Identiteit en toegang in oktober 2026: van SMS naar passkeys

Microsoft stopt in 2027 op 2 manieren met SMS

Op 1 februari 2027 stopt Microsoft Entra ID met aanmelden via een telefoonnummer en een eenmalige SMS-code als primaire methode (Entra ID stopt op 1 februari 2027 met SMS als eerste factor). De aankondiging staat in MC1474104 van 18 september 2026 en geldt voor workforce-tenants wereldwijd en in GCC. Azure AD B2C en Microsoft Entra External ID voor klantidentiteiten vallen erbuiten.

Na die datum honoreert Entra ID bestaande configuraties niet meer, blokkeert het aanmeldpogingen op deze manier en verdwijnen de beheeropties. Gebruikers met een andere geregistreerde methode kunnen blijven aanmelden. Wie getroffen gebruikers niet op tijd overzet, kan volgens Microsoft aanmeldstoringen krijgen.

Microsoft vraagt de betrokken gebruikers in kaart te brengen, hen een andere methode te laten registreren, hen te informeren en het beleid voor aanmeldmethoden na te lopen op afhankelijkheden van SMS-aanmelding. Ook beleid rond Conditional Access kan volgens Microsoft aandacht vragen als het op SMS als primaire methode steunt. Als alternatieven noemt Microsoft passkeys, aanmelden met een QR-code en FIDO2-beveiligingssleutels, met phishingbestendige methoden zoals passkeys als voorkeur.

In MC1519855 van 21 oktober 2026 staat dat Microsoft stopt met de SMS- en spraakauthenticatie die het zelf levert (Entra ID laat een eigen provider kiezen voor SMS en spraak). Voor alle gebruikers behalve Global Administrators en externe gebruikers gebeurt dat op 1 februari 2027, voor die 2 groepen op 1 juli 2027.

Gebruikers van wie SMS of spraak de enige MFA-methode is, moeten daarna bij het aanmelden een passkey registreren, tenzij de organisatie een ondersteunde provider heeft ingesteld. Die registratieprompt is blokkerend: aanmelden kan pas verder na registratie.

Een eigen provider houdt SMS en spraak beschikbaar als MFA-methode

Een ondersteunde provider kiest een organisatie via de optie Choose Your Own Telephony Provider (CYOT), die op 30 oktober 2026 wereldwijd algemeen beschikbaar wordt. De keuze loopt via de Microsoft Security Store en de commerciële afspraken lopen rechtstreeks met de provider. Entra ID blijft de beleidsregels voor authenticatiemethoden afdwingen. Voor de aankoop zijn een Azure-factureringsabonnement, een resourcegroep en een passende Azure-rol nodig, en Microsoft adviseert de prijs van de provider en de Azure-kosten vooraf in beeld te brengen.

Volgens MC1474104 geldt het einde van SMS als primaire aanmeldmethode ook voor organisaties die via CYOT SMS of spraak blijven gebruiken voor multifactorauthenticatie. Met een eigen provider blijven SMS en spraak na 1 februari 2027 dus bruikbaar als MFA-methode. Aanmelden met alleen een telefoonnummer en een SMS-code stopt op die datum ook voor organisaties met een eigen provider.

Telefonieproviders zijn volgens Microsoft alleen bedoeld voor gebruikers met een zakelijke, wettelijke of technische reden. Het bericht van 21 oktober noemt daarvoor een volgorde. Eerst stellen beheerders vast welke gebruikers zo'n reden hebben en of passkeys die behoefte kunnen dekken. Daarna vergelijken ze providers, met inkoop, privacy en regelgeving aan tafel, en plannen ze de overstap per gebruikersgroep op basis van de einddatum van die groep.

Passkeys komen er ook voor gasten en externe gebruikers bij

Sinds 1 oktober 2026 staat passkeyondersteuning voor B2B-gebruikers in Entra ID op de Microsoft 365-roadmap, onder nummer 569432 en met algemene beschikbaarheid gepland voor oktober 2026 (Entra ID krijgt passkeys voor B2B-gebruikers). Een B2B-gebruiker zal een passkey kunnen registreren die de resource-tenant uitgeeft, via My Security Info van die tenant of tijdens een registratiecampagne, en daarmee voldoen aan de MFA-eisen van die tenant. Onder B2B-gebruikers vallen volgens Microsoft zowel interne gastgebruikers als externe gebruikers.

De wijziging staat standaard aan, en B2B-gebruikers die al binnen het bereik van passkeys vallen in het beleid voor authenticatiemethoden, worden automatisch ingeschakeld. Om dat bereik voor de uitrol te bekijken of bij te stellen, noemt Microsoft 4 onderdelen: het beleid voor authenticatiemethoden, de registratiecampagne voor passkeys, het Conditional Access-beleid en de afbakening van gebruikers.

Externe gebruikers staan zo in 2 berichten van oktober. Ze houden de SMS en spraak van Microsoft tot 1 juli 2027, en ze horen bij de B2B-gebruikers die een passkey van de resource-tenant kunnen gaan registreren.

Voor de overheid draait het om het betrouwbaarheidsniveau van een dienst

Digitale Overheid zette op 25 september 2026 de hulpmiddelen op een rij voor organisaties die het betrouwbaarheidsniveau van een digitale dienst moeten bepalen, Laag, Substantieel of Hoog (Regelhulp en informatiesessie voor betrouwbaarheidsniveaus). De criteria staan in de Ministeriële Regeling Betrouwbaarheidsniveaus. Wie extra ondersteuning kan gebruiken, vindt de Regelhulp Betrouwbaarheidsniveaus op regelhulpenvoorbedrijven.nl.

Volgens het bericht gelden inloggen met gebruikersnaam en wachtwoord en 2-factorauthenticatie in Europese regelgeving allebei als niveau laag. Op donderdag 29 oktober 2026 volgt een online informatiesessie over classificeren en de inzet van de regelhulp.

De data staan op volgorde van oktober 2026 tot juli 2027

Hieronder volgen de data uit de berichten van oktober die nog moesten komen, op volgorde. Op 1 februari 2027 vallen 2 einddata.

• oktober 2026: algemene beschikbaarheid van passkeys voor B2B-gebruikers gepland
• 29 oktober 2026: online informatiesessie over betrouwbaarheidsniveaus
• 30 oktober 2026: CYOT wereldwijd algemeen beschikbaar
• 1 februari 2027: einde van SMS als primaire aanmeldmethode
• 1 februari 2027: einde van de SMS en spraak van Microsoft, behalve voor Global Administrators en externe gebruikers
• 1 juli 2027: einde van de SMS en spraak van Microsoft voor Global Administrators en externe gebruikers

Wie de eigen tenant wil voorbereiden, kan nu in kaart brengen welke gebruikers SMS of spraak als enige MFA-methode hebben en wie zich met SMS als primaire methode aanmeldt. In het beleid voor authenticatiemethoden is daarnaast na te gaan welke groepen al binnen het bereik van passkeys vallen.