Ministerie van Binnenlandse Zaken voert verplichte multi-factor authenticatie in en stapt af van Level 2-gebruikers in het Sponsor Management Systeem

Het Home Office heeft versie 08/26 van de richtlijnen voor Werkgevers en Tijdelijke Werkgevers gepubliceerd – de meest ingrijpende herziening sinds de hervorming van het sponsorschap in 2020. Vanaf 3 september 2026 wordt voor alle organisaties met een sponsorlicentie multi-factor authenticatie (MFA) verplicht voor alle gebruikers van het online Sponsor Management System (SMS). Nieuwe sponsorlicenties die vanaf 9 september worden toegekend, hebben MFA standaard ingeschakeld, en het departement verwacht dat in november 100% van de gebruikers MFA gebruikt.

Tegelijkertijd wordt de ooit populaire rol van ‘Level 2 User’ – vaak toegewezen aan junior HR-medewerkers of externe adviseurs voor routinematige taken rondom de Certificate of Sponsorship (CoS) – gefaseerd uitgefaseerd. Bedrijven mogen geen nieuwe Level 2-gebruikers meer aanstellen en alle bestaande accounts moeten uiterlijk 8 maart 2027 worden geüpgraded of gedeactiveerd. Licenties zonder actieve Level 1-gebruiker door slapende accounts worden automatisch geschorst, tenzij binnen 28 dagen een vervanger wordt aangewezen.

Hoewel dit op het eerste gezicht een cyberbeveiligingsmaatregel is, markeren de veranderingen een cultuurverschuiving: het beheer van het SMS is nu onlosmakelijk verbonden met immigratiecompliance. Verliest een Level 1-gebruiker bijvoorbeeld de toegang tot zijn telefoon voor MFA, dan kan de werkgever de verplichte melding van wijzigingen in het dienstverband van een migrant binnen 10 dagen missen, wat kan leiden tot downgrades of zelfs intrekking van de licentie.



De richtlijnen verduidelijken echter dat licenties die alleen worden ingetrokken vanwege inactieve gebruikersaccounts niet de gebruikelijke wachttijd van 12 maanden hoeven te doorlopen voordat een nieuwe aanvraag kan worden ingediend.

Werkgevers worden dringend geadviseerd direct actie te ondernemen. Ten eerste: audit alle SMS-gebruikers en verwijder of upgrade Level 2-accounts. Ten tweede: zorg dat minimaal twee getrainde Level 1-gebruikers beschikken over actuele contactgegevens en back-up authenticatiemethoden. Ten derde: verwerk SMS-toegangscontroles in maandelijkse HR-compliancechecks.

Grote multinationals zullen mogelijk interne beleidsregels over taakverdeling en cyberrisico’s moeten bijwerken en noodplannen voor CoS-toewijzingen buiten kantooruren moeten herzien. Voor global mobility managers is de boodschap helder: behandel het SMS als een cruciaal bedrijfssysteem. Integreer MFA in de werkprocessen, zorg voor een robuuste bezetting van Level 1-taken en informeer het senior management dat immigratiecompliance nu ook IT-credentials omvat.

Vroege gebruikers melden dat de installatie minder dan vijf minuten per gebruiker kost, maar uren aan stress bespaart tijdens audits van het Home Office.