Wsparcie Windows 10 skończyło się w październiku 2025. Minęło sporo miesięcy, a w polskich firmach te komputery nadal pracują — na recepcjach, w księgowości, przy maszynach produkcyjnych. Zwykle nie z lenistwa. Po prostu nie przechodzą na Windows 11 i nikt nie wie, co z tym zrobić poza kupieniem wszystkiego od nowa.
Co się właściwie zmieniło
System działa dalej i będzie działał. Zmieniło się to, że nie dostaje już poprawek bezpieczeństwa. Nowa luka wykryta dziś w niewspieranym systemie zostaje w nim na stałe, a opis, jak ją wykorzystać, krąży publicznie.
To nie znaczy, że komputer przestanie się włączać w poniedziałek. To znaczy, że ryzyko rośnie miesiąc po miesiącu i nie ma sufitu. Producenci oprogramowania po kolei wycofują wsparcie dla starego systemu — przeglądarki, programy księgowe, klienty pocztowe. Zwykle to one wymuszają decyzję szybciej niż samo bezpieczeństwo.
Dlaczego te maszyny nie przechodzą na Windows 11
Dwa powody blokują najwięcej sprzętu: brak modułu TPM 2.0 i procesor spoza listy obsługiwanych. Dochodzi do tego wymóg trybu UEFI z Secure Boot, którego stare komputery z BIOS-em nie spełniają bez konwersji dysku.
Część maszyn ma TPM wyłączony w ustawieniach płyty i wystarczy go włączyć — to najmilsza kategoria, bo koszt wynosi kilkanaście minut przy każdym komputerze. Reszty nie da się uratować ustawieniem. Procesor sprzed ośmiu lat nie znajdzie się na liście, choćby maszyna chodziła bez zarzutu i miała wymieniony dysk na SSD.
Najpierw policz, potem decyduj
Bez liczb każda rozmowa o migracji jest o niczym. Inwentaryzacja zajmuje kilkanaście minut i daje twardą podstawę do budżetu.
W sieci z domeną wystarczy jedno zapytanie do katalogu: Get-ADComputer -Filter * -Properties OperatingSystem,LastLogonDate zwraca wszystkie komputery z wersją systemu i datą ostatniego logowania. Ta druga kolumna jest równie ważna — połowa wyników to zwykle maszyny, których od dawna nikt nie używa, a które wciąż mają aktywne konto w domenie.
Bez domeny działa skan sieci narzędziem inwentaryzacyjnym albo, w małej firmie, obchód z kartką. Na każdej maszynie sprawdzam dwie rzeczy: wersję systemu (winver) i stan modułu TPM (tpm.msc albo Get-Tpm w PowerShellu). Wynik zapisuję do tego samego arkusza, w którym firma trzyma spis zasobów — jeśli takiego arkusza nie ma, to właśnie powstał pierwszy wiersz.
Do każdego wiersza dopisuję jedną kolumnę, której nie da się wygenerować skryptem: co ta maszyna robi i czy ma dostęp do internetu. Ona zdecyduje o kolejności działań.
Opcja A: płatne aktualizacje rozszerzone
Microsoft udostępnił program płatnych aktualizacji bezpieczeństwa dla firm, rozliczany rocznie za urządzenie, z ceną rosnącą w kolejnych latach. To działa i jest legalne. To także kupowanie czasu, nie rozwiązanie — kalendarz przesuwa się o rok, problem zostaje ten sam.
Ma sens w dwóch sytuacjach: gdy firma potrzebuje rozłożyć wydatek na kolejny rok budżetowy albo gdy czeka na wersję programu branżowego, która ma działać na nowym systemie. Nie ma sensu jako domyślna decyzja podejmowana co roku, bo po trzech latach suma opłat dorównuje cenie nowego sprzętu, a firma nadal pracuje na starym.
Opcja B: migracja tam, gdzie sprzęt się kwalifikuje
Maszyny z listy zgodnych to najprostsza część. Aktualizacja zachowuje pliki i programy, choć u siebie i tak robię przed nią pełną kopię — nie dlatego, że aktualizacja zawodzi często, tylko dlatego, że kiedy zawiedzie, tłumaczenie się brakiem backupu jest niemożliwe. O tym, czemu samo posiadanie kopii to za mało, pisałem osobno.
Praktyczna uwaga z wdrożeń: zacznij od jednej maszyny w każdym typie stanowiska, nie od wszystkich naraz. Program księgowy, drukarka etykiet i czytnik podpisu potrafią zachować się inaczej, niż obiecuje producent. Tydzień pracy na jednym stanowisku testowym oszczędza dziesięć telefonów w dniu masowej aktualizacji.
