Die drei Kostenblöcke im Überblick
Die Gesamtkosten einer ISO-27001-Zertifizierung setzen sich aus drei Blöcken zusammen, die in Angeboten oft vermischt werden. Der erste ist der interne Aufwand: die Arbeitszeit Ihrer Mitarbeitenden für Risikoanalyse, Richtlinien, Umsetzung und Audits. Der zweite sind externe Leistungen wie Werkzeuge, Schulungen, Penetrationstests oder Beratung. Der dritte sind die Gebühren der Zertifizierungsstelle für Audits über den gesamten Zertifikatszyklus.
In den meisten Projekten ist der interne Aufwand der größte und zugleich am schlechtesten geplante Block. Er taucht in keiner Rechnung auf, bindet aber Schlüsselpersonen aus IT, Personal und Geschäftsleitung über Monate. Ein ehrliches Budget rechnet diese Zeit mit ein.
- Interner Aufwand: Projektleitung, Risikoanalyse, Dokumentation, Umsetzung technischer und organisatorischer Maßnahmen, internes Audit
- Externe Leistungen: Software für ISMS oder Risikomanagement, Schulungen, technische Prüfungen, gegebenenfalls Unterstützung
- Zertifizierung: Stage-1- und Stage-2-Audit, jährliche Überwachungsaudits, Rezertifizierung nach drei Jahren
Faktor 1: Geltungsbereich
Der Geltungsbereich (Scope) ist der wirksamste Hebel für die Kosten. Er legt fest, welche Standorte, Organisationseinheiten, Prozesse und Systeme das Informationssicherheits-Managementsystem umfasst. Ein Scope, der nur die Entwicklung und den Betrieb einer SaaS-Plattform abdeckt, ist deutlich günstiger zu zertifizieren als einer, der das gesamte Unternehmen mit Produktion und Vertrieb an mehreren Standorten einschließt.
Ein zu enger Scope spart allerdings am falschen Ende. Wenn Kunden das Zertifikat prüfen und feststellen, dass der für sie relevante Dienst nicht abgedeckt ist, hat es keinen Wert. Definieren Sie den Scope deshalb von den Anforderungen Ihrer Kunden und Ihres Risikos her, nicht vom Budget.
Faktor 2: Unternehmensgröße und Audittage
Die Gebühren der Zertifizierungsstelle richten sich vor allem nach der Zahl der Audittage. Diese wird nicht frei verhandelt, sondern nach Vorgaben ermittelt, die akkreditierte Zertifizierungsstellen einhalten müssen. Für Informationssicherheits-Managementsysteme legt ISO/IEC 27006-1 fest, wie die Auditzeit bestimmt wird. Ausgangspunkt ist die Zahl der Personen, die im Geltungsbereich arbeiten.
Die Basiszeit wird dann nach Komplexitätsfaktoren angepasst: Art des Geschäfts und Kritikalität der Informationen, Zahl der Standorte, Komplexität der IT-Landschaft, Anteil ausgelagerter Prozesse, Grad der Regulierung und vorhandene Managementsysteme. Ein Angebot mit auffällig wenigen Audittagen ist deshalb kein Schnäppchen, sondern ein Warnsignal. Fragen Sie nach, wie die Auditzeit berechnet wurde.
Prüfen Sie Ihren Stand kostenlos
10–15 Minuten, ohne Konto: Readiness-Score, Lückenbericht und KI-Empfehlungen.
Faktor 3: Ausgangslage und Reifegrad
Wie viel Arbeit vor dem Audit liegt, hängt davon ab, wie viel bereits vorhanden ist. Unternehmen, die schon ein Managementsystem nach ISO 9001 betreiben, haben Dokumentenlenkung, interne Audits und Managementbewertung eingeführt. Wer bereits nach BSI IT-Grundschutz arbeitet oder einen Kundenfragebogen nach TISAX beantwortet hat, kann viele Nachweise wiederverwenden.
Ebenso wichtig ist der technische Stand. Wenn Multi-Faktor-Authentisierung, zentrales Patch-Management, ein Asset-Inventar und getestete Backups fehlen, entstehen Umsetzungskosten, die nichts mit der Norm an sich zu tun haben, sondern mit nachgeholter Basissicherheit. Diese Investitionen wären auch ohne Zertifikat sinnvoll und sollten im Budget getrennt ausgewiesen werden.
- Gibt es bereits ein Managementsystem nach einer anderen ISO-Norm?
- Existiert ein aktuelles Inventar von Hardware, Software, Daten und Dienstleistern?
- Sind Zugriffsrechte dokumentiert und werden sie regelmäßig überprüft?
- Werden Backups regelmäßig auf Wiederherstellbarkeit getestet?
- Gibt es einen definierten Prozess für Sicherheitsvorfälle?
- Sind Sicherheitsanforderungen in Verträgen mit Dienstleistern geregelt?
Faktor 4: Anhang A und technische Maßnahmen
ISO/IEC 27001:2022 enthält in Anhang A 93 Maßnahmen in vier Themen: organisatorische, personenbezogene, physische und technologische Maßnahmen. Welche davon Sie umsetzen, ergibt sich aus Ihrer Risikobeurteilung und wird in der Erklärung zur Anwendbarkeit begründet. Verbindlich für die Zertifizierung sind in jedem Fall die Kapitel 4 bis 10.
Kostentreiber in Anhang A sind typischerweise Protokollierung und Überwachung, sichere Entwicklung, Schwachstellenmanagement, Lieferantenmanagement und Business Continuity. Die 2022 neu aufgenommenen Maßnahmen, etwa Threat Intelligence, Informationssicherheit für die Nutzung von Cloud-Diensten, Konfigurationsmanagement, Datenmaskierung und Überwachung von Aktivitäten, verursachen bei vielen Unternehmen den größten Zusatzaufwand.
Folgekosten über den Zertifikatszyklus
Ein ISO-27001-Zertifikat gilt drei Jahre. In den beiden Jahren dazwischen finden Überwachungsaudits statt, im dritten Jahr die Rezertifizierung. Dazu kommen laufende interne Kosten: jährliches internes Audit, Managementbewertung, Aktualisierung der Risikobeurteilung, Schulungen und Pflege der Dokumentation. Wer nur die Erstzertifizierung budgetiert, erlebt im zweiten Jahr eine Überraschung.
Rechnen Sie außerdem mit Kosten, die erst durch den Betrieb des ISMS sichtbar werden, etwa für Werkzeuge zur Protokollauswertung, regelmäßige technische Prüfungen oder Ersatz von Systemen, die nicht mehr mit Sicherheitsupdates versorgt werden.
Angebote von Zertifizierungsstellen richtig vergleichen
Angebote unterscheiden sich oft weniger im Tagessatz als in dem, was enthalten ist. Manche Stellen nennen nur die Erstzertifizierung, andere den gesamten Dreijahreszyklus. Reisekosten, Zertifikatsgebühren oder Kosten für Nachaudits bei Abweichungen werden häufig separat berechnet. Vergleichbar werden Angebote erst, wenn Sie alle Positionen über drei Jahre nebeneinanderstellen.
Geben Sie allen angefragten Stellen dieselben Informationen: Zahl der Personen im Geltungsbereich, Standorte, ausgelagerte Prozesse, vorhandene Zertifikate und gewünschter Audittermin. Unterschiedliche Annahmen sind die häufigste Ursache für scheinbar große Preisunterschiede.
- Zahl der Audittage für Stage 1, Stage 2, Überwachung und Rezertifizierung
- Akkreditierung für ISO/IEC 27001 und Akkreditierungsstelle
- Reisekosten und Anteil remote durchgeführter Audits
- Kosten für Nachaudits und Prüfung von Korrekturmaßnahmen
- Erfahrung der Auditoren in Ihrer Branche
- Möglichkeit kombinierter Audits mit anderen Normen
Typische Kostenfallen und wie Sie sie vermeiden
Viele Projekte werden teurer als nötig, weil sie mit Dokumenten statt mit Risiken beginnen. Gekaufte Vorlagenpakete mit hunderten Seiten Richtlinien wirken effizient, müssen aber angepasst, gelebt und auditiert werden. Was nicht zur Organisation passt, erzeugt Abweichungen.
Eine zweite Falle ist ein zu früher Audittermin. Wenn das Stage-2-Audit stattfindet, bevor internes Audit und Managementbewertung abgeschlossen sind, drohen Hauptabweichungen und ein Nachaudit. Eine dritte Falle sind unklare Rollen: Ohne Projektleitung mit festem Zeitbudget zieht sich die Einführung, und Kosten entstehen durch Verzögerung.
Der günstigste Einstieg ist eine strukturierte Lückenanalyse, bevor Sie Angebote einholen. Eine kostenlose Selbstbewertung auf baltum.ai zeigt, wie weit Ihr Unternehmen bei den Anforderungen von ISO/IEC 27001 bereits ist und wo der größte Aufwand zu erwarten ist.
Häufige Fragen
Warum nennen Sie keine konkreten Preise für ISO 27001?
Weil seriöse Zahlen nur für einen konkreten Geltungsbereich ermittelt werden können. Die Audittage hängen von Personenzahl und Komplexitätsfaktoren ab, der interne Aufwand vom Reifegrad. Holen Sie mehrere Angebote akkreditierter Zertifizierungsstellen ein und vergleichen Sie die Zahl der Audittage.
Wie kann ich die Kosten der Zertifizierung senken, ohne die Qualität zu gefährden?
Ein sinnvoll zugeschnittener Geltungsbereich, die Nutzung vorhandener Managementsysteme und eine Lückenanalyse vor Projektbeginn sparen am meisten. Kombinierte Audits mit ISO 9001 oder anderen Normen können Audittage reduzieren.
Ist eine Zertifizierungsstelle ohne Akkreditierung günstiger?
Möglicherweise ja, aber solche Zertifikate werden von vielen Kunden und Behörden nicht anerkannt. Achten Sie auf eine Akkreditierung, in Deutschland durch die DAkkS, und lassen Sie sich den Akkreditierungsumfang zeigen.
Welche Kosten fallen nach der Erstzertifizierung an?
Jährliche Überwachungsaudits, die Rezertifizierung nach drei Jahren sowie interne Kosten für Audits, Managementbewertung, Schulungen und Pflege der Maßnahmen. Diese laufenden Kosten sollten von Anfang an im Budget stehen.
Lohnt sich externe Unterstützung bei der Einführung?
Das hängt davon ab, ob intern jemand Erfahrung mit Managementsystemen und Informationssicherheit hat. Externe Hilfe kann Zeit sparen, ersetzt aber nicht die interne Arbeit, denn das ISMS muss von Ihren eigenen Leuten betrieben werden. Prüfen Sie vorher, welche Lücken wirklich bestehen, und kaufen Sie gezielt nur dafür Unterstützung ein.
Brauche ich für ISO 27001 eine spezielle Software?
Die Norm schreibt keine Software vor. Kleine Unternehmen kommen oft mit gut organisierten Dokumenten und einer Tabelle für Risiken aus. Mit wachsender Größe kann ein Werkzeug die Pflege vereinfachen, ist aber kein Muss.
Prüfen Sie Ihren Stand kostenlos
10–15 Minuten, ohne Konto: Readiness-Score, Lückenbericht und KI-Empfehlungen.
Quellen
Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung. baltum.ai ist eine unabhängige Software, keine Zertifizierungsstelle.