Microsoft 365-licenties: Weet jij zeker dat je organisatie compliant is?

Deze blog is oorspronkelijk op 7 Mei 2025 gepubliceerd.

Ben jij 100% zeker dat je Microsoft 365-licenties goed geregeld zijn?
Microsoft draait langzaam de duimschroeven aan als het gaat om licentiecompliance. Waar eerder nog ruimte was voor interpretatie en gemak, wordt nu steeds strikter gecontroleerd op juist gebruik van Microsoft 365-diensten. De kans is groot dat je denkt dat alles goed geregeld is — maar in de praktijk blijkt dat veel organisaties onbewust risico lopen. In deze blog leggen we uit waarom dit onderwerp nú urgent is, hoe Microsoft kijkt naar licentiegebruik, en wat jij kunt doen om grip te krijgen op je situatie.

Waarom dit nú zo belangrijk is

Microsoft heeft recent aangekondigd dat zij strenger gaat toezien op het gebruik van Microsoft 365-licenties. Hoewel actieve audits op dit moment nog beperkt zijn, is het duidelijk dat deze er wél aankomen. En als het zover is, zijn het niet de IT-partners die worden aangesproken, maar jij als eindklant. Organisaties moeten dus voorbereid zijn – vóórdat Microsoft daadwerkelijk begint met handhaven.

Veel bedrijven denken dat ze hun licenties goed op orde hebben, maar de praktijk laat iets anders zien. Licentievoorwaarden zijn complex, veranderen regelmatig, en de inzet van Microsoft-diensten binnen organisaties is vaak dynamisch en versnipperd.

Juist omdat dit bij zoveel organisaties (onbewust) fout gaat, is dit hét moment om de situatie in kaart te brengen. Deze blog helpt je te begrijpen hoe Microsoft jouw licentiegebruik beoordeelt, waar risico’s ontstaan én hoe je ervoor zorgt dat je compliant bent voordat Microsoft aanklopt.

Microsoft heeft een contract met jouw organisatie, niet met je IT-partner

Een veelvoorkomend misverstand binnen organisaties is het idee dat de IT-partner verantwoordelijk is voor licentiebeheer. “Onze IT-leverancier regelt dat toch?” is een veelgehoorde opmerking. In werkelijkheid ligt de juridische verantwoordelijkheid bij jouw organisatie – en dat is precies waar Microsoft straks op gaat handhaven.

De formele overeenkomst voor Microsoft 365-licenties wordt namelijk niet afgesloten met de IT-dienstverlener, maar met de eindklant: jouw bedrijf. Dat betekent dat jij als organisatie verantwoordelijk bent voor een correcte inzet van licenties, voor álle gebruikers in je tenant.

De IT-partner kan hierin adviseren, implementeren en beheren – maar het naleven van de licentievoorwaarden blijft altijd de taak van de klant. En dat is logisch: jij bepaalt wie er toegang krijgt tot welke functionaliteiten, hoe gebruikers worden ingericht en welke licenties daaraan gekoppeld zijn.

Het risico is dus dat je ongemerkt licentievoorwaarden overtreedt, terwijl je ervan uitgaat dat alles goed geregeld is. Als jouw tenant straks gecontroleerd wordt, kijkt Microsoft puur naar het gebruik binnen jouw omgeving – en of dat in lijn is met de licenties die jij hebt afgenomen.

Kortom: licentiecompliance is geen “IT-dingetje”, maar een strategische verantwoordelijkheid van de organisatie zelf. En die verantwoordelijkheid vraagt om inzicht, structuur en regie.

Tenant- en gebruiker niveau: zo kijkt Microsoft naar je licenties

Om goed te begrijpen waar de risico’s liggen, is het belangrijk om te weten hoe Microsoft zelf kijkt naar licentiegebruik. Dat doen ze op twee niveaus: tenantniveau en gebruikersniveau.

Tenantniveau

Bepaalde licenties of beveiligingsoplossingen worden centraal ingeschakeld voor de hele tenant. Denk hierbij aan diensten zoals Microsoft Defender for Office 365, Defender for Endpoint, of bepaalde compliance-functionaliteiten. Het probleem ontstaat wanneer deze diensten tenant breed actief zijn, terwijl er maar voor één of enkele gebruikers een licentie is aangeschaft.

Voor Microsoft telt het gebruik van zo’n functie in dat geval als ‘consumptie’. Oftewel: zodra gebruikers worden beschermd of functionaliteiten benutten, wordt ervan uitgegaan dat zij daar ook individueel voor gelicenseerd zijn. Eén licentie aanschaffen en het vervolgens “uitrollen” naar meerdere gebruikers zonder licentie? Dat wordt gezien als non-compliant gebruik.

