Zo visualiseert u patch compliance en systeemgezondheid bij al uw klanten

Patch compliance op orde houden is essentieel voor een stabiel systeem en een kleiner aanvalsoppervlak. Bepaalde aspecten die de gezondheid van uw infrastructuur weergeven zijn voor niet-IT’ers echter verwarrend. Juist daarom is een volledige visualisatie van uw data zo belangrijk.

Ontdek welke statistieken de grootste invloed hebben op patch compliance, hoe u het proces optimaliseert en hoe u uw data visualiseert met de beste beschikbare tools.

Wilt u dit onderwerp liever visueel uitgelegd zien? Zo visualiseert u patch compliance en systeemgezondheid bij al uw klanten.

Patch compliance monitoren met geavanceerde methoden

Zo gebruikt u de ingebouwde Windows-tools om gegevens van al uw endpoints te verzamelen.

Vereisten:

• Windows 11 (v24H2 of hoger)
  • Windows 10 bereikte op 14 oktober 2025 het einde van de ondersteuning en heeft nu een actief Extended Security Updates-abonnement (ESU) nodig om patches te blijven ontvangen.
• Beheerdersrechten
• Toegang tot een centraal RMM-platform (bijvoorbeeld NinjaOne)
• Toegang tot endpoints voor PowerShell, registerquery’s en het uitlezen van logboeken
• Rapportagerechten in Windows Update for Business, WSUS of Intune
• Microsoft Defender voor het monitoren van de apparaatgezondheid
• Power BI of Excel voor de visualisatie (optioneel)

Aanbevolen implementatiestrategieën:

Klik om naar een stap te gaan	Het beste voor individuele gebruikers	Het beste voor ondernemingen
Stap 1: bepaal de belangrijkste statistieken voor patch- en systeeminzicht	✓	✓
Stap 2: verzamel patchgegevens met PowerShell	✓
Stap 3: controleer de compliancestatus via het register	✓
Stap 4: valideer updateservices en systeemgezondheid met CMD	✓	✓
Stap 5: dwing patchbeleid af via Groepsbeleid		✓
Stap 6: visualiseer data in rapportages en dashboards	✓	✓

Stap 1: bepaal de belangrijkste statistieken voor patch- en systeeminzicht

Hieronder vindt u een volledig overzicht van compliance-gerelateerde statistieken en wat ze zeggen over de systeemgezondheid.

Let op: elke klant hecht aan andere benchmarks. Controleer voor u aan de slag gaat of uw rapportage alleen de relevante gegevens bevat.

Toepassingen: datagedreven rapportages opstellen, trends vergelijken en graphics maken.

KPI’s voor patch compliance

• % volledig gepatchte systemen: geeft het aantal gepatchte systemen weer ten opzichte van uw volledige infrastructuur.
• Aantal ontbrekende kritieke of beveiligingsupdates: legt de gaten in uw patchimplementaties bloot.
• Devices met mislukte patchinstallaties: werkplekken waarop patchfouten zijn opgetreden.
• Dagen sinds de laatste geslaagde update: helpt systemen op te sporen die achterlopen.
• Gemiddelde hersteltijd (of MTTR): de gemiddelde reactietijd voor het toepassen van een patch.
  • Krijg nog meer inzicht in doorlooptijden met time-to-detect (MTTD), time-to-prioritize (MTTP) en time-to-communicate (MTTC).

KPI’s voor systeemgezondheid

Controleer met deze statistieken of uw systeem optimaal presteert:

• Status van antivirus en firewall: blokkeer malware en surf veilig op uw endpoint.
• Schijfgezondheid, CPU-/geheugendrempels: volg reactietijden, wachtrijproblemen en de staat van componenten.
• Tijdstip van de laatste reboot: een cruciale statistiek die bepaalt wanneer een patch volledig op een werkplek is doorgevoerd.
• Beschikbaarheid van services (bijvoorbeeld Defender, Windows Update): de gereedheid van kritieke services zoals Windows Update of SQL Server-services.

Stap 2: verzamel patchgegevens met PowerShell

Zet krachtige scripts in voor continue monitoring.

Toepassingen: diepgaand inzicht in de compliance van klanten om leesbare logboeken te maken en te exporteren.

1. Druk op Win + R, typ Powershell en druk op Ctrl + Shift + Enter.
2. Voer het volgende uit om recent geïnstalleerde patches weer te geven:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

3. Voer het volgende uit om een leesbaar .txt-logbestand van Windows Update op uw bureaublad te genereren en op te slaan:

Get-WindowsUpdateLog

4. Voer het volgende uit om de openstaande, mislukte en geslaagde updates van een endpoint over een periode weer te geven:

Get-WUHistory

Belangrijk: de bovenstaande cmdlet Get-WUHistory is niet standaard onderdeel van PowerShell. Installeer de module PSWindowsUpdate met Install-Module -Name PSWindowsUpdate om er gebruik van te maken.

