Zero-touch enrollment: devices kant-en-klaar laten leveren

Gepubliceerd op 17 oktober 2026 · Door de redactie van EduStockr · Bronnen gecontroleerd op 25 oktober 2026 · Alle artikelen

In het kort: Zero-touch enrollment betekent dat een apparaat bij de eerste start met internet automatisch in uw beheeromgeving terechtkomt. Voor Chromebooks heet dat zero-touch enrollment, voor Windows Windows Autopilot, voor iPads en Macs automatische apparaatinschrijving via Apple School Manager en voor Android zero-touch. In alle gevallen moet de leverancier de apparaten vooraf aan uw organisatie koppelen. Leg daarom in de uitvraag vast dat hij dat kan en welke gegevens u aanlevert.

Wat is zero-touch enrollment?

Bij gewone inschrijving zet een ICT-medewerker elk apparaat aan, logt in met een beheeraccount en schrijft het handmatig in. Bij dertig apparaten is dat een middag werk, bij duizend een project. Bij zero-touch enrollment gebeurt de koppeling al vóór de levering: de fabrikant, distributeur of reseller meldt de serienummers aan bij het platform (Google, Microsoft of Apple) en koppelt ze aan uw organisatie. Zodra het apparaat voor het eerst met internet verbindt, haalt het zelf de instellingen, apps en beperkingen op die u in uw beheeromgeving hebt klaargezet.

Voor de leerling of medewerker blijft er weinig over: wifi kiezen en inloggen. Voor de school of zorgorganisatie is het voordeel vooral dat apparaten niet buiten het beheer kunnen blijven. Afhankelijk van platform en instellingen kan een beheerd apparaat zich na een reset ook weer bij dezelfde organisatie melden. Hoe beheer per platform werkt, leest u in ons artikel over schooldevices centraal beheren met MDM.

Zero-touch per platform op een rij

De vier platformen werken volgens hetzelfde principe, maar met eigen namen, voorwaarden en gegevens. De tabel vat samen wat de documentatie van de fabrikanten zelf beschrijft (stand oktober 2026).

Chromebooks: zero-touch enrollment

Volgens Google stuurt een pre-provisioning-partner (fabrikant, distributeur of reseller) de instructies naar Google, waarna het apparaat zich bij de eerste start met internet inschrijft in uw organisatie. U maakt in de Admin-console een token aan; Google noemt de route Devices > Chrome > Devices, daarna Enroll en Generate new token. Maakt u het token aan op een specifieke organisatie-eenheid, dan komen de apparaten direct in die eenheid terecht. U kunt dus per school of per bouw een eigen token maken. Het token blijft geldig tot u het intrekt.

Google noemt een paar voorwaarden die in de praktijk vaak over het hoofd worden gezien: de partner moet in de lijst van erkende partners staan, het model moet ondersteund worden, er moeten genoeg licenties beschikbaar zijn (anders verschijnt de melding Not enough upgrades) en het netwerk moet de benodigde Google-adressen bereiken. ChromeOS Flex werkt volgens Google niet met zero-touch enrollment. Meer over de licentie leest u in Chrome Education Upgrade: wat kosten Chromebook-licenties?

Windows: Autopilot en Autopilot device preparation

Voor klassieke Windows Autopilot moet elk apparaat geregistreerd zijn: de unieke hardware-identiteit (de hardware-hash) wordt geüpload en gekoppeld aan uw tenant. Microsoft schrijft dat dit idealiter gebeurt door de OEM, reseller of distributeur waar u koopt. Handmatig kan ook, door de hash uit een draaiende Windows-installatie te halen. Let op een detail dat bij reparaties telt: bij een grote hardwarewijziging, zoals een vervangen moederbord, herkent de dienst het apparaat niet meer en moet een nieuwe hash worden geüpload.

