Windows Server 2016のサポート終了は2027年1月12日｜法人のESU費用と「Azureなら無償」の誤解・SQL Server 2016との連鎖と移行までの守り方【中小企業向け】
社内にファイルサーバーや業務システムのサーバーがある会社にとって、2027年1月12日は無視できない日付です。この日で Windows Server 2016 の延長サポートが終了し、セキュリティ更新プログラムの配布が止まります。
結論から言うと、中小企業が取るべき現実的な進め方は「まずサーバーを全数棚卸しし、2026年内に移行方式と予算を決める。どうしても間に合わないサーバーだけを、仮想パッチとネットワーク分離で暫定的に守る」です。ESU（延長セキュリティ更新）は最後の手段であって、第一候補にはなりません。
しかも今回は Windows Server 2016 だけの話ではありません。SQL Server 2016 はすでに2026年7月14日にサポートが終了しており、Exchange Server 2016／2019 も2025年10月14日に終了済みです。同じ1台のサーバーの上で、OS・データベース・メール基盤の期限が重なって切れていく、というのが実際に起きていることです。
この記事では、期限の全体像、ESUの費用と「Azureなら無償」という誤解、SQL Server 2016との連鎖、移行の選択肢と費用、そして移行が間に合わないサーバーをどう守るかまでを、中小企業の目線でまとめて解説します。
Windows Server 2016のサポートはいつ終わる？
Windows Server 2016 は、メインストリームサポートがすでに2022年1月11日に終了しており、現在は延長サポート期間中です。その延長サポートが 2027年1月12日 に終了します。
関連する製品の期限とあわせると、次のようになります。
| 製品 | サポート終了日 | 2026年8月時点の状況 |
|---|---|---|
| Windows Server 2016 | 2027年1月12日 | あと約5か月。有償ESUを最大3年まで購入可能 |
| SQL Server 2016 | 2026年7月14日 | 終了済み（更新は配布されていない） |
| Exchange Server 2016／2019 | 2025年10月14日 | 終了済み |
| Windows 10（一般法人向け） | 2025年10月14日 | 終了済み。ESU1年目が2026年10月13日まで |
| Windows 10 Enterprise LTSB 2016 | 2026年10月13日 | あと約2か月。ESU初年度は1台61米ドル |
| Office 2021 | 2026年10月13日 | あと約2か月。ESUの仕組み自体がない |
つまり、多くの中小企業では「クライアントPCの期限（2026年10月）」と「サーバーの期限（2027年1月）」が3か月違いで連続してやってきます。PC側の対応で手一杯になり、サーバーが後回しになるのが、いま最も起きやすい失敗です。
▶ 関連記事：Windows 10のESU（延長サポート）1年目が2026年10月13日に終了｜法人向けの費用・「無料延長」の誤解とWindows 11移行
なぜ「サーバー」の期限はPCより深刻なのか？
PCは1台ずつ入れ替えられますが、サーバーはそうはいきません。理由は3つあります。
- 止められない：ファイルサーバーや業務システムのサーバーが止まると、その瞬間に全社の業務が止まります。切り替えは営業時間外や連休に限られ、作業できる日が年に数回しかありません。
- 1台に複数の役割が乗っている：ファイル共有・Active Directory（社内のIDとパスワードを管理する仕組み）・業務ソフト・データベースが1台に同居していることが多く、1つ動かすと全部に影響します。
- 業務ソフト側の都合に縛られる：販売管理や会計のパッケージソフトが「Windows Server 2019まで対応」といった制約を持っていると、OSだけ新しくすることができません。ソフトのバージョンアップとセットになり、費用も期間も一気に膨らみます。
この3つがあるため、サーバーの移行は「決めてから終わるまで」に半年前後かかるのが普通です。2027年1月が期限なら、動き出す時期は2026年の夏から秋、つまり今この瞬間ということになります。
サポートが終わると、具体的に何が起きる？
