Wat is Microsoft Intune? Uitleg en wat Intune-beheer kost voor het MKB

Microsoft Intune is de clouddienst van Microsoft waarmee je de laptops, pc's, telefoons en tablets van je medewerkers beheert en beveiligt. Je legt op één plek vast welke instellingen, apps en updates een apparaat krijgt, en aan welke eisen het moet voldoen voordat het bij je bedrijfsgegevens mag. Een server op kantoor heb je daarvoor niet nodig: apparaten halen hun instellingen via internet op, waar je medewerker ook werkt.

Voor de meeste MKB-bedrijven zit Intune al in een licentie die ze hebben of overwegen: Microsoft 365 Business Premium bevat Intune Plan 1. De kosten zitten daarom zelden in de licentie, maar in het werk: Intune goed inrichten en het daarna bijhouden. Hieronder lees je wat Intune doet, wat het niet doet, in welke licenties het zit en waar de kosten van beheer in zitten.

Wat is Microsoft Intune precies?

Microsoft noemt Intune een dienst voor endpointbeheer. Een endpoint is elk apparaat waarop iemand werkt. Intune draait volledig in de cloud en je beheert het vanuit het Intune-beheercentrum in de browser.

Het gaat om drie vragen: wie logt er in, op welk apparaat en met welke apps? De identiteit regelt Intune niet zelf. Daarvoor leunt het op Microsoft Entra ID: daar staan de accounts, de groepen waaraan je beleid toewijst en de regels voor voorwaardelijke toegang. Intune levert de informatie over het apparaat, Entra ID beslist of iemand binnenkomt. Een domeincontroller op kantoor is niet nodig: Microsoft raadt zelf aan om nieuwe Windows-apparaten cloud-native uit te rollen, gekoppeld aan Entra ID.

MDM en MAM: twee manieren van beheren

Intune kent twee vormen van beheer, en je kunt ze combineren.

• MDM (mobile device management): het hele apparaat wordt ingeschreven. Intune beheert de instellingen, de beveiliging en de apps. Raak je het apparaat kwijt, dan wis je het op afstand. Dit is de standaard voor laptops en telefoons van de zaak.
• MAM (mobile application management): Intune beheert alleen de werk-apps en de gegevens daarin, zoals Outlook en Teams. De rest van het apparaat blijft van de gebruiker. Gaat iemand uit dienst, dan wis je alleen de bedrijfsgegevens. Dit past bij privételefoons.

Wat regel je met Intune?

In de praktijk gebruik je Intune voor deze onderdelen:

• Compliance. Je stelt eisen aan een apparaat: schijfversleuteling aan, een pincode of wachtwoord, een minimale versie van het besturingssysteem, Microsoft Defender actief. Intune controleert dat en markeert apparaten die niet voldoen.
• Voorwaardelijke toegang. Intune geeft die compliancestatus door aan Entra ID. Met voorwaardelijke toegang (Conditional Access) zorg je dat alleen een apparaat dat aan je eisen voldoet bij je mail en bestanden kan. Daarvoor heb je Entra ID P1 nodig, en dat zit in Business Premium.
• Configuratieprofielen. Wifi, VPN, browserinstellingen en OneDrive, bijvoorbeeld zodat Bureaublad en Documenten automatisch naar OneDrive gaan. Dit vervangt het groepsbeleid van vroeger.
• Apps. De Microsoft 365-apps, Store-apps en eigen installatiepakketten, verplicht of klaargezet in de Bedrijfsportal-app.
• Updates. Met Windows Update for Business (inmiddels Windows Update client policies genoemd) bepaal je wanneer updates binnenkomen: eerst bij een testgroep, daarna bij de rest. Windows Autopatch, ook beschikbaar met Business Premium, automatiseert dat en neemt de Microsoft 365-apps, Edge en Teams mee.
• Versleuteling. BitLocker op Windows, waarbij de herstelsleutel in Entra ID wordt bewaard, en FileVault op de Mac.
• Het lokale beheerdersaccount. Met Windows LAPS krijgt elk apparaat een eigen beheerderswachtwoord dat automatisch wisselt en versleuteld wordt opgeslagen.
• Acties op afstand. Vergrendelen, herstarten, terugzetten naar fabrieksinstellingen, of alleen de bedrijfsgegevens verwijderen en de persoonlijke data laten staan.

Welke apparaten kun je met Intune beheren?

Intune ondersteunt Windows, macOS, iOS en iPadOS, Android en een aantal Linux-versies (Ubuntu en Red Hat). iPhones en Macs van de zaak schrijf je automatisch in via Apple Business Manager, Android-toestellen via Android Enterprise.

Twee praktische punten voor Windows. Koop zakelijke laptops met Windows 11 Pro of hoger: Windows Autopilot ondersteunt alleen de Pro-, Enterprise- en Education-edities. En Windows 10 is sinds oktober 2025 uit support. Intune laat per apparaat zien welke Windows-versie erop draait, dus je ziet in één overzicht welke machines nog over moeten. Wat dat kost als je wacht, lees je in Windows 10: 13 oktober 2026 is je échte deadline.

