Microsoft stopt de verlengde ondersteuning van Windows Server 2016 op 12 januari 2027, zo staat het in de levenscycluspagina van Microsoft Learn. Vanaf die dag komen er geen gratis beveiligingsupdates meer. Organisaties die de server daarna laten draaien, kunnen enkel met betaalde Extended Security Updates nog beveiligingsupdates krijgen. De andere weg is migreren naar Windows Server 2022 of 2025.
Windows Server 2016 end of life is geen technisch detail voor de IT-partner alleen. Wie een server zonder updates laat draaien, neemt een bewuste beslissing over risico, en die hoort bij de zaakvoerder. Dit artikel zet op een rij wat er stopt, wat al eerder verliep, hoe u in een uur vindt welke servers het raakt en welke opties u daarna heeft.
In het kort
- Windows Server 2016 krijgt na 12 januari 2027 geen gratis beveiligingsupdates meer. De server blijft gewoon werken, maar nieuwe lekken blijven open.
- SQL Server 2016 is al sinds 14 juli 2026 uit ondersteuning, Exchange Server 2016 sinds 14 oktober 2025.
- Extended Security Updates voor Windows Server 2016 bestaan, voor de edities Standard en Datacenter, voor maximaal drie jaar.
- Met Active Directory en een paar commando’s vindt u zelf welke servers nog op 2016 draaien.
- Volgens het Verizon Data Breach Investigations Report 2026 was het misbruik van kwetsbaarheden in 31 procent van de inbreuken de eerste toegangsweg.
Wanneer stopt Windows Server 2016 precies?
De verlengde ondersteuning van Windows Server 2016 eindigt op dinsdag 12 januari 2027. De standaardondersteuning, met nieuwe functies en gewone foutoplossingen, stopte al op 11 januari 2022. Microsoft geeft het eindtijdstip in Pacifische tijd, waardoor sommige overzichten 13 januari vermelden. Voor u maakt dat geen verschil: de laatste gratis update komt op de Patch Tuesday van januari 2027.
Op die server draaien vaak toepassingen die nog vroeger stopten. Die tabel loont het om naast uw serverlijst te leggen:
| Product | Einde standaardondersteuning | Einde verlengde ondersteuning | Daarna |
|---|---|---|---|
| Windows Server 2016 | 11 januari 2022 | 12 januari 2027 | ESU voor Standard en Datacenter, maximaal drie jaar |
| SQL Server 2016 | 13 juli 2021 | 14 juli 2026 | Betaalde ESU in drie jaarperiodes, tot juli 2029 |
| Exchange Server 2016 | 13 oktober 2020 | 14 oktober 2025 | Enkel via een betaald programma van Microsoft dat nu afloopt |
| Windows Server 2019 | 9 januari 2024 | 9 januari 2029 | Nog verlengde ondersteuning |
| Windows Server 2022 | 13 oktober 2026 | 14 oktober 2031 | Nog verlengde ondersteuning |
| Windows Server 2025 | 13 november 2029 | 14 november 2034 | Volledige ondersteuning |
Bron: de levenscycluspagina’s per product op Microsoft Learn. Let op Windows Server 2019: wie daar vandaag naartoe migreert, zit over iets meer dan twee jaar opnieuw aan een einddatum. Voor werkstations gelden andere data; die staan in ons artikel over Windows 10 en het einde van ESU.
Hoe vindt een kmo welke servers op Windows Server 2016 draaien?
U heeft geen duur beheerplatform nodig. Vier stappen volstaan, en de eerste drie doet uw IT-partner of een technisch onderlegde medewerker in een uur.
- Vraag het domein. Zit uw server in een Windows-domein, dan houdt Active Directory de versie van elk toestel bij. Open “Active Directory Users and Computers”, maak onder “Saved Queries” een nieuwe zoekopdracht en filter op besturingssysteem “Windows Server 2016”. Wie een lijst in Excel wil, gebruikt in PowerShell het commando Get-ADComputer met een filter op OperatingSystem en exporteert het resultaat naar een csv-bestand.
- Kijk op losse servers zelf. Servers buiten het domein of bij een hostingpartner controleert u op de machine: Windows-toets + R, typ winver. Staat er versie 1607 (build 14393), dan is het Windows Server 2016. Het commando systeminfo toont of het om Standard, Datacenter of Essentials gaat. Dat onderscheid telt straks voor ESU.
- Kijk wat erop draait. Zoek in de lijst met services naar SQL Server en controleer de versie. Draait er Exchange, dan toont de Exchange Management Shell de versie; nummer 15.1 betekent Exchange 2016. Beide zijn, zoals de tabel hierboven toont, al uit standaardondersteuning.
- Vraag het uw softwareleverancier, schriftelijk. Vaak blijft een server op 2016 omdat het boekhoudpakket, de ERP of een productiesysteem er niet weg kan. Stel elke leverancier vier vragen: welke Windows Server-versies ondersteunt uw huidige versie officieel? Is ze getest op Windows Server 2022 of 2025, en welke upgrade is daarvoor nodig? Welke SQL Server-versies ondersteunt ze? Helpt u bij de migratie en de hersteltest?
Het resultaat is een lijst met per server: versie, editie, wat erop draait en wat de leverancier antwoordt. Met die lijst kiest u per server een optie. Ze is meteen ook de inventaris die een auditor vraagt; hoe u zich daar verder op voorbereidt, leest u in de checklist voor een vlotte cybersecurity-audit.
Waarom is een Windows Server 2016 zonder updates een risico?
Het Verizon Data Breach Investigations Report 2026, gepubliceerd op 19 mei 2026 en gebaseerd op meer dan 22.000 inbreuken, toont dat het misbruik van kwetsbaarheden in 31 procent van de gevallen de eerste toegangsweg was, tegenover 20 procent een jaar eerder. Daarmee haalde het misbruik van gestolen inloggegevens (13 procent) en phishing (16 procent) in. Ransomware zat in 48 procent van de inbreuken. Organisaties deden er mediaan 43 dagen over om een bekend lek te dichten.
Na 12 januari 2027 komt er bij Windows Server 2016 geen dicht meer. Microsoft blijft wel updates uitbrengen voor nieuwere versies, en onderdelen zoals het SMB-protocol of de printspooler delen code over versies heen. Een update voor 2022 wijst aanvallers zo de plek aan waar het lek in 2016 open blijft. Dat het om echte risico’s gaat, tonen lekken als Zerologon en PrintNightmare, die in Windows Server-onderdelen zaten en op de CISA-lijst van actief misbruikte kwetsbaarheden staan. Hoe u die lijst leest, vindt u in ons artikel over CVSS, CVE en de KEV-lijst.
“Onze server hangt niet aan het internet”
Dat is het sterkste tegenargument, en het is niet onzinnig. Een server zonder publiek adres, die enkel bestanden of een interne database aanbiedt, kan een aanvaller op het internet niet rechtstreeks scannen. Vervangen kost geld voor licenties, hardware en soms een nieuwe versie van de bedrijfssoftware, terwijl de server betrouwbaar draait.
Het probleem is dat aanvallers zelden rechtstreeks bij de server beginnen. Ze komen binnen via een werkstation: een phishingmail, een besmette bijlage, een gestolen account. Van daaruit zoeken ze binnen naar systemen die ze met een bekend lek kunnen overnemen, en een server zonder updates is dan het makkelijkste doelwit. Bovendien praat zo’n server wel degelijk met andere systemen: het domein, de back-up, de werkstations. Welke zwakke plekken pentesters in de praktijk het vaakst vinden, leest u in ons overzicht van de meest gevonden kwetsbaarheden in 2026.
Wat zeggen NIS2, CyberFundamentals en uw verzekering?
Valt uw organisatie onder de Belgische NIS2-wet van 26 april 2024, dan moet u passende maatregelen nemen voor het beheer van kwetsbaarheden. Een server zonder beveiligingsupdates is daar moeilijk mee te verzoenen. De wet voorziet boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten.
Het CyberFundamentals-raamwerk van het Centrum voor Cybersecurity België vraagt een actuele inventaris van hardware en software. In de richtlijnen bij die software-inventaris geldt niet-ondersteunde software zonder gedocumenteerde uitzondering als niet toegelaten: ze moet weg of vervangen worden. Precies daarom is de uitzondering belangrijk. Kiest u voor een server die nog even blijft, documenteer dan waarom, tot wanneer en welke bijkomende maatregelen u neemt.
Cyberverzekeraars vragen bij de acceptatie vaak of uw systemen nog door de fabrikant ondersteund worden. Een incident via een niet-ondersteunde server kan tot discussie over de dekking leiden. Kijk uw polis na op uitsluitingen voor verouderde systemen voor u beslist.
