--- title: Konec SMS a hlasového ověřování v Microsoft Entra ID: co stihnout do konce roku 2026 description: Microsoft ruší vlastní doručování SMS a hlasových hovorů pro MFA. Od 1. 2. 2027 nebude SMS ani hlas nativní součástí Entra ID. Co to znamená pro váš tenant a proč migraci nenechávat na leden. url: https://www.malachis.eu/cs-CZ/news/entra-sms-retirement published: 2026-08-01 modified: 2026-08-15 --- # Konec SMS a hlasového ověřování v Microsoft Entra ID: co stihnout do konce roku 2026 **Ve zkratce:** Microsoft ruší vlastní doručování SMS a hlasových hovorů pro dvoufaktorové ověření (MFA pro nejstaršího kolegu u vás v kanceláři). Od **1. září 2026** se passkeys stávají výchozí metodou přihlášení v Microsoft Entra ID, od **1. února 2027** už SMS a hlas nebudou nativní součástí služby. Kdo do té doby nemigruje, bude si muset koupit vlastního telekomunikačního operátora přes Microsoft Security Store — jinak jeho uživatelé narazí na blokující výzvu k registraci passkey. **Doporučujeme mít migraci hotovou do 31. 12. 2026.** > **Zdroj oznámení:** Message center MC1426371 · [Microsoft Learn: Passkeys by default and retirement of Microsoft-provided SMS and voice authentication](https://learn.microsoft.com/entra/identity/authentication/concept-sms-voice-retirement) · [Microsoft Security Blog, 13. 7. 2026](https://www.microsoft.com/en-us/security/blog/2026/07/13/microsoft-entra-id-security-updates-passkeys-are-the-default-authentication-method-in-entra-id/) --- ## Co se mění a kdy | Datum | Co se stane | | --- | --- | | **1. 9. 2026** | Začíná postupný rollout do tenantů. Uživatelům, kteří mají povolenou SMS nebo hlas, se automaticky zapnou passkeys. Registration Campaign se přepne do stavu *Microsoft-managed* a začne cílit na passkeys. Výzva k registraci je zatím přeskočitelná. | | **18. 9. 2026** | Microsoft zveřejní detaily k zákaznicky spravovaným telekomunikačním operátorům v Microsoft Security Store. | | **30. 10. 2026** | Zákazníci si mohou začít vybírat a konfigurovat vlastního telekomunikačního operátora. | | **1. 2. 2027** | Microsoftem poskytované SMS a hlas jsou zrušeny. Výzva k registraci passkey se stává **blokující** — uživatel se bez ní nepřihlásí. | Do 1. února 2027 je k dispozici **dočasný opt-out**, kterým lze odložit automatické zapnutí passkeys a registrační kampaň. Pro samotné vypnutí SMS a hlasu k 1. 2. 2027 žádný opt-out neexistuje. --- ## Proč to není jen technická drobnost ### 1. Zachovat SMS znamená nového dodavatele a novou nákladovou položku - to nechcete Dnes je SMS ověření součástí licence. Po 1. 2. 2027 už ne. Kdo si SMS chce udržet, podepisuje smlouvu s telekomunikačním operátorem přes Microsoft Security Store — placeno za zprávu, s cenou podle operátora a regionu. K tomu patří vendor onboarding, zpracovatelská smlouva a posouzení podle GDPR. Jinými slovy: budete platit a administrovat navíc za to, abyste si udrželi nejslabší dostupnou metodu ověření. Migrace na passkeys naproti tomu nestojí nic navíc — passkeys jsou ve všech plánech Entra. ### 2. SMS a hlas jsou dnes prakticky prolomitelné, nejen sociálním inženýrstvím Útočník nepotřebuje vaši databázi hesel. Stačí phishingová sada typu adversary-in-the-middle, která odchytí jednorázový kód v reálném čase, výměna SIM u operátora, nebo automatizovaný bot, který kód vyloudí telefonátem. Passkeys jsou proti phishingu odolné konstrukčně: privátní klíč neopustí zařízení a credential je vázaný na konkrétní domény, takže ho na podvrženém webu nelze použít. ### 3. Regulatorní kontext se sešel na stejném termínu Nový zákon o kybernetické bezpečnosti (v ČR zákon č. 264/2025 Sb.), účinný od 1. 