Die ist so lange aus bis du die auf jedem Client aktiviert hast.
Also besser gesagt wenn du nur updatest dann laufen alle Agenten erstmal weiter wie bisher.
Das händisch behandeln musst du dann wenn du TLS verwenden willst sonst nicht.
Ich weiß nicht was bei deinem ersten Update Test da schief lief das du alle Agenten anfassen musstest. Die Meldung, dass TLS aus ist kannst du per Regel ja deaktivieren (also nicht mehr Warn machen).