Controleer en werk Windows Secure Boot-certificaten bij die in 2026 verlopen

De Secure Boot-certificaten verlopen in juni 2026. Daarom is het verplicht om de nieuwste Secure Boot-certificatenupdate te verkrijgen. Het negeren van deze update kan ernstige gevolgen hebben, omdat dit uw apparaat kwetsbaar zal maken voor bootkits en malware. Bovendien kunt u ook opstartproblemen met uw systeem tegenkomen. Microsoft heeft een Secure Boot-handleiding uitgebracht, waarin een routekaart wordt geschetst voor de Secure Boot-certificatenupdate voor Windows Client. In dit artikel zullen we bekijken hoe u de Secure Boot-certificaten kunt bijwerken.

Begrip van de Secure Boot-certificaata update 2026

Secure Boot is een beveiligingsstandaard ontwikkeld door leden van de pc-industrie om te helpen garanderen dat een apparaat alleen opstart met software die wordt vertrouwd door de oorspronkelijke fabrikant (OEM). De Secure Boot-certificaten hebben altijd een vervaldatum. Nieuwe certificaten zorgen ervoor dat uw apparaten up-to-date blijven met de nieuwste beveiligingsbeschermingen. Hier zullen we de Secure Boot Certificate Update 2026 bespreken.

Hoe Windows Secure Boot-certificaten bij te werken

Hoewel Windows-computers die sinds 2024 zijn vervaardigd al de nieuwste certificaten hebben, moeten alle oudere apparaten handmatig worden bijgewerkt. Om de nieuwste certificaten te verkrijgen, heeft Microsoft de volgende stappen uiteengezet:

Inventariseer en bereid je omgeving voor
Controleer en controleer uw apparaten op de status van Secure Boot
Breng OEM-firmware-updates aan voordat u Microsoft-updates installeert
Veilige opstartcertificaten implementeren

Laten we beginnen.

1. Inventariseer en bereid je omgeving voor

De eerste stap is het valideren van uw bestaande omgeving. Voor de implementatie is het cruciaal om uw apparaten voor te bereiden. Voor de meeste apparaten in uw organisatie zal Microsoft de apparaten met hoge betrouwbaarheid automatisch bijwerken via Windows Update. Microsoft raadt aan een representatieve steekproef te maken voor pilot-tests, met de nadruk op minder gebruikelijke of verouderde apparaten. Door de update op deze apparaten met lage betrouwbaarheid te testen, kunnen IT-beheerders mogelijke opstartproblemen vroegtijdig identificeren en een soepelere massale uitrol van updates verzekeren.

2. Controleer en bewaak uw apparaten op de status van Secure Boot

Microsoft raadt aan om de status van de Secure Boot-update te controleren voor en na implementatie. Beheerders kunnen de nieuwe Secure Boot-statusrapporten in Windows Autopatch, registersleutels of Windows-logboeken gebruiken om de apparaten te identificeren die nog aandacht nodig hebben.

Om de status te controleren met Windows Autopatch, navigeert u naar Rapporten > Windows-kwaliteitsupdates in Microsoft Intune-beheercentrum. Selecteer nu de Secure Boot-status op het tabblad Rapporten. Succesvolle implementaties worden aangeduid als up-to-date in de kolom Certificaatstatus.

Controleer het Windows-systeemlogboek voor gebeurtenis-ID 1808. Dit informatieve evenement geeft aan dat de nieuwe update van het beveiligde opstartcertificaat is toegepast op de firmware van het apparaat. De volgende stappen zullen u hierbij begeleiden:

Start de Windows-logboekenweergave.
Vouw Windows-logs uit en selecteer Systeem.
Klik op Filter Huidig Logboek en typ 1808 in het veld Gebeurtenis-ID.
Klik OK.

Als de Event-ID 1808 niet aanwezig is in de Eventlogs, zoek dan naar de Event-ID 1801. Dit foutgebeurtenis geeft aan dat de bijgewerkte certificaten niet op het apparaat zijn toegepast.

Controleer de UEFICA2023Error-sleutel in het register. Deze sleutel geeft een fout aan bij het bijwerken van het beveiligde opstartcertificaat. Daarom zou deze niet in het register moeten bestaan. In plaats daarvan zou de sleutel UEFICA2023 aanwezig moeten zijn in het register en de waarde Updated moeten weergeven.

Alle registersleutels voor veilige opstart bevinden zich op de volgende paden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot

3. Pas OEM-firmware-updates toe vóór Microsoft-updates

Microsoft raadt sterk aan om OEM-firmware-updates toe te passen voordat de Microsoft-updates worden toegepast. Bijgewerkte firmware kan helpen compatibiliteitsproblemen te voorkomen en ervoor zorgen dat nieuwe Secure Boot-certificaten worden geaccepteerd. Als uw organisatie problemen met Secure Boot-updates heeft vastgesteld of als uw OEM een firmware-update aanbeveelt, breng dan de nieuwste BIOS/UEFI-update aan voordat u Windows-updates met betrekking tot Secure Boot installeert.

4. Implementeren van beveiligde opstartcertificaten

Als u diagnostische gegevens inschakelt, zal Microsoft automatisch de Secure Boot-certificaten installeren via Windows Update. U kunt dit echter ook handmatig doen. Microsoft deelde de volgende vier methoden om dit te doen:

Microsoft Intune gebruiken
Via registersleutels
Via Windows-configuratiesysteem (WinCS)
Het gebruik van Groepsbeleid

Certificaten implementeren met Microsoft Intune

U kunt veilige opstartcertificaatupdates implementeren, beheren en bewaken in Microsoft Intune. Hiervoor zijn de volgende drie instellingen beschikbaar. Deze instellingen zijn echter standaard uitgeschakeld.