11. 2025, uvádí vícefaktorové ověření mezi povinnými technickými opatřeními. Přechodné období pro zavedení opatření končí **1. ledna 2027** — tedy měsíc před tím, než Microsoft SMS vypne. Pokud řešíte NIS2/nZKB compliance a současně máte MFA postavené na telefonních číslech, jsou to dva projekty, které se vyplatí spojit do jednoho. ### 4. Vaši zákazníci se na to začnou ptát Bezpečnost dodavatelského řetězce je jedna z novinek NIS2. V dodavatelských dotaznících se otázka na phishing-resistant MFA objevuje standardně. Odpověď "SMS kódy" bude brzy problém při obhajobě kontraktu, ne jen v bezpečnostním auditu. ### 5. Blokující výzva v únoru není scénář, který chcete řídit ad hoc 1. února 2027 se uživatelé, kteří nemají jinou metodu, nepřihlásí, dokud si passkey nezaregistrují — na zařízení, které pro to musí být způsobilé, a s podporou, kterou musí někdo poskytnout. To je zvládnutelný projekt v listopadu, ale vážný incident v únoru. --- ## Tři pasti, na které se běžně zapomíná **SSPR.** Passkey **nelze použít** pro samoobslužný reset hesla. Pokud dnes máte SSPR postavené na SMS nebo hlasu, migrace na passkeys tuto díru nezacelí — pro reset hesla potřebujete jinou metodu (Microsoft Authenticator, e-mail, bezpečnostní otázky). Toto je nejčastěji přehlížená část celé migrace. **Havarijní (break-glass) účty.** Nouzové administrátorské účty mívají jako záložní metodu uložené telefonní číslo. Ty je nutné převést na FIDO2 hardwarové klíče uložené fyzicky v trezoru — a otestovat, že s nimi přihlášení skutečně funguje, dřív než je budete potřebovat. **Sdílená a provozní zařízení.** Výroba, sklad, pokladny, multifunční tiskárny, terénní pracovníci, uživatelé bez firemního telefonu. Tady synchronizovaný passkey ve správci hesel nepomůže. Řešením je FIDO2 hardwarový klíč — a ten se musí objednat, rozdat a zaevidovat. --- ## Co doporučujeme: FIDO2, ale ne pro všechny stejně Passkey je credential podle standardu **FIDO2**. Entra ID podporuje dva typy a rozdíl mezi nimi je pro návrh klíčový: - **Device-bound passkeys** — privátní klíč nikdy neopustí zařízení. Patří sem FIDO2 hardwarové klíče, Windows Hello for Business, Entra passkey na Windows a device-bound passkey v Microsoft Authenticatoru. Podporují attestation, takže lze přes AAGUID vynutit konkrétní schválené modely. - **Synchronizované passkeys** — klíč se šifrovaně synchronizuje mezi zařízeními uživatele (iCloud Keychain, Google Password Manager, 1Password, Bitwarden). Podstatně nižší náklady na obnovu a znovuvydání, ale **attestation nepodporují** — pokud ji v profilu vynutíte, synchronizované passkeys se automaticky vyloučí. Naše doporučená segmentace: | Segment | Doporučení | | --- | --- | | **Privilegované účty** (Global Administrator, Privileged Role Administrator ad.) | FIDO2 hardwarové klíče, pouze device-bound, vynucená attestation, allow-list AAGUID. Dva klíče na osobu — primární a záložní. | | **Kancelářští uživatelé s firemním Windows zařízením** | Entra passkey na Windows / Windows Hello for Business jako primární metoda, device-bound passkey v Authenticatoru jako mobilní doplněk. | | **BYOD, externisté, uživatelé bez firemního zařízení** | Synchronizované passkeys v samostatném passkey profilu bez attestation. | | **Sdílená a provozní zařízení** | FIDO2 hardwarové klíče, sdílené nebo přidělené na směnu. | Od března 2026 jsou obecně dostupné **passkey profily** — konfigurace už není nastavení pro celý tenant, ale sada pravidel cílená na skupiny. Tuto segmentaci lze tedy skutečně nasadit, nejen naplánovat. Vynucení pak řešte přes Conditional Access a authentication strength, ne jen doporučením v e-mailu. --- ## Plán do 31. 