「更新が止まるだけで、今日から動かなくなるわけではない」——それは事実です。ただし、動くことと安全に使えることは別の話です。
新しく見つかった穴が、永久にふさがらない
サポート終了後に Windows Server 2016 の脆弱性（プログラムの弱点）が見つかっても、修正プログラムは配布されません。攻撃者は「サポートが切れたOS」を狙い撃ちにします。修正されないことが分かっているため、一度成立した攻撃手法をいつまでも使い回せるからです。
とくにサーバーは、社内の共有フォルダと業務データが集まっている場所です。ランサムウェア（データを暗号化して身代金を要求する攻撃）に狙われた場合、PC1台の感染とは被害の桁が違います。
▶ 関連記事：ランサムウェアとは？感染したら会社はどうなるか具体的に解説
サイバー保険が使えなくなることがある
見落とされがちですが、実務上いちばん怖いのはここです。サイバー保険の約款には、「メーカーのサポートが終了したOSやソフトウェアを業務に使っていたことに起因する事故」を免責（＝保険金を支払わない）とする条項が置かれていることがあります。
つまり、サポート切れのサーバーが原因で事故が起きた場合、「保険に入っているから大丈夫」が通用しなくなる可能性があります。対策費用を惜しんだ結果、被害額を全額自社で負担することになりかねません。実際の免責範囲は保険会社と約款によって異なるため、加入中のサイバー保険がある場合は、この機会に免責条項を確認しておくことを強くおすすめします。
▶ 関連記事：サイバー保険は本当に必要？補償範囲・保険料相場・選び方を徹底解説
取引先の監査やISMSで指摘される
大手企業との取引や、ISMS・Pマークの審査では、「サポート切れの機器・OSを業務に使っていないか」がほぼ必ず確認されます。サポート切れのサーバーが残っていると、是正を求められたり、取引条件の見直しにつながったりすることがあります。
▶ 関連記事：取引先から「セキュリティ対策の証明を求められた」ときの対応法
業務ソフトやクラウドサービス側が対応しなくなる
攻撃を受けなくても、じわじわ効いてくるのがこれです。業務ソフトの新しいバージョンが Windows Server 2016 に対応しなくなる、クラウドサービスとの連携が切られる、といった形で、「攻撃されていないのに使えない機能が増えていく」状態になります。
ESU（延長セキュリティ更新）は使える？
使えます。マイクロソフトは2026年2月に、Windows Server 2016 を含む3製品へのESU提供を発表しました。ESUは、サポート終了後も有償でセキュリティ更新だけを受け取れる仕組みです。
| 項目 | 内容 |
|---|---|
| 対象 | Windows Server 2016（ほかに Windows 10 Enterprise LTSB 2016、Windows 10 IoT Enterprise 2016 LTSB） |
| 提供される更新 | 「緊急」「重要」と評価されたセキュリティ更新のみ・月次 |
| 購入単位 | 1年単位。年度をまたいで飛ばして買うことはできない |
| 最長期間 | 最大3年間（連続購入が条件） |
| 購入方法 | ボリュームライセンス、または CSP（マイクロソフトのクラウド販売パートナー）経由 |
| 価格 | 2026年8月時点で未公表（「数か月以内に発表予定」とされたまま） |
| 位置づけ | 移行が間に合わない場合の延命措置。恒久的な対策ではない |
ESUに含まれないもの
ESUを買っても、次のものは提供されません。「サポートを延長した」つもりで契約すると期待とずれます。
- 新機能の追加
- セキュリティ以外の品質更新・不具合修正
- Windows Server 2016 そのものの一般的な技術サポート（別途サポート契約が必要）
- 「緊急」「重要」に満たないレベルの脆弱性の修正
ESUは「買いたくても買えない」ことがある
見落とされやすいのが、ESUには購入の前提条件が付くことがあるという点です。
ひとつ前の世代である Windows Server 2012 のESUでは、オンプレミスのサーバーで受け取る場合、Azure Arc（社内のサーバーをAzureの管理画面から一元管理できる仕組み）に登録してキーレスで配信を受けるか、MAKキー（複数台をまとめて認証するためのライセンスキー）を使って有効化する、という手順が必要でした。さらに Azure Arc 経由での提供には、ソフトウェアアシュアランス（SA）またはサーバーサブスクリプションの契約が前提とされていました。
