Ja: verplicht MFA breed voor al je gebruikers en prioriteer phishing-resistente methoden voor kritieke accounts. Het NCSC en Microsoft zijn hier allebei duidelijk over. Je eerste acties: schakel MFA in voor iedereen, breng high-impact accounts in kaart en start een pilot met phishing-resistente authenticatie.
Kort samengevat:
- Alleen FIDO2 en toegangssleutels bieden phishingbestendige aanmelding; reserveer die voor beheerders en kritieke systemen met het grootste risico op schade.
- Begin met een pilot bij systeembeheerders, rol daarna gefaseerd uit en controleer per ronde registratie, herstelprocedures en mogelijke storingen in oudere toepassingen.
- Beperk accountregistratie tot vertrouwde netwerken of apparaten, omdat een aanvaller anders tijdens de aanmelding een eigen tweede factor kan koppelen.
- Stem verificatie af op accountgevoeligheid: gebruik lichtere eisen voor algemene accounts en phishingbestendige methoden voor beheerders en systeemaccounts met hoge bevoegdheden.
- Vanaf 15 augustus 2026 verplicht de Cyberbeveiligingswet bepaalde entiteiten tot passende beveiligingsmaatregelen; controleer bij officiële instanties of jouw organisatie eronder valt.
Inhoudsopgave
- Wat is MFA en welke factorcategorieën bestaan er?
- Waarom MFA noodzakelijk is voor organisaties
- Hoe MFA technisch werkt: registratie, validatie en methoden
- Stap-voor-stap plan om MFA verplicht te stellen in je organisatie
- Veelvoorkomende problemen bij verplicht MFA en directe mitigaties
- MFA binnen organisaties: beleid, lifecycle en risicoklassen
- Kiezen van MFA-methoden: FIDO2/passkeys, authenticator-apps en waarom sms vermijden
- Specifieke praktijktips voor organisaties met Microsoft Entra (Conditional Access)
- Onderhoud en herstel: monitoring, drills en helpdeskprocedures
- Waarom een duidelijk plan het verschil maakt bij MFA-projecten
- Hoe wij je helpen bij de implementatie van MFA
- Veelgestelde vragen
- Bronnen
Wat is MFA en welke factorcategorieën bestaan er?
Multi-factor authenticatie combineert bewijsstukken uit verschillende categorieën: iets wat je weet (een wachtwoord of pincode), iets wat je hebt (een telefoon, hardware-sleutel of authenticator-app) en iets wat je bent (een vingerafdruk of gezichtsherkenning). Pas als meerdere van die categorieën kloppen, krijg je toegang.
In de praktijk zie je combinaties zoals een wachtwoord met een code uit Microsoft Authenticator, of een hardware FIDO2-sleutel die je inplugt of tegen je telefoon houdt. Niet elke combinatie is even sterk: een wachtwoord met een sms-code beschermt minder goed dan een wachtwoord met een FIDO2-sleutel, omdat sms onderschept kan worden. Welke methode je kiest, bepaalt dus direct hoeveel bescherming je daadwerkelijk krijgt.
Waarom MFA noodzakelijk is voor organisaties
Een gestolen wachtwoord is op zichzelf vaak niet genoeg om schade aan te richten zodra MFA actief staat, want een aanvaller mist dan nog de tweede factor. Daarom benadrukken zowel het NCSC als Microsoft dat organisaties MFA breed moeten uitrollen en phishing-resistente methoden moeten prioriteren voor de accounts met de meeste impact.
Het NCSC raadt met klem af om sms-codes te gebruiken als MFA-methode, omdat deze niet versleuteld zijn en gevoelig zijn voor onderschepping. Dat is relevant, want veel organisaties kiezen sms juist vanwege het gemak, terwijl phishing-resistente alternatieven zoals FIDO2 die kwetsbaarheid wegnemen.
Er is ook een juridische kant: voor bepaalde entiteiten gelden onder de Cyberbeveiligingswet verplichtingen op het gebied van cyberbeveiliging. Controleer bij de officiële instanties welke verplichtingen op jouw organisatie van toepassing zijn. MFA kan deel uitmaken van passende beveiligingsmaatregelen.
Hoe MFA technisch werkt: registratie, validatie en methoden
Voordat iemand MFA kan gebruiken, moet die zich registreren: een telefoonnummer koppelen, een authenticator-app activeren of een FIDO2-sleutel aanmelden. Dat moment is kwetsbaar, want wie zich tijdens de registratie kan voordoen als een ander, kan zelf een tweede factor toevoegen aan een bestaand account. Dit heet een registratie-lek.
Bij Microsoft Entra ID verloopt de controle in een vaste volgorde: eerst MFA, daarna de apparaatstatus en vervolgens de gebruiksvoorwaarden. Entra ID kent daarbij ingebouwde verificatiesterkten, waaronder meervoudige, wachtwoordloze en phishingbestendige MFA.
Qua methoden verschilt de bescherming flink. Push-meldingen kunnen gevoelig zijn voor MFA-moeheid en het NCSC raadt sms-codes af. Het NCSC geeft de voorkeur aan phishing-resistente methoden, zoals FIDO2 en passkeys.
Stap-voor-stap plan om MFA verplicht te stellen in je organisatie
Een verplichte uitrol werkt het best als je hem in duidelijke fasen opknipt in plaats van alles in één keer aan te zetten.
- Inventariseer al je accounts, applicaties en de bronnen die bij een inbraak de meeste schade zouden opleveren.
- Ontwerp je beleid rond risicoklassen: koppel lichte verificatiesterkten aan laagrisico-accounts en phishing-resistente verificatie aan beheerders en kritieke systemen.
- Start een pilot met een beperkte groep testgebruikers voordat je in golven uitrolt naar de rest van de organisatie.
- Regel back-ups en herstel: laat gebruikers zich voor meerdere methoden registreren en test de herstelflow vooraf.
- Communiceer en train medewerkers, zodat zij weten wat er verandert en waarom.
- Monitor de uitrol met duidelijke stop-criteria per golf, zoals een maximaal aantal helpdeskmeldingen.
Zorg dat elke golf deze punten afvinkt voordat je doorgaat naar de volgende:
- Zijn alle testgebruikers succesvol geregistreerd met meerdere methoden?
- Werkt de helpdesk-herstelflow zoals bedoeld?
- Zijn er geen onverwachte uitval bij legacy-applicaties?
Pro-tip: Begin de uitrol bij IT-beheerders en accounts met hoge bevoegdheden: zij merken problemen het snelst en kunnen de rest van de organisatie helpen.
Veelvoorkomende problemen bij verplicht MFA en directe mitigaties
Bij een brede uitrol loop je vrijwel altijd tegen dezelfde knelpunten aan.
- MFA-moeheid: beperk het aantal push-meldingen en vereis dat gebruikers een code van het inlogscherm overtypen in plaats van simpelweg op “goedkeuren” te tikken.
- Verloren toestel: verplicht registratie voor meerdere methoden tegelijk en test de helpdesk-herstelflow regelmatig, zodat een medewerker niet dagenlang buitengesloten blijft.
- Registratie-lek: beperk waar en wanneer gebruikers zich kunnen registreren tot vertrouwde netwerken of apparaten, of gebruik een Temporary Access Pass voor onboarding.
Pro-tip: Implementeer rate-limiting op MFA-pogingen: dat remt zowel moeheid-aanvallen als geautomatiseerde pogingen tot misbruik.
MFA binnen organisaties: beleid, lifecycle en risicoklassen
MFA werkt het best als onderdeel van een breder identiteits- en toegangsbeleid, niet als losse technische maatregel. Een autorisatiematrix met het least-privilege-principe zorgt dat gebruikers alleen toegang hebben tot wat ze nodig hebben, en dat MFA daar bovenop de juiste extra laag toevoegt.
Classificeer accounts in risicoklassen: laag voor algemene medewerkersaccounts, middel voor accounts met toegang tot gevoelige data, en hoog voor beheerders en systeemaccounts. Koppel aan elke klasse een passende verificatiesterkte, met phishing-resistente authenticatie voor de hoogste klasse.
Lifecycle management hoort daarbij: nieuwe medewerkers registreer je direct voor MFA, bij functiewijziging pas je rechten en verificatie-eisen aan, en bij uitdiensttreding trek je toegang en geregistreerde methoden onmiddellijk in. Periodieke audits houden dit geheel actueel in plaats van een eenmalige exercitie.
Kiezen van MFA-methoden: FIDO2/passkeys, authenticator-apps en waarom sms vermijden
FIDO2-sleutels en passkeys zijn de enige methoden die echt phishing-resistent zijn, omdat ze cryptografisch gebonden zijn aan de specifieke website of dienst. Zet ze in voor beheerders en kritieke systemen, waar het risico bij compromittering het grootst is.
Authenticator-apps zoals Microsoft Authenticator zijn een van de beschikbare verificatiemethoden. Beoordeel per account welke methode past bij het risico en de behoeften van gebruikers.
Het NCSC raadt sms-codes af als MFA-methode vanwege het risico op onderschepping.
