TPM 2.0 a Windows 11: jak zjistit, jestli ho máte, a proč na něm záleží

„Tento počítač nesplňuje minimální systémové požadavky pro spuštění Windows 11.” Vedle té hlášky se skoro vždycky objeví tři písmena — TPM. Následuje půlhodina hledání na internetu, ze které vypadne závěr, že se musí koupit nový počítač.

Nemusí to být pravda. U části novějších počítačů čip v počítači je. Jen ho výrobce nechal vypnutý.

Odpověď hned: Stiskněte Win + R, napište tpm.msc a potvrďte. V okně hledejte řádek Verze specifikace — musí tam být 2.0. Když se místo toho objeví „Kompatibilní modul TPM nebyl nalezen”, může být u části novějších počítačů TPM pouze vypnuté v UEFI: Intel PTT nebo AMD fTPM. Přepnete ji na Enabled a nic nekupujete. Jen než do UEFI vlezete — ověřte, že máte obnovovací klíč k BitLockeru.

Co TPM vlastně dělá

TPM (Trusted Platform Module) je malý bezpečnostní čip, nebo dnes spíš kus firmwaru běžícího přímo v procesoru. Je to kryptografický modul: sám provádí kryptografické operace, chrání klíče označené jako neexportovatelné a uchovává měření toho, co se při startu počítače spustilo.

Prakticky se o něj opírají tři věci: klíč, kterým se při startu odemyká BitLockerem zašifrovaný disk; přihlášení přes Windows Hello, kde TPM může chránit soukromý klíč (samotný PIN ani biometrická data se v TPM běžně neukládají); a měření integrity startu, o která se opírají ochrany kontrolující, že se nespustil podvržený bootloader.

Rozdíl proti heslu uloženému v souboru je zásadní: správně vytvořený neexportovatelný klíč nelze běžnými prostředky z TPM vyexportovat. Když někdo ukradne notebook a vyndá z něj SSD, na jiném počítači ho bez obnovovacího klíče neotevře — TPM zůstalo v původní základní desce. Přesně na tomhle stojí šifrování firemního notebooku BitLockerem.

Pro majitele firmy z toho plyne jednoduchá věc: TPM 2.0 není jen otravná podmínka instalace Windows 11, ale to, co drží šifrování dat na cestujícím notebooku.

Jak to rychle ověříte

Nejrychlejší je konzole TPM:

1. Stiskněte Win + R, napište tpm.msc, potvrďte Enter.
2. V sekci Informace o výrobci modulu TPM najděte řádek Verze specifikace. Musí tam být 2.0.
3. Když místo toho vyskočí „Kompatibilní modul TPM nebyl nalezen”, čip buď chybí, nebo je vypnutý — a to druhé je mnohem častější.

Další tři místa ukazují každé něco trochu jiného a stojí za to je projít všechna:

To poslední si zapamatujte. Je to nejčastější slepá ulička celého tématu: TPM 2.0 v pořádku, ale režim BIOSu hlásí Legacy — a Windows 11 stejně neprojdou. Konkrétní důvod odmítnutí vypíše i aplikace Kontrola stavu počítače (PC Health Check) přímo od Microsoftu.

„Modul nebyl nalezen” ještě neznamená, že ho nemáte

Tohle je hlavní poznatek celého článku. U strojů zhruba od roku 2017 dál není TPM samostatná destička na základní desce, ale funkce zabudovaná v procesoru: u Intelu se jmenuje PTT (Platform Trust Technology), u AMD fTPM (firmware TPM). Řada výrobců desek ji z výroby nechává vypnutou — a uživatel pak čte, že si musí koupit nový počítač.

Microsoft sám upozorňuje, že se položka v UEFI může jmenovat Security Device, Security Device Support, TPM State, AMD fTPM switch, AMD PSP fTPM, Intel PTT nebo Intel Platform Trust Technology. Kde ji hledat podle výrobce (názvy se s verzí firmwaru liší):

Do UEFI se dostanete i bez hádání startovací klávesy: Nastavení → Systém → Obnovení → Spustit teď, pak Odstranit potíže → Upřesnit možnosti → Nastavení firmwaru UEFI.

