Windows-beveiligingsupdates tijdens de inrichting met de ESP

Een nieuwe laptop komt uit de doos en doorloopt Windows Autopilot. Ontbreekt daarop de laatste maandelijkse beveiligingsupdate, dan wil je weten of die tijdens de inrichting wordt geïnstalleerd of pas als de gebruiker al aan het werk is.

Microsoft heeft begin september 2025 een instelling aangekondigd in de Enrollment Status Page (ESP) van Intune waarmee je dat stuurt. In deze blogpost lees je wat de instelling Install Windows updates (might restart the device) doet, voor welke apparaten ze werkt en hoe je haar in een nieuw of bestaand ESP-profiel instelt.

Wat doet de instelling?

De Enrollment Status Page laat de gebruiker tijdens de out-of-box experience (OOBE) zien hoe ver de inrichting is, en kan het apparaat blokkeren tot de vereiste apps en profielen zijn geïnstalleerd. Met de nieuwe instelling bepaal je daarnaast of het apparaat aan het eind van de OOBE bij Windows Update controleert of er maandelijkse beveiligingsupdates ontbreken, en die dan installeert.

• Yes: het apparaat zoekt de ontbrekende updates en installeert ze. Worden er updates gevonden, dan ziet de gebruiker een pagina met de voortgang.
• No: de updates worden tijdens de OOBE niet geïnstalleerd en het apparaat gaat gewoon door naar het bureaublad.

In het admin center heette de instelling in oktober 2026 Install Windows updates (might restart the device); Microsoft Learn noemt haar Install Windows quality updates (might restart the device). Microsoft noemt deze updates in Intune quality updates. Het gaat om de maandelijkse beveiligingsupdate die op de tweede dinsdag van de maand verschijnt, ook bekend als de B-release of Patch Tuesday. Andere soorten updates, zoals de optionele preview-updates of de jaarlijkse feature update, installeert deze instelling niet.

De volgorde is belangrijk: eerst rondt de ESP af en past ze je update rings toe, daarna worden de beveiligingsupdates geïnstalleerd. Een uitstel of pauze die je in een update ring hebt ingesteld, wordt dus gerespecteerd.

Microsoft kondigde de instelling aan in de week van 1 september 2025.

Bijgewerkt in oktober 2026: sinds 13 januari 2026 is de functie beschikbaar. De afdwinging in Windows zit in de kwaliteitsupdate 2026-01 B.

Wat heb je nodig?

• Een abonnement dat Windows Autopilot ondersteunt, bijvoorbeeld Microsoft 365 Business Premium, Microsoft 365 E3 of E5, of Microsoft Entra ID P1 of P2 samen met Microsoft Intune.
• Apparaten met een ondersteunde versie van Windows 11. Andere Windows-versies negeren de instelling.
• Een ESP-profiel dat aan apparaten is toegewezen. Gebruikersgerichte ESP-profielen worden voor deze instelling niet ondersteund.
• Apparaten die zijn geregistreerd voor Windows Autopilot. Een apparaat dat niet in Autopilot is geregistreerd, volgt de instelling alleen als zowel het ESP-profiel als je update rings zijn toegewezen aan All Devices.

Microsoft noemt op de ESP-pagina geen specifieke beheerdersrol voor deze instelling.

Waar het niet werkt

• Windows Autopilot device preparation gebruikt geen ESP, dus de instelling geldt daar niet. Daar worden tijdens de OOBE (nog) geen beveiligingsupdates geïnstalleerd; Microsoft heeft aangekondigd dat dat later wel gebeurt, zonder mogelijkheid om het uit te zetten.
• Bij pre-provisioning worden de updates niet geïnstalleerd in de Technician Flow, wel in de User Flow.
• Op een netwerkverbinding met een datalimiet (metered) installeert de OOBE de updates niet.

Maak een nieuw ESP-profiel met de instelling

In een nieuw profiel staat de instelling standaard op Yes.

1. Open het Microsoft Intune admin center.
2. Navigeer naar Devices > Device onboarding > Enrollment.
3. Selecteer op het tabblad Windows, onder Windows Autopilot, de optie Enrollment Status Page.
4. Klik op Create en geef het profiel bij Basics een naam, bijvoorbeeld “ESP – Windows 11 – Contoso”.
5. Zet bij Settings de optie Show app and profile configuration progress op Yes. Pas daarna verschijnen de overige instellingen.
6. Laat Install Windows updates (might restart the device) op Yes staan.
7. Zet Block device use until all apps and profiles are installed op Yes. Staat deze op No, dan kan het apparaat de ESP verlaten voordat de updatebeleidsregels en de beveiligingsupdates zijn toegepast.

