Коротка відповідь: Windows 10 продовжує працювати, але з 14 жовтня 2025 року більше не отримує виправлень безпеки системи — антивірус чи новий браузер не закриють вразливість у ядрі. Кожну корпоративну робочу станцію віднесіть до однієї з трьох категорій: оновлення до Windows 11 (безкоштовне з погляду ліцензії, якщо комп’ютер відповідає вимогам), платне ESU як тимчасовий міст із чіткою датою завершення або заміна. І головне: у серпні 2026 року ESU «на рік» уже не існує — перший корпоративний рік завершується 13 жовтня 2026 року, а роки купуються сукупно, тому той, хто починає лише зараз, платить повну ціну за кілька тижнів.
Що означає завершення підтримки, а чого воно не означає
14 жовтня 2025 року комп’ютер не вимкнувся. Бухгалтерська програма відкривається, принтер друкує, користувач нічого не помічає. Саме тому розв’язання проблеми відкладали майже рік.
Однак змінилося ось що: Windows 10 без ESU не отримує оновлень безпеки та якості, а Microsoft не надає для неї стандартної технічної підтримки. Застосунки мають власний, довший життєвий цикл — Microsoft 365 Apps на Windows 10 мають отримувати оновлення безпеки до 10 жовтня 2028 року; Edge, WebView2 і визначення Defender також підтримуватимуться приблизно до того самого часу. Звідси походить найпоширеніша помилка: «але ж оновлення досі встановлюються». Оновлюється надбудова. Не оновлюються ядро, драйвери, мережевий стек, підсистема друку та автентифікація.
Важливо, що з часом ризик для такого комп’ютера зростає. Нововиявлені вразливості Windows 10 без ESU можуть уже не виправлятися — отже, система не залишається в тому стані, у якому була 13 жовтня 2025 року. Це не раптова зміна, а повільне й одностороннє погіршення, яке неможливо зупинити зовнішніми засобами.
Якщо ваша компанія підпадає під дію NIS2, а точніше zákon č. 264/2025 Sb., операційна система без оновлень у мережі становить додатковий суттєвий ризик, який важко обґрунтувати. Виправдати його можна лише документованим оцінюванням ризику, компенсувальними заходами та строком усунення проблеми — а не тим, що поки все працює.
Спочатку інвентаризація, лише потім закупівля ноутбуків
Найдорожчий варіант міграції — замовити десять ноутбуків, а вже потім з’ясувати, що три комп’ютери можна безкоштовно оновити до Windows 11, на двох достатньо лише ввімкнути TPM в UEFI, а ще один потрібен для старого вимірювального ПЗ, яке взагалі не працюватиме у Windows 11.
Для парку до десяти робочих станцій достатньо спільної таблиці, для більшої кількості доцільний експорт з Intune або засобу віддаленого керування. Для кожної станції потрібно з’ясувати:
- версію системи (
winver— для ESU має відображатися 22H2, збірка 19045), - точну модель процесора, а не лише «i5» (
Get-CimInstance Win32_Processor | Select-Object Name), - стан TPM (
tpm.msc— вас цікавить «Specification Version 2.0», а не 1.2), - режим мікропрограми (
msinfo32— рядки BIOS Mode: UEFI і Secure Boot State: On), - стан шифрування та місце зберігання ключа відновлення (
manage-bde -status), - результат PC Health Check, але лише як додаткову перевірку, а не остаточний вердикт,
- стан акумулятора ноутбука (
powercfg /batteryreport— порівняйте проєктну й фактичну повну місткість), - що працює на станції: бухгалтерія, ERP, VPN, сертифікати електронного підпису, ліцензійні USB-ключі, принтери, сканери, вимірювальне та виробниче ПЗ,
- дані, що зберігаються лише локально, і резервну копію, відновлення з якої хтось перевірив, а не лише підтвердив її наявність.
Результатом не має бути стовпець «сумісний: так/ні». Для кожної станції потрібно вказати користувача, критичність його роботи, можливе вікно простою та ім’я людини, яка після міграції підтвердить працездатність своїх застосунків. Без останнього імені міграція ніколи не буде завершена.
