Conditional Access basisset: welke policies het MKB echt nodig heeft
Microsoft zet inmiddels zelf Conditional Access-policies klaar in je tenant, en dwingt ze na een maand af als niemand ingrijpt. Weet jij wat er bij jou aanstaat? Dit artikel laat de acht policies zien die samen de basisset vormen, in welke volgorde je ze aanzet en waar het misgaat.
Een Conditional Access basisset voor het MKB bestaat uit acht policies die Microsoft zelf aanraadt: MFA voor iedereen, extra streng voor beheerders, legacy authentication dicht en een conform apparaat verplicht. Je zet ze eerst in report-only aan, altijd met een noodaccount erbuiten, zodat een fout in een policy je niet buitensluit.
Conditional Access is het onderdeel van Microsoft Entra ID dat bij elke aanmelding de vraag stelt: wie ben je, vanaf welk apparaat log je in, en wat wil je openen? Op basis daarvan geeft het toegang, vraagt het om MFA of blokkeert het. Het idee is goed bekend. In de praktijk loopt het meestal mis op de vraag welke policies je precies aanzet.
Security defaults of Conditional Access?
Het is het een óf het ander. Microsoft heeft twee manieren om de basis van je accountbeveiliging te regelen, en die sluiten elkaar uit.
Security defaults zijn gratis en staan in nieuwe tenants vaak al aan. Volgens Microsoft Learn (bijgewerkt 18 juni 2026) regelen ze het volgende:
Wat security defaults afdwingen:
MFA-registratie voor alle gebruikers
MFA voor beheerders altijd, voor gebruikers "wanneer nodig"
blokkeren van legacy authentication
blokkeren van device code flow
bescherming van beheertaken, zoals inloggen op de Azure-portal
Microsoft onderbouwt die keuze met een opvallend cijfer:
"More than 99.9% of those common identity-related attacks are stopped by using multifactor authentication and blocking legacy authentication." — Microsoft Learn, juni 2026
Toch zijn security defaults bedoeld voor organisaties op de gratis laag van Entra. Microsoft zegt het letterlijk: heb je Entra ID P1 of P2, dan zijn security defaults "probably not right for you". Je kunt namelijk niets afstemmen: geen uitzondering voor een noodaccount, geen onderscheid tussen een beheerd en een onbeheerd apparaat.
Conditional Access vereist minimaal Microsoft Entra ID P1. Die licentie zit in Microsoft 365 Business Premium. Stap je over, dan moet je security defaults uitzetten: "Organizations that choose to implement Conditional Access policies that replace security defaults must disable security defaults." Dat wil je bewust doen, niet halverwege een drukke middag. Kijk voor het waarom-nu ook naar de NIS2-checklist voor het MKB: toegangsbeveiliging is daar een van de vaste onderdelen.
De basisset: welke acht policies raadt Microsoft aan?
Microsoft noemt deze groep sjablonen "Secure foundation" en raadt ze aan als basis voor elke organisatie, uit te rollen als groep (Conditional Access templates, Microsoft Learn, bijgewerkt 24 maart 2026). De namen staan hieronder in het Engels, zoals je ze in de portal tegenkomt.
# | Policy (naam in de portal) | Wat het doet | Waarom het in de basis hoort |
1 | Require multifactor authentication for admins | Accounts met een beheerrol moeten altijd MFA doen | Een gekaapt beheeraccount is de hele tenant |
2 | Securing security info registration | Bepaalt onder welke voorwaarden iemand MFA-methoden mag registreren of wijzigen | Voorkomt dat een aanvaller met alleen een wachtwoord zijn eigen authenticator koppelt |
3 | Block legacy authentication | Blokkeert oude aanmeldprotocollen die geen MFA ondersteunen | Via die achterdeur werkt MFA niet |
4 | Require multifactor authentication for admins accessing Microsoft admin portals | MFA bij elke aanmelding op een Microsoft-beheerportal | Dekt ook wie een portal opent zonder vaste beheerrol |
5 | Require multifactor authentication for all users | Iedere gebruiker doet MFA | De basis waar de rest op leunt |
6 | Require multifactor authentication for Azure management | MFA voor de Azure-portal en beheertools | Relevant zodra je Azure gebruikt, bijvoorbeeld voor servers of virtuele desktops |
7 | Require compliant or Microsoft Entra hybrid joined device or multifactor authentication for all users | Toegang vanaf een beheerd apparaat, anders MFA | Tussenstap richting apparaatbeleid |
8 | Require compliant device | Alleen beheerde, conforme apparaten krijgen toegang | Het strengste slot: een gestolen wachtwoord op een vreemde laptop werkt niet meer |
Voor policy 5 hebben we een apart stappenplan: MFA voor al je gebruikers instellen in Microsoft 365.
Twee dingen gelden voor alle acht. Elk sjabloon wordt standaard aangemaakt in report-only: de policy kijkt mee en logt wat er zou gebeuren, maar dwingt nog niets af. Daarnaast raadt Microsoft aan om noodaccounts (ook wel break-glass-accounts) uit te sluiten. Zo kan een fout in een policy je nooit volledig buitensluiten.
