Conditional Access in Microsoft 365: wat het is en hoe je het instelt
Laatst bijgewerkt op 7 februari 2026
Microsoft 365 is voor veel organisaties de kern van het dagelijks werk. E-mail, bestanden en samenwerkingstools zijn overal beschikbaar. Die toegankelijkheid vraagt om duidelijke grenzen. Niet elke gebruiker, elk apparaat of elke locatie is automatisch te vertrouwen.
Conditional Access is het mechanisme waarmee je die grenzen vastlegt. Het bepaalt onder welke omstandigheden iemand toegang krijgt tot Microsoft 365 en gekoppelde applicaties. Dat gebeurt niet op basis van aannames, maar op concrete signalen.
Wat Conditional Access precies doet
Conditional Access is onderdeel van Microsoft Entra ID, voorheen Azure Active Directory. Het zit tussen het inloggen en het daadwerkelijk gebruiken van data en applicaties.
Bij elke aanmelding beoordeelt Microsoft de situatie. Wie probeert in te loggen, vanaf welk apparaat, vanaf welke locatie en met welk risicoprofiel. Op basis daarvan wordt automatisch beslist of toegang wordt toegestaan, extra verificatie nodig is of de toegang wordt geweigerd. Je kunt Conditional Access zien als een continue controlelaag, niet als een eenmalige beveiligingsmaatregel.
Waarom Conditional Access nodig is
De klassieke beveiliging met alleen een wachtwoord is niet meer voldoende. Gebruikers werken thuis, onderweg en op privéapparaten. Tegelijkertijd worden accounts steeds vaker misbruikt via phishing of gelekte wachtwoorden.
Conditional Access maakt het mogelijk om beveiliging af te stemmen op de situatie. Een gebruiker op een beheerde laptop op kantoor krijgt een andere behandeling dan iemand die vanaf een onbekend apparaat inlogt. Zo verhoog je de veiligheid zonder alles onnodig dicht te zetten.
Hoe Conditional Access is opgebouwd
Elk Conditional Access-beleid bestaat uit vaste onderdelen die samen bepalen wat er gebeurt bij een aanmelding. Eerst bepaal je op wie het beleid van toepassing is en welke applicaties worden beschermd. Daarna leg je vast onder welke omstandigheden het beleid actief wordt en welke actie volgt.
Die samenhang is belangrijk. Een streng ingestelde toegangscontrole zonder duidelijke voorwaarden leidt al snel tot frustratie of blokkades. Andersom biedt een soepel beleid zonder controles weinig bescherming.
Conditional Access instellen in de praktijk
Het instellen van Conditional Access vraagt om structuur. Werk altijd stap voor stap en test wijzigingen voordat je ze afdwingt.
Toegang tot Conditional Access
Je begint in het Microsoft Entra-beheercentrum. Daar ga je naar Beveiliging en vervolgens naar Conditional Access. Dit is de centrale plek waar alle beleidsregels worden beheerd. Zorg dat je werkt met een account dat voldoende rechten heeft en dat er altijd een noodaccount bestaat dat buiten Conditional Access valt.
Een nieuw beleid aanmaken
Maak een nieuw beleid aan en geef het een duidelijke naam die het doel beschrijft. Dat lijkt een detail, maar bij meerdere policies voorkomt dit veel verwarring. Een naam moet direct duidelijk maken wanneer en waarom het beleid wordt toegepast. Dat helpt later bij beheer en foutopsporing.
Gebruikers en applicaties kiezen
Vervolgens bepaal je welke gebruikers of groepen onder het beleid vallen. Begin bij voorkeur met een beperkte testgroep. Zo zie je het effect zonder risico voor de hele organisatie. Daarna selecteer je de cloud-apps. In veel gevallen gaat het om alle Microsoft 365-diensten, maar soms is het verstandiger om te starten met één applicatie, zoals Exchange of SharePoint.
Voorwaarden en toegangscontrole instellen
Nu leg je vast wanneer het beleid actief wordt. Dat kan bijvoorbeeld zijn bij aanmeldingen vanaf onbekende locaties, niet-beheerde apparaten of verhoogd aanmeldrisico.
Daarna bepaal je wat er moet gebeuren als aan die voorwaarden wordt voldaan. Vaak is dat het verplicht stellen van multi-factor authenticatie, maar het kan ook betekenen dat toegang alleen is toegestaan vanaf een compliant apparaat of dat toegang volledig wordt geblokkeerd.
Houd deze combinatie overzichtelijk. Te veel voorwaarden en controles in één beleid maken het gedrag lastig te voorspellen.
Testen voordat je afdwingt
Een nieuw beleid schakel je niet direct volledig in. Zet het eerst in rapportagemodus. In deze stand zie je wat het beleid zou doen, zonder dat gebruikers daadwerkelijk worden geblokkeerd of extra stappen moeten doorlopen. Controleer de aanmeldlogs zorgvuldig. Pas het beleid aan waar nodig en schakel het pas daarna definitief in.
Aandachtspunten uit de praktijk
Conditional Access is krachtig, maar niet vergevingsgezind. Een verkeerd ingestelde policy kan grote impact hebben. Veel problemen ontstaan door te brede regels, het ontbreken van uitzonderingen voor beheeraccounts of een opeenstapeling van policies die elkaar overlappen. Regelmatig evalueren en opschonen is geen luxe, maar noodzakelijk beheer.
Conditional Access bij Mica IT
In de praktijk zien we dat Conditional Access het best werkt wanneer het stapsgewijs wordt ingevoerd. Eerst een solide basis, zoals MFA voor risicovolle aanmeldingen. Daarna pas verfijning met apparaat- en risicocondities. Bij Mica IT richten we Conditional Access zo in dat het begrijpelijk blijft. Niet alleen technisch correct, maar ook logisch voor beheerders en gebruikers.
Conditional Access rustig en doordacht inzetten?
Conditional Access is geen eenmalige instelling, maar een continu proces. Goed ingericht groeit het mee met je organisatie en blijft het beheersbaar.
Wil je beoordelen of jouw huidige Conditional Access-inrichting logisch en veilig is?
Veelgestelde vragen
Heb ik een speciale licentie nodig voor Conditional Access?
Ja. Conditional Access vereist Microsoft Entra ID P1 of P2. Deze licentie is inbegrepen bij onder andere Microsoft 365 Business Premium en de meeste Enterprise-abonnementen.
Is Conditional Access verplicht als ik MFA gebruik?
Nee, maar zonder Conditional Access kun je MFA niet contextafhankelijk toepassen. Conditional Access bepaalt wanneer MFA nodig is en wanneer niet.
Kan Conditional Access externe gebruikers beperken?
Ja. Gastgebruikers en externe accounts kunnen worden meegenomen in policies. Dat is vooral belangrijk bij samenwerking via Teams en SharePoint.
Hoe voorkom ik dat ik mezelf buitensluit?
Door altijd noodaccounts uit te sluiten en nieuwe policies eerst in rapportagemodus te testen. Dat is geen optie, maar een vereiste.
Hoe vaak moet ik Conditional Access evalueren?
Minimaal bij grote wijzigingen in de organisatie of IT-omgeving. In de praktijk is een periodieke controle, bijvoorbeeld elk kwartaal, verstandig.