Schakel updates voor Secure Boot-certificaten in
Microsoft Update Beheerde Aanmelding Configureren
Configureer hoge Vertrouwens Opt-out

Volg de volgende instructies om de nieuwste certificaten via Microsoft Intune te implementeren:

Ga naar Apparaten > Apparaten beheren.
Selecteer Configuratie.
Selecteer Aanmaken en selecteer Nieuw beleid.
Ga naar Een profiel maken en selecteer Windows 10 en later in het Platform keuzemenu.
Selecteer Instellingencatalogus onder het Profieltype.
Geef een naam aan je profiel en klik op Volgende.
Onder Configuratie-instellingen, selecteer Instellingen toevoegen en gebruik de Instellingenkiezer om de Secure Boot-instellingen te vinden door te zoeken naar Secure Boot.
Schakel de instelling Secureboot Certificate Updates in. De andere twee instellingen kunnen worden geconfigureerd om aan uw omgeving en implementatiebehoeften te voldoen.
Voltooi het profiel voor de apparaten die deze instelling zullen gebruiken.

Certificaten implementeren via registersleutels

Navigeer naar het volgende pad in de Register-editor:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot

Zoek aan de rechterkant naar de sleutel AvailableUpdates. Stel de waarde in op 0x5944 om alle benodigde certificaten en updates te implementeren naar de Windows UEFI CA 2023 ondertekende bootloader.

Certificaten implementeren via Windows-configuratiesysteem (WinCS)

Microsoft heeft nieuwe commandoregelhulpmiddelen geleverd voor de domein-aangesloten cliënten op Windows 11, 25H2, 24H2 en 23H2. Deze hulpmiddelen omvatten zowel een traditionele uitvoerbare toepassing als een PowerShell-module voor het opvragen en toepassen van beveiligde opstartconfiguraties.

Certificaten implementeren met behulp van Groepsbeleid

Om de nieuwste certificaten via Groepsbeleid uit te rollen, opent u de Groepsbeleid-instellingen en navigeert u naar Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Secure Boot. Stel nu het beleid Implementatie van Secure Boot-certificaat inschakelen in op Ingeschakeld. Hierdoor kan Windows automatisch beginnen met het implementatieproces van certificaten.

Microsoft deelde ook de manieren om veelvoorkomende problemen op te lossen en te verhelpen. Je kunt meer informatie vinden op de officiële website.

Vereisten voor het verkrijgen van de nieuwste certificaten via Windows-updates

Voor zowel Windows-clients als thuisklanten raadt Microsoft aan de diagnostische gegevens te verzenden om de nieuwste certificaten via Windows-updates te verkrijgen. Als deze optie is uitgeschakeld, schakel deze dan in via Instellingen.

Windows 10-gebruikers moeten zich inschrijven voor het ESU-programma om de nieuwste beveiligde opstartcertificaten via Windows Updates te krijgen.

Hoe de status van Secure Boot op Windows 11 Home te controleren

U kunt de status van het veilige opstartcertificaat controleren door het volgende commando uit te voeren in Geavanceerde Windows PowerShell:

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Als je True als resultaat krijgt, heeft je systeem de nieuwste beveiligde opstartcertificaten.

U kunt hetzelfde ook controleren in de Windows 11-instellingen. Volg deze stappen:

Open Windows 11-instellingen.
Ga naar Windows Update > Updategeschiedenis.
Vouw de Andere updates-tab uit.

Als de Secure Boot-certificaten zijn geïnstalleerd, ziet u daar de Secure Boot Allowed Key (KEK) Update.

Dat is het. Ik hoop dat dit helpt.

Bijgewerkte Secure Boot-certificaten zijn beschikbaar op dit apparaat, maar zijn nog niet toegepast

Als je het bericht „Bijgewerkte Secure Boot-certificaten zijn beschikbaar op dit apparaat, maar zijn nog niet toegepast“ ziet, betekent dit dat je systeem nieuwe beveiligingscertificaten heeft om de bescherming tegen bedreigingen op firmware-niveau te versterken.

Een volledige herstart (niet alleen afsluiten en opnieuw opstarten) is vereist om het firmware-schrijfproces te activeren. Het kan zijn dat u uw apparaat twee keer moet herstarten. U moet Windows Update of Instellingen > Bijwerken en beveiliging openen om te controleren op wachtende updates. Pas de Secure Boot-update onmiddellijk toe om te zorgen dat uw apparaat beschermd blijft tegen bekende kwetsbaarheden. Start uw computer opnieuw op na de installatie, zodat de nieuwe certificaten van kracht worden. U moet ook controleren op BIOS-/firmware-updates.

Zijn Secure Boot-certificaten aan het verlopen?

Ja, de oudere Secure Boot-certificaten verlopen in juni 2026. Windows-pc's die in 2024 of later zijn geproduceerd, hebben al de nieuwste Secure Boot-certificaten. Als je echter een oudere pc hebt, moet je de certificaten bijwerken. De eenvoudigste manier om de certificaten bij te werken, is door je Windows-besturingssysteem up-to-date te houden.

Heeft Windows 11 echt een Secure Boot nodig?

Ja, Windows 11 vereist Secure Boot. Uw apparaat moet UEFI- en Secure Boot-compatibel zijn. Als Secure Boot is uitgeschakeld, schakelt u het in via de BIOS voordat u Windows 11 installeert. Het is ook mogelijk om Windows 11 op apparaten zonder Secure Boot te installeren door de hardwarevereisten te omzeilen met een hulpmiddel van derden, zoals Rufus. Microsoft raadt dit echter niet aan.