De nieuwere variant, Windows Autopilot device preparation, werkt met Windows 11 en Microsoft Entra join. Het apparaat komt bij het inloggen in een vooraf gekozen apparaatgroep en krijgt de geselecteerde apps en scripts. Corporate identifiers (serienummer, fabrikant, model) zijn volgens Microsoft alleen verplicht als u persoonlijke inschrijvingen blokkeert. Welke variant past, hangt af van uw bestaande Intune-inrichting; dat is een keuze voor uw beheerder of beheerpartij.

iPads en Macs: Apple School Manager

In Apple School Manager koppelt u een leverancier door uw Organisatie-ID te delen en zelf het resellernummer van de Apple Authorized Reseller of provider in te voeren; koopt u rechtstreeks bij Apple, dan voert u een Apple-klantnummer in. Apple schrijft er uitdrukkelijk bij dat bestellingen daarna niet vanzelf verschijnen: u spreekt met de reseller af dat hij uw bestellingen indient (Apple, leveranciers beheren). Apparaten die buiten die kanalen zijn gekocht, kunt u met Apple Configurator toevoegen. Daarbij geldt volgens Apple een voorlopige periode van dertig dagen waarin de gebruiker het apparaat nog uit het beheer kan halen (Apple, apparaten toevoegen met Apple Configurator). Voor de zorg en andere organisaties buiten het onderwijs is Apple Business het equivalent: volgens Apple vervangt dat platform sinds 14 april 2026 onder meer Apple Business Manager. Apple School Manager blijft voor scholen. De verdere inrichting van iPads, zoals accounts, apps en gedeelde iPad, valt buiten dit artikel.

Android: zero-touch

Voor zakelijke Android-toestellen, bijvoorbeeld in de zorg, bestaat Android zero-touch. Volgens Google moeten de toestellen gekocht zijn bij een zero-touch-resellerpartner, een ondersteunde Android-versie draaien en Google Play-services ingeschakeld hebben. U beheert de configuratie in het zero-touch-portaal, meestal vanuit de console van uw EMM.

Wat u bij de leverancier uitvraagt

Zero-touch is geen optie die u na levering nog aanzet. De koppeling gebeurt bij de bestelling. Neem deze punten daarom op in uw offerte-aanvraag:

• ☐ De leverancier is erkende partner voor het platform (Google pre-provisioning-partner, Autopilot-registratie, Apple Authorized Reseller met resellernummer, Android zero-touch-reseller). Vraag om bevestiging per platform.
• ☐ Registratie van alle serienummers vóór verzending, met een bevestigingsmail of lijst per levering.
• ☐ Per levering een digitale lijst met serienummer, model, eventueel assettag en bestemming (school, locatie of team).
• ☐ Labels of assettags op het apparaat die overeenkomen met de lijst. Google meldt dat niet elke partner extra velden zoals asset-ID, locatie of gebruiker kan meesturen; vraag het na.
• ☐ Afspraak over reparaties: wie zorgt voor herregistratie na vervanging van een moederbord of na een omruiling?
• ☐ Afspraak over uitschrijving bij retour, inruil of afvoer, zodat apparaten niet aan uw organisatie gekoppeld blijven.
• ☐ Licenties (bijvoorbeeld Chrome Education Upgrade) in dezelfde bestelling, of aantoonbaar al beschikbaar.

Een volledige lijst van onderdelen van een sterke aanvraag vindt u in de checklist offerte aanvragen voor devices.

Stappenplan: van bestelling tot eerste start

1. Beheeromgeving klaarzetten. Organisatie-eenheden of groepen, beleid, wifi-profiel en apps. Zonder beleid schrijft een apparaat zich wel in, maar krijgt het niets.
2. Gegevens uitwisselen. Token en klant-ID (Google), registratieautorisatie (Microsoft), Organisatie-ID en resellernummer (Apple) of Google-account (Android zero-touch).
3. Bestellen en registratie bevestigen. Controleer vóór levering of de serienummers in uw console staan (bij Google als Pre-provisioned, bij Apple in de apparatenlijst, bij Autopilot in de lijst met Autopilot-apparaten).
4. Proefstart met een paar apparaten. Test op het netwerk van de school, inclusief firewall en filter. Google adviseert na pre-provisioning vijftien minuten te wachten voor u inschrijft.
5. Uitrol per groep. Lever per locatie uit, met de lijst van de leverancier als controle.

