SharePoint OTP-uitfasering: Waarom extern delen een governance- en kostenprobleem wordt

Elke externe bestandsoverdracht die jouw organisatie via SharePoint of OneDrive uitvoert, zal binnenkort een permanent spoor achterlaten in je bedrijfsdirectory. Dit is geen hypothetisch risicoscenario, maar het directe gevolg van een licentie- en identiteitswijziging die Microsoft al is begonnen uit te rollen en die volledig ingaat in oktober 2026.

Jarenlang kon je via SharePoint Online een bestand naar een leverancier, auditor of externe advocaat sturen door een eenmalige toegangscode (OTP) te genereren: de ontvanger voerde een code in die naar zijn of haar e-mail of telefoon werd gestuurd, opende het bestand en raakte jouw identiteitsinfrastructuur verder niet. Die optie verdwijnt. Microsoft stopt met OTP-gebaseerde externe bestandsoverdracht en leidt elke externe overdracht voortaan via Entra B2B, wat betekent dat elke externe ontvanger een gastobject wordt in je Entra-bedrijfsdirectory, gevolgd, gelicenseerd in sommige gevallen, en – als je het wilt beheren – gefactureerd.

Microsoft presenteert dit niet als een achteruitgang op het gebied van beveiliging, en dat is het ook niet. Conditional Access, multi-factor authentication en gecentraliseerde audit logging voor gasten zijn echte verbeteringen op het gebied van governance ten opzichte van een anonieme toegangscode-link. Maar de operationele realiteit voor IT-, security- en compliance-teams is dat een proces dat voorheen geen directory-spoor achterliet, nu voor elke ontvanger, elke keer, een spoor creëert. Vermenigvuldig dat met het aantal aannemers, auditors, patiënten, claimanten of partners in de toeleveringsketen waarmee jouw organisatie jaarlijks bestanden uitwisselt, en de schaal van deze verandering wordt duidelijk.

In deze post wordt precies uitgelegd wat er verandert, waarom de meeste organisaties onderschatten hoeveel gastidentiteiten ze al hebben, wat het nieuwe governance-model daadwerkelijk kost en hoe een speciaal ontwikkelde externe data-uitwisselingslaag het probleem van gastverspreiding volledig voorkomt, terwijl toch wordt voldaan aan de audit- en compliance-eisen waaraan gereguleerde organisaties moeten voldoen.

Belangrijkste inzichten

1. OTP-gebaseerde externe bestandsoverdracht in SharePoint en OneDrive wordt uitgefaseerd.

Fase 2 vindt plaats van 1 tot en met 31 oktober 2026 voor de meeste productieomgevingen (GCC, GCC High en DoD volgen later), waarna elke externe bestandsoverdracht een Entra B2B-gastaccount creëert zonder opt-out-mogelijkheid.

2. Gastbeheer heeft nu een meter per gast zonder gratis limiet.

Toegangreviews, levenscyclusworkflows of entitlement management toepassen op een gast kost ongeveer $0,75 per beheerde gast per maand, en die kosten gelden zelfs binnen de gratis samenwerkingslaag van 50.000 maandelijkse actieve gebruikers.

3. De identiteiten stapelen zich sneller op dan de meeste teams beseffen.

Jaren van ad-hoc bestandsoverdracht hebben bij veel tenants al geleid tot twee tot vier keer zoveel gastaccounts als medewerkers, en de meeste van die “schaduw-gasten” zijn nooit toegevoegd aan een team, groep of reviewcyclus.

4. De licenties om deze gasten te beveiligen zijn duurder geworden.

Entra ID P1 en P2, die de Conditional Access- en Identity Protection-functies bieden die nodig zijn om externe identiteiten te beheren, zijn beide gestegen op 1 juli 2026.

