ISO 27001 Kosten

Wer nach einem Preis für die Zertifizierung sucht, bekommt selten eine Zahl, sondern ein Angebotsformular. Das liegt daran, dass die ISO 27001 Kosten aus mehreren Blöcken bestehen – von denen nur ein Teil beim Berater anfällt.

Erstgespräch vereinbaren

Woraus sich die ISO 27001 Kosten zusammensetzen

Zwei Punkte dazu, die in Angeboten gern untergehen.

Die Zertifizierungsstelle rechnen wir nicht ab. Ein Zertifikat darf nur eine akkreditierte Stelle ausstellen, und sie muss unabhängig von dem sein, der das ISMS aufgebaut hat. Wer Ihnen Beratung und Zertifikat aus einer Hand anbietet, sollte Sie stutzig machen. Die Tagessätze richten sich nach Ihrer Größe und dem Geltungsbereich; wir sagen Ihnen im Erstgespräch, mit welcher Größenordnung zu rechnen ist.

Der interne Aufwand ist real. Interviews, Abstimmungen, Umsetzung von Maßnahmen – das leistet niemand nebenbei. Wer diesen Posten in der Planung weglässt, wundert sich später über die Projektdauer, nicht über die Rechnung.

Was die Betreuung kostet

Ab 257 € im Monat. Darin enthalten sind die Stellung des Beauftragten durch einen zertifizierten ISO-27001-Auditor, die Informationssicherheitsplattform, E-Learning für Ihre Mitarbeitenden, die Vorlagenbibliothek, das digitale Audit mit Editor sowie Regeltermine mit einem festen Ansprechpartner. Was die Rolle im Einzelnen umfasst, steht unter externer ISB.

Zwei Zuschnitte sind möglich, und sie unterscheiden sich in mehr als im Preis:

Mit Benennung. Wir übernehmen die Rolle des Informationssicherheitsbeauftragten förmlich – einschließlich Bereitschaft und Verantwortung für die laufende Wahrnehmung.

Ohne Benennung. Wir bauen das ISMS auf und betreuen es, die Rolle bleibt bei Ihnen. Sinnvoll, wenn Sie intern jemanden haben, dem nur die Erfahrung fehlt.

Was den Preis bewegt

Vier Faktoren, in dieser Reihenfolge:

Der Geltungsbereich. Ein Zertifikat für einen Standort und einen Geschäftsprozess ist etwas anderes als eines für die gesamte Gruppe. Der Zuschnitt ist die wirksamste Stellschraube – und wird zu selten genutzt.

Die Zahl der Standorte und Gesellschaften. Jede Einheit bringt eigene Abläufe und eigene Ansprechpartner mit.

Der Reifegrad. Wer bereits ein gepflegtes Verarbeitungsverzeichnis, dokumentierte Maßnahmen und geregelte Zuständigkeiten hat, startet nicht bei null. Eine Gap-Analyse am Anfang zeigt, wie groß der Abstand tatsächlich ist – oft ist er kleiner als befürchtet.

Die Zahl der Mitarbeitenden. Sie wirkt vor allem auf Schulung und Abstimmungsaufwand, weniger auf die Dokumentation.

Wie der Aufbau im Einzelnen abläuft, steht unter ISMS aufbauen; die Normanforderungen führen Sie in den Normenkatalogen, aus denen auch das Statement of Applicability entsteht.

Intern oder extern

Die Aufgaben sind in beiden Fällen dieselben. Der Unterschied liegt woanders:

Der letzte Punkt trügt am meisten. Ein interner Verantwortlicher kostet nicht null, sondern die Arbeitszeit, die er nicht mehr für seine eigentliche Aufgabe hat – plus Ausbildung und Fortbildung.

Wann sich der Aufwand lohnt

Meist entscheidet nicht die Kostenrechnung, sondern der Anlass. Faktisch erforderlich wird die Zertifizierung, wenn Kunden danach fragen, wenn Ausschreibungen sie voraussetzen, wenn Sie unter NIS-2 fallen oder kritische Kundendaten verarbeiten.

Wenn keiner dieser Anlässe vorliegt, lohnt ein Blick auf die schlankere Alternative: Die VdS 10000 führt zu einem geprüften Managementsystem mit deutlich geringerem Aufwand – deutschlandweit anerkannt, aber ohne internationale Reichweite. Was die beiden unterscheidet, steht unter ISO 27001.

Kontakt

Sie brauchen eine Zahl für die Budgetplanung? Nennen Sie uns Geltungsbereich und Standorte – dafür genügt ein Telefonat.

• Telefon: +49 6188 99 04 36
• E-Mail: office@dsb-datenschutz.de
• Kontaktformular: Anfrage senden
• Alle Preise der Informationssicherheit