Windows 10 ESU en entreprise : année 2 ou migration vers Windows 11 ?

Octobre 2026 n’est pas une nouvelle fin générale de Windows 10

La date concerne surtout le passage de la première à la deuxième année ESU pour les organisations ; elle ne signifie pas que tous les PC Windows 10 suivent la même règle. Microsoft a arrêté le support standard de Windows 10 22H2 le 14 octobre 2025. Un poste non inscrit à un programme applicable ne reçoit donc plus les mises à jour normales du système d’exploitation.

Pour les organisations commerciales et éducatives, Microsoft prévoit jusqu’à trois années de mises à jour de sécurité étendues. La documentation de licence précise que l’abonnement se paie par année, sans période partielle, et que les années sont cumulatives. Une organisation qui rejoint directement l’année 2 doit aussi acheter l’année 1. Cette mécanique change le calcul : attendre ne supprime pas le coût précédent.

Le programme grand public est distinct. Microsoft a prolongé la couverture ESU des particuliers jusqu’au 12 octobre 2027, mais cela ne transforme pas les appareils professionnels joints à un domaine, gérés par MDM ou utilisés dans un cadre d’entreprise en appareils grand public. Une organisation belge doit donc vérifier la qualification et le canal de licence de chaque poste au lieu de reprendre une information destinée aux particuliers.

Enfin, certaines éditions LTSC/LTSB possèdent leur propre cycle de vie. Windows 10 Enterprise LTSB 2016 atteint, par exemple, sa fin de support étendu le 13 octobre 2026. Un inventaire qui mélange 22H2, LTSC, IoT et machines virtuelles peut produire des conclusions erronées si l’édition exacte n’est pas enregistrée.

Ce que l’ESU protège — et ce qu’il ne résout pas

L’ESU réduit l’exposition aux vulnérabilités du système, mais ne remet pas Windows 10 dans un état de support complet. Microsoft limite le programme aux mises à jour de sécurité classées critiques ou importantes. Il n’ajoute pas de fonctions, ne répond pas aux demandes de modifications et n’inclut pas le support général du système.

Le poste doit notamment exécuter Windows 10 version 22H2 pour le programme commercial standard. L’activation peut se faire par clé MAK ou, dans certains scénarios, par activation cloud et gestion centralisée. Microsoft publie des identifiants distincts pour les années 1, 2 et 3. Une licence achetée mais non correctement activée ne protège donc rien ; il faut mesurer l’état d’activation et la réception réelle des correctifs.

L’ESU ne garantit pas non plus la compatibilité des logiciels tiers. Un éditeur peut arrêter de supporter son application, son pilote, son antivirus ou son périphérique sous Windows 10 avant la fin de l’ESU. À l’inverse, Microsoft continuera à fournir des mises à jour de sécurité pour Microsoft 365 Apps sur Windows 10 jusqu’au 10 octobre 2028, mais précise que les possibilités de support peuvent être limitées lorsqu’un incident se produit uniquement sur Windows 10.

Pour suivre la conformité, le chiffrement, les versions, les redémarrages et les vagues de migration, une gestion centralisée des terminaux devient vite indispensable. La page GVISION consacrée à Microsoft Intune et au MDM décrit ce rôle de pilotage des appareils, qu’ils soient sur site ou à distance.

ESU, mise à niveau, remplacement ou poste cloud : comparer les options

Aucune option ne gagne partout : le bon choix dépend du matériel, de l’application critique et du temps nécessaire pour réduire le risque. La mise à niveau est généralement logique pour un appareil compatible et sain ; l’ESU convient à une exception temporaire ; le remplacement traite une dette matérielle ; le poste cloud répond à certains usages, mais ajoute une dépendance réseau et un abonnement.

Commencer par un inventaire qui permet vraiment de décider

Un inventaire utile ne compte pas seulement les PC : il relie chaque appareil à son utilisateur, son usage, ses dépendances et sa date de sortie. Exportez le nom du poste, l’édition et la version de Windows, le modèle, le processeur, la mémoire, le stockage, l’état TPM/Secure Boot, le chiffrement, la garantie, la dernière activité et le propriétaire métier.

Ajoutez ensuite ce que les outils techniques voient mal : application comptable, logiciel médical, lecteur de carte, imprimante d’étiquettes, machine industrielle, macro Office, VPN ancien, plug-in navigateur, poste partagé ou compte local. Une machine apparemment simple peut devenir prioritaire si elle pilote une production ou un accueil.

Quatre groupes opérationnels

1. Migrer : matériel compatible, performance suffisante et dépendances validées.
2. Remplacer : incompatibilité officielle, panne probable, garantie expirée ou coût de maintenance disproportionné.
3. Prolonger : contrainte réelle, propriétaire identifié, ESU activé et sortie planifiée.
4. Isoler ou retirer : appareil sans voie de mise à niveau et dont l’usage peut être supprimé, virtualisé ou séparé du réseau courant.

Ne classez pas « plus tard » comme cinquième groupe. Un poste sans décision devient une exception invisible. Donnez à chaque exception un motif, un responsable, une mesure compensatoire, une échéance et un budget prévisionnel.

Tester le travail réel, pas seulement l’écran de démarrage

Un pilote Windows 11 réussit lorsque les tâches métier, les périphériques et le support fonctionnent du début à la fin. Sélectionnez des utilisateurs représentatifs : direction, finance, accueil, terrain, télétravail, création, fonctions techniques et applications sensibles. Évitez un pilote composé uniquement de membres du service IT.

Créez un scénario de test court mais observable : connexion avec MFA, accès aux fichiers, ouverture du logiciel métier, impression, numérisation, appel Teams, VPN, signature, export PDF, macros, veille, redémarrage et assistance à distance. Notez le résultat, le temps, la gravité d’un échec et la solution de repli.