SAを契約していない中小企業は少なくありません。Windows Server 2016 のESUについても同様の前提条件が付く場合、「お金を払う気はあるのに、そもそもESUを買える立場にない」という事態が起こり得ます。配信方式と前提条件は2026年8月時点で公表されていないため、ESUを当てにした計画を立てる前に、販売パートナーへ「自社の契約形態でESUを購入できるか」を必ず確認してください。ここを確認しないまま2027年1月を迎えるのが、最悪のパターンです。
ESUの費用はいくらかかる？
冒頭の表のとおり、Windows Server 2016 のESU価格は2026年8月時点でまだ公表されていません。同時に発表された Windows 10 Enterprise LTSB 2016 のESUは、初年度が1台あたり61米ドル（Intune／Autopatchで管理している端末は45米ドル）、以後は年ごとに倍増する設定です。
サーバー向けのESUは、過去の提供実績から「1年目はライセンス価格の約75％、2年目は約100％、3年目は約125％」という価格設計が使われてきました。この考え方をStandardエディション16コアに当てはめた場合の試算は、次のような水準になります。
| 年次 | 価格の考え方 | サーバー1台あたりの目安（試算） |
|---|---|---|
| 1年目（2027年1月〜） | ライセンス価格の約75％ | 年 25万〜40万円 |
| 2年目（2028年1月〜） | ライセンス価格の約100％ | 年 33万〜53万円 |
| 3年目（2029年1月〜） | ライセンス価格の約125％ | 年 42万〜67万円 |
| 3年間の合計 | —— | 1台あたり 約100万〜160万円 |
※上記はあくまで過去の価格設計から逆算した試算であり、マイクロソフトが公表した Windows Server 2016 の正式価格ではありません。エディション・コア数・購入経路によって変動します。
「価格が未公表」であること自体が、判断材料になる
ESUの価格が公表されていないということは、来期の予算に正確な金額を載せられないということです。サポート終了まで残り5か月の時点でこの状態なので、「ESUを買って様子を見る」という選択は、経営判断としては成立しにくくなっています。先に移行方式と予算を決め、ESUは「どうしても間に合わない台数分だけを買う保険」として位置づけるのが現実的です。
「Azureに載せればESUは無償」は本当？
これは、Windows Server 2016 では通用しません。ここは多くの解説記事が古い情報のままになっている部分なので、注意が必要です。
Windows Server 2012 の時代は、Azure上で動かしていればESUが無償で提供されました。そのため「とりあえずAzureに持っていけばタダで延命できる」という理解が広まりました。ところが2026年3月27日、マイクロソフトは方針を変更し、2026年4月1日以降にリリースされる Windows および SQL Server のESUは、Azure上でもオンプレミスと同額の有償になると発表しました。
結果として、すでにAzure上で Windows Server 2016 を動かしている場合も、2027年1月12日までに「有償ESUを買う」「OSをアップグレードする」「PaaS／SaaSに作り替える」のいずれかを選ぶ必要があります。クラウドに載っているから安全、ということはありません。
SQL Server 2016やExchange Serverはどうなっている？
Windows Server 2016 の話だけで対応計画を立てると、足をすくわれます。同じ時期に、その上で動いているソフトの期限も切れているからです。
SQL Server 2016 は2026年7月14日に終了済み
SQL Server 2016 の延長サポートは、2026年7月14日にすでに終了しています。この記事の公開時点で、修正プログラムはもう配布されていません。
問題は、SQL Serverが単体で使われることは少ない、という点です。販売管理・会計・人事給与・生産管理といった業務パッケージは、同梱または前提のデータベースとして SQL Server の上で動いているものが多く、2016年〜2020年ごろに導入したパッケージであれば、2016世代のデータベースが現役で残っている可能性が高くなります。