5. Een beheerde externe data-uitwisselingslaag voorkomt de afweging.

Kiteworks laat externe partijen samenwerken met hun eigen zakelijke e-mail, zonder dat er een directory-gast wordt aangemaakt, terwijl toch de audittrail en compliance-bewijs wordt geleverd die gereguleerde data-uitwisseling vereist.

Wat verandert er nu echt in SharePoint Externe Bestandsoverdracht

Drie afzonderlijke Microsoft-wijzigingen worden kort na elkaar doorgevoerd en versterken elkaar. Geen van deze wijzigingen klinkt op zichzelf dramatisch. Samen veranderen ze hoeveel het kost, in dollars en in administratieve inspanning, om een bestand te delen met iemand buiten je organisatie.

Begin met het uitfaseren van OTP zelf, beschreven in Message Center-notificatie MC1243549. De eenmalige toegangscode-authenticatie van SharePoint Online voor externe bestandsoverdracht wordt uitgefaseerd. Fase 1 is al uitgerold: nieuwe externe overdrachten verlopen nu via Entra B2B in plaats van via een toegangscode-link. Fase 2, opnieuw gepland voor 1 tot en met 31 oktober 2026 voor standaard commerciële tenants, verwijdert de opt-out volledig, zodat de tenantinstelling die organisaties nu nog toestaat B2B-integratie uit te schakelen, straks niets meer doet. Overheidscloudomgevingen (GCC, GCC High en DoD) volgen op een later tijdstip. Na Fase 2 werkt een bestaande OTP-link voor een externe ontvanger zonder bijbehorend gastaccount niet meer, zonder melding aan wie dan ook.

Dan is er nog de gastbeheer-meter, beschreven in MC1225192. Sinds 30 januari 2026 kost het toepassen van premium governance op een gastaccount – of dat nu toegangreviews, levenscyclusworkflows, entitlement management-goedkeuringen of simpelweg het markeren van een gast als “beheerd” is – ongeveer $0,75 per beheerde gast per maand, met een gekoppeld Azure-abonnement. Er is geen gratis limiet voor deze kosten, zelfs niet voor tenants die onder de 50.000 maandelijkse actieve gebruikers blijven, waar basis gast-samenwerking gratis blijft. Voer je kwartaalreviews uit over een gastpopulatie, dan herhaalt die $0,75-kost zich elk kwartaal per gast.

Tot slot zijn de licenties om deze gasten te beveiligen tegelijkertijd duurder geworden. Vanaf 1 juli 2026 is Entra ID P1 gestegen van ongeveer $6 naar $7 per gebruiker per maand en P2 van ongeveer $9 naar $10, samen met gerelateerde verhogingen van de Microsoft 365 E3/E5-suites waarin deze licenties zijn opgenomen. Dit zijn precies de licenties die de Conditional Access-beleidsregels, Identity Protection-signalen en toegangreviewmogelijkheden bieden die een organisatie nodig heeft om de gastpopulatie te beheren die het uitfaseren van OTP gaat creëren.

Dit alles is geen verbod op het uitnodigen van externe gebruikers, en het is belangrijk om dat precies te benoemen. Basis gast-samenwerking binnen de 50.000-MAU-laag blijft gratis, en Microsoft heeft geen limiet gesteld aan het aantal gasten dat een tenant mag uitnodigen. Wat er veranderd is, is specifieker en voor de meeste organisaties ingrijpender: de standaardroute voor externe bestandsoverdracht creëert nu standaard een directory-identiteit, en alles wat je verder met die identiteit wilt doen, heeft nu een prijskaartje.

Het schaduw-gastenprobleem: waarom de meeste tenants al meer gasten dan medewerkers hebben

Het uitfaseren van OTP creëert geen gastverspreiding uit het niets, maar legt een probleem bloot dat veel organisaties al hebben en dwingt hen om het voor een deadline aan te pakken. Industrieanalisten die Entra B2B-adoptie volgen, merken herhaaldelijk op dat tenants met jarenlange ad-hoc externe bestandsoverdracht vaak twee tot vier keer meer gastaccounts hebben dan medewerkers. Die accounts stapelen zich op zoals de meeste onbeheerde systemen: stilletjes, bij elke bestandsoverdracht, zonder dat iemand ze opruimt.

