ISO 27001 Kosten: Was Sie einplanen müssen

Eine Zertifizierung nach ISO 27001:2022 besteht aus vier Kostenblöcken. Wer nur die Rechnung der Zertifizierungsstelle vergleicht, sieht höchstens die Hälfte.

Einen Listenpreis gibt es auf dem klassischen Weg nicht. Die Zertifizierungsstelle erstellt eine Offerte, die von der Mitarbeiterzahl, den Standorten und dem Geltungsbereich Ihres ISMS abhängt.

Zertifizierungsaudit

Die Rechnung der Zertifizierungsstelle für das Audit vor Ort, abgerechnet nach Audittagen.

Beratung

Externe Unterstützung bei Risikobewertung, Erklärung zur Anwendbarkeit (SoA) und Richtlinien. Optional, aber bei kleinen Firmen verbreitet.

Interner Aufwand

Arbeitszeit von Geschäftsleitung, IT und Mitarbeitenden. Sie taucht in keiner Offerte auf, ist aber real.

Laufende Kosten

Überwachungsaudits in den Folgejahren und die Rezertifizierung nach drei Jahren.

Zertifizierungsstellen rechnen nach Audittagen. Wie viele Tage anfallen, hängt von der Grösse des Unternehmens, der Zahl der Standorte und der Komplexität der Systeme ab. Das Erstaudit läuft in zwei Stufen: Dokumentenprüfung und Prüfung der Umsetzung vor Ort.

Als indikative Richtwerte für ein kleines Unternehmen mit einem Standort: mehrere tausend bis gut zehntausend Franken für die Erstzertifizierung, ohne Reisespesen der Auditoren. Grössere Firmen mit mehreren Standorten liegen deutlich darüber. Verbindlich sind nur Offerten. Holen Sie mindestens zwei ein und achten Sie darauf, ob Reisekosten und Berichtsstellung enthalten sind.

• Zertifizierungswege im Vergleich
• Ratgeber zu den Zertifizierungskosten

Viele KMU holen sich für den Aufbau des ISMS externe Hilfe. Der Berater führt die Risikobewertung durch, legt die Kontrollen aus Anhang A fest, schreibt die SoA und die Sicherheitspolitik. Als indikative Spanne sind einige tausend bis über zwanzigtausend Franken üblich, je nach Ausgangslage und Umfang der Begleitung.

Der interne Aufwand kommt dazu. Jemand muss Assets erfassen, Risiken mit dem Berater durchgehen, Richtlinien freigeben, Mitarbeitende schulen und einen Prozess für Sicherheitsvorfälle einführen. Rechnen Sie mit mehreren Personentagen verteilt über Wochen bis Monate. Multiplizieren Sie diese Tage mit Ihrem internen Tagessatz, dann sehen Sie, was das Projekt wirklich kostet.

Das Zertifikat gilt drei Jahre. Dazwischen verlangt die klassische Route jährliche Prüfungen. Das ISMS muss dafür laufen: interne Audits, Management-Review und Nachweise zu Vorfällen und Massnahmen gehören zur Leistungsbewertung nach Kapitel 9 der Norm.

1. 01

   Jahr 1: Erstzertifizierung

   Audit Stufe 1 und Stufe 2, dazu Beratung und interner Aufbauaufwand.

2. 02

   Jahr 2: Überwachungsaudit

   Kürzer als das Erstaudit, aber wieder mit Audittagen und Spesen. Indikativ ein Bruchteil der Erstzertifizierung.

3. 03

   Jahr 3: Überwachungsaudit

   Gleicher Ablauf, oft mit Schwerpunkt auf Bereichen, die im Vorjahr Abweichungen hatten.

4. 04

   Nach drei Jahren: Rezertifizierung

   Ein umfassendes Audit, dessen Aufwand näher am Erstaudit liegt als an einem Überwachungsaudit.

Bei Zertify beantworten Sie eine Selbstbeurteilung mit 48 Ja/Nein-Fragen. 13 davon sind Pflichtanforderungen der Norm und müssen alle mit Ja beantwortet sein. Von den übrigen 35 Fragen brauchen Sie mindestens 24 Ja. Das Ergebnis sehen Sie sofort, und es zeigt Ihnen, wo Ihr ISMS noch Lücken hat.

Nach bestandenem Assessment und Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden. Es wird von der G6 Agency AG unter Lizenz von SICE ausgestellt, SICE prüft jedes Assessment vor der Ausstellung. Ein Audit vor Ort gibt es nicht. Jede Zertifikatsnummer und jeder QR-Code auf dem PDF führt zu einer öffentlichen Prüfseite, die Ihr Einkäufer oder Kunde selbst aufrufen kann.

Der Preis beträgt 849 CHF (849 €) im ersten Jahr, danach 569 CHF (569 €) pro Jahr inklusive kurzem Online-Re-Audit. Das Zertifikat gilt drei Jahre. Die Verrechnung läuft als automatisches Jahresabo, das Sie jederzeit im Kundenkonto auf Ende des laufenden Jahres kündigen können. Mit der Kündigung endet das Zertifikat mit dem bezahlten Jahr. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MwSt im Preis enthalten. Zum Kauf brauchen Sie kein Konto. Bei zwei Normen gibt es 20% Rabatt, ab drei Normen 30%, auch auf die Jahresgebühr.

• ISO 27001:2022 bei Zertify
• Preise und Rabatte
• Kostenloses Assessment starten

Die Tabelle stellt beide Wege gegenüber. Die Werte für die klassische Route sind indikative Richtwerte für ein kleines Unternehmen mit einem Standort. Ihre Offerten können abweichen.

• Zertifizierung ohne Audit vor Ort