Windows 10 ESU pro firmy: proč 30 dolarů nestačí

Ve strojírenské firmě kousek od Ústí nad Orlicí zbylo letos na jaře sedmnáct počítačů s Windows 10. Správce si přečetl, že Microsoft nabízí prodloužené bezpečnostní aktualizace až do října 2027 za třicet dolarů, oddechl si a migraci odsunul na příští rozpočet. Klid vydržel do prvního auditu.

Spotřebitelský program ESU se totiž na počítač zapojený do firemní domény nevztahuje. Microsoft to má v podmínkách přímo napsané a stroje v Active Directory, v Entra ID nebo pod správou MDM do programu vůbec nepustí. Firma si tak koupila jistotu, kterou nikdy neměla, a přišla o rok, který mohla využít na plánovanou obměnu.

V následujících řádcích najdete, co pro firmy k srpnu 2026 skutečně platí, jaké dvě cesty k aktualizacím opravdu existují a jak si během jednoho odpoledne zjistíte, kolik strojů vám ve firmě tiká.

Co o Windows 10 platí k srpnu 2026

Podpora Windows 10 skončila 14. října 2025. Od té chvíle systém bez zapojení do ESU nedostává žádné bezpečnostní záplaty.

Spotřebitelský program ESU podle Microsoftu běží do 12. října 2027 a zapojit se do něj lze kdykoli do tohoto data. Cena je jednorázových 30 USD, případně 1 000 bodů Microsoft Rewards, nebo je zdarma při zapnuté synchronizaci nastavení počítače. Jedna licence pokryje až deset zařízení. (Microsoft)

Pozor ale na to, co ESU vlastně je. Podle Microsoftu jde výhradně o kritické a důležité bezpečnostní aktualizace v klasifikaci Microsoft Security Response Center. Žádné opravy chyb, žádné nové funkce a žádná technická podpora. ESU je hasicí přístroj, ne rekonstrukce elektroinstalace.

Proč se spotřebitelské ESU na firemní počítače nevztahuje

Tohle je místo, kde nejčastěji vzniká nedorozumění. Microsoft výslovně uvádí, že spotřebitelský program ESU nelze použít v komerčních scénářích.

Koho Microsoft do programu nepustí

• zařízení v režimu kiosku,
• zařízení připojená do domény Active Directory,
• zařízení připojená do Microsoft Entra (Entra joined),
• zařízení zapojená do řešení MDM,
• zařízení, která už ESU licenci mají.

Výjimkou jsou pouze zařízení, která jsou v Entra registrovaná (Entra registered) — ta spotřebitelské ESU využít smí. (Microsoft)

A ještě jedna nepříjemnost. Pokud počítač do spotřebitelského ESU zapojíte a on se následně stane součástí některého z komerčních scénářů, Microsoft mu registraci pozastaví, dokud se do komerčního režimu nepřestane používat. Prakticky to znamená, že první připojení do domény vaši ochranu vypne.

Samostatnou kapitolou jsou vydání LTSB a LTSC. Ta mají vlastní životní cyklus a programem ESU pro Windows 10 pokrytá nejsou vůbec. (Microsoft Learn)

Firemní ESU: co si pod tím představit

Komerční varianta ESU existuje a funguje jako placené předplatné. Rozdíl proti spotřebitelské verzi není jen v ceně, ale hlavně v tom, jak se nasazuje.

Aktivace probíhá klíčem MAK, který si stáhnete v centru Microsoft 365 admin center v sekci Volume licensing. K jeho zobrazení potřebujete roli Product Key Reader nebo VL Administrator. Klíč se pak na stanicích instaluje a aktivuje pomocí nástroje slmgr.vbs, přičemž každý rok programu má vlastní aktivační ID.

Než ale klíč vůbec zabere, musí být stanice na verzi 22H2 a mít nainstalovanou aktualizaci KB5066791 a po ní přípravný balíček KB5072653. Pořadí není libovolné. (Microsoft Learn)

Přeloženo do řeči přínosů: firemní ESU vám koupí čas na řízenou obměnu techniky. Nekoupí vám kompatibilitu s novým softwarem, podporu výrobců periferií ani klid u auditu.