Якщо у вас немає ресурсів для інвентаризації, ми виконуємо її як окреме замовлення разом із тестуванням застосунків і плануванням етапів — це входить як до постійного адміністрування корпоративних ІТ, так і до разового обслуговування комп’ютерів.
Межа проходить не по TPM, а по процесору
Це найпоширеніша причина як зайвих закупівель, так і необґрунтованого відкладання. Windows 11 вимагає підтримуваного 64-бітного процесора, TPM 2.0, UEFI з підтримкою Secure Boot, щонайменше 4 ГБ оперативної пам’яті та накопичувач обсягом 64 ГБ. Проте на практиці через TPM відсіюється лише невелика частина комп’ютерів — TPM 2.0 регулярно встановлювали в корпоративні ноутбуки ще з 2015 року. Більшість не проходить через перелік підтримуваних процесорів, який для Intel починається з 8-го покоління (Coffee Lake), а для AMD — приблизно із серії Ryzen 2000, хоча у випадку AMD сам номер серії нічого не гарантує.
Це означає, що межа проходить посеред однієї модельної лінійки:
| Комп’ютер | Процесор | Windows 11 |
|---|---|---|
| ThinkPad T460 / T470, T470s | Skylake / Kaby Lake (6–7-ме покоління) | ні |
| ThinkPad T480 / T480s | Coffee Lake (8-ме покоління) | так |
| Dell Latitude 7480, OptiPlex 7040 / 7050 | 6–7-ме покоління | ні |
| Dell Latitude 7490, OptiPlex 7060 | 8-ме покоління | так |
| HP EliteBook 840 G3 / G4 | 6–7-ме покоління | ні |
| HP EliteBook 840 G5 | 8-ме покоління | так |
| AMD Ryzen 1000 (Summit Ridge) | Zen | ні |
| AMD Ryzen 2000 | Zen+, але також початковий Zen (частина моделей і APU) | вирішальною є точна модель в актуальному переліку Microsoft |
Зверніть увагу, що це означає на практиці: ThinkPad T470 має TPM 2.0, UEFI та Secure Boot — і все одно не відповідає вимогам. Йому бракує не чипа, а рядка в переліку. Додавання оперативної пам’яті або заміна диска цього не виправить. Натомість комп’ютери 2018–2019 років, які сьогодні здаються застарілими, часто проходять перевірку без проблем, і їм достатньо SSD та 16 ГБ оперативної пам’яті.
У випадку AMD особливо не покладайтеся на номер серії. Позначення «Ryzen 2000» саме по собі не гарантує підтримки — частина моделей і APU цієї серії ще базується на початковій архітектурі Zen і не входить до переліку підтримуваних процесорів. Перевіряйте конкретну модель за актуальним переліком Microsoft, а не покоління загалом.
Кілька винятків існує й серед процесорів Intel — наприклад, Microsoft пізніше додала Core i7-7820HQ для конкретних пристроїв, — але будувати план на винятках немає сенсу. Ухвалюйте рішення за точною моделлю процесора.
Якщо TPM справді відсутній, найчастіше він просто вимкнений
Друга за поширеністю ситуація: комп’ютер має підтримуваний процесор, але tpm.msc повідомляє, що сумісний модуль не знайдено. У настільних ПК і дешевших збірках це майже завжди означає, що в UEFI вимкнено програмну реалізацію — у Intel вона називається PTT (Platform Trust Technology), а в AMD — fTPM. Для ввімкнення достатньо змінити один параметр у налаштуваннях і перезавантажити комп’ютер.
Перш ніж змінювати цей параметр, перевірте ключ відновлення BitLocker. Зміна TPM, Secure Boot або оновлення мікропрограми змінює виміряний стан платформи, тому під час запуску система може попросити ввести ключ. Якщо його ніхто не має, комп’ютер залишиться заблокованим разом з усіма даними. Безпечний порядок дій — перед втручанням тимчасово призупинити шифрування (manage-bde -protectors -disable C: -RebootCount 1) і переконатися, що ключ збережено в AD, Entra ID або Intune, а не на папірці в шухляді. Як виглядає цей екран і що робити, якщо ви вже його бачите, пояснює стаття BitLocker раптово просить ключ відновлення.
