Zo bouwt u een SOP voor patchbeheer voor MSP’s

Een goed uitgewerkte standaardprocedure voor patchbeheer is onmisbaar voor elke organisatie – en nee, dat is geen overdrijving of clickbait. We hebben patchbeheer al uitgebreid behandeld in verschillende andere artikelen (links aan het einde van dit artikel). In deze gids richten we ons op het opzetten van een SOP voor patchbeheer voor MSP’s, specifiek voor Windows, macOS en applicaties van derden.

Dit artikel helpt u een herhaalbaar, schaalbaar en veilig patchproces op te zetten voor de endpoints die u beheert, inclusief technische details over automatisering, auditing en compliance.

Wilt u meer achtergrond? Bekijk “Zo bouwt u een SOP voor patchbeheer voor MSP’s” voor een uitgebreide toelichting.

📌 Aanbevolen implementatiestrategieën:

Een opmerking over het kiezen van een methode en het volgen van de SOP-stappen

Voordat we verdergaan, is het belangrijk om het verschil te kennen tussen implementatiemethoden en SOP-stappen. Ze werken samen maar hebben een ander doel.

Stappen zijn wat u doet in de SOP. Dit zijn universele handelingen die u in elk patchbeheerproces volgt.

Methoden zijn hoe u de SOP uitvoert. Dit zijn implementatiebenaderingen op basis van uw tools, de omvang van uw omgeving en uw technische inrichting. De implementatiestrategieën hieronder tonen de beschikbare methoden om een effectieve SOP voor patchbeheer uit te voeren. Houd er rekening mee dat u slechts één methode hoeft te kiezen (bijvoorbeeld een RMM-platform), afhankelijk van wat het beste bij uw omgeving past.

Let ook op: er zal enige overlap zijn tussen de stappen en de methoden.

📌 Vereisten:

• Devices moeten zijn aangemeld bij een RMM, MDM of een centraal patchplatform.
• Beheerdersrechten op de betreffende endpoints.
• Internettoegang tot de updateservices van leveranciers (Microsoft, Apple, leveranciers van applicaties van derden)
• PowerShell 5.1+ op Windows (zie Uw PowerShell-versie controleren)
• Terminal- of shelltoegang op macOS-endpoints
• Optioneel: toegang tot WSUS, JAMF, Munki of een platformoverkoepelende tool zoals NinjaOne

Een SOP voor patchbeheer opstellen: stap voor stap

Stap 1: inventarisatie en classificatie van de te patchen systemen

U kunt niet patchen wat u niet kent. In deze stap brengt u alle endpoints in uw omgeving in kaart en deelt u ze in op OS-type, versie en geïnstalleerde versie.

A. Voor Windows-devices

1. Open PowerShell en voer deze opdracht uit:

Get-HotFix

Deze opdracht toont alle Windows-updates en patches (hotfixes) die op het systeem van het endpoint zijn geïnstalleerd, inclusief de HotFixID, de beschrijving, de installatiedatum en wie de update heeft geïnstalleerd.

2. Open de opdrachtprompt en voer deze opdracht uit:

systeminfo | findstr /B /C:"OS Name" /C:"OS Version"

B. Voor macOS

1. Open Terminal

2. Voer de volgende opdrachten uit:

sw_vers – Toont de huidige macOS-versie en build-informatie

softwareupdate –history – Toont alle software-updates die via het updatesysteem van Apple zijn geïnstalleerd

ls /Applications – Geeft een lijst van geïnstalleerde applicaties

C. Voor applicaties van derden

1. Op Windows:
Get-WmiObject -Class Win32_Product | Select-Object Name, Version

2. Op macOS (uit te voeren in Terminal):
Use ls /Applications or Munki to inventory

💡 Tip: label endpoints per patchgroep of mate van kritiek belang, zodat u updates gefaseerd kunt uitrollen.

Stap 2: patchcategorieën en frequentie bepalen

Nu deelt u patches in categorieën in en bepaalt u hoe vaak elk type update wordt toegepast.

💡 Tip: gebruik tools zoals NinjaOne om de patchtiming af te dwingen.

Stap 3: Windows-updates starten

Het starten van Windows-updates is een eenvoudige en effectieve manier om menselijke fouten te beperken, zeker als u een groot wagenpark aan devices beheert. We noemen hieronder een paar methoden en geven daarbij aan welke stappen het proces echt automatiseren en welke een eenmalige Windows-update uitvoeren.