そしてデータベースの更改は、入れ替えるだけでは終わりません。パッケージ側の対応バージョン確認 → アプリ改修 → データ移行 → 業務テストが連鎖するため、リードタイムは月単位になります。OSより先に、こちらの確認から始めたほうが安全です。
Exchange Server 2016／2019 は2025年10月14日に終了済み
社内にメールサーバーを立てている場合、Exchange Server 2016／2019 は2025年10月14日にすでにサポートが終了しています。メールサーバーは外部に公開されているため、放置すると社外から直接狙われる入口になります。該当する場合は、Windows Server 2016 よりも優先度が高い案件として扱ってください。
Microsoft 365（Exchange Online）への移行が一般的な選択肢ですが、その場合はメールの保護をクラウド側で作り直す必要があります。
▶ 関連記事：法人向けメールセキュリティの選び方｜クラウド型・ゲートウェイ型・Microsoft 365標準の違いを比較
移行の選択肢はどれを選べばいい？
取れる道は大きく5つです。自社のサーバーの役割と、業務ソフトの制約で決まります。
| 選択肢 | 初期費用の目安 | ランニング | 次にサポートが切れる時期 |
|---|---|---|---|
| Windows Server 2022へ更改 | 200万〜400万円（ハード込み・環境規模による） | 低 | 2031年10月 |
| Windows Server 2025へ更改 | 同程度〜やや高（無停止パッチに対応） | 低 | 2034年10月 |
| Azure仮想マシンへ移行 | 低〜中（ハード購入が不要） | 月2.5万〜5万円 | 載せたOSの期限に従う |
| SaaS／PaaSへ作り替え | 低〜中（業務の見直しが必要） | 低 | 原則なし（提供元が更新） |
| ESUで延命 | 低（ただし価格未公表） | 年25万〜40万円（試算） | 最長2030年1月 |
中小企業でよくある落としどころは、「ファイルサーバーはクラウドストレージやSaaSに寄せて廃止し、どうしても社内に置く必要があるものだけを新しいサーバーに集約する」という組み合わせです。台数そのものを減らせるので、次の期限が来たときの負担も小さくなります。
なお Windows Server 2025 は、再起動せずに月次のセキュリティ更新を当てられる「Hotpatch」に対応しています。止められないサーバーが多い会社では、2022ではなく2025を選ぶ理由になります。
ESUで延命するのと入れ替えるのは、どちらが安い？
ここが経営判断の核心です。先ほどの試算を使って、「1台のサーバーを3年間どうするか」で比べてみます。
| 項目 | ESUで3年延命 | 新しいサーバーへ更改 | クラウド（Azure VM）へ移行 |
|---|---|---|---|
| 3年間の費用（1台あたり） | 約100万〜160万円（試算） | ライセンス約12万〜13万円／16コア＋ハード・移行費 | 月2.5万〜5万円＝3年で約90万〜180万円 |
| 3年後に手元に残るもの | 何も残らない | 新しいサーバー資産（2031年／2034年まで使える） | いつでも最新OSに載せ替えられる環境 |
| 3年後の状態 | 2030年1月にまた同じ問題が起きる | 次の期限まで5〜8年の猶予 | ハードの寿命から解放される |
| セキュリティ | 「緊急」「重要」の更新のみ | 最新の防御機能が使える | 最新の防御機能が使える |
| 業務ソフトの対応 | 古いまま。新版が使えなくなっていく | 最新版に追随できる | 最新版に追随できる |
ESUで3年フルに延命すると、サーバーを1台入れ替えるのと同じか、それ以上の金額になります。しかも決定的な違いは、ESUは払っても資産が何も残らないことです。同じ金額を移行に使えば、その先5〜8年はサポートが続きます。ESUは「移行が間に合わない台数分を、1年だけ買う」という使い方が正解です。
移行が間に合わないサーバーは、どう守ればいい？
現実には、業務ソフトの都合でどうしても2027年1月に間に合わないサーバーが出ます。その場合は「祈る」のではなく、更新プログラムに頼らずに守る仕組みを入れます。選択肢は次の4つです。
