ISO 27701 Kosten: was die Zertifizierung wirklich kostet

Eine Preisliste gibt es nicht. Die Kosten hängen davon ab, wie viele Mitarbeitende Personendaten bearbeiten, wie viele Standorte und Bearbeitungstätigkeiten Ihr Unternehmen hat und ob bereits ein Managementsystem nach ISO 27001 läuft. ISO 27701 erweitert dieses System zu einem Datenschutzmanagementsystem. Wer die Basis schon hat, spart Aufwand.

Die Tabelle stellt den klassischen Weg und Zertify gegenüber. Die Zahlen zum klassischen Weg sind Richtwerte, keine Offerten.

• Ratgeber: Kosten der ISO-Zertifizierung

Beim klassischen Weg prüft eine Zertifizierungsstelle Ihr System vor Ort. Abgerechnet wird nach Auditortagen, dazu kommen Spesen. Vier Blöcke bestimmen das Budget.

Zertifizierungsaudit

Die Zertifizierungsstelle bewertet Dokumentation und Umsetzung. Je mehr Standorte und Bearbeitungstätigkeiten, desto mehr Auditortage.

Beratung

Externe Berater erstellen Richtlinien, begleiten die Risikobewertung und bereiten auf das Audit vor. Der Aufwand hängt davon ab, wie reif Ihr Datenschutz heute ist.

Interner Aufwand

Ihre IT-Leitung, die Datenschutzverantwortlichen und die Fachbereiche investieren Arbeitszeit. Diese Kosten stehen in keiner Offerte, fallen aber an.

Werkzeuge

Für das Verzeichnis der Bearbeitungstätigkeiten, die Risikobewertung und das Vorfallmanagement setzen manche Firmen Software ein. Ein Tabellenblatt genügt in kleinen Betrieben oft ebenfalls.

• Zertifizierungswege vergleichen

Der grösste Posten ist selten die Rechnung der Zertifizierungsstelle, sondern die Arbeitszeit im eigenen Haus. Sie entsteht bei den sechs Kernanforderungen der Norm.

1. 01

   Rolle bestimmen

   Sie klären, ob Sie als Verantwortlicher oder als Auftragsbearbeiter handeln. Bei SaaS-Anbietern und IT-Dienstleistern kann beides zutreffen.

2. 02

   Risiken bewerten

   Sie beurteilen Risiken für betroffene Personen und legen Massnahmen fest. Wer schon eine Risikomethode nach ISO 27001 nutzt, erweitert sie.

3. 03

   Verzeichnis führen

   Das Verzeichnis der Bearbeitungstätigkeiten muss vollständig und aktuell sein. Der Aufwand liegt im ersten Erfassen.

4. 04

   Betroffenenrechte erfüllen

   Auskunfts- und Löschbegehren brauchen einen definierten Ablauf mit Fristen und Zuständigkeiten.

5. 05

   Datenschutz durch Technik umsetzen

   Neue Systeme und Prozesse werden von Beginn an datensparsam und mit sicheren Voreinstellungen geplant.

6. 06

   Verletzungen melden

   Sie erkennen Datenschutzverletzungen, bewerten sie und melden sie rechtzeitig. Dafür brauchen Sie einen geübten Ablauf.

Mit dem Zertifikat ist das Budget nicht erledigt. Auf dem klassischen Weg kommen jährliche Überwachungsaudits der Zertifizierungsstelle dazu, und nach Ablauf der Gültigkeit folgt eine Rezertifizierung. Beides bedeutet erneut Auditortage und Vorbereitungszeit im Team.

Auch die laufende Pflege kostet. Das Verzeichnis der Bearbeitungstätigkeiten, die Risikobewertung und die Verträge mit Auftragsbearbeitern ändern sich mit jedem neuen Lieferanten und jedem neuen Produkt. Rechnen Sie dafür Arbeitszeit ein, unabhängig vom gewählten Weg.

Zertify kostet 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive des jährlichen Online-Re-Audits. Das Zertifikat ist drei Jahre gültig. Für Kunden in der Schweiz und in Liechtenstein ist die Mehrwertsteuer von 8.1 % im Preis enthalten. Zum Kauf brauchen Sie kein Kundenkonto.

Grundlage ist eine Online-Selbstbeurteilung mit 38 Ja-Nein-Fragen. 13 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Bei den übrigen 25 Fragen braucht es mindestens 17 Ja-Antworten. Ein Vor-Ort-Audit findet nicht statt.

Das Zertifikat stellt die G6 Agency AG unter Lizenz von SICE aus, SICE prüft jedes Assessment vor der Ausstellung. Nach bestandenem Assessment und Zahlung liegt das Zertifikat innerhalb von 4 Stunden vor. Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code auf dem PDF verifizieren, Ihre Kunden prüfen es selbst.

Die Abrechnung läuft als jährliches Abonnement. Sie können es im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Das Zertifikat endet dann mit dem bezahlten Jahr. Bei zwei Normen gewähren wir 20 % Rabatt, ab drei Normen 30 %, auch auf die jährliche Gebühr.

• ISO 27701 bei Zertify
• Preise und Rabatte
• Kostenloses Assessment starten

Verlangt ein Kunde ausdrücklich ein Vor-Ort-Audit durch eine Zertifizierungsstelle, führt kein Weg daran vorbei. Prüfen Sie das im Lieferantenfragebogen oder in der Ausschreibung, bevor Sie ein Budget festlegen.

Fragt Ihr Einkauf oder Ihr Kunde dagegen nach einem nachweisbaren Datenschutzmanagement nach ISO 27701, genügt oft ein verifizierbares Zertifikat. Dann sind 799 CHF im ersten Jahr und 529 CHF pro Jahr der deutlich kleinere Posten. Starten Sie mit dem Assessment: Es ist kostenlos und zeigt, welche Anforderungen Sie bereits erfüllen.

• Zertifizierung ohne Vor-Ort-Audit
• ISO für KMU