Невелике уточнення щодо AMD: увімкнення fTPM на старіших Ryzen спричиняло періодичні зависання звуку й зображення через доступ до пам’яті мікропрограми. Проблему усуває оновлення UEFI з AGESA 1.2.0.7 або новішою версією. Тому, якщо ви вмикаєте fTPM на комп’ютері з мікропрограмою 2021 року, одразу оновіть і її.
Оновлення до Windows 11: що перевірити перед запуском у роботу
З погляду ліцензії оновлення безкоштовне, якщо на комп’ютері встановлено легальну й активовану Windows 10 і він відповідає вимогам. Ви платите за резервне копіювання, підготовку, роботу та тестування — саме вони становлять реальні витрати.
Мінімальні вимоги інсталятора — 4 ГБ оперативної пам’яті та диск на 64 ГБ — слід сприймати саме як межу, нижче якої інсталятор відмовиться продовжувати. Для одночасної роботи браузера з двадцятьма вкладками, Teams, бухгалтерської програми та PDF потрібні 16 ГБ оперативної пам’яті й SSD із достатнім запасом вільного місця. Комп’ютер із 8 ГБ пам’яті та механічним диском після оновлення не прискориться — користувач лише чекатиме на тлі новішого інтерфейсу. Чи спричиняє повільну роботу система або апаратна частина, можна з’ясувати ще до оновлення: виміряйте навантаження на диск і пам’ять під час звичайної роботи конкретного користувача.
Перед розгортанням у всій компанії перевірте щонайменше на одному комп’ютері:
- бухгалтерську програму та ERP, зокрема друк звітів і експорт даних,
- сертифікати електронного підпису та datová schránka, особливо якщо сертифікат зберігається на смарткартці або токені,
- клієнт VPN — старіші клієнти використовують драйвер віртуального адаптера, який у новій версії системи може поводитися інакше,
- ліцензійні USB-ключі (HASP та подібні) — їхні драйвери часто є найстарішим ПЗ у компанії,
- друк і сканування, особливо сканування до спільної папки.
Останній пункт заслуговує окремого абзацу, бо дивує найбільше людей. Новіші версії Windows 11 вимагають підписування SMB-трафіку й не дозволяють анонімний гостьовий доступ до спільних папок. Старі багатофункціональні пристрої, які роками сканували до папки без пароля або через давно вимкнений SMBv1, після міграції перестануть зберігати файли. Це виглядає як несправність сканера, хоча насправді причина полягає в суворіших стандартних налаштуваннях. Рішенням є нова мікропрограма багатофункціонального пристрою, окремий сервісний обліковий запис із паролем або сканування на електронну пошту. Це не несправність, яку можна усунути перезавантаженням.
На завершення ще дві речі. Якщо у вас досі 32-бітна Windows 10, оновлення зі збереженням установленої системи неможливе — Windows 11 існує лише в 64-бітній версії, тому потрібна чиста інсталяція з перенесенням профілю. Після оновлення у вас зазвичай є десять днів для повернення до попередньої системи за допомогою збереженої папки Windows.old. Заплануйте пілотний запуск так, щоб ці десять днів охопили хоча б одне закриття періоду або один цикл виставлення рахунків. Після цього повернутися можна буде лише з резервної копії.
Не встановлюйте Windows 11 примусово, обходячи перевірку процесора або TPM. Технічно це можливо, і для одного домашнього комп’ютера може бути прийнятним вибором. Для компанії це лише заміна одного непідтримуваного стану іншим: Microsoft не гарантує оновлень для таких пристроїв, а під час аудиту це буде складніше пояснити, ніж належним чином оформлене ESU з визначеною датою завершення.
ESU: що саме ви купуєте й чому в серпні 2026 року це дорожче, ніж очікувалося
Microsoft наводить для компаній орієнтовну ціну 61 USD за пристрій у перший рік, причому кожного наступного року ціна подвоюється — 122 USD у другий і 244 USD у третій. Ціна в Чехії залежить від курсу, податків, каналу продажу та договору.