| 打ち手 | できること | 限界 |
|---|---|---|
| 仮想パッチ（IPS／IDS） | OSに修正プログラムを当てなくても、脆弱性を突く通信をサーバーの手前で止める。サポート切れOSを守る中心の打ち手 | 攻撃を止めるだけで、OSの穴自体はふさがらない |
| ネットワーク分離 | 該当サーバーを別のセグメントに隔離し、通信できる相手を必要最小限に絞る | 業務上の通信は残るため、そこが経路になり得る |
| サーバー向けEDR＋SOC監視 | 侵入されたあとの不審な動きを検知し、専門チームが対応する | 侵入そのものは防げない。運用体制が必要 |
| バックアップの強化 | 暗号化・破壊されても業務データを戻せる。世代管理と隔離保管が前提 | 情報を盗まれること自体は防げない |
| 変更監視・ログ監視 | 重要ファイルや設定の書き換えを検知する | 検知後に人が判断する必要がある |
中心になるのは「仮想パッチ」
仮想パッチは、OS本体を修正せずに、脆弱性を狙う通信だけをネットワークの手前でブロックする仕組みです。たとえるなら、壁の穴をふさげないので、その手前に金網を張って通れなくするイメージです。
トレンドマイクロの Deep Security ／ Trend Vision One（Server & Workload Protection）は、この仮想パッチ機能が強い製品として、サポート切れOSが残る環境で長く使われてきました。サポート切れのサーバーを抱える会社にとって、移行までの数か月〜1年を安全に渡り切るための現実的な手段になります。
ただし仮想パッチはあくまで時間を買うための対策です。これを入れたことで移行を無期限に先送りしてよい、という意味ではありません。サイバー保険の免責や取引先監査の観点では、「サポート切れOSを使っている」という事実そのものが問題として扱われます。
▶ 関連記事：Trend Micro Deep Securityとは？ServerProtectとの違いと後継Trend Vision Oneへの移行
どのサーバーから手をつければいい？
全部を同時に動かすことはできません。「外から見えるもの」「止まると全社が止まるもの」から順に対応します。
- 外部に公開しているサーバー（Webサーバー、メールサーバー、VPN機器の内側にある公開系）——社外から直接攻撃されるため最優先。Exchange Server 2016／2019 はここに該当します。
- 認証基盤（Active Directory）——ここを取られると社内の全アカウントが乗っ取られます。
- ファイルサーバー——ランサムウェアの被害が最も大きく出る場所。
- SQL Serverが同居しているサーバー——SQL Server 2016 はすでにサポート終了済み。業務パッケージの対応確認に時間がかかるため、判断だけは早く。
- 業務アプリのバックエンド——ベンダーの対応バージョン確認が必要。
- 現場機器・計測機器につながっているサーバー——機器側が古いOSを要求することが多く、最後まで残りがち。ここが仮想パッチとネットワーク分離の出番になります。
サーバーを守る製品は何を選べばいい？
移行までのつなぎ、そして移行後の守りとして、サーバー向けのセキュリティ製品を用意します。中小企業で候補になりやすい4製品を、この記事の目的（サポート切れサーバーを守る）に沿って比較します。
| 項目 | トレンドマイクロ （Deep Security／Vision One） |
ESET Server Security | Sophos Endpoint （サーバー向け） |
SentinelOne データお守り隊 |
|---|---|---|---|---|
| 提供形態 | オンプレ／クラウド統合 | オンプレ／クラウド管理 | クラウド（Sophos Central） | クラウド＋SOC運用付き |
| 対応OS | Windows Server／Linux／仮想 | Windows Server／Linux／仮想 | Windows Server／Linux | Windows／Linux／Mac |
| 仮想パッチ（IPS） | ◎ 最も強い | ○ | ◎ エクスプロイト対策 | △（EDRで侵入後を検知） |
| 変更監視・ログ監視 | ◎ | ○ | ○ | ○ |