Specifieke praktijktips voor organisaties met Microsoft Entra (Conditional Access)
Microsoft beschrijft dat je via Conditional Access MFA kunt afdwingen voor “Alle gebruikers” en “Alle cloud-apps”, met een gedefinieerde verificatiesterkte per beleid. Dat maakt een brede, consistente verplichting mogelijk zonder losse regels per applicatie.
Een paar praktische aandachtspunten bij de inrichting:
- Beveilig het registratieproces en activeer meldingen voor verdachte activiteit, samen met passende onthoud-MFA-instellingen waar dat de gebruikerservaring verbetert.
- Rol beleid gefaseerd uit en test de integraties die voor jouw organisatie relevant zijn voordat je breed uitrolt.
- Houd rekening met legacy-applicaties die geen moderne authenticatie ondersteunen en onderzoek per applicatie welke mogelijkheden er zijn om MFA af te dwingen.
Meer over de registratiekant vind je in onze gids over Microsoft Authenticator instellen voor je bedrijf, en bredere achtergrond over beheer in onze gids voor M365-beheer.
Onderhoud en herstel: monitoring, drills en helpdeskprocedures
MFA verplichten is geen eenmalig project maar een doorlopend proces. Monitor meldingen van verdachte aanmeldpogingen en houd bij wanneer gebruikers zelf ongewone activiteit rapporteren.
Oefen herstelscenario’s regelmatig en documenteer de exacte helpdeskstappen voor een verloren toestel of een vergeten authenticator. Bij een vermoeden van compromittering volg je het incidentresponsproces van je organisatie en neem je passende maatregelen om verdere toegang te voorkomen.
Waarom een duidelijk plan het verschil maakt bij MFA-projecten
Bij gesprekken met klanten bespreken we hoe helpdeskstappen, registratie en communicatie vooraf kunnen worden geregeld om MFA-problemen te voorkomen. Een planmatige aanpak, bij voorkeur samen met een partij die het beheer en de support structureel oppakt, voorkomt dat een verplichting op papier blijft staan terwijl gebruikers in de praktijk uitwijken naar zwakkere methoden.
— Ken
Hoe wij je helpen bij de implementatie van MFA
Een MFA-verplichting staat of valt met wie de configuratie, de onboarding en de helpdesk na de livegang blijft beheren. Met hosted ICT werkplekbeheer kunnen we dat beheer verzorgen, inclusief support bij vragen van medewerkers over registratie of een verloren toestel.
Concreet pakken we dit voor je op:
- We kunnen Conditional Access-beleid en verificatiesterkten inrichten op basis van jouw risicoklassen.
- We kunnen de pilot en de uitrol in golven begeleiden, inclusief communicatie naar medewerkers.
- We kunnen ondersteuning bieden bij herstelvragen, zoals een vergeten factor.
Vraag een ICT-scan aan en start MFA als een concreet, begeleid project in plaats van een los technisch tussendoortje.
Veelgestelde vragen
Wat is tweevoudige authenticatie (2FA)?
Tweevoudige authenticatie, oftewel 2FA, is een vorm van MFA waarbij twee factoren worden gebruikt, bijvoorbeeld een wachtwoord plus een code of melding op je telefoon. Het is daarmee een specifieke toepassing binnen de bredere categorie multi-factor authenticatie.
Kan je gehackt worden met tweestapsverificatie?
Ja, dat kan nog steeds, vooral bij zwakkere methoden zoals sms of gewone push-meldingen die gevoelig zijn voor phishing en onderschepping. Phishing-resistente methoden zoals FIDO2 of passkeys verkleinen dit risico aanzienlijk, omdat ze cryptografisch gebonden zijn aan de legitieme dienst.
Hoe zet je twee factor authenticatie uit?
Twee factor authenticatie zet je meestal uit via de beveiligingsinstellingen van het account of, binnen een organisatie, via het centrale beleid in bijvoorbeeld Microsoft Entra. Voor zakelijke omgevingen raden we dit af, omdat het direct de bescherming tegen accountovername wegneemt.
Is 2 factor authenticatie verplicht?
Er bestaat geen algemene wet die elke organisatie dwingt tot 2FA, maar de Cyberbeveiligingswet legt vanaf 15 augustus 2026 wel passende beveiligingsmaatregelen op aan bepaalde entiteiten. Daarnaast raden zowel het NCSC als Microsoft brede invoering van MFA sterk aan als praktische beveiligingsstandaard.
Bronnen
- MFA vereisen voor alle gebruikers met voorwaardelijke toegang – Microsoft Entra ID | Microsoft Learn
- Cyberbeveiligingswet (NIS2-richtlijn) – Digitale Overheid