Než položku přepnete, udělejte jednu věc: ověřte, že máte obnovovací klíč k BitLockeru. Změny kolem TPM a zabezpečeného spouštění umí při dalším startu vyvolat modrou výzvu na 48místný klíč a bez něj se do dat nedostanete. Kde ho hledat, rozebíráme v článku o tom, co dělat, když disk nejde odemknout.

Na noteboocích od Dellu, HP a Lenova bývá TPM zapnuté z výroby; vypnuté ho potkáváme hlavně u skládaných stolních sestav. Do některých desek se dá dokoupit samostatný modul na konektor TPM/JTPM, ale počítejte s tím, že počet a rozložení pinů je specifický pro výrobce desky, univerzální díl neexistuje a u starších modelů se shání mizerně. Když má procesor fTPM nebo PTT, nekupujete nic.

TPM není jediná brána — a často ani ta nejtvrdší

Stroj musí splnit všechny podmínky současně:

• procesor z podporovaného seznamu, 64bitový, 1 GHz a dvě jádra a víc,
• 4 GB RAM a 64 GB místa na disku,
• firmware UEFI se schopností zabezpečeného spouštění,
• TPM verze 2.0,
• grafiku s DirectX 12 a ovladačem WDDM 2.0.

V praxi vás nejčastěji zastaví procesor, ne TPM. Hranice vede zhruba u Intel Core 8. generace a novějších (s pár výjimkami ze 7. generace) a u AMD Ryzen 2000 a novějších — první generace Ryzenů podporovaná není. Konkrétní model si ověřte proti seznamu Microsoftu; podle názvu to nevychází vždycky.

Když je TPM 2.0 zapnuté a instalace pořád nejde, projděte tohle pořadí:

1. msinfo32 hlásí u režimu BIOSu Legacy → disk je v rozdělení MBR. Windows obsahují nástroj mbr2gpt, který systémový disk převede na GPT bez reinstalace a bez mazání dat (nejdřív mbr2gpt /validate /disk:0 /allowFullOS), pak se v UEFI přepne bootování z CSM/Legacy na čisté UEFI. Nejdřív záloha. Když se to udělá špatně, stroj přestane startovat.
2. Zabezpečené spouštění je vypnuté → zapnout v UEFI.
3. Procesor není na seznamu → dál už to tahle cesta neřeší.

Pokud je na tom disku ostré firemní účetnictví a převod na GPT si netroufáte udělat sami, ozvěte se nám — v Brně to uděláme se zálohou předem a s ověřeným startem po zásahu.

Čtyři cesty, když stroj Windows 11 nesplní

K té třetí cestě: Microsoft u strojů mimo požadavky nezaručuje aktualizace ani kompatibilitu a přidává na plochu i do Nastavení vodoznak. U rodinného počítače je to volba majitele. U stroje, na kterém firma vystavuje faktury a drží účetnictví, si vědomě odřezáváte jistotu, že bezpečnostní záplata dorazí.

Dvě data, která mění celou úvahu. Běžná podpora Windows 10 skončila 14. října 2025 a placené i bezplatné rozšířené aktualizace (ESU) jsou most na omezenou dobu — aktuální koncové datum a podmínky vám ukáže přímo registrační obrazovka v Nastavení → Windows Update, spolehněte se na ni a ne na články; souvislosti jsme sepsali v textu o konci podpory Windows 10. A druhé datum se týká i těch, kdo už na jedenáctkách jsou: Windows 11 verze 24H2 přestanou v edicích Home a Pro dostávat aktualizace 13. října 2026, tedy zhruba za dva měsíce. Verze 25H2 se na 24H2 distribuuje jako aktivační balíček; průběh závisí na stavu systému a žádné nové hardwarové požadavky verze nepřináší. Edice Enterprise a Education mají čas o rok déle.