1. Via PowerShell – eenmalige update

1. Open PowerShell.
2. Voer deze opdrachten uit om Windows-updates automatisch te downloaden en te installeren:

Install-Module PSWindowsUpdate

Get-WindowsUpdate -AcceptAll -Install -AutoReboot

2. Via het pad in Groepsbeleid – volledige automatisering

1. Druk op Win + R, typ gpedit.msc en druk op Enter.
2. Ga naar Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Windows Update.
3. Schakel het volgende in:
   • Automatische updates configureren
   • Geplande installatiedag/-tijd
   • Niet automatisch opnieuw opstarten bij aangemelde gebruikers

💡 Let op: afhankelijk van uw Windows-versie kunnen deze beleidsregels in submappen staan zoals Legacy Policies, Managed End Users of Managed Updates onder de map Windows Update.

3. Via het register – volledige automatisering

⚠️ Waarschuwing: zorg ervoor dat u een back-up van uw register maakt voordat u verdergaat. Verkeerde configuraties kunnen het systeem instabiel maken.

1. Druk op Win + R, typ regedit en druk op Enter.
2. Selecteer: HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
3. Stel de waarden als volgt in:
   • AUOptions = 4 (automatisch downloaden en installatie plannen)
   • ScheduledInstallDay = 2 (dinsdag)
   • ScheduledInstallTime = 3 (3.00 uur)
   • NoAutoRebootWithLoggedOnUsers = 1

💡 Let op: u kunt de waarden naar eigen inzicht aanpassen.

4. Via de opdrachtprompt – eenmalige uitvoering

1. Open een opdrachtprompt met verhoogde rechten.
2. Voer de volgende PowerShell-opdracht rechtstreeks vanuit CMD uit:

powershell -Command "(New-Object -ComObject Microsoft.Update.AutoUpdate).DetectNow()"

Met deze opdracht laat u de Windows Update Agent controleren op beschikbare updates. Houd er rekening mee dat hij ze niet installeert. Voor de installatie gebruikt u PowerShell (stap A) of de automatiseringsmethoden uit stap B/C.

Let op: oudere opdrachten zoals wuauclt /detectnow en usoclient StartScan werden in eerdere Windows-versies gebruikt, maar zijn nu verouderd of onbetrouwbaar op Windows 10/11. CMD biedt geen ingebouwde manier meer om updates rechtstreeks via Windows Update te downloaden en te installeren.

⚠️ Waar u op moet letten

• Reboots en impact op gebruikers: zelfs met “Niet automatisch opnieuw opstarten bij aangemelde gebruikers” vereisen sommige updates toch een reboot om te voltooien. Plan uw onderhoudsvensters daarop.
• Verschillen per editie: sommige paden in Groepsbeleid of namen van beleidsregels verschillen per Windows-editie of -versie; controleer de submappen zoals hierboven beschreven.
• Beheerde omgevingen: gebruikt u WSUS of Intune, zorg er dan voor dat deze instellingen aansluiten op uw beheerbeleid om conflicten te voorkomen.

Stap 4: macOS-updates toepassen

Deze stap zorgt ervoor dat Apple-devices betrouwbaar en veilig worden bijgewerkt. Let op: deze stap automatiseert het proces niet maar past updates eenmalig toe.

1. Voer deze opdrachten uit in Terminal om te controleren op updates, ze te installeren en het device na de updates opnieuw op te starten:

softwareupdate --list

softwareupdate -i -a

sudo shutdown -r now

Stap 5: applicaties van derden patchen

Applicaties zoals browsers, Zoom en Java vormen een enorm aanvalsoppervlak en moeten regelmatig gepatcht worden.

1. Voor Windows (installeren/verwijderen via PowerShell of met Chocolatey)

1. Installeer Chocolatey.
2. Voer deze opdracht uit:

Set-ExecutionPolicy Bypass -Scope Process -Force

iex ((New-Object System.Net.WebClient).DownloadString('https://chocolatey.org/install.ps1'))

choco upgrade all -y

2. Voor macOS (met Homebrew)

1. Installeer Homebrew.
2. Voer deze opdracht uit:

/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"

brew upgrade

💡 Let op: u kunt eventueel logbestanden of exitcodes in de gaten houden op fouten en de automatisering zo nodig opnieuw uitvoeren.

Stap 6: workflow voor goedkeuring en testen van patches

Testen en gefaseerd uitrollen zijn essentieel om zeker te weten dat alle patches stabiel zijn.