Однак найважливішими є дати й правила придбання:
| Період | Орієнтовна ціна | |
|---|---|---|
| 1-й рік | 15. 10. 2025 – 13. 10. 2026 | 61 USD |
| 2-й рік | 14. 10. 2026 – 12. 10. 2027 | 122 USD |
| 3-й рік | 13. 10. 2027 – 10. 10. 2028 | 244 USD |
Роки є сукупними й неподільними. Не можна купити лише останні два місяці або пропустити рік — той, хто хоче придбати другий рік, повинен оплатити й перший. У перекладі на серпень 2026 року це означає: якщо станція має залишатися на Windows 10 після жовтня, ви купуєте не рік. Ви заднім числом оплачуєте перший рік, від якого залишилося кілька тижнів, плюс другий рік. Разом це 183 USD за пристрій — у кронах приблизно чотири тисячі без ПДВ — за період до жовтня 2027 року. Для п’яти станцій це вже сума, за яку можна розглядати заміну обладнання.
Що ви отримуєте: критичні та важливі оновлення безпеки — і нічого більше. Жодних нових функцій, виправлень, не пов’язаних із безпекою, або стандартної технічної підтримки системи. Право на ESU мають Windows 10 версії 22H2 у редакціях Pro (за комерційного використання), Enterprise та Education. Придбати можна навіть одну ліцензію, а ключ розгортається традиційним способом або через Intune.
Дві поширені помилки щодо ESU:
- Домашнє ESU не є корпоративним планом. Споживчий варіант — безкоштовний за резервне копіювання налаштувань, за бали або за невелику плату — завершується 13 жовтня 2026 року, прив’язаний до особистого облікового запису Microsoft і не поширюється на пристрої, підключені до домену або керовані через MDM.
- Іноді за ESU платити не потрібно. Windows 10 на віртуальних машинах у Windows 365 або Azure Virtual Desktop, а також станції, що підключаються до активно ліцензованого Cloud PC, за визначених умов уже мають ESU.
Ще одне зауваження для компаній із виробничими комп’ютерами: якщо на них працює Windows 10 IoT Enterprise LTSC 2021, підтримка триватиме до 13 січня 2032 року, тож нічого вирішувати не потрібно. Але якщо там установлена звичайна Enterprise LTSC 2021, її підтримка завершується 12 січня 2027 року — раніше, ніж очікує більшість людей. Перевірте, яка саме з цих двох версій працює на вашому обробному центрі.
ESU — це оплачений час для усунення конкретної перешкоди, а не остаточне рішення. Якщо поруч із ним не вказано назву застосунку, ім’я його власника та дату заміни, фраза «виграємо рік» майже гарантовано перетвориться на придбання ще одного року за подвійну ціну.
Коли замінити комп’ютер і що перевірити в уживаній відновленій техніці
Заміна доцільна, якщо процесора немає в переліку, TPM 2.0 відсутній і його неможливо ввімкнути, виробник більше не випускає мікропрограми чи драйвери — або якщо до цього додаються несправне охолодження, зношений диск, тріснуті петлі й акумулятор наприкінці строку служби. Здуту батарею не можна відкладати до наступного бюджету: від’єднайте пристрій від живлення, припиніть ним користуватися та замініть акумулятор.
Новий комп’ютер — не єдиний варіант. Відновлені ThinkPad T480 і T14, Dell Latitude 5490 і 7490 або HP EliteBook 840 G5 і G6 є розумним вибором для офісу, але назви серії недостатньо. Перевірте:
- точну модель процесора та її наявність у переліку для Windows 11,
- фактичний стан акумулятора — проєктну й повну місткість із
powercfg /batteryreport, а не словесне «батарея OK», - гарантію в Чехії та хто насправді її обслуговує,
- редакцію системи: для корпоративного керування потрібна Windows 11 Pro, а не Home,
- сумісність із док-станціями, які у вас уже є.