12. 2026 Proč do konce roku, a ne do února? Microsoft sám doporučuje dokončit přechod minimálně čtyři týdny před vynucením. Přechodné období podle ZoKB končí 1. ledna 2027. A prosincové změnové mrazy plus lednová dovolenková kapacita helpdesku dělají z ledna nejhorší možný měsíc na tuhle práci. 1. **Do konce srpna — zjistěte rozsah.** Kdo má povolenou SMS/hlas v Authentication methods policy, kdo má reálně registrované telefonní číslo a kdo nemá žádnou jinou metodu. Toto jsou tři různá čísla. Nezapomeňte na legacy MFA nastavení a na SSPR. Microsoft k tomu publikoval PowerShell skript *Entra SMS/Voice Policy Scanner*. 2. **Září — rozhodněte směr.** Migrace na passkeys, nebo nákup telekomunikačního operátora? Pro většinu organizací v ČR a SR je odpověď migrace; operátor má smysl jen tam, kde konkrétní regulace nebo provozní realita telefonní ověření skutečně vyžaduje. 3. **Září–říjen — navrhněte passkey profily** podle segmentace výše, otestujte je na pilotní skupině a objednejte hardwarové klíče. Dodací lhůty ke konci roku nejsou nulové. 4. **Říjen–listopad — komunikujte a nasazujte.** Registrační kampaň cílenou na bezpečnostní skupinu uživatelů se SMS/hlasem, ne na všechny naráz. Připravte návod podle typu zařízení a informujte helpdesk dřív, než začnou chodit dotazy. 5. **Prosinec — dočistěte zbytky** a odeberte SMS a hlas z Authentication methods policy. Vypnout si to sami v řízeném termínu je vždy lepší než čekat, až to vypne Microsoft. Pokud potřebujete více času, dočasný opt-out je legitimní nástroj — ale k řízení přechodu, ne k odložení rozhodnutí. Po 1. 2. 2027 už žádná varianta odkladu neexistuje. --- ## Chcete vědět, jak na tom je váš tenant? Zpracováváme **Analýzu připravenosti tenantu na passkeys**. Probíhá read-only, bez jakéhokoli zásahu do vašeho prostředí, a veškerá data zůstávají ve vašem Microsoft 365 tenantu. Výstupem je dokument, který obsahuje: - Seznam uživatelů, kterým 1. 2. 2027 hrozí zablokované přihlášení, s rozdělením na skutečně rizikové a formálně dotčené - Analýzu Authentication methods policy, stavu registrační kampaně a případných zbytků legacy MFA nastavení - Kontrolu break-glass účtů a závislostí SSPR na telefonních metodách - Návrh passkey profilů podle segmentů uživatelů, včetně nastavení attestation a AAGUID - Doporučení pro Conditional Access a authentication strength - Odhad počtu a nákladů hardwarových klíčů - Roadmapu s termíny do 31. 12. 2026 a komunikační šablony pro uživatele v češtině, slovenštině a angličtině **Máte dotaz nebo chcete analýzu objednat?** Napište nám na [support@malachis.eu] nebo použijte kontaktní formulář. --- *Článek vychází z oznámení Microsoftu MC1426371 a navazující dokumentace na Microsoft Learn, stav k 1. 8. 2026. Termíny a technické detaily Microsoft může upravit; doporučujeme ověřit aktuální stav v [dokumentaci](https://learn.microsoft.com/entra/identity/authentication/concept-sms-voice-retirement).*