Seu contrato terá que incluir um servidor WSUS para acompanhar os computadores clientes. O servidor do WSUS precisará acessar a Internet para baixar as atualizações do Windows. Os computadores clientes podem então ser configurados para baixar e instalar atualizações através do servidor WSUS.
Veja aqui as informações genéricas do WSUS:
E aqui para configurar clientes não-AD: