Коротка відповідь: Windows 10 і далі працює, але з 14 жовтня 2025 року не отримує виправлень безпеки системи — ані антивірус, ані новий браузер не усунуть уразливість у ядрі. Кожну робочу станцію компанії віднесіть до однієї з трьох категорій: оновлення до Windows 11 (без доплати за ліцензію, якщо комп’ютер відповідає вимогам), платне ESU як тимчасове рішення з чіткою датою завершення або заміна. І головне: у серпні 2026 року ESU «на рік» уже не існує — перший комерційний рік завершується 13 жовтня 2026 року, а роки купуються сукупно. Тому той, хто лише зараз починає, сплачує повну ціну за кілька тижнів.
Що означає завершення підтримки, а чого воно не означає
14 жовтня 2025 року комп’ютер не вимкнувся. Бухгалтерська програма відкривається, принтер друкує, користувач нічого не помічає. Саме тому вирішення проблеми відкладали майже рік.
Але дещо змінилося: Windows 10 без ESU не отримує оновлень безпеки та якості, а Microsoft не надає для неї звичайної технічної підтримки. Застосунки мають власний, довший життєвий цикл — Microsoft 365 Apps у Windows 10 мають отримувати оновлення безпеки до 10 жовтня 2028 року; приблизно до того самого часу підтримуватимуться Edge, WebView2 і визначення Defender. Звідси виникає найпоширеніша помилка: «Але ж оновлення досі встановлюються». Оновлюється надбудова. Не оновлюються ядро, драйвери, мережевий стек, підсистема друку та автентифікація.
Важливо, що з часом вразливість такого комп’ютера зростає. Нововиявлені вразливості Windows 10 без ESU можуть уже не виправлятися — отже, система не залишається в тому самому стані, у якому була 13 жовтня 2025 року. Це не раптова зміна, а повільне й одностороннє погіршення, яке неможливо зупинити зовнішніми засобами.
Якщо на вашу компанію поширюється NIS2, а точніше zákon č. 264/2025 Sb., неоновлювана операційна система в мережі додатково становить значний ризик, який важко обґрунтувати. Його можна виправдати лише задокументованою оцінкою ризику, компенсувальними заходами та строком усунення проблеми — а не тим, що все поки працює.
Спочатку інвентаризація, і лише потім придбання ноутбуків
Найдорожчий варіант міграції — замовити десять ноутбуків, а вже потім з’ясувати, що три комп’ютери можна безплатно оновити до Windows 11, на двох достатньо лише ввімкнути TPM в UEFI, а ще один потрібен для старої вимірювальної програми, яка у Windows 11 узагалі не працюватиме.
Для парку до десяти станцій достатньо спільної таблиці, для більшої кількості доцільно використати експорт з Intune або засобу віддаленого керування. Для кожної станції потрібні:
- версія системи (
winver— для ESU має бути 22H2, збірка 19045), - точна модель процесора, а не просто «i5» (
Get-CimInstance Win32_Processor | Select-Object Name), - стан TPM (
tpm.msc— вас цікавить «Specification Version 2.0», а не 1.2), - режим мікропрограми (
msinfo32— рядки BIOS Mode: UEFI і Secure Boot State: On), - стан шифрування та місце зберігання ключа відновлення (
manage-bde -status), - результат PC Health Check, але лише як додаткова перевірка, а не остаточний висновок,
- стан акумулятора ноутбуків (
powercfg /batteryreport— порівняйте проєктну та фактичну повну ємність), - програми й обладнання, що використовуються на станції: бухгалтерія, ERP, VPN, сертифікати електронного підпису, апаратні USB-ключі ліцензій, принтери, сканери, вимірювальне та виробниче програмне забезпечення,
- дані, що зберігаються лише локально, і їхня резервна копія, відновлення з якої хтось перевірив на практиці, а не лише підтвердив її наявність.
Результатом не має бути лише стовпець «сумісний: так/ні». Для кожної станції потрібно вказати користувача, критичність його роботи, можливе вікно простою та ім’я людини, яка після міграції підтвердить працездатність своїх програм. Без останнього міграцію ніколи не вдасться формально завершити.
Якщо у вас немає ресурсів для інвентаризації, ми можемо виконати її як єдине замовлення разом із тестуванням програм і плануванням хвиль міграції — це належить як до постійного обслуговування корпоративних ІТ, так і до разового сервісу комп’ютерів.