Останній пункт найчастіше спричиняє додаткові витрати. Док-рішення всіх великих виробників змінювалися протягом останніх кількох поколінь — від власних механічних роз’ємів до бічних і USB-C — а перелік сумісних пристроїв відрізняється для кожної моделі. Не покладайтеся на те, що док «для ThinkPad» або «для Latitude»: звірте точний тип док-станції з офіційним переліком підтримуваних пристроїв для моделі, яку купуєте. Перш ніж замовляти десять ноутбуків, врахуйте в бюджеті й десять док-станцій, а у випадку USB-C перевірте, що насправді підтримують конкретний кабель і порт. Чому це не є очевидним, пояснено у статті чому ми не любимо USB-C.
Попросіть окремо вказати в пропозиції ціну комп’ютера, док-станції, перенесення даних, інсталяції застосунків і гарантії. Також запитайте, що саме означає «NBD»: коли технік відреагує, коли розпочне ремонт і чи отримаєте ви підмінний комп’ютер на час ремонту.
Міграція без зайвого простою
- Перевірте резервну копію тестовим відновленням. Не просто переконайтеся, що завдання позначене зеленим, а відновіть конкретний файл за конкретну дату. Одночасно експортуйте ключі відновлення BitLocker і збережіть їх за ідентифікаторами пристроїв.
- Виберіть пілотну станцію, яка використовує ті самі застосунки й периферійні пристрої, що й решта компанії, але збій якої не зупинить виставлення рахунків або виробництво. Пілотний запуск на комп’ютері директора — класичний спосіб перекрити собі шлях назад.
- Після оновлення перевірте весь перелік: вхід у систему, електронну пошту, бухгалтерію, VPN, друк, сканування до папки, спільні диски, OneDrive і агент резервного копіювання. Те, що завантажився робочий стіл Windows 11, ще не є тестом.
- Залиште пілотну станцію в роботі щонайменше на тиждень, в ідеалі до закриття періоду — саме в цьому сенс десятиденного вікна для повернення.
- Решту станцій розділіть на менші хвилі. Для критичних посад підготуйте запасний комп’ютер. Якщо купувати резервний пристрій для зберігання в шафі недоцільно, можна орендувати ноутбук для компанії лише на час міграції.
- Для кожної станції запишіть версію системи, стан активації та шифрування, результат тестування застосунків і процедуру повернення. Без цього запису ви не знатимете, які комп’ютери вже готові, а через місяць ніхто не зможе це відновити.
Не починайте масову міграцію ввечері перед закриттям звітного періоду. Орієнтовно закладайте кілька годин роботи й перевірок на одну станцію — великий обсяг локальних даних, старі профілі та спеціалізоване ПЗ можуть суттєво подовжити процес.
Як порівняти реальні витрати
Порівнюйте весь період до жовтня 2028 року, а не лише найближчий рахунок:
- Оновлення = робота техніка + тестування застосунків + резервне копіювання + простій користувача. Ліцензія безкоштовна.
- ESU = сукупні ліцензії (61 → 122 → 244 USD за пристрій) + керування оновленнями + міграція, яка все одно відбудеться, але пізніше, дорожче й поспіхом.
- Заміна = пристрій + док-станція та аксесуари + перенесення даних і застосунків + безпечне списання старого диска.
Вимагайте від постачальника кошторис для кожної окремої станції та чіткий опис обсягу робіт. Якісний результат містить інвентаризацію, рішення «оновлення/ESU/заміна» для кожного комп’ютера, результат пілотного запуску, стан резервних копій і ключів BitLocker, перелік невирішених винятків та строки їх усунення. Для списаних комп’ютерів вимагайте протокол про стирання або фізичне знищення носія даних — викинутий диск із бухгалтерськими даними є витоком незалежно від віку комп’ютера.
А що зі станціями, які мусять залишитися на Windows 10
Такі станції існують — комп’ютер біля обробного верстата, вимірювальної апаратури або старої лабораторної плати з драйвером, який уже ніколи не перенесуть на нову систему. Якщо ви підтвердите, що це Windows 10 IoT Enterprise LTSC 2021, можете бути спокійні до 2032 року. В усіх інших випадках діє просте правило: такий комп’ютер повинен обслуговувати свій верстат і нічого більше.
