Was kostet eine ISO-27001-Zertifizierung? Die Kostenblöcke im Überblick

Die Geschäftsführung stellt eine einfache Frage: Was kostet uns ISO 27001? Die ehrliche Antwort ist eine Spanne, und der größte Teil steht nicht im Angebot der Zertifizierungsstelle. Die Auditgebühr lässt sich leicht vergleichen. Mehr kostet in der Regel die Zeit, die Ihre eigenen Leute in Aufbau und Betrieb des ISMS stecken.

Dieser Leitfaden zerlegt die Kosten in Blöcke, zeigt, was jeden Block treibt, und wie Sie ein Budget planen, das über den ganzen dreijährigen Zertifikatszyklus trägt.

Das Wichtigste in Kürze

• Vier Kostenblöcke: die Zertifizierungsstelle, die Zeit Ihres Teams, optional externe Beratung und optional Software.
• Die Auditgebühr folgt den Audittagen. Zertifizierungsstellen berechnen sie nach ISO/IEC 27006-1, vor allem anhand der Zahl der Personen im Geltungsbereich.
• Das Zertifikat gilt drei Jahre, mit Überwachungsaudits im zweiten und dritten Jahr und einem Rezertifizierungsaudit danach.
• Der interne Aufwand ist meist der größte Block. Er hängt davon ab, was zu Beginn schon vorhanden ist.
• Der Geltungsbereich ist der größte Hebel. Ein klarer Geltungsbereich um das Produkt, das Ihre Kunden kaufen, macht jeden Block kleiner.

1. Die Zertifizierungsstelle

Eine akkreditierte Zertifizierungsstelle prüft Ihr ISMS in zwei Stufen. Stufe 1 prüft Dokumentation und Auditbereitschaft, Stufe 2, ob das System in der Praxis funktioniert. Die Gebühr ergibt sich vor allem aus den Audittagen.

Die Audittage legt die Zertifizierungsstelle nicht frei fest. ISO/IEC 27006-1:2024 regelt, wie sie die Auditzeit berechnet. Ausgangspunkt ist die Zahl der Personen, die im Geltungsbereich unter Ihrer Kontrolle arbeiten, einschließlich externer Kräfte im Geltungsbereich. Personen mit identischen Tätigkeiten dürfen mit einer reduzierten effektiven Zahl angesetzt werden. Von diesem Ausgangswert aus kann die Stelle Zeit hinzufügen oder abziehen, etwa wegen der Komplexität Ihrer IT, der Zahl der Standorte oder des Anteils ausgelagerter Leistungen. Bei 150 Personen im Geltungsbereich ergibt die Tabelle der Norm vor solchen Anpassungen 13 Audittage für das Erstzertifizierungsaudit.

Nach der Zertifizierung geht der Zyklus weiter. Überwachungsaudits im zweiten und dritten Jahr dauern in der Regel etwa ein Drittel der Zeit des Erstaudits, das Rezertifizierungsaudit etwa zwei Drittel. Planen Sie das Budget für alle drei Jahre, nicht nur für das erste Audit. Rechnen Sie Reisekosten hinzu, wenn vor Ort auditiert wird, und fragen Sie nach, ob das Zertifikat selbst im Angebot enthalten ist.

Angebote verschiedener Zertifizierungsstellen sind nur vergleichbar, wenn sie von derselben Personenzahl und demselben Geltungsbereich ausgehen. Ist ein Angebot deutlich günstiger, prüfen Sie die Zahl der Audittage dahinter.