Rekent u terug vanaf de start van het schooljaar, dan helpt de device-inkoopchecklist voor het nieuwe schooljaar. Controleer bij Chromebooks in dezelfde stap de updatedatum (AUE) van het model.

Valkuilen bij zero-touch enrollment

Naast de techniek verdienen de afspraken aandacht. Drie punten om vooraf te regelen: de leverancier is geen partner voor het gekozen platform, waardoor alsnog handmatig moet worden ingeschreven; apparaten komen via een ander kanaal (bijvoorbeeld een losse nalevering) en staan daardoor niet in de console; of retourapparaten blijven aan de organisatie gekoppeld, waardoor de leverancier of een volgende eigenaar ze niet kan gebruiken. Microsoft schrijft dat een apparaat dat de organisatie definitief verlaat altijd uit Autopilot moet worden verwijderd. Voor zorgdevices gelden dezelfde punten; zie ook MDM in de zorg.

Zo pakken wij dit aan

EduStockr verkoopt zelf geen hardware. Wij nemen zero-touch-registratie als eis op in de uitvraag aan gescreende leveranciers en vragen per platform na of zij die registratie kunnen uitvoeren. In het overzicht van de voorstellen staat per leverancier wat hij registreert, welke lijst hij meelevert en wat de afspraken zijn bij reparatie en retour, naast prijs, levertijd en de vooraf vastgelegde vergoeding van EduStockr. U kiest en koopt rechtstreeks bij de leverancier. De gegevens voor de koppeling (token, Organisatie-ID, tenantautorisatie) wisselt u zelf met de leverancier uit, zodat beheerrechten bij uw organisatie blijven. Meer op de pagina werkwijze.

Veelgestelde vragen

Kost zero-touch enrollment extra?

De documentatie van de fabrikanten noemt geen aparte zero-touch-licentie, maar u heeft wel de onderliggende licenties nodig, zoals een ChromeOS-upgrade per Chromebook of Intune en Entra ID voor Windows. Sommige leveranciers rekenen een vergoeding voor registratie, labelen of voorbereiding; vraag dat per voorstel uit.

Kan ik apparaten die ik al heb alsnog zero-touch inschrijven?

Voor Windows kan een beheerder de hardware-hash zelf uploaden. Voor Apple kan Apple Configurator apparaten toevoegen, met de voorlopige periode van dertig dagen. Bij Chromebooks loopt zero-touch via een pre-provisioning-partner; bestaande apparaten schrijft u meestal handmatig in.

Werkt zero-touch ook als de leerling het apparaat reset?

Dat hangt af van het platform en uw instellingen. Zo blijft een Autopilot-apparaat geregistreerd tot u het uitschrijft, en staat een Apple-apparaat dat via Apple School Manager is ingeschreven aan uw MDM-server toegewezen. Test het gedrag na een reset tijdens de proefstart.

Wat is het verschil tussen Apple School Manager en Apple Business?

Apple School Manager is bedoeld voor onderwijsinstellingen. Apple Business (voorheen Apple Business Manager) is bedoeld voor andere organisaties, zoals zorginstellingen; volgens Apple vervangt het sinds 14 april 2026 Apple Business Manager, Apple Business Essentials en Apple Business Connect. Ook daarin koppelt u een reseller aan uw organisatie; controleer de actuele stappen in de handleiding van Apple Business.

Over dit artikel: geschreven door de redactie van EduStockr, een handelsnaam van J-Mobile B.V., met een eigen vestiging aan Ambachtsweg 8, 5492 NJ Nijnsel. EduStockr bemiddelt bij de inkoop van devices en verkoopt zelf geen hardware. Dit artikel is opgesteld met hulp van AI-hulpmiddelen; de feiten zijn gecontroleerd aan de hand van de genoemde bronnen op 25 oktober 2026. Ziet u een fout of is iets verouderd? Mail info@edustockr.nl.