Co na to nový zákon o kybernetické bezpečnosti

Od 1. listopadu 2025 je účinný zákon č. 264/2025 Sb. o kybernetické bezpečnosti, který do českého práva promítá evropskou směrnici NIS2. Regulované subjekty od tohoto data ohlašují své služby i bezpečnostní incidenty přes Portál NÚKIB. (NÚKIB)

Zajímavý je i vývoj samotných incidentů. NÚKIB v dubnu 2026 evidoval osmnáct kybernetických bezpečnostních incidentů, z toho tři významné. Polovina z nich spadala do kategorie Průnik, tedy úspěšné kompromitace účtů, firewallů nebo doménových řadičů. (NÚKIB)

Nezáplatovaná stanice v doméně je přesně ten typ vstupních dveří, které tenhle scénář umožňují. Pokud pod nový zákon spadáte, těžko budete regulátorovi vysvětlovat, proč u vás rok běželo patnáct počítačů bez aktualizací. Pokud pod něj nespadáte, platí totéž — jen vám to místo úřadu vysvětlí vaše pojišťovna.

Souvislosti kolem povinností a rizik jsme rozebrali i v článku o kybernetické bezpečnosti.

Příklad z praxe

Jde o modelový výpočet, ne o skutečného zákazníka. Čísla si dosaďte podle svého.

Provozní ředitelka Jana má ve firmě 40 pracovních stanic. Po inventuře zjistí, že 26 z nich už jede na Windows 11 a 14 zůstalo na Windows 10. Všech 14 je v doméně.

• Původní plán: 14 × 30 USD za spotřebitelské ESU, tedy zhruba 420 USD a hotovo.
• Realita: doménové stanice do programu nespadají, těch 420 USD nekoupí ani jednu záplatu.
• Ruční audit: 40 stanic × 20 minut obcházení a zapisování = 13,3 hodiny.
• Audit skriptem přes doménovou inventuru: cca 1,5 hodiny včetně přípravy.

Úspora na samotném zjištění stavu: zhruba 11,8 hodiny práce správce. Podstatnější ale je, že Jana místo falešné jistoty za 420 USD dostane seznam 14 konkrétních strojů, u kterých se rozhodne, co dál: 9 z nich hardwarově zvládne Windows 11 a stačí je upgradovat, 5 půjde do obměny. Rozpočet se tím rozpadne do dvou čtvrtletí místo jednoho nárazu.

Jak na to krok za krokem

1. Zjistěte skutečný stav. Vytáhněte si z domény seznam stanic s verzí operačního systému. Bez tohoto čísla je jakákoli debata o rozpočtu jen odhad.
2. Rozdělte stanice do tří hromádek. Zvládnou Windows 11 rovnou, zvládnou ho po dovybavení, nebo jdou do obměny. U třetí skupiny zvažte i repasovaný hardware — o tom, kdy dává smysl, píšeme v článku o virtualizaci na použitých serverech.
3. U zbytku vyřešte komerční ESU. Ověřte, že stanice běží na 22H2, doplňte KB5066791 a KB5072653 ve správném pořadí a připravte si přístup k MAK klíči.
4. Nastavte si termín, ne přání. Napište do plánu konkrétní datum, do kdy má být poslední Windows 10 mimo provoz, a přiřaďte k němu jméno. Migrace bez termínu se odkládá donekonečna.
5. Zkontrolujte, co na těch strojích běží. Někdy nedrží firmu na starém systému hardware, ale jedna aplikace, kterou nikdo dvacet let neaktualizoval. To je ale téma na jiný rozhovor.

Závěr

Windows 10 vám ještě chvíli může běžet, ale ta chvíle stojí peníze a má jasně dané mantinely. Rozdíl mezi spotřebitelským a firemním ESU není administrativní detail — je to rozdíl mezi počítačem, který dostává záplaty, a počítačem, o kterém si to jen myslíte. Odpoledne strávené inventurou vám tuhle nejistotu odstraní rychleji než jakákoli diskuze nad rozpočtem.

Kompletní přehled toho, co pro firemní IT zajišťujeme, najdete mezi produkty pro firemní IT.