5. Voer het volgende uit om hotfixgegevens als CSV op te slaan voor rapportage:

Get-HotFix | Select-Object Description, HotFixID, InstalledBy,
InstalledOn | Export-Csv "<FilePath>" -NoTypeInformation

Vervang <FilePath> door het volledige pad naar de locatie waar u het .csv-bestand wilt opslaan (bijvoorbeeld C:\User\Reports\Desktop).

Let op: hiermee exporteert u alleen hotfixes, niet alle updatetypen.

Stap 3: controleer de compliancestatus met de Register-editor

Waarschuwing: het bewerken van het register kan systeemproblemen veroorzaken. Maak een back-up voordat u verdergaat.

Toepassingen: patch compliance bevestigen aan de hand van de aanwezigheid van bepaalde registersleutels.

1. Druk op Win + R, typ regedit en druk op Ctrl + Shift + Enter.
2. Ga naar:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install

• • De sleutel LastSuccessTime bevat de tijdstempels van de laatste geslaagde update en geeft aan dat uw endpoint recente hotfixes heeft ontvangen.

Let op: een ontbrekende sleutel LastSuccessTime betekent niet per se dat uw systeem niet compliant is. De sleutel kan ontbreken door patchtools van derden (dus niet WSUS), door het uitblijven van recente updates of door een opschoning van het register.

U kunt systemen die geen updates hebben ontvangen ook op deze manieren opsporen:

• Bekijk de installatiegeschiedenis in Logboeken in Windows.
• Vergelijk de OS-versies met de nieuwste release van de leverancier.
• Gebruik RMM-dashboards zoals NinjaOne om devices met een lage compliance te filteren.
• Spoor systemen op die zich lang niet hebben gemeld via de tijdstempel LastCheckIn.

3. U kunt ook naar het volgende pad gaan:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update

• De sleutel RebootRequired is een markering voor een openstaande patch. Dit bevestigt meestal dat er een update klaarstaat, maar niet elke update vereist een reboot. U kunt ook op deze manieren controleren of uw systeem een reboot nodig heeft voor een openstaande update:
  1. Via de interface van Windows Update: Instellingen > Bijwerken en beveiliging > Windows Update
  2. Via PowerShell:

Get-WindowsUpdateLog
Get-WUHistory | Where-Object {$_.ResultCode -eq 2}

1. 3. Via de Register-editor:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager (een reboot is nodig als de sleutel PendingFileRenameOperations aanwezig is).

Let op: als de sleutel Auto Update ontbreekt, kan dat betekenen dat:

• Uw systeem patchtools van derden gebruikt in plaats van WSUS.
• Windows Update is uitgeschakeld.
• Er geen recente updates zijn geweest.
• Een opschoning van het register de sleutel heeft verwijderd.

U kunt de updatestatus ook op deze manieren controleren:

• Interface van Windows Update: Instellingen > Windows Update.
• PowerShell: Get-HotFix of Get-WindowsUpdateLog.
• Logboeken: Logboeken van toepassingen en services > Microsoft > Windows > WindowsUpdateClient.

4. Ga naar:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate

De sleutel SusClientIdValidation maakt deel uit van de WSUS-clientconfiguratie. Die bevestigt of uw device tijdens de synchronisatie correct wordt gevalideerd.

Let op: als uw organisatie geen WSUS gebruikt (het beheer loopt bijvoorbeeld via NinjaOne RMM of tools van derden), is de sleutel SusClientIdValidation niet aanwezig.
U kunt de patch compliance van endpoints dan op deze manieren valideren:

• PowerShell: voer Get-HotFix uit om recente hotfix-updates weer te geven.
• Windows Update: ga naar Instellingen > Windows Update > Updategeschiedenis.
• Logboeken: ga naar Logboeken van toepassingen en services > Microsoft > Windows > WindowsUpdateClient.

Stap 4: valideer updateservices en systeemgezondheid met CMD

Toepassingen: scripts die controles van de apparaatgezondheid automatiseren en forensische datarapportages.

1. Druk op Win + R, typ cmd en druk op Ctrl + Shift + Enter.
2. Voer het volgende uit om te controleren of de service Windows Update correct draait:

sc query wuauserv

Zo spoort u fouten in de update-engine op.

3. Voer het volgende uit om het laatst bekende opstarttijdstip van het systeem op te vragen:

systeminfo | find "System Boot Time"

Zo houdt u bij wanneer een patch voor het laatst volledig is doorgevoerd.

Belangrijk: schakel Snel opstarten uit voor nauwkeurigere resultaten.

