ISO 27018 Kosten: Was die Zertifizierung wirklich kostet

ISO 27018:2019 regelt den Schutz personenbezogener Daten in der Public Cloud und baut auf ISO 27001 auf. Wer als SaaS-Anbieter oder Auftragsverarbeiter zertifiziert werden will, rechnet an vier Stellen mit Kosten.

Fehlt Ihnen bisher ein Managementsystem für Informationssicherheit, steigt der Aufwand für die Vorbereitung deutlich. Prüfen Sie diesen Punkt zuerst, bevor Sie Offerten vergleichen.

Zertifizierungsaudit

Die Gebühr einer Zertifizierungsstelle für die Erstzertifizierung vor Ort, meist nach Auditertagen berechnet.

Beratung

Externe Unterstützung beim Aufbau der Dokumentation, bei der Risikobewertung und bei der Vorbereitung auf das Audit.

Interner Aufwand

Arbeitszeit von IT-Leitung, Datenschutzverantwortlichen und Geschäftsleitung. Sie taucht in keiner Offerte auf, ist aber oft der grösste Posten.

Wiederkehrende Kosten

Überwachungsaudits in den Jahren nach der Erstzertifizierung und die Rezertifizierung nach drei Jahren.

• Leitfaden zu den Zertifizierungskosten

Die folgenden Zahlen sind Richtwerte, keine Preise. Sie hängen von der Mitarbeiterzahl, der Zahl der Standorte, dem Umfang Ihrer Cloud-Dienste und der gewählten Zertifizierungsstelle ab. Holen Sie mehrere Offerten ein.

Für ein kleines bis mittleres Unternehmen liegt die Erstzertifizierung durch eine Zertifizierungsstelle als Richtwert bei rund 4'000 bis 12'000 CHF. Die externe Beratung kostet als Richtwert rund 5'000 bis 25'000 CHF, je nachdem, ob Sie nur eine Lückenanalyse oder die komplette Begleitung bis zum Audit buchen.

Bis zum Zertifikat vergehen auf diesem Weg als Richtwert mehrere Wochen bis Monate. Das liegt an der Terminfindung, an der Dokumentenprüfung und an den Korrekturen nach dem Audit.

• Zertifizierungswege vergleichen

Als Richtwert gelten 20 bis 60 Personentage für ein Unternehmen mit überschaubarer Cloud-Umgebung. Der Aufwand entsteht, weil die Anforderungen der Norm erfüllt und belegt sein müssen, unabhängig vom Zertifizierungsweg. Die fünf Aufgaben kosten am meisten Zeit:

1. 01

   Verarbeitung von PII erfassen

   Welche personenbezogenen Daten Ihrer Kunden liegen wo, und zu welchem Zweck werden sie verarbeitet?

2. 02

   Unterauftragnehmer prüfen

   Hosting, Support und Backup-Dienste brauchen Verträge, die den Datenschutz regeln.

3. 03

   Löschung und Rückgabe festlegen

   Kunden müssen ihre Daten zurückerhalten und löschen lassen können. Dafür braucht es einen dokumentierten Ablauf.

4. 04

   Meldung von Datenpannen regeln

   Wer informiert wen, in welcher Frist und mit welchen Angaben?

5. 05

   Datenschutz-Folgenabschätzung durchführen

   Risiken für die betroffenen Personen werden bewertet und Massnahmen festgehalten.

Die Tabelle stellt die Richtwerte der klassischen Route den festen Preisen von Zertify gegenüber. Der interne Aufwand für die Umsetzung der Anforderungen bleibt in beiden Fällen bei Ihnen.

Im ersten Jahr zahlen Sie 799 CHF (799 €), danach 529 CHF (529 €) pro Jahr. Die jährliche Gebühr schliesst das kurze Online-Re-Audit ein. Das Zertifikat ist drei Jahre gültig. Für Kunden in der Schweiz und in Liechtenstein enthalten die Preise 8,1 % MWST.

Die Abrechnung läuft als automatisches Jahresabonnement. Sie können es jederzeit in Ihrem Kundenkonto auf das Ende des laufenden Jahres kündigen. Das Zertifikat endet dann mit dem bezahlten Jahr. Zum Kauf brauchen Sie kein Konto.

Setzen Sie mehrere Normen ein, etwa ISO 27001 und ISO 27018, gilt ein Rabatt von 20 % für zwei Normen und von 30 % ab drei Normen. Er gilt auch auf die jährliche Gebühr.

• Preise im Detail

Sie beantworten online 32 Ja-Nein-Fragen zu ISO 27018. 11 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 21 Fragen müssen mindestens 14 mit Ja beantwortet sein. Es gibt kein Audit vor Ort und keinen Beraterbesuch.

Jedes Assessment wird von SICE (Swiss Institute of Certification and Education) geprüft. Das Zertifikat stellt die G6 Agency AG im Rahmen einer Lizenz von SICE aus. Nach bestandenem Assessment und Zahlung erhalten Sie es innerhalb von 4 Stunden. Ihre Kunden prüfen es öffentlich mit Zertifikatsnummer oder QR-Code auf dem PDF.

Verlangt ein Kunde ausdrücklich ein Vor-Ort-Audit durch eine Zertifizierungsstelle, ist die klassische Route die richtige Wahl. Ob das auf Sie zutrifft, sehen Sie in der Lieferantenanfrage oder im Vertrag.

• Zur Norm ISO 27018
• Kostenloses Assessment starten
• Preisübersicht