Vérifiez aussi la récupération : profil utilisateur, BitLocker, clés de récupération, restauration des fichiers et possibilité de revenir temporairement au poste précédent. La compatibilité « déclarée par l’éditeur » reste utile, mais une preuve sur votre version, vos données et votre périphérique vaut davantage.

Critères de sortie du pilote

• Aucun blocage critique non résolu.
• Les applications essentielles disposent d’un propriétaire et d’une validation.
• Les pilotes et périphériques fonctionnent sur les modèles retenus.
• Le temps de migration est connu et reproductible.
• Le service desk possède une procédure, un canal d’escalade et un plan de retour.

Déployer par vagues et préserver la continuité

Une migration industrialisée réduit les interruptions en standardisant préparation, sauvegarde, installation, contrôle et clôture. Commencez par une petite vague de postes courants, puis augmentez progressivement. Gardez les machines les plus critiques pour une vague préparée avec le métier, pas nécessairement pour la toute fin.

Un plan de huit semaines peut couvrir : deux semaines d’inventaire et de décisions, deux semaines de pilote, trois semaines de vagues et une semaine de rattrapage. Cette durée est un exemple d’organisation, pas une promesse universelle. Un parc multi-sites, une période scolaire, un cabinet en clôture ou un environnement médical exigent un calendrier différent.

L’automatisation via Intune, Autopilot ou un outil de déploiement limite les manipulations manuelles : profils, applications, chiffrement, politiques de conformité et contrôle de version. Elle ne remplace cependant pas la communication. Prévenez l’utilisateur, indiquez la durée probable, ce qui change, comment retrouver ses données et où demander de l’aide.

Pour les appareils à remplacer, le service PC et matériel informatique professionnel de GVISION constitue l’étape logique entre la décision technique, le choix du modèle, la préparation et le renouvellement du cycle de vie.

Mesurer la progression

• Nombre et pourcentage de postes Windows 10 actifs.
• Postes éligibles Windows 11, migrés, remplacés, sous ESU ou isolés.
• Échecs par cause : application, pilote, capacité, utilisateur ou licence.
• Délai moyen de migration et tickets dans les sept jours.
• Exceptions sans responsable ou dont la date de sortie est dépassée.

Comparer le coût de transition, pas seulement le prix de la licence

Le vrai budget additionne licence, travail IT, temps utilisateur, support, matériel, risque et coût d’une migration différée. Microsoft cite un prix de référence de 61 USD par appareil pour l’année 1 ESU des organisations et indique que le prix double chaque année. Demandez le prix contractuel applicable en Belgique, les taxes, le canal CSP ou volume et les éventuelles conditions de gestion cloud.

Une licence ESU peut sembler moins chère qu’un PC neuf sur douze mois. Mais si l’appareil nécessite ensuite l’année 3, davantage de support et un remplacement, le report peut coûter plus cher. À l’inverse, remplacer immédiatement une machine spécialisée sans valider son logiciel peut provoquer une interruption bien plus coûteuse que l’ESU.

Construisez trois scénarios : migration accélérée, transition mixte et prolongation maximale. Pour chacun, listez dépenses certaines, hypothèses, risques et date de fin. Le scénario mixte est souvent le plus réaliste : migration des appareils compatibles, remplacement par vagues et ESU réservé à un petit nombre d’exceptions.

Adapter le plan aux contraintes de l’organisation

La méthode reste commune, mais le risque acceptable et la fenêtre de migration varient fortement selon le secteur. Une école évite examens et rentrée ; un cabinet comptable contourne TVA et clôtures ; un établissement de santé teste lecteurs de cartes, logiciels cliniques et équipements ; une administration coordonne marchés, postes partagés et sites décentralisés.

Groupes multi-sites et organisations distribuées

Standardisez quelques modèles de PC, prépositionnez les appareils et suivez chaque site séparément. La connectivité, la livraison et la présence d’un relais local peuvent déterminer l’ordre des vagues.

Associations et ASBL

Priorisez les postes accédant aux données des bénéficiaires, aux paiements ou à l’administration. Un renouvellement par lots et une image standard peuvent réduire le coût opérationnel sans traiter tous les postes le même jour.

Industrie, santé et équipements spécialisés

Ne forcez pas Windows 11 sur un appareil non certifié par le fournisseur. Isolez le système, limitez les flux, utilisez des comptes dédiés, sauvegardez sa configuration et obtenez une feuille de route de l’éditeur. L’ESU peut protéger le système Windows, mais pas corriger un pilote abandonné ou une application non maintenue.

Les erreurs qui rendent la migration plus risquée

La plupart des échecs viennent d’une décision tardive, d’un inventaire incomplet ou d’un test trop technique. Voici les pièges à éliminer avant la première grande vague.

• Appliquer l’information grand public aux appareils professionnels : les programmes ESU et leurs conditions diffèrent.
• Contourner les exigences Windows 11 sur du matériel non supporté : cela crée une nouvelle configuration non prise en charge au lieu de résoudre la dette.
• Acheter l’ESU sans vérifier l’activation : contrôlez la licence et la réception du dernier correctif sur chaque poste.
• Oublier les appareils rarement connectés : salles, réserves, télétravailleurs et machines de secours échappent souvent à l’inventaire.
• Tester seulement Office et le navigateur : les périphériques et applications métier causent les interruptions les plus coûteuses.
• Migrer sans communication : un changement techniquement réussi peut générer des tickets évitables.
• Ne pas fermer les exceptions : une machine sous ESU sans date de sortie reste en place jusqu’à la prochaine urgence.