Welke opties heeft u na 12 januari 2027?
| Optie | Wanneer passend | Aandachtspunten |
|---|---|---|
| In-place upgrade naar Windows Server 2022 of 2025 | Losse toepassingsservers op ondersteunde hardware | Windows Server 2025 laat een upgrade over maximaal vier versies toe op servers die niet in een cluster zitten. Test vooraf; oude stuurprogramma’s en weinig schijfruimte doen upgrades mislukken. |
| Nieuwe server naast de oude, daarna migreren | Domeincontrollers, bestandsservers, databases | Tijdelijk dubbele capaciteit en nieuwe licenties. Bij oudere domeinen moet de replicatie van SYSVOL eerst omgezet zijn naar DFSR. |
| Naar de cloud of een beheerde dienst | Mail (Exchange), gewone bestandsopslag, toepassingen met een cloudversie | Terugkerende kosten en afhankelijkheid van een leverancier. |
| Extended Security Updates | Software die de leverancier nog niet op een nieuwere versie ondersteunt | Via Azure Arc in te stellen sinds 3 augustus 2026, facturatie vanaf 13 januari 2027. Enkel Standard en Datacenter, maximaal drie jaar, met Software Assurance of een serverabonnement. Enkel beveiligingsupdates. Gratis voor servers die in Azure draaien. |
| Laten draaien zonder updates | Enkel als tijdelijke noodoplossing, bijvoorbeeld bij productiesoftware gekoppeld aan oude hardware | Afschermen, geen internettoegang, gedocumenteerde uitzondering met einddatum en een beslissing van de directie. |
ESU is een overbrugging, geen bestemming. Het koopt tijd voor de leverancier of voor een migratie die meer voorbereiding vraagt. Gebruikt u Windows Server 2016 Essentials, dan staat die editie niet op de ESU-lijst van Microsoft en blijft enkel migreren over. Hoe u updates daarna structureel opvolgt, leest u in ons artikel over patchmanagement voor kmo’s.
Weet u welke servers bij u openstaan?
Cyberplan brengt in een cybersecurity-audit uw servers, hun ondersteuningsstatus en de bekende kwetsbaarheden in kaart, en geeft per server een advies. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Wilt u eerst zien wat van buitenaf zichtbaar is? Vraag de gratis scan aan.
Veelgestelde vragen
Stopt een Windows Server 2016 met werken na 12 januari 2027?
Nee, de server blijft gewoon werken zoals voorheen. Er komen alleen geen gratis beveiligingsupdates en geen technische ondersteuning van Microsoft meer. Elk lek dat na die datum ontdekt wordt, blijft open, tenzij u betaalde Extended Security Updates neemt of naar een nieuwere versie migreert.
Bestaan er Extended Security Updates voor Windows Server 2016?
Ja. Microsoft biedt ESU voor Windows Server 2016 Standard en Datacenter, voor maximaal drie jaar. U stelt ze sinds 3 augustus 2026 in via Azure Arc; de facturatie start op 13 januari 2027. Er is Software Assurance of een serverabonnement voor nodig. Voor virtuele machines die in Azure draaien, zijn ze gratis.
Kan ik rechtstreeks van Windows Server 2016 naar 2025 upgraden?
Ja. Windows Server 2025 ondersteunt een in-place upgrade over maximaal vier versies, voor servers die niet in een cluster zitten. Voor domeincontrollers en bedrijfskritische databases is een nieuwe server met migratie meestal veiliger. Test een upgrade altijd eerst en zorg voor een werkende back-up.
Is SQL Server 2016 ook uit ondersteuning?
Ja. De verlengde ondersteuning van SQL Server 2016 eindigde op 14 juli 2026, vóór die van het besturingssysteem. Zonder betaalde ESU draait u vandaag al op een databaseversie zonder beveiligingsupdates. ESU voor SQL Server 2016 loopt in jaarperiodes tot juli 2029.
Is een server zonder internettoegang veilig genoeg?
Nee. Aanvallers komen meestal binnen via een werkstation en zoeken van daaruit naar interne systemen met bekende lekken. Een server zonder updates is dan een makkelijk doelwit. Moet hij toch blijven, documenteer dan de uitzondering, de einddatum en de bijkomende maatregelen.