Kde TPM naopak dělá potíže

Sekání na Ryzenech. Doložený problém s konkrétní příčinou: u části sestav s Ryzenem prováděl fTPM zdlouhavé transakce v paměti SPI flash na základní desce a systém během nich na sekundu až dvě stál. V hudbě to bylo slyšet jako prasknutí, ve hrách jako propad plynulosti. Neřeší se to vypnutím fTPM — přišli byste o TPM — ale aktualizací BIOSu na verzi postavenou nad mikrokódem AGESA 1.2.0.7 nebo novějším. Jestli ji vaše deska dostala, závisí na výrobci.

Hláška o poškozené fTPM paměti. Po výměně procesoru nebo po aktualizaci BIOSu se u desek s AM4 objeví při startu nabídka, že fTPM data jsou poškozená nebo se změnila, a jestli je má firmware resetovat. Reset znamená smazání klíčů — tedy i toho k BitLockeru. Když nevíte, kde máte obnovovací klíč, tuhle nabídku nepotvrzujte.

Tlačítko „Vymazat TPM”. Vypadá nevinně a je na dosah v Zabezpečení Windows i v některých UEFI. Vymazáním přijdete o všechny klíče, které v čipu byly — BitLocker i Windows Hello. Když je disk zašifrovaný a klíč nemáte nikde uložený, vznikne situace, kterou nevyřeší nikdo, ani Microsoft. Klíč zálohovat před zásahem, ne po něm.

Šifrování, o kterém nevíte. Od verze 24H2 Windows při čisté instalaci na vyhovujícím stroji zapínají šifrování zařízení samy, jakmile se uživatel přihlásí účtem Microsoft nebo pracovním účtem; klíč se uloží k tomu účtu. Při upgradu ze starší verze se to neděje. Nový notebook ve firmě tedy může být zašifrovaný, aniž by to kdokoli vědomě zapnul — a to je věc, kterou chcete zjistit dřív než ve chvíli, kdy stroj přestane startovat.

Jestli se do nastavení pouštět nechcete, zvládneme to v rámci reinstalace a nastavení Windows.

Kdy to nechat na servisu

Zapnout PTT nebo fTPM v UEFI zvládne technicky zdatnější člověk sám a nestojí to nic. Do servisu to patří, když:

• v UEFI žádná položka k TPM není a potřebujete vědět, jestli ji deska vůbec umí,
• disk je v MBR a čeká vás převod na GPT u stroje s ostrými firemními daty,
• stroj je zašifrovaný a obnovovací klíč nikdo nemá — tam se nejdřív hledá klíč a platné protectory, teprve pak se řeší Windows,
• ptáte se, jestli má do stroje vůbec cenu investovat; rozhodovací kritéria jsme sepsali v článku reinstalovat, opravit, nebo vyhodit.

Děláme to v Brně jako běžnou práci — od ověření TPM a nastavení UEFI po převod disku a přechod na Windows 11 se zálohou předem. Kolik to bude stát, řekneme po diagnostice; zapnutí PTT/fTPM je obvykle jednoduché nastavení. U zašifrovaného disku buďme přesní: můžeme pomoct najít dostupný obnovovací klíč tam, kde bývá uložený (účet Microsoft, firemní adresář, vytištěná kopie, USB, doména), ověřit, jestli má svazek jiný platný protector, nebo data zachránit až poté, co se svazek odemkne. Bez použitelného klíče nebo protectoru se BitLocker běžně prolomit nedá — to neumíme my ani nikdo jiný. Napište nám, co za stroj to je a co hlásí.

Před jakýmkoli zásahem do TPM, UEFI nebo tabulky oddílů platí totéž pravidlo jako vždycky: nejdřív záloha podle 3-2-1, pak teprve zásah. Samotná kontrola v tpm.msc nic nemění a nic neriskuje — riskantní je až to, co po ní následuje.

Objednávka online: Reinstalace Windows — napište model a co se děje, ozveme se s dalším postupem.