Межа — не TPM, а процесор
Це найпоширеніше джерело як непотрібних покупок, так і невиправданого відкладання. Windows 11 потребує підтримуваного 64-бітного процесора, TPM 2.0, UEFI з підтримкою Secure Boot, щонайменше 4 ГБ оперативної пам’яті та накопичувача на 64 ГБ. Проте на практиці через TPM відсіюється лише невелика частина комп’ютерів — TPM 2.0 регулярно встановлювали в корпоративні ноутбуки вже з 2015 року. Більшість не проходить через перелік підтримуваних процесорів, який для Intel починається з 8-го покоління (Coffee Lake), а для AMD — приблизно із серії Ryzen 2000. Однак у випадку AMD самого номера серії недостатньо.
Це означає, що межа проходить посеред однієї модельної лінійки:
| Комп’ютер | Процесор | Windows 11 |
|---|---|---|
| ThinkPad T460 / T470, T470s | Skylake / Kaby Lake (6–7-ме покоління) | ні |
| ThinkPad T480 / T480s | Coffee Lake (8-ме покоління) | так |
| Dell Latitude 7480, OptiPlex 7040 / 7050 | 6–7-ме покоління | ні |
| Dell Latitude 7490, OptiPlex 7060 | 8-ме покоління | так |
| HP EliteBook 840 G3 / G4 | 6–7-ме покоління | ні |
| HP EliteBook 840 G5 | 8-ме покоління | так |
| AMD Ryzen 1000 (Summit Ridge) | Zen | ні |
| AMD Ryzen 2000 | Zen+, але також початковий Zen (частина моделей і APU) | вирішальною є точна модель у чинному переліку Microsoft |
Зверніть увагу, що це означає на практиці: ThinkPad T470 має TPM 2.0, UEFI та Secure Boot — і все одно не проходить перевірку. Йому бракує не мікросхеми, а рядка в переліку. Додавання оперативної пам’яті або заміна диска цього не виправлять. Натомість комп’ютери 2018–2019 років, які сьогодні можуть здаватися застарілими, часто відповідають вимогам без жодних проблем, і їм достатньо SSD та 16 ГБ оперативної пам’яті.
У випадку AMD будьте особливо обережні з номером серії. Позначення «Ryzen 2000» саме собою не гарантує підтримки — частина моделей і APU цієї серії все ще побудована на початковій архітектурі Zen і відсутня в переліку підтримуваних процесорів. Зіставляйте конкретну модель із чинним переліком Microsoft, а не покладайтеся на покоління загалом.
Кілька винятків є й серед процесорів Intel — наприклад, Microsoft згодом додала Core i7-7820HQ у певних пристроях, — але будувати план на винятках немає сенсу. Приймайте рішення за точною моделлю процесора.
Якщо TPM справді відсутній, найчастіше він просто вимкнений
Друга за поширеністю ситуація: комп’ютер має підтримуваний процесор, але tpm.msc повідомляє, що сумісний модуль не знайдено. У настільних комп’ютерах і дешевших збірках це майже завжди означає, що в UEFI вимкнено програмно-апаратну реалізацію — в Intel вона називається PTT (Platform Trust Technology), а в AMD — fTPM. Щоб її ввімкнути, достатньо змінити один параметр у налаштуваннях і перезавантажити комп’ютер.
Перш ніж змінювати цей параметр, перевірте ключ відновлення BitLocker. Зміна TPM, Secure Boot або оновлення мікропрограми змінює виміряний стан платформи, тому під час запуску система попросить ввести ключ. Якщо його ніхто не має, комп’ютер буде заблокований разом із даними. Безпечний порядок дій — перед втручанням тимчасово призупинити шифрування (manage-bde -protectors -disable C: -RebootCount 1) і мати ключ, збережений в AD, Entra ID або Intune, а не на папірці в шухляді. Який вигляд має цей екран і що робити, якщо ви вже його бачите, описано в статті BitLocker раптом вимагає ключ відновлення.
Невелике застереження щодо AMD: увімкнення fTPM на старіших Ryzen спричиняло періодичні зависання звуку та зображення через доступ до пам’яті мікропрограми. Проблему виправляє оновлення UEFI з AGESA 1.2.0.7 або новішою версією. Тому, якщо ви вмикаєте fTPM на комп’ютері з мікропрограмою 2021 року, одразу оновіть її.