Microsoft zet al policies aan in je tenant
Dit is het deel dat de meeste organisaties missen. Microsoft maakt zelf policies aan in je tenant, de zogeheten Microsoft-managed policies (Microsoft Learn, bijgewerkt 8 augustus 2026). Ze verschijnen in report-only. Grijpt niemand in, dan zet Microsoft ze aan, niet eerder dan 30 dagen nadat ze verschenen zijn. Twee weken van tevoren krijg je een melding per e-mail en in het Message center.
Wat Microsoft op dit moment onder meer klaarzet:
Block legacy authentication
Block device code flow
MFA for admins accessing Microsoft Admin portals
MFA for all users
MFA for per-user MFA users
Require phishing resistant authentication for admins
MFA and reauthentication for risky sign-ins (vereist P2)
Block access for high-risk users (vereist P2)
Heb je Business Premium en doe je niets, dan worden er dus toch policies afgedwongen. Alleen zijn het niet de policies die jij gekozen hebt, en de uitzonderingen zijn niet op jouw situatie afgestemd. De vraag is dus niet óf je Conditional Access gaat gebruiken, maar of je weet wat er aanstaat. Kijk daarom in het Microsoft Entra-beheercentrum onder Conditional Access welke policies er in report-only klaarstaan, en van wie ze zijn.
In welke volgorde zet je Conditional Access aan?
De volgorde bepaalt of het een rustige middag wordt of een ochtend vol bellende medewerkers.
Zo pakken we het aan:
Eerst het noodaccount. Maak minimaal één break-glass-account aan en sluit het uit van elke policy. Bij onze klanten liggen de inloggegevens bij Sennin-IT én bij één IT-verantwoordelijke binnen het bedrijf. Niet bij één persoon, en niet in iemands mailbox.
Houd het gat klein. Security defaults en Conditional Access sluiten elkaar uit. Plan het uitzetten van het een en het afdwingen van de eerste policies daarom kort na elkaar, zodat je tenant niet onbeschermd tussen twee systemen in hangt.
Report-only laten meekijken. Bekijk in de aanmeldlogs wie er geblokkeerd zou worden. Vaak duikt hier een oude scanner of een vergeten app op die nog legacy authentication gebruikt.
Per policy aanzetten, beheerders eerst. Begin met de beheer-policies en legacy authentication, daarna MFA voor iedereen.
Apparaat-policies als laatste. Policy 7 en 8 vragen om apparaten die in Intune beheerd en conform zijn. Zet je "Require compliant device" aan voordat elke laptop ingeschreven is, dan sluit je je eigen mensen buiten. Zorg dus eerst dat je moderne werkplek op orde is.
Wanneer heb je Conditional Access niet nodig?
Heb je alleen Microsoft 365 Business Basic of Standard, dan heb je geen Conditional Access. Zet dan security defaults aan en laat het daarbij. Dat dekt de belangrijkste aanvallen en kost niets.
Een losse Entra ID P1-licentie kopen, alleen om Conditional Access te krijgen, loont zelden. Breid je toch uit, kijk dan naar Business Premium, omdat je daar ook Intune bij krijgt. Policy 7 en 8 uit de basisset hebben zonder Intune weinig zin.
Licentie | Prijs per gebruiker per maand | Conditional Access | Advies |
Business Basic | ±€7 | Nee | Security defaults aan |
Business Standard | ±€13 | Nee | Security defaults aan |
Business Premium | ±€19 | Ja (Entra ID P1) | Basisset, inclusief Intune |
Indicatieve prijzen per gebruiker per maand, jaarcontract, excl. btw, prijspeil juli 2026.
Veelgestelde vragen
Moet ik security defaults uitzetten voor Conditional Access?
Ja. Microsoft schrijft voor dat je security defaults uitzet als je ze vervangt door Conditional Access-policies. Ze kunnen niet naast elkaar actief zijn.
Welke licentie heb ik nodig voor Conditional Access?
Minimaal Microsoft Entra ID P1. Die zit in Microsoft 365 Business Premium. Business Basic en Standard bevatten geen Conditional Access.
Wat is een break-glass-account?
Een noodaccount met beheerrechten dat van alle Conditional Access-policies is uitgesloten. Maakt een policy een fout, dan kun je daarmee altijd nog inloggen om het te herstellen.
Wat gebeurt er als ik niets doe?
Microsoft zet zelf policies in report-only in je tenant. Na minimaal 30 dagen worden ze afgedwongen, met twee weken vooraf een melding.
Wat Sennin-IT voor jouw organisatie doet
Wij zorgen voor IT die gewoon werkt: veilig, stabiel en zonder gedoe. Geen helpdesk die je doorverbindt en geen standaardpakket dat over je bedrijf heen wordt gelegd, maar direct contact en een inrichting die past bij hoe jij werkt. Voor bedrijven in Dordrecht, Zwijndrecht, Papendrecht en de rest van de Drechtsteden regelen we dat als onderdeel van ons IT-beheer in Dordrecht.
Werk je met Business Premium? Dan leggen we je huidige policies naast de basisset en kijken we wat Microsoft al voor je heeft klaargezet. Heb je Basic of Standard, dan controleren we gewoon of security defaults goed aanstaan, en laten we het daarbij.
Plan een gratis adviesgesprek en laat je huidige policies naast de basisset leggen.
Opmerkingen