• Stel een testgroep samen (5–10% van alle devices)
• Rol uit naar de testdevices en leg de resultaten vast
• Werk met patchgolven voor een bredere uitrol
  Houd per golf bij om welke KB’s of applicatieversies het gaat
• Gebruik NinjaOne of SharePoint om uitzonderingen op patches bij te houden

Stap 7: strategie om terug te draaien

Soms gaat een patch mis. Als dat gebeurt, heeft u een snelle en betrouwbare manier nodig om hem ongedaan te maken zonder gegevens of productiviteit te verliezen.

1. Voor Windows

1. Open een opdrachtprompt met verhoogde rechten.
2. Voer deze opdracht uit:

wusa /uninstall /kb:XXXXXXX /quiet /norestart – Verwijdert een specifieke Windows-update

Checkpoint-Computer -Description "Pre-Patch Restore" -RestorePointType "MODIFY_SETTINGS" – Maakt een herstelpunt voor systeemherstel voordat u systeemwijzigingen doorvoert.

💡 Let op: vergeet niet “XXXXXXX” te vervangen door het werkelijke KB-nummer van de update die u wilt verwijderen.

2. Voor macOS

• Gebruik Time Machine of snapshots.
• Het is sterk aan te raden om een volledige back-up te maken vóór grote upgrades.

Stap 8: rapportage, compliance en notificaties

Met notificaties ziet u mislukte patches vroeg en met rapportages laat u klanten of management zien dat u veilig en compliant blijft.

1. Voor Windows

Deze opdracht maakt een CSV-bestand met een gedetailleerde lijst van geïnstalleerde updates. Met dat bestand bekijkt u eenvoudig de updategeschiedenis, deelt u patchinformatie en gebruikt u de gegevens voor compliancecontroles of probleemoplossing.

1. Open PowerShell.
2. Voer deze opdracht uit:

Get-HotFix | Export-Csv "patch_report.csv"

Get-WindowsUpdateLog

2. Voor macOS

1. Voer deze opdracht uit:

softwareupdate --history

3. Gebruik NinjaOne of een RMM van een derde partij

• Om te waarschuwen bij mislukte patches
• Om compliance-overzichten te genereren
• Om de patchstatus van applicaties van derden te volgen
• Om patchrapportages voor het management op te stellen

Implementatiemethoden

Methode 1: handmatige scripts

📌 Toepassingen: voor omgevingen zonder centraal beheer of voor tests en kleine implementaties.

📌 Vereisten:

• Lokale beheerdersrechten op de endpoints
• PowerShell 5.1+ geïnstalleerd op Windows of Terminal-toegang op macOS
• Internettoegang voor de updateservices van leveranciers
• (Optioneel) Als de module PSWindowsUpdate niet geïnstalleerd kan worden, moet u mogelijk eerst de NuGet-provider installeren en de PowerShell Gallery-repository registreren.

Stappen:

1. Voor Windows (via PowerShell)

1. Open PowerShell.
2. Voer deze opdrachten op volgorde uit:

1. • Installeer de module PSWindowsUpdate: Install-Module PSWindowsUpdate
   • Voer een updatescan uit en installeer alle beschikbare patches: Get-WindowsUpdate -AcceptAll -Install -AutoReboot
   • Forceer zo nodig handmatig een scan.

wuauclt /detectnow

usoclient StartScan

2. Voor macOS (via Terminal)

1. Voer deze opdrachten op volgorde uit:
   • Beschikbare updates tonen: softwareupdate --list
   • Alle beschikbare updates installeren: softwareupdate -i -a
   • Zo nodig opnieuw opstarten na de update: sudo shutdown -r now

Methode 2: Groepsbeleid en register (alleen Windows)

📌 Toepassingen: ideaal voor Windows-omgevingen die op domeinbeheer draaien en consistente beleidshandhaving nodig hebben.

📌 Vereisten:

• Windows-devices die lid zijn van een domein
• Toegang tot de Groepsbeleidsbeheerconsole
• (Optioneel) Beheerderstoegang om het register aan te passen

Stappen:

1. Via Groepsbeleid

1. Druk op Win + R, typ gpedit.msc en druk op Enter.
2. Ga naar:
   Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Windows Update
3. Schakel in en configureer:
   • Automatische updates configureren = Ingeschakeld.
   • Stel de installatiedag en -tijd in.
   • Schakel “Niet automatisch opnieuw opstarten bij aangemelde gebruikers” in.
   • (Optioneel) Geef een interne updatebron op via WSUS.

💡 Let op: afhankelijk van uw Windows-versie kunnen deze beleidsregels in submappen staan zoals Legacy Policies, Managed End Users of Managed Updates onder de map Windows Update.