4. Voer het volgende uit om mislukte installaties van Windows Update weer te geven:

wevtutil qe System "/q:*[System[(EventID=20)]]" /c:5 /f:text

Eerdere gebeurtenissenlogboeken met Event ID 20 wijzen mislukte patches precies aan.

Tip: pas “c:5” aan om meer of minder logregels weer te geven.

Stap 5: dwing patchbeleid af via Groepsbeleid

Toepassingen: minder uitvaltijd op vereiste updateservices (bijvoorbeeld Windows Update, Logboek).

Vereisten: Windows 11 Pro, Education of Enterprise.

1. Druk op Win + R, typ gpedit.msc en druk op Ctrl + Shift + Enter.
2. Ga naar:

Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Windows Update

3. Dubbelklik op Automatische updates configureren.
   • Zet de instelling op Ingeschakeld.
   • Kies de gewenste configuratie (bijvoorbeeld automatisch downloaden en de installatie plannen).
     1. Zo krijgen beheerders nauwkeurige controle over de manier waarop updates op uw systeem worden toegepast.
4. Dubbelklik op Locatie van de intranetservice voor Microsoft-updates opgeven (voor WSUS).
   • Zet de instelling op Ingeschakeld.
   • Voer de URL van uw WSUS-server in (bijvoorbeeld https://www.wsusworkserver:1234).
     1. Hiermee verwijst u de client van Microsoft Update door naar een WSUS-server met uw configuraties en statistiekgegevens.
5. Dubbelklik op Geen automatisch opnieuw opstarten met aangemelde gebruikers voor geplande installaties van automatische updates.
   • Zet de instelling op Ingeschakeld.
     1. Deze functie voorkomt dat het systeem automatisch opnieuw opstart terwijl een gebruiker is aangemeld. Die werkt alleen wanneer “Automatische updates configureren” is ingeschakeld.
6. Ga naar:

Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Systeemservices

Let op: de sleutel Systeemservices bestaat alleen in de GPMC op systemen die aan een domein zijn gekoppeld. Op zelfstandige machines en pc’s met Windows Home Edition is die niet zichtbaar.

Open in dat geval handmatig services.msc > klik met de rechtermuisknop op de updateservice (bijvoorbeeld Windows Update) > selecteer Eigenschappen > wijzig het opstartgedrag naar “Automatisch” voor consistente installatietijden > klik op Toepassen en daarna op OK.

7. Schakel de volgende systeemservices in om het opstartgedrag voor essentiële updates aan te passen.
   • Windows Update (wuauserv)
   • Background Intelligent Transfer Service (BITS)
   • Windows-gebeurtenissenlogboek
   • Windows Installer
   • Cryptografische services
   • Windows Management Instrumentation (WMI)

Meer informatie vindt u in de officiële documentatie van Microsoft over het configureren van update-instellingen via Groepsbeleid.

Stap 6: visualiseer data in rapportages en dashboards

Dit zijn de meestgebruikte diensten voor datavisualisatie en zo helpen ze bij het presenteren van beleidscompliance:

NinjaOne

Het overzichtelijke dashboard van NinjaOne toont realtime gegevens in grafiekvorm (per tenant, besturingssysteem of apparaatgroep) en biedt MSP’s en IT’ers zo in één oogopslag inzicht.

Met gevisualiseerde onderdelen voor patchbeheer in gemengde omgevingen (In behandeling, Goedgekeurd, Afgewezen enzovoort) stroomlijnt de interface van NinjaOne uw rapportage over beleidscompliance.

Microsoft Power BI

Het datavisualisatieplatform van Microsoft biedt interactieve dashboards die modulair werken, draagbare CSV-rapportages en API-gegevens uit andere beheersoftware voor endpoints.

Interactieve heat maps, cirkeldiagrammen, aanpasbare slicers en meer kunt u afstemmen op de voorkeuren van uw klant – of het nu gaat om een overleg met belanghebbenden of om de IT-beveiligingsafdeling.

Excel

U kunt gegevens over patch compliance analyseren en in beeld brengen met twee gespecialiseerde Excel-tools: draaitabellen en voorwaardelijke opmaak.

Draaitabellen vormen een Excel-functionaliteit die de relevante gegevens uit grote spreadsheets haalt. Zo maakt u beknopte rapportages die u opnieuw kunt indelen en in grafieken kunt zetten met de visualisatiefuncties van Excel.

Gebruik voorwaardelijke opmaak om Excel-rapportages verder te verbeteren. Deze kleurregels (doorgaans gebruikt als visuele risico-indicatoren) maken het verschil tussen compliant en niet-compliant devices meteen zichtbaar, helpen bij het prioriteren van herstelacties en maken klantrapportages intuïtiever.