Noem ze “schaduw-gasten”. Ze zijn nooit toegevoegd aan een team, nooit opgenomen in een groepsgebaseerde toegangreview en in veel gevallen jaren geleden aangemaakt voor een eenmalige bestandsoverdracht en daarna vergeten. Standaard toegangscontroles en governance-tools zijn gebouwd rond gasten die zichtbaar zijn in een administratieve workflow, toegewezen aan een project, team of reviewcyclus. Een schaduw-gast is per definitie onzichtbaar voor die workflow totdat iemand ernaar op zoek gaat.

Fase 1 van het uitfaseren van OTP maakt het schaduw-gastenprobleem op de achtergrond al erger, omdat elke nieuwe externe bestandsoverdracht sinds die fase live is, een gastobject creëert, of iemand nu wel of niet van plan was een beheerde gastpopulatie op te bouwen. Tegen de tijd dat Fase 2 de opt-out verwijdert in oktober 2026, zullen tenants die hun gastdirectory niet actief hebben geïnventariseerd, een populatie beheren – of niet beheren – die aanzienlijk groter is dan ze denken, met kosten tot gevolg.

Dit is belangrijk omdat gegevensbeheer-programma’s doorgaans zijn opgebouwd rond bekende, gecatalogiseerde assets en identiteiten. Een directory die stilletjes duizenden onbeheerde gastaccounts bevat, elk een potentieel toegangspunt tot een gedeeld bestand of map, is een governance-lek dat al bestond vóór de OTP-wijziging en onvermijdelijk wordt zodra deze wordt doorgevoerd.

De verborgen kosten van het beheren van gastverspreiding

Reken het na voor een middelgrote organisatie met 5.000 actieve externe gastaccounts en de cijfers zijn niet langer te negeren. Het beheren van die populatie met kwartaalreviews – een verdedigbaar ritme voor elke organisatie met compliance-verplichtingen rond externe toegang – betekent vier reviewcycli per jaar à $0,75 per gast per cyclus, oftewel $3 per gast per jaar. Bij 5.000 gasten is dat $15.000 per jaar aan alleen governance-kosten, nog los van het gekoppelde Azure-abonnement dat nodig is om het te activeren, de Entra P1/P2-licenties die nodig zijn voor Conditional Access op die identiteiten, of de administratietijd die het uitvoeren van de reviews kost.

Sla je de betaalde governance-laag over om die kosten te vermijden, dan is het alternatief ook niet gratis: het is arbeid. Expiratie, toegangreviews en offboarding komen dan terecht bij beheerders die accounts handmatig beheren of workarounds scripten in PowerShell – een optie voor kostenbewuste organisaties, maar het vervangt licentiekosten door een doorlopende technische inspanning die moet worden onderhouden naarmate de API’s en het licentiemodel van Microsoft veranderen.

Beide routes – betalen per gast of een workaround bouwen – zijn kosten die meegroeien met de mate van externe samenwerking van een organisatie. Dat is het structurele probleem: een governance-model dat per gast wordt geprijsd en beheerd, betekent dat de kosten van zakendoen met externe partijen elke keer stijgen als het bedrijf zijn partner-, klant-, aannemer- of leveranciersrelaties uitbreidt. Voor organisaties die al risicobeheer door derden-programma’s beheren binnen grote partnernetwerken, is dat een kostenlijn die je vóór oktober moet modelleren, niet erna.

Waarom dit ook een compliance-probleem is, niet alleen een licentiekwestie

Voor gereguleerde organisaties is de verschuiving in gastbeheer niet alleen een budgetpost, maar ook een auditrisico. Financiële sector, zorgprocessen, life sciences, defensie-toeleveringsketen en overheidsaannemers delen allemaal routinematig gevoelige data extern, en de meesten moeten voldoen aan een compliance-framework dat precies voorschrijft hoe die toegang moet worden geauthenticeerd, afgebakend en gelogd.