| EDR／XDR | ◎ Vision Oneで統合 | ○ 上位プランで対応 | ◎ XDR・MDR対応 | ◎ 標準搭載 |
| 24時間365日の監視 | オプション | オプション | Sophos MDRで対応 | ◎ 標準で付属 |
| サイバー保険 | — | — | — | 最大50万円が付帯 |
| 費用の目安（税別） | 台数・機能で変動（要見積り） | 1台 年23,000円〜 | 台数課金（要見積り） | 初期0円・1台 月1,000円〜 |
| 向いているケース | サポート切れサーバーが残る環境 | コストを抑えて基本を固めたい | PCとサーバーを1画面で管理したい | 情シスがいない・運用も任せたい |
| 詳細 | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
サポート切れのサーバーを抱えている状況なら、仮想パッチの強さで選ぶのが基本方針になります。一方、社内にIT担当者がいない、または1人しかいない場合は、検知したあとに動いてくれる人がいるかどうか（SOC付きかどうか）のほうが重要です。
なお、すでに Microsoft 365 Business Premium を契約している場合は、Microsoft Defender for Business のサーバー向け（サーバー1台 月約3ドル〜、60台以下が条件）を追加する方法もあります。ただし仮想パッチ相当の機能は持たないため、サポート切れOSの延命目的では力不足です。
▶ 関連記事：法人向けサーバーセキュリティソフトの選び方｜Windows/Linuxサーバーを守る製品比較と費用相場
サーバーの棚卸しはどうやればいい？
対応計画をつくる前に、「社内にどのOSのサーバーが何台あるか」を正確に把握する必要があります。ここが曖昧なまま見積もりを取ると、あとから「聞いていないサーバーが出てきた」で計画が崩れます。
数台であれば手作業でも足りますが、拠点が複数ある会社や、担当者が交代してきた会社では、IT資産管理ツールで自動的に洗い出すのが確実です。
| 項目 | LANSCOPE エンドポイントマネージャー | ISM CloudOne |
|---|---|---|
| 提供元 | エムオーテックス | クオリティソフト |
| 提供形態 | クラウド（SaaS） | クラウド（SaaS） |
| OS・バージョンの自動取得 | 対応 | 対応 |
| ソフトウェア資産・ライセンス管理 | 対応 | 対応 |
| 脆弱性・更新プログラムの把握 | 対応 | 自動脆弱性診断を搭載 |
| 初期費用（税別） | 30,000円／契約 | 30,000円 |
| 月額の目安（税別・1台） | ベーシック 500円〜（ライト 300円〜） | 基本機能 360〜600円 |
| 無料体験 | 60日間 | あり（要問い合わせ） |
| 詳細 | 詳細を見る | 詳細を見る |
棚卸しでは、最低限この5項目を1台ずつ埋めていきます。
- OSの種類とバージョン（Windows Server 2016 かどうか）
- そのサーバーが担っている役割（ファイル共有／AD／業務アプリ／データベース など）
- 上で動いている業務ソフトの名前とバージョン、対応OSの上限
- ハードウェアの購入時期と保守契約の期限
- 止められる時間帯（切り替え作業に使える窓）
▶ 関連記事：IT資産管理ツールの比較｜法人向けおすすめ製品と費用相場・クラウド型の選び方
移行の前後で、バックアップはどうしておく？
サーバー移行は、作業中が最も危険な瞬間です。設定を戻せない、データが欠ける、切り戻せない——このどれが起きても業務が止まります。移行前のフルバックアップと、切り戻し手順の確認はセットで必須です。
あわせて、移行後の平常時のバックアップも見直しておきます。ランサムウェア対策としては、バックアップを本番サーバーと同じ場所に置かないことが重要です。同じネットワーク上のNASにだけ保存していると、本番と一緒に暗号化されます。
| プラン | 月額（税別） | 年額（税別） |
|---|---|---|
| 100GBプラン | 3,000円 | 36,200円 |
| 500GBプラン | 12,500円 | 142,500円 |
| 1,000GBプラン | 20,000円 | 228,000円 |