На практиці це означає окремий сегмент мережі без доступу до інтернету й корпоративних спільних дисків, жодної електронної пошти, браузера або користувацьких USB-пристроїв, локальний обліковий запис замість доменного та резервну копію станції поза межами її доступу. Windows без оновлень на ізольованому комп’ютері — це прийнятий ризик. Windows без оновлень у тій самій мережі, що й бухгалтерія, — це очікування на програму-вимагач, а відповідальність за це вже несете ви, а не виробник.
Що потрібно зробити до 13 жовтня 2026 року
Залишається приблизно вісім тижнів, і план цілком можна реалізувати:
- цього тижня завершити інвентаризацію та розподілити станції за трьома категоріями,
- протягом двох тижнів запустити пілот Windows 11 на одному репрезентативному комп’ютері,
- у вересні замовити відсутнє обладнання й док-станції та спланувати хвилі так, щоб вони не збігалися із закриттям звітних періодів,
- до початку жовтня завершити міграцію придатних станцій, а для решти вирішити, чи справді вам потрібні перший і другий роки ESU,
- до 13 жовтня перевірити, що ключі ESU активовані, а оновлення справді встановлюються на відповідні станції. Оплачена ліцензія без перевіреної інсталяції — це не захист, а лише витрата.
Якщо ви хочете об’єднати інвентаризацію, перевірку сумісності застосунків і міграцію в один проєкт або просто потребуєте незалежної думки щодо того, які комп’ютери варто зберегти, звертайтеся — ми виконуємо як обслуговування комп’ютерів, так і постійне адміністрування корпоративних ІТ, включно з підготовкою кошторису для кожної станції. У запиті вкажіть кількість станцій, використовувані застосунки, кількість локацій і бажаний строк завершення. На цій основі можна підготувати порядок робіт і ціну без закупівель навмання.
Поширені запитання
Чи перестане працювати корпоративний комп’ютер із Windows 10?
Ні. Він завантажиться, і застосунки продовжать працювати. Однак без ESU система не отримуватиме оновлень безпеки та якості, а стандартна підтримка буде недоступною. Ризик зростає не стрибком, а поступово: нововиявлені вразливості Windows 10 без ESU можуть залишатися невиправленими, тому з часом небезпека для такого комп’ютера збільшується.
Чи є ESU безкоштовним для компаній?
Зазвичай ні. Microsoft наводить орієнтовну ціну 61 USD за пристрій у перший рік і подвоює її кожного наступного року. Безкоштовне ESU доступне лише в окремих випадках — наприклад, для станцій, що підключаються до активно ліцензованого Cloud PC у Windows 365. Домашня пропозиція ESU не замінює комерційну ліцензію й не поширюється на комп’ютери, підключені до домену або керовані через MDM.
Чи можна купити ESU лише на місяці, що залишилися?
Ні. Роки продаються повністю й сукупно. Купівля в серпні 2026 року означає оплату всього першого року, який завершується 13 жовтня 2026 року, а також усього другого року, якщо станція має працювати довше.
Чи можна обійти TPM і встановити Windows 11 вручну?
Технічно так, але пристрій залишиться непідтримуваним, і Microsoft не гарантує для нього оновлень. Спочатку перевірте, чи TPM не вимкнений в UEFI — у Intel він називається PTT, а в AMD — fTPM. Це найпоширеніша причина. Якщо підтримуваного процесора справді немає, виберіть ESU з чіткою датою завершення або замініть комп’ютер.
Чи достатньо актуальних Microsoft 365 і хорошого антивіруса на Windows 10?
Ні. Microsoft 365 Apps мають отримувати оновлення безпеки на Windows 10 до 10 жовтня 2028 року, але вони виправляють застосунки, а не систему. Антивірус не усуне вразливість у ядрі, драйвері або мережевому стеку — у найкращому разі він виявить її використання, причому вже тоді, коли шкідливий код запущено.
Скільки часу займає перехід невеликої компанії на Windows 11?
Інсталяція — лише менша частина роботи. Вирішальними є кількість станцій, обсяг локальних даних, сумісність бухгалтерської програми, VPN, принтерів і периферійних пристроїв. Орієнтовно закладайте кілька годин на кожну станцію плюс додатковий тиждень пілотного запуску, а критичні робочі місця мігруйте з підготовленим запасним комп’ютером.