Оновлення до Windows 11: що перевірити перед введенням в експлуатацію
Оновлення не потребує доплати за ліцензію, якщо на комп’ютері встановлено легальну й активовану Windows 10 і він відповідає вимогам. Ви платите за резервне копіювання, підготовку, роботу й тестування — саме це і становить реальні витрати.
Мінімальні вимоги інсталятора — 4 ГБ оперативної пам’яті та диск на 64 ГБ — слід сприймати саме як межу, нижче якої інсталятор відмовиться продовжувати. Для одночасної роботи браузера з двадцятьма вкладками, Teams, бухгалтерської програми та PDF потрібні 16 ГБ оперативної пам’яті й SSD із достатнім запасом вільного місця. Комп’ютер із 8 ГБ і механічним диском після оновлення не стане швидшим — користувач лише чекатиме на тлі новішого інтерфейсу. Чи спричиняє повільну роботу система, чи обладнання, можна з’ясувати ще до оновлення: виміряйте навантаження на диск і пам’ять під час звичайної роботи конкретного користувача.
Перед розгортанням у всій компанії перевірте щонайменше на одному комп’ютері:
- бухгалтерську програму та ERP, зокрема друк звітів і експорт даних,
- сертифікати електронного підпису та datová schránka, особливо якщо сертифікат зберігається на смарткартці або токені,
- VPN-клієнт — старіші клієнти використовують драйвер віртуального адаптера, який у новій версії системи може працювати інакше,
- апаратні USB-ключі ліцензій (HASP тощо) — їхні драйвери часто є найстарішим програмним забезпеченням у компанії,
- друк і сканування, особливо сканування до спільної папки.
Останній пункт заслуговує на окремий абзац, оскільки дивує найбільше людей. Новіші версії Windows 11 вимагають підписування SMB-трафіку й забороняють анонімний гостьовий доступ до спільних папок. Старі багатофункціональні пристрої, які роками сканували до папки без пароля або через давно вимкнений SMBv1, після міграції перестануть зберігати файли. Це виглядає як несправність сканера, хоча насправді причиною є посилення стандартної конфігурації безпеки. Рішенням може бути нова мікропрограма пристрою, окремий службовий обліковий запис із паролем або сканування на електронну пошту. Це не та несправність, яку можна усунути перезавантаженням.
На завершення ще два моменти. Якщо у вас досі встановлена 32-бітна Windows 10, оновлення зі збереженням установленої системи неможливе — Windows 11 існує лише у 64-бітній версії, тому потрібна чиста інсталяція з перенесенням профілю. Після оновлення у вас зазвичай є десять днів для повернення до попередньої системи за допомогою збереженої папки Windows.old. Сплануйте пілот так, щоб ці десять днів охопили принаймні одне закриття звітного періоду або один цикл виставлення рахунків. Після цього повернутися можна буде лише з резервної копії.
Не встановлюйте Windows 11 примусово, оминаючи перевірку процесора або TPM. Технічно це можливо, і для одного домашнього комп’ютера може бути прийнятним вибором. Для компанії це лише заміна одного непідтримуваного стану іншим: Microsoft не гарантує оновлення для таких пристроїв, а під час аудиту це буде складніше пояснити, ніж належно оформлене ESU з визначеною датою завершення.
ESU: що саме ви купуєте і чому в серпні 2026 року це дорожче, ніж очікувалося
Microsoft зазначає для компаній орієнтовну ціну 61 USD за пристрій у перший рік, а кожного наступного року ціна подвоюється — 122 USD у другий і 244 USD у третій. Ціна в Чехії залежить від курсу валют, податків, каналу продажу та умов договору.