※クラウドバックアップ powered by Acronis の料金です。Windows Server をはじめ20を超えるOSに対応し、契約容量の範囲内なら台数の制限なく利用できます。機能制限のない30日間の評価版があります。 詳細を見る
▶ 関連記事：バックアップの基本「3-2-1ルール」とは
費用は補助金で抑えられる？
サーバーの入れ替えやクラウド移行は、中小企業にとって数十万円〜数百万円の投資になります。デジタル化・AI導入補助金2026（旧・IT導入補助金）を使えるケースがあるため、見積もりと並行して確認する価値があります。
- 補助額は最大450万円、補助率は原則2分の1（小規模事業者は要件を満たすと最大5分の4）
- 交付申請までに SECURITY ACTION の自己宣言ID が必要
- 申請には GビズID（プライムまたはメンバー）が必要
- 登録された IT導入支援事業者 を通じて申請する
注意点が2つあります。1つ目は、サーバー本体などのハードウェアが補助対象になるかどうかは、申請する枠と年度によって扱いが変わることです。「必ず補助が出る」という前提で計画を組むのは危険なので、必ず最新の公募要領を確認してください。2つ目は締切から逆算する必要があることです。交付決定の前に発注してしまうと補助対象外になります。2027年1月の期限に間に合わせるには、申請と発注の順番を先に設計しておく必要があります。
▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ
▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方
いつまでに、何をすればいい？
2027年1月12日から逆算すると、余裕はほとんどありません。目安は次のとおりです。
| 時期 | やること | 遅れるとどうなる |
|---|---|---|
| 2026年8〜9月 | サーバーの全数棚卸し。OS・役割・業務ソフト・保守期限を1台ずつ確認 | 見積もりが取れず、予算化に進めない |
| 2026年9〜10月 | 移行方式の決定と予算化。補助金を使うなら申請スケジュールを逆算 | 次年度予算に載せられず、実行が1年ずれる |
| 2026年10〜11月 | 業務ソフトベンダーへの対応バージョン確認と互換性の検証 | 直前に「そのOSでは動かない」が判明する |
| 2026年11〜12月 | テスト環境での移行リハーサルと、切り戻し手順の確認 | ぶっつけ本番になり、業務停止のリスクが上がる |
| 2026年12月〜2027年1月 | 本番移行（年末年始の停止できる時間帯を使う） | 期限を超過し、無防備な状態で稼働することになる |
| 間に合わない分 | ESUの購入、または仮想パッチ＋ネットワーク分離で暫定防御 | 更新も防御もない状態で放置される |
とくに業務ソフトベンダーへの確認は、想像以上に時間がかかります。同じ時期に全国の顧客から同じ問い合わせが集中するためです。「まだ先の話」と思っている間に、ベンダー側の対応枠が埋まっていきます。まずは1本電話を入れるところから始めてください。
▶ 関連記事：Windows Updateを放置していませんか？パッチ管理の重要性
▶ 関連記事：社内の古いPCがサイバー攻撃の入り口になる理由
よくある質問
Q. 2027年1月13日になったら、サーバーは動かなくなりますか？
A. いいえ、動かなくなることはありません。止まるのは「セキュリティ更新プログラムの配布」です。ただし、その日以降に見つかった脆弱性は永久に修正されないため、時間が経つほど危険度が上がっていきます。「動いているから大丈夫」と「安全に使える」は別の話だとお考えください。
Q. サーバーが1台だけでもESUは買えますか？
A. 買えます。ただし価格は2026年8月時点で未公表です。また、1年目を買わずに2年目から買うことはできません（連続購入が条件）。1台だけであれば、ESUの費用と新しいサーバーへの入れ替え費用を比べると、入れ替えたほうが結果的に安くなるケースが多くなります。
Q. ESUは、買おうと思えばすぐ買えますか？
A. すぐに買えるとは限りません。前の世代（Windows Server 2012）のESUでは、Azure Arcへの登録や、ソフトウェアアシュアランス（SA）などの契約が前提とされていました。Windows Server 2016 のESUについても配信方式と前提条件はまだ公表されていないため、自社の契約形態でそもそも購入できるのかを、先に販売パートナーへ確認しておくことが重要です。