2. Via handhaving in het register (legacy of zonder domein)

1. Druk op Win + R, typ regedit en druk op Enter.
2. Ga naar: HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU
3. Stel de waarden in:
   • AUOptions = 4 (automatisch downloaden en installatie plannen)
   • ScheduledInstallDay = 2 (dinsdag)
   • ScheduledInstallTime = 3 (3.00 uur)
   • NoAutoRebootWithLoggedOnUsers = 1

💡 U kunt de waarden naar eigen inzicht aanpassen.

Methode 3: RMM-platformen, zoals NinjaOne

📌 Toepassingen: ideaal voor schaalbare, geautomatiseerde Patching in grote omgevingen, met dashboards, notificaties, terugdraaimogelijkheden en compliancerapportage.

📌 Vereisten:

• Endpoints die zijn aangemeld bij een RMM-platform zoals NinjaOne
• Patchbeleid dat is aangemaakt en toegewezen aan groepen
• Beheerderstoegang om automatiseringsregels en planningen vast te leggen

Stappen:

1. Log in op het NinjaOne-portaal.
2. Maak een patchbeleid dat Windows, macOS en applicaties van derden omvat.
3. Orden devices op tags, groepen of urgentieniveaus.
4. Stel terugkerende patchschema’s in met vastgelegde onderhoudsvensters.
5. Schakel notificaties in voor fouten, achterstallige patches of vereiste reboots.
6. Volg realtime compliancedashboards en rapportages.
7. Zet scripts in om terug te draaien of te herstellen wanneer dat nodig is.

💡 Tip: combineer Patching met taken na de uitrol, zoals opschoonscripts, uitgestelde reboots of het opnieuw starten van services, met de automatisering van NinjaOne. Zo verlopen updates soepeler en beperkt u de overlast. Uitgebreidere instructies vindt u hier:

• Windows-updates inschakelen en beheren met NinjaOne
• macOS-patchbeheer met NinjaOne

Zo ondersteunt NinjaOne uw SOP voor patchbeheer

• Automatiseren van OS- en applicatiepatches op Windows en macOS: NinjaOne stroomlijnt de patch-implementatie op besturingssystemen en applicaties van derden met aanpasbaar beleid en zero-touch automatisering. Patches worden dus automatisch uitgerold zonder handmatig ingrijpen, wat menselijke fouten beperkt en de operationele efficiëntie verhoogt.
• Vastleggen van patchvensters, testgroepen en uitzonderingen: u stelt terugkerende patchschema’s in, wijst devices toe aan testgroepen en maakt uitzonderingsregels voor specifieke compliance- of bedrijfsbehoeften.
• Dashboards en compliancerapportage: met realtime visuele dashboards en exporteerbare rapportages volgt u de patchstatus, bekijkt u hoe compliant devices zijn en toont u aan dat u voldoet aan SLA’s of regelgeving.
• Notificaties bij fouten, gemiste reboots of vertraagde patches: NinjaOne waarschuwt technici automatisch wanneer een patch mislukt, een endpoint een reboot nodig heeft of een gepland updatevenster is gemist.
• Scripts voor terugdraaien of herstellen: beheerders voeren binnen NinjaOne eigen PowerShell- of shellscripts uit om problematische updates te verwijderen, services opnieuw te starten of defecte software te repareren zonder handmatig ingrijpen.
• Endpoints groeperen of labelen op patchurgentie of omgeving: devices krijgen tags op basis van locatie, functie of kritiek belang, zodat u verschillende patchprioriteiten afdwingt en het risico voor bedrijfskritische systemen verkleint.

Een effectieve SOP voor patchbeheer opbouwen

Een sterke SOP voor patchbeheer zorgt voor veilige, consistente en efficiënte updatecycli in uw hele omgeving. Onderschat deze procedure niet: ook kleinere organisaties hebben een robuuste SOP voor patchbeheer nodig om het risico op malware en andere bedreigingen te verkleinen.

Gerelateerde onderwerpen:

• Wat is patchbeheer? Definitie, voordelen en beste praktijken
• Waarom patchbeheer belangrijk is voor MSP’s
• Het patchbeheerproces: beste praktijken
• Een patchbeheerbeleid opstellen: definitie en stappen
• Patchbeheer – een gids voor beginners [download]
• Vernieuw uw patchbeheer met Patch Intelligence AI van NinjaOne
• Het patchbeheerproces: beste praktijken
• De lifecycle van patchbeheer uitgelegd