Die Kosten einer ISO/IEC-27001-Zertifizierung lassen sich ohne Geltungsbereich nicht seriös beziffern. Zwei Unternehmen mit gleicher Beschäftigtenzahl können wegen Standorten, Technologien, Schichtbetrieb, Outsourcing oder Risikoprofil einen deutlich unterschiedlichen Audit- und Umsetzungsaufwand haben.
Welche Kostenblöcke gehören ins Budget?
| Kostenblock | Typische Inhalte |
|---|---|
| Interner Aufwand | Projektleitung, Risikoeigner, Dokumentation, Interviews, Korrekturen |
| Beratung | Gap-Analyse, Methodik, Workshops, interne Auditunterstützung |
| Technik und Betrieb | notwendige Kontrollen, Tools, Tests, Lieferantenmaßnahmen |
| Kompetenz | Awareness, Rollenqualifizierung, Auditorenkompetenz |
| Zertifizierungsstelle | Stage 1, Stage 2, Überwachung und Re-Zertifizierung |
Ein Softwarekauf ist nicht automatisch erforderlich. Umgekehrt darf ein niedriges Auditangebot nicht darüber hinwegtäuschen, dass technische oder organisatorische Lücken vor der Zertifizierung geschlossen werden müssen.
Die wichtigsten Kostentreiber
- Zahl und Größe der Standorte im Scope
- Beschäftigtenzahl und Schichtmodelle
- Komplexität der Prozesse, Produkte und IT-Landschaft
- Umfang ausgelagerter Leistungen und kritischer Lieferanten
- bestehende Managementsysteme und belastbare Evidenz
- regulatorisches und vertragliches Risikoprofil
- gewünschter Akkreditierungs- und Zertifizierungsscope
- Reise-, Sprach- und Multi-Site-Anforderungen
Zertifizierungsstellen bestimmen die Auditzeit nach den für sie geltenden Akkreditierungsregeln und anhand der Organisationsdaten. Deshalb sollten Vergleichsangebote dieselben Scope-Angaben enthalten.
Ablauf des Zertifizierungsprojekts
- Scope und Ziel klären: Welche Einheit, Standorte, Leistungen und Schnittstellen sollen auf dem Zertifikat stehen?
- Gap-Analyse: Abweichungen gegen ISO/IEC 27001:2022 und Amendment 1:2024 priorisieren.
- ISMS umsetzen: Risiken behandeln, SoA pflegen, Kontrollen betreiben und Evidenz sammeln.
- Intern prüfen: internes Audit, Managementbewertung und Korrekturen abschließen.
- Stage 1: Dokumentation, Scope und Bereitschaft bewerten lassen.
- Stage 2: Umsetzung und Wirksamkeit durch die Zertifizierungsstelle prüfen lassen.
- Zyklus betreiben: Feststellungen bearbeiten, Überwachungsaudits bestehen und Re-Zertifizierung vorbereiten.
Der Zertifizierungszyklus dauert grundsätzlich drei Jahre und enthält Überwachungsaudits. Die genaue Auditplanung legt die Zertifizierungsstelle fest.
So erhalten Sie vergleichbare Angebote
Senden Sie allen Anbietern dieselbe Scope-Beschreibung und fragen Sie getrennt nach:
- Auditzeit und Honorar für Stage 1 und Stage 2,
- Reise- und Nebenkosten,
- Kosten der Überwachungsaudits,
- Re-Zertifizierung und Erweiterung des Scopes,
- Umgang mit zusätzlichen Standorten oder wesentlichen Änderungen,
- Akkreditierung für den gewünschten Bereich.
Pauschale Marktspannen sind höchstens eine frühe Budgethilfe und keine belastbare Offerte. Auch Förderprogramme sollten nur nach Prüfung der aktuellen offiziellen Bedingungen eingeplant werden.
Eine Zertifizierung ist zudem keine Sicherheitsgarantie. Sie bestätigt, dass ein definierter ISMS-Scope gegen die Norm bewertet wurde; Zertifizierung garantiert nicht, dass kein Vorfall eintritt, und bietet keine Gewähr für umfassende Rechtskonformität.
Vision Compliance unterstützt bei ISO-27001-Scope, Aufwandsschätzung und Auditvorbereitung, unabhängig von der Zertifizierungsentscheidung.
Quellen und Prüfung
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.