Bedrijfsapparaat of eigen telefoon?

Apparaten van de zaak beheer je volledig met MDM. Bij privételefoons (BYOD, bring your own device) kies je meestal voor MAM: de medewerker installeert Outlook en Teams, en Intune beschermt alleen de werkgegevens in die apps. Zo voorkom je bijvoorbeeld dat iemand een bijlage uit de werkmail in een privé-app opslaat. Op Android is een werkprofiel een tussenvorm: werk-apps en privé-apps staan gescheiden op hetzelfde toestel.

Wat ziet de werkgever dan? Volgens Microsoft nooit je bel- en browsegeschiedenis, e-mail en sms, contacten, agenda, wachtwoorden, foto's of de inhoud van je eigen documenten. Wel zichtbaar zijn onder meer het model, het serienummer en de versie van het besturingssysteem.

Privé-Windows-pc's laten veel bedrijven niet inschrijven. Een thuiscomputer die half door de zaak wordt beheerd, levert meer gedoe op dan zekerheid. Intune blokkeert dat met inschrijvingsbeperkingen.

Windows Autopilot: een nieuwe laptop zonder handwerk

Windows Autopilot werkt samen met Intune en regelt de eerste inrichting van een Windows-apparaat. De leverancier of jij registreert de laptop vooraf bij Autopilot. Je medewerker pakt hem uit, maakt verbinding met internet en logt in met het werkaccount. De laptop koppelt zich aan Entra ID, schrijft zich automatisch in bij Intune en haalt zijn instellingen en apps op. IT hoeft de laptop niet in handen te hebben. Autopilot kan een apparaat ook terugzetten, zodat het klaarstaat voor de volgende medewerker. Hoe dat stap voor stap werkt, lees je in Windows Autopilot uitgelegd.

In welke licenties zit Intune?

Je hoeft Intune meestal niet los te kopen. Dit is het overzicht volgens Microsoft:

Basic Mobility and Security mist onder meer Mac-beheer, app-beveiliging voor privételefoons en Autopilot. Wil je echt beheren, dan is Business Premium meestal de logische stap; daar zit ook Microsoft Defender for Business in. Wat de licenties kosten, staat op Microsoft 365-licenties en prijzen. Extra's zoals Remote Help, waarmee de helpdesk op afstand meekijkt, zitten niet in Plan 1. Voor de meeste MKB-bedrijven is Plan 1 genoeg.

Wat doet Intune niet?

Intune is geen oplossing voor alles.

• Het is geen virusscanner. Detectie en bescherming komen van Microsoft Defender. Intune stelt Defender in en laat zien of het aanstaat.
• Het maakt geen back-up. Intune kan zorgen dat bestanden in OneDrive terechtkomen, maar een back-up van Microsoft 365 regel je apart, bijvoorbeeld met Microsoft 365 back-up.
• Het beheert geen accounts. Gebruikers, wachtwoorden en MFA zitten in Entra ID.
• Het is niet voor servers. Windows Server staat niet in Microsofts lijst van besturingssystemen die Intune ondersteunt.
• Het richt zichzelf niet in. Een lege Intune-omgeving dwingt weinig af. Pas als iemand beleid maakt, test en toewijst, levert het iets op.

Wat kost Intune-beheer?

De kosten bestaan uit drie delen.

De licentie. Heb je Business Premium, dan heb je Intune al. Heb je Business Basic of Standard, dan komt er een upgrade bij.

Het inrichten. Hier zit het denkwerk: welke apparaten zich mogen inschrijven, welke eisen je stelt, hoe voorwaardelijke toegang werkt, welke apps verplicht zijn, hoe updates lopen en wat je met privétoestellen doet. Daarna test je met een kleine groep, want een te streng beleid sluit mensen buiten en een te los beleid beschermt niets.

Het bijhouden. Nieuwe medewerkers en apparaten, apps die een update nodig hebben, apparaten die niet meer voldoen, wijzigingen van Microsoft en medewerkers die vertrekken. Dat is geen eenmalige klus.

Heb je iemand in huis met tijd en kennis, dan kun je dat zelf doen. Veel MKB-bedrijven besteden het uit, omdat het werk doorloopt en fouten pas opvallen als er iets misgaat.

Hoe wij het doen

Wij werken met een vaste basisinrichting die we per klant aanvullen. Daarin zitten onder meer: Autopilot voor nieuwe Windows-laptops, medewerkers als standaardgebruiker zonder lokale beheerrechten, LAPS voor het lokale beheerdersaccount, Microsoft Defender met vaste beveiligingsregels, automatische Windows-updates en een blokkade op het inschrijven van privé-Windows-pc's. Daarna houden wij het bij. Ons Intune-apparaatbeheer kost vanaf €10 per device per maand. Werken je medewerkers op laptops die wij voor je beheren, dan lees je op beheerde eigen laptops hoe dat in elkaar zit; het doorlopende beheer van de hele werkplek staat bij werkplekbeheer. Wil jij met jouw bedrijf ISO 27001-, NEN 7510- of NIS2-compliant zijn? Kies dan voor Virtual Computing.