--- title: Koniec SMS a hlasového overovania v Microsoft Entra ID: čo stihnúť do konca roka 2026 description: Microsoft ruší vlastné doručovanie SMS a hlasových hovorov pre MFA. Od 1. 2. 2027 nebude SMS ani hlas natívnou súčasťou Entra ID. Čo to znamená pre váš tenant a prečo migráciu nenechávať na január. url: https://www.malachis.eu/sk-SK/news/entra-sms-retirement published: 2026-08-01 modified: 2026-08-14 --- # Koniec SMS a hlasového overovania v Microsoft Entra ID: čo stihnúť do konca roka 2026 **V skratke:** Microsoft ruší vlastné doručovanie SMS a hlasových hovorov pre dvojfaktorové overenie. Od **1. septembra 2026** sa passkeys stávajú predvolenou metódou prihlásenia v Microsoft Entra ID, od **1. februára 2027** už SMS a hlas nebudú nativnou súčasťou služby. Kto do tej doby nemigruje, bude si musieť kúpiť vlastného telekomunikačného operátora cez Microsoft Security Store — inak jeho užívatelia narazia na blokujúcu výzvu na registráciu passkey. **Odporúčame mať migráciu hotovú do 31. 12. 2026.** > **Zdroj oznámenia:** Message center MC1426371 · [Microsoft Learn: Passkeys by default and retirement of Microsoft-provided SMS and voice authentication](https://learn.microsoft.com/entra/identity/authentication/concept-sms-voice-retirement) · [Microsoft Security Blog, 13. 7. 2026](https://www.microsoft.com/en-us/security/blog/2026/07/13/microsoft-entra-id-security-updates-passkeys-are-the-default-authentication-method-in-entra-id/) --- ## Čo sa mení a kedy | Dátum | Čo sa stane | | --- | --- | | **1. 9. 2026** | Začína postupný rollout do tenantov. Užívateľom, ktorí majú povolenú SMS alebo hlas, sa automaticky zapnú passkeys. Registration Campaign sa prepne do stavu *Microsoft-managed* a začne cieliť na passkeys. Výzva na registráciu sa dá zatiaľ preskočiť. | | **18. 9. 2026** | Microsoft zverejní detaily k zákaznícky spravovaným telekomunikačným operátorom v Microsoft Security Store. | | **30. 10. 2026** | Zákazníci si môžu začať vyberať a konfigurovať vlastného telekomunikačného operátora. | | **1. 2. 2027** | SMS a hlas poskytované Microsoftom sú zrušené. Výzva na registráciu passkey sa stáva **blokujúcou** — užívateľ sa bez nej neprihlási. | Do 1. februára 2027 je k dispozícii **dočasný opt-out**, ktorým sa dá odložiť automatické zapnutie passkeys a registračná kampaň. Pre samotné vypnutie SMS a hlasu k 1. 2. 2027 žiadny opt-out neexistuje. --- ## Prečo to nie je len technická drobnosť ### 1. Zachovať SMS znamená nového dodávateľa a novú nákladovú položku — to nechcete Dnes je SMS overenie súčasťou licencie. Po 1. 2. 2027 už nie. Kto si SMS chce udržať, podpisuje zmluvu s telekomunikačným operátorom cez Microsoft Security Store — platí sa za správu, s cenou podľa operátora a regiónu. K tomu patrí onboarding dodávateľa, zmluva o spracovaní osobných údajov a posúdenie podľa GDPR. Inými slovami: budete platiť a administrovať navyše za to, aby ste si udržali najslabšiu dostupnú metódu overenia. Migrácia na passkeys naproti tomu nestojí nič navyše — passkeys sú vo všetkých plánoch Entra. ### 2. SMS a hlas sú dnes prakticky prelomiteľné, nielen sociálnym inžinierstvom Útočník nepotrebuje vašu databázu hesiel. Stačí phishingová sada typu adversary-in-the-middle, ktorá odchytí jednorazový kód v reálnom čase, výmena SIM u operátora, alebo automatizovaný bot, ktorý kód vylúdi telefonátom. Passkeys sú proti phishingu odolné konštrukčne: privátny kľúč neopustí zariadenie a credential je viazaný na konkrétnu domenu, takže sa na podvrhnutej stránke nedá použiť. ### 3. Regulatórny kontext sa zbehol na rovnakom termíne Novela zákona č. 69/2018 Z. z. o kybernetickej bezpečnosti (zákon č. 366/2024 Z. z.), účinná od 1. 