Gebruikersniveau

Op gebruikersniveau heb je als organisatie de meeste controle. Je bepaalt per gebruiker welke Microsoft 365-functies aan of uit staan. Denk aan Teams, OneDrive, Exchange Online of beveiligingsfuncties zoals Microsoft Defender for Office Plan 1.

Dit is anders dan op tenantniveau, waar je instellingen voor de hele organisatie inschakelt. Het nadeel daarvan: zodra een feature op tenantniveau actief is, kan deze ook (deels) werken bij gebruikers zonder de juiste licentie. Dat gebeurt bijvoorbeeld bij sommige beveiligingsdiensten die niet automatisch controleren of een gebruiker een geldige licentie heeft. Hierdoor ontstaat het risico dat gebruikers een dienst tóch gebruiken zonder formele licentierechten. En precies dát wordt door Microsoft als onregelmatigheid gezien bij een audit.

Waarom per gebruiker instellen zo belangrijk is

Juist op gebruikersniveau kun je bewuste keuzes maken:

• Wie heeft welke functionaliteit écht nodig?
• Welke onderdelen zet je uit bij bepaalde gebruikers?
• Komt het gebruik overeen met de toegewezen licentie?

Veel functies worden automatisch geactiveerd zodra gebruikers ze openen. Als je niet actief regelt wie wat mag gebruiken, kun je onbedoeld licentieproblemen veroorzaken — bijvoorbeeld doordat gebruikers een dienst gebruiken waarvoor ze officieel geen rechten hebben.

Door dit goed in te richten, voorkom je verrassingen bij een audit en zorg je voor grip op kosten én compliance.

Veelgemaakte denkfout

Een veelvoorkomende valkuil is het idee dat alleen actieve gebruikers een licentie nodig hebben. Maar ook passieve gebruikers die wél beschermd of beheerd worden via tenantinstellingen, kunnen volgens Microsoft onder de licentie-eisen vallen. Denk bijvoorbeeld aan gebruikers die onder een anti-phishing policy vallen, of aan wie veilige links worden afgeleverd – dat telt al als gebruik.

De meest voorkomende problemen in de praktijk

Een van de meest voorkomende misverstanden binnen Microsoft 365-licentiëring ontstaat bij het gebruik van Microsoft Defender for Office 365, met name bij het verschil tussen Plan 1 en Plan 2. Organisaties denken vaak dat één licentie voor een beheerder voldoende is, terwijl er op de achtergrond functionaliteiten actief zijn die ook voor andere gebruikers gelden – en waarvoor dan óók een licentie nodig is.

Voorbeeld: Defender for Office 365 – Plan 1 vs. Plan 2

Microsoft maakt onderscheid tussen functionaliteiten die je per gebruiker kunt aan- of uitzetten (Plan 1) en functies die altijd tenant breed actief zijn als je ze inschakelt (Plan 2).

• Plan 1-functies zoals Safe Links, Safe Attachments en anti-phishing policies kun je individueel beheren. Zet je ze uit voor een gebruiker? Dan is er ook géén licentie nodig voor die persoon.
• Plan 2-functies zoals Threat Explorer, incident response en advanced hunting in Defender XDR kun je niet individueel uitschakelen. Zodra je deze inschakelt voor één gebruiker of beheerder, zijn ze in de achtergrond beschikbaar voor de hele tenant. Dat betekent: je hebt voor álle gebruikers waar deze functies op van toepassing zijn een licentie nodig – zelfs als ze er zelf niet actief in werken.

Belangrijk risico: veel organisaties activeren Plan 2-functies voor beheerdoeleinden, maar realiseren zich niet dat Microsoft dit ziet als actieve consumptie op tenantniveau. Eén Plan 2-licentie aanschaffen en vervolgens de functies gebruiken voor monitoring of bescherming van meerdere gebruikers = non-compliance.

Welke opties heb je als organisatie?

De licentieregels binnen Microsoft 365 zijn complex, technisch en veranderen regelmatig. Veel organisaties hebben te maken met verschillende gebruikersrollen, dynamisch gebruik van functionaliteiten en een mix van licenties. Juist daarom is het belangrijk om je situatie nú al in kaart te brengen – voordat Microsoft start met handhaving.