Tip: belanghebbenden, klanten of directieleden verwachten gegevens doorgaans in de vorm van:

• Heat maps
• Cirkeldiagrammen
• Lijngrafieken
• Gesegmenteerde data (dus uitgesplitst naar website, urgentie, besturingssysteem enzovoort)

Waar u op moet letten

Risico’s	Mogelijke gevolgen	Oplossingen
Scriptfouten of ontbrekende beheerdersrechten	Onvolledige of onnauwkeurige gegevens	Valideer de syntaxis en voer programma’s uit met de juiste rechten.
Verkeerd geconfigureerde GPO’s	Non-compliance op meerdere klantsystemen	Controleer de GPO’s in het beheerportaal, forceer een update en controleer de AD-replicatie.
Verkeerd weergegeven gegevens en matige visuals	Trage reacties en over het hoofd geziene compliance drift	Automatiseer het verversen van gegevens en gebruik dashboards met realtime updates.

Aanvullende aandachtspunten bij het monitoren van de systeemgezondheid

Houd deze inzichten in gedachten om uw proces te optimaliseren, valkuilen te vermijden en mogelijke obstakels te begrijpen.

Rebootbeleid

Updates hebben een reboot nodig om de installatie af te ronden. Met tools als NinjaOne, Autopatch of Intune dwingt u rebootbeleid op endpoints moeiteloos af.

Out-of-band-updates

Nieuwe, steeds veranderende cyberdreigingen kunnen ongeplande patches nodig maken om de beveiliging en werking van uw systeem te beschermen. U versnelt dit door uitzonderingen in te stellen waarmee urgente updates uitstelbeleid kunnen omzeilen.

Patching van software van derden

Ook software die niet van Microsoft komt heeft continue monitoring nodig voor een robuust beveiligingsbeleid. Veel kwetsbaarheden zijn afkomstig uit apps van derden. Gebruik daarom RMM-platformen zoals NinjaOne om effectief toezicht te houden na het patchen.

Offline devices

Losgekoppelde devices van klanten kunnen updates mislopen. Dat brengt de eindpuntbeveiliging in gevaar en vertekent uw rapportages over beleidscompliance. Voor deze werkplekken kunt u offline patchtools gebruiken, zoals WSUS.

Veelvoorkomende fouten in patch compliance oplossen

Zo stelt u vast wat er misgaat bij mislukte updates waar MSP’s en IT’ers tegenaan lopen en zo lost u die op.

Mislukte patches

Als uw update niet goed installeert of toegepast wordt, voer dan audits op het gebeurtenissenlogboek uit en gebruik monitoringsoftware voor endpoints (bijvoorbeeld NinjaOne of Intune) om het probleem te verhelpen.

Ontbrekende gegevens

Het uitschakelen van telemetrieservices kan gaten veroorzaken in de gegevens van uw beheerdashboard. Schakel het verzamelen van diagnostische gegevens in Intune weer in om dit op te lossen.

Ontbrekende registersleutels

Het ontbreken van bepaalde registeritems (vooral die de voortgang van updates weergeven) kan de inschrijving van devices blokkeren en zelfs onjuiste uitkomsten geven. Controleer daarom de integriteit van uw register en bekijk de updategeschiedenis.

Visualisatiefouten

Synchronisatieproblemen en regels voor gegevensopmaak kunnen de datavisualisatie in de weg zitten. Voorkom gebrekkig toezicht en onopgemerkte gaten met Performance Diagnostics en andere monitoringsoftware.

Houd patch compliance in de gaten met volledige rapportage

U kunt patch compliance monitoren en auditen met geavanceerde tools of via remote management-platformen met ingebouwde rapportgeneratie. Maak hoe dan ook altijd back-ups van belangrijke systeeminstellingen om het beleid rond data-integriteit na te leven en toekomstige overzichten te ondersteunen.

NinjaOne Patch Management draait op hetzelfde RMM-platform dat u gebruikt voor het monitoren van endpoints. Patchgegevens komen dus in dezelfde rapportages terecht als al het andere. Het brengt rapportage over systeemgezondheid en patch compliance samen door:

• Gegevens uit het register en het gebeurtenissenlogboek op te halen met eigen PowerShell-scripts
• De compliancestatus per klant, per regio of multi-tenant samen te vatten voor snelle rapportage
• De voortgang van patchinstallaties in uw hele infrastructuur te volgen
• IT’ers te waarschuwen bij onvolledige of mislukte updates, rebootmeldingen en de status van devices
• Devices met compliance drift direct te markeren

Ervaar hoe rapportage over patch compliance naast uw bestaande RMM-gegevens werkt. Start een gratis trial van NinjaOne Patch Management.

Gerelateerde onderwerpen:

• Wat is patch compliance?
• 10 essentiële statistieken voor succesvol patchbeheer
• Patch versus update: de belangrijkste verschillen
• Een gezond systeem bekijken
• Zo voert u een pc-diagnoserapport uit in Windows