1. 2025, a nadväzujúca vyhláška NBÚ č. 227/2025 Z. z. o bezpečnostných opatreniach radia viacfaktorové overenie medzi povinné technické opatrenia. Ak riešite NIS2 compliance a súčasne máte MFA postavené na telefónnych číslach, sú to dva projekty, ktoré sa vyplatí spojiť do jedného. ### 4. Vaši zákazníci sa na to začnú pýtať Bezpečnosť dodávateľského reťazca je jednou z noviniek NIS2. V dodávateľských dotazníkoch sa otázka na phishing-resistant MFA objavuje štandardne. Odpoveď „SMS kódy“ začína byť problém pri obhajobe kontraktu, nie len v bezpečnostnom audite. ### 5. Blokujúca výzva vo februári nie je scenár, ktorý chcete riadiť ad hoc 1. februára 2027 sa užívatelia, ktorí nemajú inú metódu, neprihlásia, dokým si passkey nezaregistrujú — na zariadení, ktoré na to musí byť spôsobilé, a s podporou, ktorú im musí niekto poskytnúť. To je zvládnuteľný projekt v novembri a helpdeskový incident vo februári. --- ## Tri pasti, na ktoré sa bežne zabúda **SSPR.** Passkey sa **nedá použiť** na samoobslužný reset hesla. Ak dnes máte SSPR postavené na SMS alebo hlase, migrácia na passkeys túto dieru nezacelí — na reset hesla potrebujete inú metódu (Microsoft Authenticator, e-mail, bezpečnostné otázky). Toto je najčastejšie prehliadaná časť celej migrácie. **Havarijné (break-glass) účty.** Núdzové administrátorské účty mávajú ako záložnú metódu uložené telefónne číslo. Tie je nutné previesť na FIDO2 hardvérové kľúče uložené fyzicky v trezore — a otestovať, že prihlásenie s nimi skutočne funguje, skôr ako ich budete potrebovať. **Zdieľané a prevádzkové zariadenia.** Výroba, sklad, kasy, terénni pracovníci, užívatelia bez firemného telefónu. Tu synchronizovaný passkey v správcovi hesiel nepomôže. Riešením je FIDO2 hardvérový kľúč — a ten sa musí objednať, rozdať a zaevidovať. --- ## Čo odporúčame: FIDO2, ale nie pre všetkých rovnako Passkey je credential podľa štandardu **FIDO2**. Entra ID podporuje dva typy a rozdiel medzi nimi je pre návrh kľúčový: - **Device-bound passkeys** — privátny kľúč nikdy neopustí zariadenie. Patria sem FIDO2 hardvérové kľúče, Windows Hello for Business, Entra passkey na Windows a device-bound passkey v Microsoft Authenticatore. Podporujú attestation, takže sa cez AAGUID dajú vynútiť konkrétne schválené modely. - **Synchronizované passkeys** — kľúč sa šifrovane synchronizuje medzi zariadeniami užívateľa (iCloud Keychain, Google Password Manager, 1Password, Bitwarden). Podstatne nižšie náklady na obnovu a znovuvydanie, ale **attestation nepodporujú** — ak ju v profile vynútite, synchronizované passkeys sa automaticky vylúčia. Naša odporúčaná segmentácia: | Segment | Odporúčanie | | --- | --- | | **Privilegované účty** (Global Administrator, Privileged Role Administrator a i.) | FIDO2 hardvérové kľúče, iba device-bound, vynútená attestation, allow-list AAGUID. Dva kľúče na osobu — primárny a záložný. | | **Kancelárski užívatelia s firemným Windows zariadením** | Entra passkey na Windows / Windows Hello for Business ako primárna metóda, device-bound passkey v Authenticatore ako mobilný doplnok. | | **BYOD, externisti, užívatelia bez firemného zariadenia** | Synchronizované passkeys v samostatnom passkey profile bez attestation. | | **Zdieľané a prevádzkové zariadenia** | FIDO2 hardvérové kľúče, zdieľané alebo pridelené na zmenu. | Od marca 2026 sú všeobecne dostupné **passkey profily** — konfigurácia už nie je nastavenie pre celý tenant, ale sada pravidiel cielená na skupiny. Túto segmentáciu sa teda dá skutočne nasadiť, nie len naplánovať. Vynútenie potom riešte cez Conditional Access a authentication strength, nie len odporúčaním v e-maile. --- ## Plán do 31. 