Wer nach den Kosten einer ISO-27001-Zertifizierung sucht, findet häufig sehr große Preisspannen. Für eine belastbare Budgetplanung hilft das wenig. Entscheidend ist die Trennung zwischen Aufbau des ISMS, Kosten der unabhängigen Zertifizierungsstelle und internem Aufwand.
Die Kostentabelle auf unserer Seite Kosten der Zertifizierung bezieht sich auf ISO 9001. ISO/IEC 27001 erfordert eine eigene Betrachtung des ISMS, des Geltungsbereichs, der Informationssicherheitsrisiken und der Zertifizierung.
Aus welchen Kosten besteht eine ISO-27001-Zertifizierung?
Für eine realistische Kalkulation sollten Sie drei Kostenblöcke getrennt betrachten:
Beratung & ISMS-Aufbau
GAP-Analyse, Projektstruktur, Risikomanagement, Statement of Applicability, Dokumentation, internes Audit und Vorbereitung auf die Zertifizierung.
Zertifizierungsstelle
Kosten für Stage 1 und Stage 2 sowie die anschließenden Überwachungsaudits durch die unabhängige Zertifizierungsgesellschaft.
Interner Aufwand
Arbeitszeit von Geschäftsführung, IT, Informationssicherheit und weiteren beteiligten Fachbereichen.
Was kostet ISO 27001 nach Unternehmensgröße?
Die folgende Tabelle dient als Orientierung für die Budgetplanung. Die Beratungspreise zeigen unsere Kalkulation. Die Kosten der Zertifizierungsgesellschaft sind Richtwerte und werden von der jeweiligen Zertifizierungsstelle individuell kalkuliert.
Grundlage der Darstellung ist ein Unternehmen mit einem Standort und durchschnittlicher IT-Komplexität. Der tatsächliche Aufwand kann insbesondere durch Scope, Standorte, Beschäftigtenzahl, technische Komplexität und vorhandene ISMS-Strukturen abweichen.
| Mitarbeiter | Beratung | mögliche BAFA- Förderung* |
Beratung nach Förderung* |
Erstzertifizierung Stage 1 + 2** |
Überwachung pro Jahr** |
Zertifizierung 3 Jahre** |
Gesamt 3 Jahre*** |
|---|---|---|---|---|---|---|---|
| 1–3 | 4.200 € | −1.750 € | 2.450 € | ca. 5.500 € | ca. 2.000 € | ca. 9.500 € | ca. 11.950 € |
| 4–7 | 4.680 € | −1.750 € | 2.930 € | ca. 6.000 € | ca. 2.200 € | ca. 10.400 € | ca. 13.330 € |
| 8–12 | 5.880 € | −1.750 € | 4.130 € | ca. 6.800 € | ca. 2.400 € | ca. 11.600 € | ca. 15.730 € |
| 13–20 | 7.080 € | −1.750 € | 5.330 € | ca. 7.500 € | ca. 2.600 € | ca. 12.700 € | ca. 18.030 € |
| 21–45 | 8.280 € | −1.750 € | 6.530 € | ca. 8.500 € | ca. 3.000 € | ca. 14.500 € | ca. 21.030 € |
| 46–65 | 9.480 € | −1.750 € | 7.730 € | ca. 10.000 € | ca. 3.400 € | ca. 16.800 € | ca. 24.530 € |
| 66–85 | 10.680 € | −1.750 € | 8.930 € | ca. 11.000 € | ca. 3.800 € | ca. 18.600 € | ca. 27.530 € |
| 86–125 | 11.880 € | −1.750 € | 10.130 € | ca. 12.500 € | ca. 4.200 € | ca. 20.900 € | ca. 31.030 € |
| 126–175 | 13.080 € | −1.750 € | 11.330 € | ca. 14.000 € | ca. 4.600 € | ca. 23.200 € | ca. 34.530 € |
| 176–275 | 14.400 € | −1.750 € | 12.650 € | ca. 15.500 € | ca. 5.000 € | ca. 25.500 € | ca. 38.150 € |
** Richtwerte für Kosten der unabhängigen Zertifizierungsgesellschaft. Das konkrete Angebot hängt unter anderem von Scope, Unternehmensstruktur, Standorten und Komplexität ab.
*** Summe aus Beratung nach dargestelltem Förderbeispiel und den dargestellten Zertifizierungskosten. Interne Personalkosten und gegebenenfalls notwendige technische Maßnahmen sind nicht enthalten. Alle Beträge netto.
Kostenblock 1: Beratung und Aufbau des ISMS
Der Beratungsaufwand entsteht vor allem bei der Vorbereitung auf die Zertifizierung. Dabei geht es nicht darum, möglichst viele Richtlinien zu schreiben. Das Informationssicherheits-Managementsystem muss zu Ihrem Unternehmen passen und im Alltag funktionieren.
GAP-Analyse
Welche Anforderungen sind bereits erfüllt? Wo bestehen tatsächliche Lücken bis zur Zertifizierungsreife?