Однак ключове значення мають дати й правила придбання:
| Період | Орієнтовна ціна | |
|---|---|---|
| 1-й рік | 15. 10. 2025 – 13. 10. 2026 | 61 USD |
| 2-й рік | 14. 10. 2026 – 12. 10. 2027 | 122 USD |
| 3-й рік | 13. 10. 2027 – 10. 10. 2028 | 244 USD |
Роки є кумулятивними та неподільними. Не можна придбати лише останні два місяці або пропустити рік — той, хто хоче другий рік, має оплатити й перший. У перерахунку на серпень 2026 року це означає: якщо станція повинна залишитися на Windows 10 після жовтня, ви купуєте не один рік. Ви заднім числом оплачуєте перший рік, від якого залишилося лише кілька тижнів, плюс другий рік. Разом це 183 USD за пристрій — у кронах близько чотирьох тисяч без ПДВ — за період до жовтня 2027 року. Для п’яти станцій це вже сума, за яку можна вирішувати питання з обладнанням.
Що ви отримуєте: критичні та важливі оновлення безпеки — і нічого більше. Жодних нових функцій, виправлень, не пов’язаних із безпекою, або звичайної технічної підтримки системи. Право на ESU мають версії Windows 10 22H2 у редакціях Pro (за комерційного використання), Enterprise та Education. Придбати можна навіть одну ліцензію, а ключ розгортається традиційним способом або через Intune.
Дві поширені помилки щодо ESU:
- Домашнє ESU не є корпоративним планом. Споживче ESU для особистих пристроїв діє до 12 жовтня 2027 року — Microsoft продовжила його на рік 25. 6. 2026. У ЄЕЗ, зокрема в Чехії, зареєструватися можна через обліковий запис Microsoft: безплатно, якщо й надалі входити до Windows із цим обліковим записом, інакше оновлення вимкнуться протягом 60 днів; або одноразово сплативши 30 USD за використання локального облікового запису. Пропозиція поширюється лише на особисті пристрої, а не на пристрої під керуванням організації — приєднані до домену або керовані через MDM. Умови наведено на сторінці Microsoft про розширені оновлення безпеки.
- Іноді платити за ESU не потрібно. Windows 10 на віртуальних машинах у Windows 365 або Azure Virtual Desktop, а також станції, які підключаються до активно ліцензованого Cloud PC, за визначених умов уже мають ESU.
Окрема примітка для компаній із виробничими комп’ютерами: якщо на них працює Windows 10 IoT Enterprise LTSC 2021, підтримка триватиме до 13 січня 2032 року, і вам не потрібно нічого вирішувати. Але якщо там установлена звичайна Enterprise LTSC 2021, її підтримка завершується 12 січня 2027 року — тобто раніше, ніж очікує більшість людей. Перевірте, яка саме з цих двох версій працює на вашому обробному центрі.
ESU — це оплачений час для усунення конкретної перешкоди, а не остаточне рішення. Якщо поруч не зазначено назву програми, ім’я відповідальної за неї особи та дату заміни, «ми виграємо рік» неминуче перетвориться на придбання наступного року за подвійну ціну.
Коли замінити комп’ютер і що перевірити в техніці після відновлення
Заміна має сенс, якщо процесора немає в переліку, TPM 2.0 відсутній і його неможливо ввімкнути, виробник більше не випускає мікропрограми та драйвери — або якщо до цього додаються несправне охолодження, зношений диск, тріснуті шарніри та акумулятор наприкінці строку служби. Здутий акумулятор — не пункт для наступного бюджету: від’єднайте пристрій від живлення, припиніть його використовувати та замініть акумулятор.
Новий комп’ютер — не єдиний варіант. Відновлені ThinkPad T480 і T14, Dell Latitude 5490 і 7490 або HP EliteBook 840 G5 і G6 цілком придатні для офісу, але назви модельної лінійки недостатньо. Перевірте:
- точну модель процесора та її наявність у переліку для Windows 11,
- фактичний стан акумулятора — проєктну й фактичну повну ємність за даними
powercfg /batteryreport, а не словесне запевнення «акумулятор у нормі», - гарантію в Чехії та хто насправді здійснює гарантійне обслуговування,
- редакцію системи: для корпоративного керування потрібна Windows 11 Pro, а не Home,
- сумісність із док-станціями, які у вас уже є.
Останній пункт часто спричиняє найбільші додаткові витрати. Док-рішення всіх великих виробників за останні кілька поколінь змінювалися — від власних механічних роз’ємів до бічних роз’ємів і USB-C, — а перелік підтримуваних пристроїв різниться від моделі до моделі. Не покладайтеся на те, що док-станція «для ThinkPad» або «для Latitude»: звірте її точний тип з офіційним переліком підтримуваних пристроїв для моделі, яку купуєте. Перш ніж замовляти десять ноутбуків, додайте до розрахунку й десять док-станцій, а для USB-C перевірте, що насправді підтримують конкретний кабель і порт. Чому це не завжди очевидно, пояснює стаття чому ми не любимо USB-C.