2. Die Zeit Ihres Teams

Dieser Block taucht selten als eigene Budgetzeile auf, ist aber meist der größte. Jemand muss das ISMS verantworten, und mehrere Personen tragen bei:

• Die oder der ISMS-Verantwortliche legt den Geltungsbereich fest, führt die Risikobeurteilung durch, schreibt oder prüft Richtlinien, erstellt die Erklärung zur Anwendbarkeit und koordiniert das Audit.
• IT und Entwicklung setzen Maßnahmen um und belegen sie: Berechtigungsprüfungen, Datensicherung und Wiederherstellungstests, Protokollierung, Schwachstellenmanagement, sichere Entwicklung.
• Die Geschäftsleitung gibt Richtlinien frei, legt Ziele fest, nimmt an der Managementbewertung teil und steht dem Auditor zur Verfügung.
• Alle Beschäftigten absolvieren eine Sensibilisierungsschulung.

Wie viel Zeit das kostet, hängt vom Ausgangspunkt ab. Ein Unternehmen mit dokumentierten Prozessen und moderner Infrastruktur hat viele Nachweise schon. Ein Unternehmen, das bei null anfängt, muss die Prozesse erst aufbauen.

3. Lücken schließen

Risikobeurteilung und Gap-Analyse zeigen meist Maßnahmen, die noch fehlen. Typisch sind Multi-Faktor-Authentifizierung für alle Zugänge, ein getesteter Restore der Datensicherung, zentrale Protokollierung, ein Inventar der Werte, ein Prozess zur Lieferantenprüfung oder ein Penetrationstest, wenn Ihre Risikobeurteilung ihn verlangt. Manches kostet Lizenzen, anderes vor allem Zeit. Planen Sie dafür einen Puffer ein, denn diese Posten werden erst nach der Analyse sichtbar.

4. Externe Beratung

Viele Unternehmen holen sich für die erste Zertifizierung Beratung ins Haus. Abgerechnet wird meist nach Tagen oder pauschal pro Projekt. Beratung spart Zeit bei Struktur und Auditerfahrung, die Arbeit in Ihren Systemen muss Ihr Team aber trotzdem erledigen. Legen Sie vorab fest, welche Dokumente und Entscheidungen bei Ihnen bleiben, denn der Auditor spricht mit Ihren Leuten, nicht mit der Beratung.

5. Software

ISMS-Software ersetzt Tabellen und Dokumentenordner: Risikoregister, Erklärung zur Anwendbarkeit, Richtlinien, Maßnahmen, Nachweise und Aufgaben an einem Ort. Sie ist optional, ihr Nutzen wächst mit der Zahl der Frameworks und der Häufigkeit der Nachweise.

Die laufenden Kosten

ISO 27001 ist kein einmaliges Projekt. Jedes Jahr führen Sie ein internes Audit und eine Managementbewertung durch, aktualisieren die Risikobeurteilung, sammeln Nachweise und bereiten das Überwachungsaudit vor. Planen Sie das von Anfang an als laufende Kosten ein. Wer das erste Audit als Ziellinie behandelt, zahlt meist beim ersten Überwachungsaudit drauf.

So halten Sie die Kosten niedrig

1. Geltungsbereich bewusst wählen. Beginnen Sie mit dem Produkt und den Teams, auf die es Ihren Kunden ankommt. Erweitern können Sie später.
2. Vorhandenes nutzen. Viele Maßnahmen laufen schon in Ihrem Tech-Stack. Dokumentieren und belegen Sie sie, statt parallele Prozesse aufzubauen.
3. Nachweise laufend sammeln. Nachweise aus dem laufenden Jahr sind günstiger als Nachweise, die in den Wochen vor dem Audit rekonstruiert werden.
4. Vergleichbare Angebote einholen. Geben Sie jeder Zertifizierungsstelle dieselbe Personenzahl und denselben Geltungsbereich vor.
5. Den ganzen Zyklus planen. Nehmen Sie die beiden Überwachungsaudits und die Rezertifizierung ins Budget auf.

Wenn Sie Ihre erste Zertifizierung vorbereiten, beschreibt unser Leitfaden zur Erklärung zur Anwendbarkeit das Dokument, das Auditoren zuerst lesen. Wie die KI-Agenten von GetTeddy jeden Schritt unterstützen, zeigt unsere Seite zur ISO-27001-Zertifizierung.