Risikomanagement
Informationssicherheitsrisiken werden strukturiert bewertet und notwendige Maßnahmen nachvollziehbar festgelegt.
Statement of Applicability
Die Anwendbarkeit der relevanten Controls wird nachvollziehbar bewertet und dokumentiert.
Dokumentation
Richtlinien, Prozesse und Nachweise werden so aufgebaut, dass sie zum tatsächlichen Unternehmen passen.
Internes Audit
Vor dem Zertifizierungsaudit wird geprüft, ob das ISMS wirksam umgesetzt ist und wo noch Handlungsbedarf besteht.
Zertifizierungsvorbereitung
Offene Punkte werden strukturiert bearbeitet und das Unternehmen auf Stage 1 und Stage 2 vorbereitet.
Was ein Berater dabei konkret übernimmt, finden Sie auch unter Aufgaben eines ISO-Beraters .
Welche Faktoren beeinflussen die Beratungskosten?
Zwei Unternehmen mit gleicher Mitarbeiterzahl können einen deutlich unterschiedlichen Projektaufwand haben. Für die Kalkulation sind insbesondere folgende Punkte relevant:
- Anzahl der Standorte und Gesellschaften im Geltungsbereich,
- Komplexität der IT-Landschaft,
- gewählter Scope des ISMS,
- Reifegrad der bestehenden Informationssicherheit,
- vorhandene Richtlinien, Prozesse und Nachweise,
- bereits bestehende ISO-Managementsysteme,
- interne Ressourcen für die Umsetzung,
- notwendige organisatorische oder technische Maßnahmen.
Ist beispielsweise bereits ein Managementsystem nach ISO 9001 vorhanden, können bestehende Strukturen wie Dokumentenlenkung, internes Audit, Managementbewertung und Verbesserungsprozesse teilweise für das ISMS genutzt bzw. erweitert werden.
Kostenblock 2: Was kostet die Zertifizierungsstelle?
Die eigentliche ISO/IEC-27001-Zertifizierung erfolgt durch eine unabhängige Zertifizierungsgesellschaft. standardISO bereitet Unternehmen auf die Zertifizierung vor, trifft aber keine Zertifizierungsentscheidung.
Das Erstzertifizierungsverfahren besteht grundsätzlich aus Stage 1 und Stage 2. Anschließend folgen während des Zertifizierungszyklus Überwachungsaudits.
Stage 1
Prüfung der Zertifizierungsbereitschaft und der wesentlichen Voraussetzungen für das anschließende Stage-2-Audit.
Stage 2
Bewertung der praktischen Umsetzung und Wirksamkeit des ISMS im festgelegten Geltungsbereich.
Überwachung
Nach erfolgreicher Erstzertifizierung wird das Managementsystem im Zertifizierungszyklus regelmäßig überwacht.
Re-Zertifizierung
Zum Ende des Zertifizierungszyklus erfolgt die erneute Zertifizierungsbewertung.
Die Auditdauer wird nicht allein anhand einer einfachen Mitarbeiterstaffel bestimmt. Der konkrete Auditaufwand wird von der Zertifizierungsgesellschaft anhand der für die Zertifizierung geltenden Vorgaben und der individuellen Unternehmenssituation ermittelt.
Deshalb lohnt es sich, Angebote verschiedener geeigneter Zertifizierungsgesellschaften zu vergleichen. Über unseren Angebotsservice für ISO-Zertifizierungen können wir die organisatorische Abstimmung und Angebotseinholung unterstützen.
Kostenblock 3: Wie hoch ist der interne Aufwand?
Dieser Kostenblock wird bei der Planung häufig unterschätzt. Ein ISMS kann nicht ausschließlich extern erstellt und anschließend „übergeben“ werden. Mitarbeitende aus dem Unternehmen müssen eingebunden werden.
Interne Zeit wird insbesondere benötigt für:
- Festlegung des Geltungsbereichs,
- Bereitstellung von Informationen und bestehenden Unterlagen,
- Risikobeurteilung,
- Bewertung und Umsetzung von Maßnahmen,
- Abstimmung mit IT und Fachbereichen,
- Schulungen und Sensibilisierung,
- Bereitstellung von Nachweisen für interne und externe Audits.
Externe Beratung ersetzt diese Mitwirkung nicht. Sie kann aber Struktur, Methodik und Dokumentation vorgeben und dadurch den internen Projektaufwand deutlich besser steuerbar machen.
Warum kann ISO 27001 teurer sein als ISO 9001?
Zusätzlicher Fokus auf Informationssicherheitsrisiken
Bei ISO/IEC 27001 kommt zur Managementsystemstruktur die systematische Betrachtung der Informationssicherheitsrisiken hinzu. Außerdem müssen die relevanten Controls bewertet und deren Anwendbarkeit im Statement of Applicability nachvollziehbar dokumentiert werden.