Попросіть окремо вказати в комерційній пропозиції вартість комп’ютера, док-станції, перенесення даних, установлення програм і гарантії. Також уточніть, що саме означає «NBD»: коли технік відреагує, коли почне ремонт і чи отримаєте ви на час ремонту підмінний комп’ютер.
Міграція без зайвого простою
- Перевірте резервну копію тестовим відновленням. Не просто переконайтеся, що завдання відображалося зеленим, а відновіть конкретний файл за конкретну дату. Одночасно експортуйте ключі відновлення BitLocker і збережіть їх за ідентифікаторами пристроїв.
- Виберіть пілотну станцію, на якій використовуються ті самі програми й периферійні пристрої, що й у решті компанії, але простій якої не зупинить виставлення рахунків або виробництво. Пілот на комп’ютері директора — класичний спосіб позбавити себе шляху назад.
- Після оновлення пройдіть увесь перелік: вхід до системи, електронна пошта, бухгалтерська програма, VPN, друк, сканування до папки, спільні диски, OneDrive, агент резервного копіювання. Те, що з’явився робочий стіл Windows 11, ще не означає успішного тесту.
- Залиште пілот у роботі щонайменше на тиждень, бажано до закриття звітного періоду — саме в цьому полягає сенс десятиденного вікна для повернення.
- Решту станцій розділіть на менші хвилі. Для критичних посад підготуйте запасний комп’ютер. Якщо купувати резервний пристрій для зберігання в шафі недоцільно, можна орендувати ноутбук для компанії лише на час міграції.
- Для кожної станції запишіть версію системи, стан активації та шифрування, результат тестування програм і порядок повернення до попереднього стану. Без такого запису ви не знатимете, які комп’ютери вже готові, а за місяць цього ніхто не зможе відтворити.
Не починайте масову міграцію ввечері перед закриттям звітного періоду. Орієнтовно розраховуйте на кілька годин роботи та перевірок для кожної станції — великий обсяг локальних даних, старі профілі й спеціалізоване програмне забезпечення можуть суттєво подовжити цей час.
Як порівняти реальні витрати
Порівнюйте витрати за весь період до жовтня 2028 року, а не лише найближчий рахунок:
- Оновлення = робота техніка + тестування програм + резервне копіювання + простій користувача. Ліцензія без доплати.
- ESU = кумулятивні ліцензії (61 → 122 → 244 USD за пристрій) + керування оновленнями + міграція, яка все одно відбудеться, лише дорожче й поспіхом.
- Заміна = пристрій + док-станція та аксесуари + перенесення даних і програм + безпечне виведення старого диска з експлуатації.
Вимагайте від постачальника кошторис для кожної станції та описаний обсяг робіт. Якісний результат містить інвентаризацію, рішення «оновлення / ESU / заміна» для кожного комп’ютера, результат пілота, стан резервних копій і ключів BitLocker, перелік невирішених винятків і строк їх усунення. Для виведених з експлуатації комп’ютерів вимагайте протокол видалення даних або фізичного знищення носія — викинутий диск із бухгалтерськими даними є витоком інформації незалежно від віку комп’ютера.
А що зі станціями, які мусять залишитися на Windows 10
Такі станції існують: комп’ютер біля верстата, вимірювальної апаратури або старої лабораторної плати з драйвером, який уже ніколи не перенесуть на нову систему. Якщо ви підтвердите, що це Windows 10 IoT Enterprise LTSC 2021, можете не хвилюватися до 2032 року. У всіх інших випадках діє просте правило: такий комп’ютер може обслуговувати лише своє обладнання й нічого більше.
На практиці це означає окремий сегмент мережі без доступу до інтернету та корпоративних спільних дисків, жодної електронної пошти, браузера чи користувацьких USB-носіїв, локальний обліковий запис замість доменного та резервну копію станції поза зоною її доступу. Неоновлювана Windows на ізольованому комп’ютері — це прийнятий ризик. Неоновлювана Windows у тій самій мережі, що й бухгалтерія, — це очікування на програму-вимагач, і відповідальність за це несете ви, а не виробник.