Het externe bestandsoverdrachtsmodel van SharePoint Online levert logs op, maar die logs zitten in een bredere Microsoft 365-auditstructuur die niet speciaal is ontworpen als audittrail voor een CMMC-assessmentpakket, een HIPAA-onderzoek naar een datalek of een FedRAMP-systeembeveiligingsplan. SharePoint Online kan zelf geen FedRAMP-autorisatie dragen; dat gat wordt niet gedicht, ongeacht welke overdrachtsmethode een tenant gebruikt. Voor organisaties die volledige, bewaarde en gestandaardiseerde bewijzen moeten leveren van wie welke externe data wanneer heeft benaderd, is een directory die zich ongemerkt vult met onbeheerde schaduw-gasten precies het soort bevinding dat een auditor aankaart.

Hier komen het uitfaseren van OTP en de governance-meter samen met verplichtingen onder HIPAA-naleving, GDPR, ISO 27001 en CMMC 2.0-naleving. Elk van deze frameworks verwacht least-privilege externe toegang, gedefinieerde dataretentie en -expiratie, en een audittrail die een auditor daadwerkelijk als bewijs kan gebruiken – niet een set logs verspreid over verschillende bestandsoverdracht-, e-mail- en samenwerkingssystemen die elk data anders bewaren. Een gastpopulatie die sneller groeide dan iemand het bijhield, is lastig uit te leggen tijdens een assessmentgesprek.

Een ander model: beheerde externe samenwerking zonder gastaccounts

Het alternatief voor kiezen tussen gastverspreiding of een governance-factuur per gast, is om voor routinematige externe bestandsoverdracht de gastidentiteit helemaal niet te genereren. Dat is het uitgangspunt achter Kiteworks secure data exchange: externe ontvangers authenticeren en werken samen met hun eigen zakelijke e-mail, beheerd in de eigen directory van Kiteworks in plaats van in de Entra-bedrijfsdirectory van de klant, zodat gewone bestandsoverdracht geen beheerde identiteit creëert die gelicenseerd, gereviewd en uiteindelijk opgeschoond moet worden.

Eenmalige en incidentele ontvangers authenticeren nog steeds zoals veel organisaties nu doen: via een SMS- of e-mailtoegangscode, zodat processen gebaseerd op toegangscode-toegang blijven werken, ook nadat de OTP-optie van SharePoint verdwijnt. Elke overdracht heeft expiratie, least-privilege-standaarden en ingebouwde levenscyclusopschoning, beheerd via een centraal beleid in plaats van een meter per gast. Die beleidslaag combineert op attributen gebaseerde toegangscontrole (ABAC: Attribute Based Access Control) met meer vertrouwde rolgebaseerde toegangscontrole op mapniveau, zodat toegangsbeslissingen gebaseerd kunnen zijn op datasensitiviteit en ontvangerattributen, niet alleen op statische maprechten.

Elke externe interactie – bestandsoverdracht, beveiligde e-mail, beheerde bestandsoverdracht en API-gedreven uitwisseling – komt terecht in één gestandaardiseerde, onveranderlijke auditlog in plaats van aparte logs per subsysteem. Dit is precies het soort volledig, bewaard bewijs waar CMMC-, HIPAA-, GDPR- en ISO 27001-assessments naar zoeken. Organisaties die de onderliggende data willen blijven beheersen, kunnen dat combineren met klantgestuurde encryptiesleutels en inzet op een hardened virtual appliance on-premises, in een single-tenant cloudomgeving of air-gapped, met upgrade- en onderhoudsmomenten die de organisatie zelf bepaalt in plaats van een door de leverancier opgelegde uitrol op een vaste datum.

