Die Frage nach den Kosten kommt in fast jedem Erstgespräch zur ISO 27001 als Erstes. Eine seriöse Antwort ohne Rückfragen gibt es nicht, denn der Preis für das Zertifikat selbst ist nur ein kleiner Teil der Rechnung. Den größeren Teil bestimmen der Geltungsbereich, der Reifegrad Ihrer IT-Sicherheit und die Frage, wie viel Arbeit Sie selbst übernehmen. Eine ausführliche Kostentabelle nach Unternehmensgröße finden Sie auf unserer Seite zu den ISO 27001 Kosten. Hier geht es um die Logik dahinter.
Die drei Kostenblöcke
1. Aufbau des ISMS. Bevor ein Auditor kommt, muss das Managementsystem stehen: Geltungsbereich, Risikoanalyse, Erklärung zur Anwendbarkeit, Richtlinien, Prozesse für Vorfälle, Lieferanten und Änderungen. Wer das mit externer Begleitung aufbaut, bezahlt Beratertage. Wer es allein macht, bezahlt mit eigener Arbeitszeit.
2. Das Zertifizierungsaudit. Es wird von einer akkreditierten Zertifizierungsstelle durchgeführt und läuft in zwei Stufen. In Stufe 1 prüft der Auditor die Dokumentation, meist an ein bis drei Audittagen. In Stufe 2 prüft er vor Ort, ob das ISMS im Alltag gelebt wird. Dafür setzen die Stellen je nach Größe drei bis zehn Tage oder mehr an. Ein Audittag kostet typischerweise 1.200 bis 1.800 Euro, dazu kommen Reisekosten.
3. Der laufende Betrieb. Das Zertifikat gilt drei Jahre. In dieser Zeit finden jährliche Überwachungsaudits statt, danach folgt die Rezertifizierung. Interne Audits, Management-Reviews und die Pflege der Risikoanalyse kosten ebenfalls Zeit, jedes Jahr.
Warum die internen Stunden den Ausschlag geben
In vielen Kalkulationen fehlt der größte Posten: die Arbeitszeit der eigenen Leute. IT-Leitung, Geschäftsführung, Personalabteilung und Fachbereiche müssen Interviews geben, Prozesse beschreiben, Maßnahmen umsetzen und Nachweise liefern. Ohne Erfahrung dauert jeder dieser Schritte länger, weil erst geklärt werden muss, was die Norm an dieser Stelle eigentlich verlangt.
Deshalb ist der Vergleich „Berater gegen Eigenregie“ selten so eindeutig, wie er auf den ersten Blick aussieht. Eine externe Begleitung kostet sichtbares Geld, spart aber oft deutlich mehr interne Zeit und verkürzt das Projekt. Wie viel genau, hängt von Ihrer Ausgangslage ab.
Was den Preis nach oben treibt
- Ein zu weiter Geltungsbereich. Wer gleich alle Standorte und Prozesse einbezieht, vervielfacht Audittage und Aufwand. Ein sauber begrenzter Scope ist der wirksamste Hebel.
- Technische Altlasten. Fehlende Backups, keine Zwei-Faktor-Anmeldung, unklare Berechtigungen: Solche Lücken müssen vor dem Audit geschlossen werden und kosten Geld, das mit der Norm selbst wenig zu tun hat.
- Dokumente ohne Praxis. Vorlagen aus dem Internet sind schnell ausgefüllt. Im Stufe-2-Audit fällt aber auf, wenn niemand danach arbeitet. Nacharbeit und ein zusätzliches Audit sind dann teurer als die gründliche Vorbereitung.
Was den Preis senkt
Vorhandene Strukturen zählen. Wer bereits einen Datenschutzbeauftragten, ein Verzeichnis der Verarbeitungstätigkeiten und dokumentierte technische Maßnahmen hat, startet nicht bei null. Auch ein externer Informationssicherheitsbeauftragter, der das ISMS nach der Zertifizierung weiterführt, verhindert, dass vor jedem Überwachungsaudit hektisch nachgearbeitet werden muss.
Für Unternehmen, die unter NIS-2 fallen, lohnt sich der Blick auf die Überschneidungen. Die ISO 27001 ist nach dem BSI-Gesetz nicht vorgeschrieben, deckt aber einen großen Teil der geforderten Risikomanagementmaßnahmen ab. Wie der Weg zur Zertifizierung im Mittelstand realistisch aussieht, beschreiben wir im Beitrag ISO 27001 im Mittelstand.
Der nächste Schritt
Eine belastbare Zahl entsteht erst, wenn Geltungsbereich und Ausgangslage klar sind. Genau das klären wir in einer kurzen Bestandsaufnahme. Danach wissen Sie, welche Lücken bestehen, wie viele Audittage realistisch sind und welche Arbeit Sie selbst übernehmen können. Mehr zur Begleitung finden Sie bei unserer ISO 27001 Beratung.