Laat je IT-partner een grondige controle uitvoeren

Werk je samen met een IT-partner? Vraag hen om een uitgebreide analyse van je licentiegebruik. Een goede controle kijkt verder dan alleen het aantal toegewezen licenties. Denk aan:

• Een overzicht per gebruiker: welke licenties zijn toegewezen, welke functionaliteiten zijn actief?
• Inzicht in tenant-brede diensten (zoals Microsoft Defender of Microsoft Purview): zijn er functies actief waarvoor meerdere gebruikers gelicenseerd moeten zijn?
• Technische instellingen: zijn functionaliteiten zoals Safe Links, Safe Attachments of DLP-beleid beperkt tot groepen met de juiste licentie?

Belangrijk: veel beveiligings- en compliance functies zijn standaard tenant breed ingeschakeld. Als je niet actief instelt wie hiervan gebruik mag maken, kun je ongemerkt non-compliant raken. Laat je IT-partner daarom ook controleren of features technisch zijn beperkt tot alleen gelicentieerde gebruikers (bijv. via policies, security groups of role-based access control).

Heb je geen IT-partner?

Neem dan contact op met DesktopToWork. Wij helpen organisaties bij het creëren van inzicht in hun Microsoft 365-licentiepositie. Daarbij kijken we niet alleen naar aantallen, maar ook naar technisch gebruik, tenantinstellingen en compliance-risico’s.

Conclusie: neem regie over je Microsoft-licenties, voordat Microsoft dat doet

Microsoft heeft duidelijk aangegeven dat licentie compliance in de toekomst strikter gehandhaafd gaat worden. Hoewel er nu nog geen structurele audits plaatsvinden, is de verwachting dat dit snel zal veranderen. Organisaties die hun licentiegebruik niet op orde hebben, lopen het risico op forse naheffingen en administratieve rompslomp – niet omdat ze bewust iets fout doen, maar simpelweg omdat het overzicht ontbreekt.

Wat deze blog laat zien, is dat non-compliance vaak ontstaat in de details:

• Functionaliteiten die tenant breed worden geactiveerd terwijl maar één gebruiker gelicenseerd is
• Gebruikers die zonder licentie tóch toegang hebben tot beveiligde diensten
• Admins die beveiligingsfuncties gebruiken waarvoor extra licenties nodig zijn

De oplossing ligt in één woord: inzicht. Want alleen als je weet wat er actief is binnen je omgeving en hoe dat zich verhoudt tot de licenties die je afneemt, kun je sturen op compliance en kostenbeheersing.

Laat je Microsoft 365-licenties controleren door je IT-partner – of neem contact op met DesktopToWork als je die partner niet hebt. Zo weet je zeker dat je goed zit, voordat Microsoft dat voor je bepaalt.

Weet jij zeker dat je organisatie compliant is?

Voorkom verrassingen en zorg dat je controle hebt over je licentiegebruik. Vraag vandaag nog de Microsoft 365 Compliancy Check aan en ontvang een helder rapport over risico’s, instellingen en licentiegebruik in jouw omgeving.

Vraag nu je Microsoft 365 Compliancy Check aan

Bronnen

Microsoft Product Terms – Public site
https://www.microsoft.com/licensing/terms
(Officiële contractvoorwaarden voor licenties, maandelijks geüpdatet)

Microsoft Learn – Tenant-level services licensing guidance
https://learn.microsoft.com/en-us/office365/servicedescriptions/microsoft-365-platform-service-description/microsoft-365-tenant-level-services-licensing-guidance
(Geeft uitleg over tenant-brede diensten en licentie-eisen per gebruiker)

Microsoft Learn – Microsoft Defender for Office 365 overview
https://learn.microsoft.com/en-us/microsoft-365/security/office-365-security/defender-for-office-365
(Overzicht van functies in Plan 1 en Plan 2)

Microsoft Learn – Compare Microsoft 365 Enterprise plans
https://learn.microsoft.com/en-us/microsoft-365/compare-microsoft-365-enterprise-plans
(Vergelijkt o.a. E3 en E5, en add-on licenties zoals E5 Security/Compliance)

Microsoft Licensing Documentation: Add-on plans
https://learn.microsoft.com/en-us/licensing/licensing-add-on
(Uitleg over hoe add-ons zoals Defender for Office Plan 2 werken bovenop andere licenties)

Microsoft Learn – Assign Microsoft Defender policies to specific users
https://learn.microsoft.com/en-us/microsoft-365/security/office-365-security/set-up-safe-links-policies
(Laat zien hoe je Safe Links of andere policies beperkt tot een groep gebruikers)