Voor dit alles hoef je Microsoft 365 niet te verlaten. Een native Microsoft Office 365-plugin en een repository-gateway terug naar SharePoint en OneDrive zorgen ervoor dat intern werk ongewijzigd doorgaat in de tools die mensen al gebruiken, terwijl externe uitwisseling verhuist naar een laag die daarvoor vanaf het begin is ontworpen. Voor organisaties die ook uitzonderlijk grote bestanden, CAD-bestanden of onderzoeksdatasets uitwisselen, haalt diezelfde laag de druk van de maximale bestandsgrootte weg die gebruikers anders richting niet-goedgekeurde consumententools zou duwen. En waar een bestand wel reviewbaar moet blijven maar nooit echt van eigenaar mag wisselen, maakt bewerken zonder bezit het mogelijk dat een externe partij aan een document werkt zonder ooit een kopie te bezitten.

De bewijsvoering die telt voor een compliance-gedreven evaluatie is het vermelden waard: FedRAMP High-autorisatie is in behandeling, voortbouwend op FedRAMP Moderate-autorisatie die continu wordt onderhouden sinds 2017, naast FIPS 140-3 gevalideerde encryptie, SOC 2 Type II en ondersteuning voor 90% van de CMMC Level 2-vereisten direct uit de doos. Sectorprogramma’s voor financiële sector, zorgprocessen en overheidsorganisaties bouwen voort op dezelfde onderliggende zero trust-architectuur, zodat het governance-model niet per sector opnieuw hoeft te worden opgebouwd.

Wat te doen vóór de deadline van oktober 2026

Organisaties die nog afhankelijk zijn van OTP-gebaseerde SharePoint-links hebben een steeds kleiner wordend tijdsvenster om te handelen.

Begin met een inventarisatie. De meeste tenants hebben nooit een volledige telling gemaakt van de schaduw-gasten die door jaren van ad-hoc bestandsoverdracht zijn ontstaan, en die inventarisatie is de enige manier om de daadwerkelijke blootstelling te bepalen: zowel de governance-kosten onder de $0,75-per-gast-meter als het compliance-risico van accounts die niemand heeft gereviewd. Bepaal vervolgens welke externe ontvangers nog afhankelijk zijn van OTP-links die stilletjes zullen stoppen zodra Fase 2 de fallback uitfaseert, en migreer of informeer hen proactief, in plaats van het te ontdekken via een supportticket van een externe partner. De lastigste keuze is bewust bepalen welke externe bestandsoverdracht binnen Microsoft 365 moet blijven als Entra B2B-gastrelatie – een logische keuze voor doorlopende samenwerking met bekende partnerorganisaties – en welke overdracht thuishoort op een beheerde beveiligde bestandsoverdracht-laag die geen directory-spoor creëert voor eenmalige of grootschalige externe uitwisseling.

Die derde keuze is het belangrijkst, want die bepaalt of de kosten van gastbeheer blijven meegroeien met het bedrijf of nu worden ingedamd. Organisaties met een Microsoft 365-verlenging kort na 1 juli 2026 hebben een natuurlijk moment om die afweging te maken tijdens het verlengingsgesprek, waarbij de uitgestelde kosten van een beheerde externe laag worden afgezet tegen de oplopende kosten van een gastpopulatie die uit zichzelf blijft groeien.

Wil je meer weten over hoe je externe samenwerking beheerd en voorspelbaar houdt vóór het uitfaseren van OTP in oktober 2026, plan dan vandaag nog een aangepaste demo.

Aanvullende bronnen

• Blog Post
  5 beste oplossingen voor beveiligde bestandsoverdracht voor ondernemingen
• Blog Post
  Hoe bestanden veilig delen
• Video
  Kiteworks Snackable Bytes: beveiligde bestandsoverdracht
• Blog Post
  12 essentiële softwarevereisten voor beveiligde bestandsoverdracht
• Blog Post
  De meest veilige opties voor bestandsoverdracht voor ondernemingen & compliance