Je nach Ausgangssituation können daraus zusätzliche organisatorische oder technische Maßnahmen entstehen. Diese Investitionen sind in den oben dargestellten Beratungspreisen und Zertifizierungskosten nicht automatisch enthalten.
Kann eine ISO-27001-Beratung durch BAFA gefördert werden?
Eine Unternehmensberatung kann bei erfüllten Fördervoraussetzungen über das BAFA-Programm zur Förderung von Unternehmensberatungen für KMU bezuschusst werden.
Die Förderhöhe richtet sich unter anderem nach dem Standort des Unternehmens. Bei einem Fördersatz von 50 % und maximal 3.500 € förderfähigen Beratungskosten ergibt sich beispielsweise ein maximaler Zuschuss von 1.750 €.
Wichtig: Förderfähigkeit, Förderquote und Bewilligung richten sich nach den jeweils geltenden BAFA-Bedingungen. Eine Förderung kann nicht garantiert werden.
Weitere Informationen: BAFA-Förderung für ISO-Beratung .
Wie lange dauert eine ISO-27001-Zertifizierung?
Die Projektdauer lässt sich nicht seriös allein aus der Mitarbeiterzahl ableiten. Entscheidend sind der Reifegrad der Informationssicherheit, der Scope, vorhandene Dokumentation, notwendige Maßnahmen und die intern verfügbaren Kapazitäten.
Bei einem Unternehmen mit gut vorbereiteter IT-Sicherheit und klaren Verantwortlichkeiten kann der Aufwand deutlich geringer sein als bei einem Unternehmen, das Risikomanagement, Richtlinien und Sicherheitsmaßnahmen zunächst grundlegend aufbauen muss.
Weitere Informationen zum Vorgehen finden Sie unter Ablauf der ISO-Zertifizierung .
Häufige Fragen zu ISO-27001-Kosten
Was kostet eine ISO-27001-Zertifizierung für ein kleines Unternehmen?
Die Gesamtkosten setzen sich aus Beratung bzw. ISMS-Aufbau, Zertifizierungskosten und internem Aufwand zusammen. In unserer Beispielrechnung für 1 bis 3 Mitarbeitende liegen Beratung nach dem dargestellten Förderbeispiel und die Zertifizierungskosten des dreijährigen Zyklus zusammen bei rund 11.950 € netto. Interne Personalkosten und gegebenenfalls erforderliche technische Maßnahmen sind darin nicht enthalten.
Sind die Kosten der Zertifizierungsstelle im Beratungspreis enthalten?
Nein. Beratung und Zertifizierung sind getrennte Leistungen. Die Zertifizierung wird von einer unabhängigen Zertifizierungsgesellschaft durchgeführt und separat berechnet.
Kann die ISO-27001-Beratung gefördert werden?
Je nach Fördervoraussetzungen kann eine BAFA-Förderung für Unternehmensberatung möglich sein. Förderfähigkeit, Förderhöhe und Bewilligung richten sich nach den geltenden BAFA-Bedingungen und müssen für das jeweilige Unternehmen geprüft werden.
Kann ein kleinerer Scope die Kosten reduzieren?
Der Geltungsbereich beeinflusst den Aufwand, sollte aber nicht ausschließlich nach dem niedrigsten Zertifizierungspreis festgelegt werden. Entscheidend ist, welchen Bereich Kunden, Ausschreibungen oder andere Anforderungen tatsächlich zertifiziert sehen müssen und ob die Abgrenzung des Scope fachlich sinnvoll ist.
Welche zusätzlichen Kosten können bei ISO 27001 entstehen?
Neben Beratung und Zertifizierung können Investitionen in organisatorische oder technische Sicherheitsmaßnahmen erforderlich sein. Welche Maßnahmen notwendig sind, ergibt sich aus der Ausgangssituation, der Risikobeurteilung und den für das Unternehmen relevanten Anforderungen.
Wie lange gilt ein ISO-27001-Zertifikat?
Die Managementsystemzertifizierung läuft in einem dreijährigen Zertifizierungszyklus. Zwischen Erst- und Re-Zertifizierung finden Überwachungsaudits statt. Die konkreten Audit- und Zertifizierungsbedingungen legt die Zertifizierungsgesellschaft fest.
Kann ein vorhandenes ISO-9001-System die Kosten reduzieren?
Vorhandene Managementsystemstrukturen können den Aufbau erleichtern. Beispielsweise lassen sich bereits etablierte Prozesse für Dokumentation, interne Audits, Managementbewertung und Verbesserungen teilweise integrieren. Die spezifischen Anforderungen der Informationssicherheit müssen trotzdem umgesetzt werden.
Was kostet ISO 27001 für Ihr Unternehmen?
Sie nennen uns Mitarbeiterzahl, Standorte, gewünschten Geltungsbereich und den aktuellen Stand Ihrer Informationssicherheit. Auf dieser Grundlage können wir den Projektumfang und die Beratungskosten konkret einordnen.
Unverbindliches Angebot anfragen