Opcja C: wymiana sprzętu rozłożona w czasie
Wymiana dwudziestu komputerów naraz to wydatek, który blokuje decyzję na kwartały. Wymiana pięciu co kwartał przez rok kosztuje tyle samo, a mieści się w bieżących kosztach. Efekt uboczny jest korzystny: firma przestaje mieć jeden rocznik sprzętu, który za pięć lat znowu zestarzeje się w tym samym miesiącu.
Przy okazji sprawdzam, czy stanowisko w ogóle potrzebuje pełnego komputera. Recepcja, magazyn i stanowiska pracujące wyłącznie w przeglądarce albo na aplikacji serwerowej często radzą sobie na sprzęcie o połowę tańszym.
Opcja D: jedna maszyna, jedno zadanie
Komputer, który przez osiem godzin dziennie wyświetla jedną aplikację webową albo pulpit zdalny, nie potrzebuje Windowsa. Linux na tym samym sprzęcie dostaje aktualizacje bezpieczeństwa jeszcze przez lata i działa szybciej niż stary system, który został na nim zainstalowany w 2017.
Ta ścieżka ma warunek: musi to być naprawdę jedno zadanie. Jeśli użytkownik raz w tygodniu otwiera plik w programie, który istnieje tylko na Windowsa, zamiana systemu przeniesie problem, zamiast go usunąć. Sprawdza się za to świetnie na stanowiskach terminalowych i wszędzie tam, gdzie realna praca dzieje się na serwerze, nie na biurku.
Opcja E: odciąć to, czego nie da się ruszyć
Zostaje kategoria, którą ma prawie każda firma produkcyjna albo warsztat: komputer sterujący urządzeniem, z oprogramowaniem od producenta maszyny, którego nie ma w nowszej wersji. Wymiana systemu oznacza wymianę urządzenia za kilkadziesiąt tysięcy. Nikt tego nie zrobi dlatego, że skończyło się wsparcie systemu.
Rozwiązaniem jest izolacja. Osobny segment sieci, brak dostępu do internetu, brak dostępu do udziałów plikowych reszty firmy, wymiana danych przez jeden kontrolowany punkt. Taka maszyna może pracować latami, bo droga ataku prowadzi przez sieć, a sieci przestała mieć.
Dodatkowo warto zrobić obraz całego dysku takiej maszyny i trzymać go poza nią. Jeśli padnie, odtworzenie z obrazu jest jedyną realną opcją — producenta oprogramowania sprzed dekady często już nie ma. Sam obraz bywa też pierwszym krokiem do przeniesienia tego systemu na maszynę wirtualną w środowisku wirtualizacyjnym, co uniezależnia firmę od dwudziestoletniej płyty głównej.
To nie tylko problem techniczny
Niewspierany system wychodzi dziś w dwóch miejscach, które nie mają nic wspólnego z IT. Pierwsze to ankiety bezpieczeństwa od kontrahentów — duże firmy pytają wprost o wersje systemów operacyjnych u dostawców, a odpowiedź „część stanowisk na Windows 10” potrafi wstrzymać podpisanie umowy.
Drugie to ubezpieczenie od ryzyk cybernetycznych. Polisy zawierają wymagania dotyczące podstawowej higieny — aktualnych systemów, kopii zapasowych, uwierzytelniania. Przy szkodzie ubezpieczyciel to sprawdza. Bardzo nieprzyjemny moment na odkrycie, że składka szła przez dwa lata za ochronę, której warunków firma nie spełniała.
Kolejność według ryzyka, nie według wieku
Naturalny odruch to zaczynanie od najstarszych komputerów. To zły porządek. Ośmioletnia maszyna sterująca frezarką, odcięta od sieci, jest bezpieczniejsza niż trzyletni laptop handlowca z Windows 10, który codziennie łączy się z hotelowym wi-fi i ma zapisane hasła do poczty.
- Komputery z dostępem do internetu i do danych osobowych lub finansowych — księgowość, kadry, obsługa klienta. Tu ryzyko jest realne i natychmiastowe.
- Laptopy pracujące poza biurem, w obcych sieciach. Ten sam problem plus brak firmowej zapory.
- Stacje wewnątrz sieci firmowej, bez dostępu do danych wrażliwych.
- Maszyny jednozadaniowe, które da się przenieść na inny system lub cienki klient.
- Sprzęt sterujący urządzeniami — nie migrujemy, izolujemy i obrazujemy.
Ta lista układa się w plan na trzy do czterech kwartałów, z wydatkiem rozłożonym w czasie i z pierwszym krokiem, który można zrobić w tym tygodniu. Jeśli nie wiadomo, od czego zacząć inwentaryzację, wychodzi ona i tak przy audycie IT — razem z odpowiedzią, ile z tych komputerów w ogóle jeszcze jest komuś potrzebnych.
Windows 10 nie przestał działać. Przestał być pilnowany. Różnica jest niewidoczna codziennie i bardzo widoczna raz.