Що зробити до 13 жовтня 2026 року
Залишається приблизно вісім тижнів, і план цілком можна виконати за цей час:
- цього тижня завершити інвентаризацію та розподілити станції за трьома категоріями,
- протягом двох тижнів запустити пілот Windows 11 на одному репрезентативному комп’ютері,
- у вересні замовити відсутнє обладнання й док-станції та спланувати хвилі так, щоб вони не припали на закриття звітних періодів,
- до початку жовтня завершити міграцію придатних станцій, а для решти вирішити, чи справді потрібні перший і другий роки ESU,
- до 13 жовтня перевірити, що ключі ESU активовано, а оновлення справді встановлюються на відповідні станції. Оплачена ліцензія без перевіреної інсталяції — не захист, а лише витрата.
Якщо ви хочете об’єднати інвентаризацію, перевірку сумісності програм і міграцію в один проєкт або просто потребуєте другої думки щодо того, які комп’ютери варто зберігати, зверніться до нас — ми надаємо як сервіс комп’ютерів, так і постійне обслуговування корпоративних ІТ, включно з підготовкою кошторису для кожної станції. У запиті вкажіть кількість станцій, використовувані програми, кількість локацій і строк завершення робіт. Це дасть змогу підготувати порядок дій і ціну без закупівель навмання.
Поширені запитання
Чи перестане працювати корпоративний комп’ютер із Windows 10?
Ні. Він запуститься, а програми й далі працюватимуть. Однак без ESU система не отримує оновлень безпеки та якості й не має звичайної підтримки. Ризик зростає не стрибком, а поступово: нововиявлені вразливості Windows 10 без ESU можуть уже не виправлятися, тому з часом вразливість такого комп’ютера збільшується.
Чи є ESU для компаній безплатним?
Зазвичай ні. Microsoft зазначає орієнтовну ціну 61 USD за пристрій у перший рік, а кожного наступного року подвоює її. Безплатне ESU доступне лише в окремих випадках — наприклад, для станцій, які підключаються до активно ліцензованого Cloud PC у Windows 365. Домашня пропозиція ESU не замінює комерційної ліцензії та не поширюється на комп’ютери під керуванням домену або MDM.
Чи можна придбати ESU лише на місяці, що залишилися?
Ні. Роки продаються повністю й кумулятивно. Придбання в серпні 2026 року означає оплату всього першого року, який завершується 13 жовтня 2026 року, а також усього другого року, якщо станція має працювати довше.
Чи можна обійти TPM і встановити Windows 11 вручну?
Технічно так, але пристрій залишиться непідтримуваним, і Microsoft не гарантує для нього оновлень. Спочатку перевірте, чи TPM не просто вимкнений в UEFI — в Intel він називається PTT, а в AMD — fTPM. Це найпоширеніша причина. Якщо підтримуваного процесора справді немає, виберіть ESU з чіткою датою завершення або замініть комп’ютер.
Чи достатньо мати у Windows 10 актуальний Microsoft 365 і хороший антивірус?
Ні. Microsoft 365 Apps мають отримувати оновлення безпеки у Windows 10 до 10 жовтня 2028 року, але вони виправляють програми, а не систему. Антивірус не усуне вразливість у ядрі, драйвері або мережевому стеку — у кращому разі він виявить її експлуатацію, коли шкідливий код уже запущено.
Скільки часу триває перехід невеликої компанії на Windows 11?
Установлення — менша частина роботи. Вирішальними є кількість станцій, обсяг локальних даних, сумісність бухгалтерської програми, VPN, принтерів і периферійних пристроїв. Орієнтовно розраховуйте на кілька годин для кожної станції плюс додатковий тиждень пілотної експлуатації, а критичні робочі місця мігруйте з підготовленим запасним комп’ютером.
Де нас знайти
ITHOPE — компанія з Брно, Чехія: ми робимо відновлення даних з дисків, RAID і NAS, сервіс ПК та ноутбуків та IT для бізнесу, усе у власній лабораторії за адресою Viniční 3587/216, 615 00 Brno.
Телефон +420 775 556 063 (цілодобово). Пристрій можна привезти особисто або надіслати курʼєром (Zásilkovna, PPL).