12. 2026 Prečo do konca roka, a nie do februára? Microsoft sám odporúča dokončiť prechod minimálne štyri týždne pred vynútením. Decembrové zmenové mrazy plus januárová dovolenková kapacita helpdesku robia z januára najhorší možný mesiac na túto prácu. 1. **Do konca augusta — zistite rozsah.** Kto má povolenú SMS/hlas v Authentication methods policy, kto má reálne registrované telefónne číslo a kto nemá žiadnu inú metódu. Toto sú tri rôzne čísla. Nezabudnite na legacy MFA nastavenia a na SSPR. Microsoft na to publikoval PowerShell skript *Entra SMS/Voice Policy Scanner*. 2. **September — rozhodnite smer.** Migrácia na passkeys, alebo nákup telekomunikačného operátora? Pre väčšinu organizácií na Slovensku a v ČR je odpoveďou migrácia; operátor má zmysel len tam, kde konkrétna regulácia alebo prevádzková realita telefónne overenie skutočne vyžaduje. 3. **September–október — navrhnite passkey profily** podľa segmentácie vyššie, otestujte ich na pilotnej skupine a objednajte hardvérové kľúče. Dodacie lehoty ku koncu roka nie sú nulové. 4. **Október–november — komunikujte a nasadzujte.** Registračnú kampaň cielenú na bezpečnostnú skupinu užívateľov so SMS/hlasom, nie na všetkých naraz. Pripravte návod podľa typu zariadenia a informujte helpdesk skôr, ako začnú chodiť dotazy. 5. **December — dočistite zvyšky** a odoberte SMS a hlas z Authentication methods policy. Vypnúť si to sami v riadenom termíne je vždy lepšie ako čakať, kým to vypne Microsoft. Ak potrebujete viac času, dočasný opt-out je legitímny nástroj — ale na riadenie prechodu, nie na odloženie rozhodnutia. Po 1. 2. 2027 už žiadna varianta odkladu neexistuje. --- ## Chcete vedieť, ako je na tom váš tenant? Spracovávame **Analýzu pripravenosti tenantu na passkeys**. Prebieha read-only, bez akéhokoľvek zásahu do vášho prostredia, a všetky dáta zostávajú vo vašom Microsoft 365 tenante. Výstupom je dokument, ktorý obsahuje: - Zoznam užívateľov, ktorým 1. 2. 2027 hrozí zablokované prihlásenie, s rozdelením na skutočne rizikových a formálne dotknutých - Analýzu Authentication methods policy, stavu registračnej kampane a prípadných zvyškov legacy MFA nastavení - Kontrolu break-glass účtov a závislostí SSPR na telefónnych metódach - Návrh passkey profilov podľa segmentov užívateľov, vrátane nastavenia attestation a AAGUID - Odporúčania pre Conditional Access a authentication strength - Odhad počtu a nákladov hardvérových kľúčov - Roadmapu s termínmi do 31. 12. 2026 a komunikačné šablóny pre užívateľov v slovenčine, češtine a angličtine **Máte otázku alebo chcete analýzu objednať?** Napíšte nám na [support@malachis.eu](mailto:support@malachis.eu) alebo použite kontaktný formulár. --- *Článok vychádza z oznámenia Microsoftu MC1426371 a navazujúcej dokumentácie na Microsoft Learn, stav k 1. 8. 2026. Termíny a technické detaily môže Microsoft upraviť; odporúčame overiť aktuálny stav v [dokumentácii](https://learn.microsoft.com/entra/identity/authentication/concept-sms-voice-retirement).*