8. Kies bij **Assignments** de apparaatgroepen die het profiel krijgen. 9. Voeg bij **Scope tags** zo nodig scope tags toe. 10. Controleer bij **Review + create** je instellingen en klik op **Create**.

Het profiel wordt actief zodra de apparaten weer inchecken.

Pas een bestaand ESP-profiel aan

In profielen die al bestonden, staat de instelling op No. Wil je daar ook updates tijdens de OOBE, dan moet je het profiel zelf aanpassen. De stappen volgen hoe Microsoft het bewerken van het standaardprofiel beschrijft.

1. Navigeer naar Devices > Device onboarding > Enrollment en open op het tabblad Windows de Enrollment Status Page.
2. Selecteer het profiel en kies Properties.
3. Klik bij Settings op Edit.
4. Zet Install Windows updates (might restart the device) op Yes.
5. Klik op Review + save en daarna op Save.

Heb je meerdere ESP-profielen, controleer dan welk profiel de hoogste prioriteit heeft voor je apparaatgroepen. Een apparaat gebruikt het device-gerichte profiel met de hoogste prioriteit, en zonder ander profiel is dat het standaardprofiel.

💡 Let op met Windows Autopatch: Autopatch-groepen kunnen niet aan All Devices worden toegewezen. Microsoft beschrijft twee alternatieven: update rings vanuit Devices | Windows Updates met de toewijzing All Devices, of Autopatch-groepen met apparaten die in Windows Autopilot zijn geregistreerd.

Wanneer zet je de instelling op No?

De instelling op Yes is niet altijd de beste keuze.

• Extra tijd. Microsoft geeft aan dat de installatie 20 tot 40 minuten aan de inrichting toevoegt.
• Herstarts. De installatie kan het apparaat herstarten. Na zo’n herstart wordt de gebruiker niet automatisch aangemeld, en dat kan scenario’s met automatische aanmelding (autologon) verstoren. Microsoft raadt in die gevallen No aan.
• Eerst testen. Met No krijgen nieuwe apparaten de nieuwste beveiligingsupdate niet tijdens de inrichting. Dat geeft je de tijd om een update eerst te testen.

Ook voor No moet Block device use until all apps and profiles are installed op Yes staan. Microsoft raadt af om die optie op No te zetten als Install Windows updates op No staat, en noemt Yes de manier om ervoor te zorgen dat de updates dan ook echt niet worden geïnstalleerd.

Expedited updates horen er niet bij. Een apparaat met een expedite-beleid start die update ergens na de OOBE, als die niet in de maandelijkse beveiligingsupdate zit.

💡 Microsoft is niet eenduidig over wat Windows doet zonder deze instelling. Het What’s new-artikel zegt dat de OOBE standaard de nieuwste beveiligingsupdates installeert, terwijl de ESP-pagina zegt dat ze standaard niet worden geïnstalleerd. Wat wel vaststaat: met Yes of No in een device-gericht ESP-profiel bepaal je het zelf, mits de ESP is ingeschakeld en Block device use until all apps and profiles are installed op Yes staat. Is de ESP-pagina uitgeschakeld, dan worden de updates niet geïnstalleerd.

Gebruikerservaring

Staat de instelling op Yes en zijn er updates nodig, dan ziet de gebruiker aan het eind van de OOBE een pagina met de voortgang van de updates. Het apparaat kan daarbij opnieuw opstarten, waarna de gebruiker zich opnieuw moet aanmelden. Daarna komt de gebruiker op het bureaublad, met de maandelijkse beveiligingsupdate die je update rings toestaan, voor zover aan de voorwaarden hierboven is voldaan.

Met No verschijnt er geen updatepagina en gaat het apparaat direct door naar het bureaublad.

📚 Meer lezen: Windows monthly security update release details.

Tot slot

Met Install Windows updates kies je per ESP-profiel of nieuwe Windows 11-apparaten tijdens de inrichting de maandelijkse beveiligingsupdate krijgen. Nieuwe profielen staan op Yes, bestaande op No. Loop je bestaande profielen dus na, en zet Block device use until all apps and profiles are installed op Yes: alleen dan wordt je keuze, Yes of No, betrouwbaar toegepast.