Q. Azureに移せばESUは無償になりませんか？
A. Windows Server 2016 ではなりません。2026年3月27日の方針変更により、2026年4月1日以降にリリースされるESUは、Azure上でもオンプレミスと同額の有償になりました。Windows Server 2012 のときの「Azureなら無償」という情報が今も残っていますが、今回は当てはまりません。
Q. 業務ソフトが新しいOSに対応していない場合はどうすればいいですか？
A. まずベンダーに「対応版の提供予定」と「対応版の費用」を確認してください。対応版が出ない場合は、別の製品への乗り換えか、当該サーバーだけを仮想パッチとネットワーク分離で守りながら段階的に移行する、という進め方になります。いずれにしても判断に時間がかかるため、確認だけは今すぐ動くことをおすすめします。
Q. SQL Server 2016はすでに終了していますが、今から何をすべきですか？
A. 該当するサーバーを特定し、その上で動いている業務パッケージのベンダーに「対応しているSQL Serverのバージョン」を確認するのが最初の一歩です。すでに無防備な状態なので、移行が決まるまでの間は、そのサーバーへの通信を必要最小限に絞る（ネットワーク分離）ことを先に実施してください。
Q. IT担当者がいない会社でも移行できますか？
A. 棚卸しと業務ソフトの確認までは社内で進め、設計と移行作業は外部に任せる形が現実的です。移行後の監視についても、SOC付きのサービスを選べば「入れたあとの運用」を社内で抱えずに済みます。アーデントでは、棚卸しから移行方式の選定、補助金の活用、移行後のセキュリティ運用までをまとめてご相談いただけます。
Q. サポート切れのサーバーがあると、サイバー保険はどうなりますか？
A. 保険会社と約款によりますが、「メーカーサポートが終了したOSの業務利用に起因する事故」を免責とする条項が置かれていることがあります。この場合、事故が起きても保険金が支払われない可能性があります。加入中の保険がある場合は、更新のタイミングで免責条項を確認しておいてください。
まとめ
Windows Server 2016 の延長サポートは 2027年1月12日 に終了します。
あわせて SQL Server 2016 は2026年7月14日、Exchange Server 2016／2019 は2025年10月14日にすでにサポートが終了しており、1台のサーバーの上で複数の期限が重なって切れていく状況です。
ESU（延長セキュリティ更新）は最大3年まで購入できますが、価格は2026年8月時点でまだ公表されていません。
過去の価格設計から試算すると3年間で1台あたり約100万〜160万円となり、サーバーを1台入れ替えるのと同等かそれ以上の金額になります。しかもESUには資産が何も残りません。
また、Windows Server 2012 の時代に成立していた「Azureに載せればESUは無償」は、2026年3月27日の方針変更によりWindows Server 2016 では通用しなくなりました。
いま取るべき順番は、①サーバーの全数棚卸し、②移行方式の決定と予算化、③業務ソフトベンダーへの対応確認、④テストと本番移行、です。
どうしても間に合わないサーバーだけを、仮想パッチ（IPS）とネットワーク分離で暫定的に守り、そのうえで移行を完了させる——これが現実的な着地点になります。
費用面では、デジタル化・AI導入補助金2026を活用できる場合があります。ただし交付決定の前に発注すると対象外になるため、2027年1月の期限に間に合わせるには、申請と発注の順番を先に設計しておく必要があります。
アーデントでは、サーバーの棚卸しから移行方式の選定、移行までのつなぎとなるセキュリティ対策、補助金の活用、移行後の運用までをまとめてご支援しています。「うちのサーバーは何台が該当するのか分からない」という段階からで構いませんので、お気軽にご相談ください。
▶ 関連記事：脆弱性診断・脆弱性管理サービスの費用相場と選び方
▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方
▶ 関連記事：法人向けセキュリティソフトの料金・月額相場はいくら？費用の内訳と補助金で抑える方法