ISO 27001 · EVERGREEN
“Was kostet das?” ist die erste Frage in jedem ISO-27001-Erstgespräch
– und die meisten Antworten im Netz sind entweder Lockangebote
(“Festpreis ab 5.000 €”) oder Nebelkerzen (“kommt drauf an”). Beides
hilft bei der Budgetplanung nicht. Hier ist die ehrliche Rechnung mit
allen vier Kostenblöcken – inklusive dem, der auf keiner Rechnung
auftaucht.
Kurzantwort
Eine ISO-27001-Erstzertifizierung kostet ein kleines Unternehmen
(10–50 Mitarbeitende) im ersten Jahr realistisch etwa 25.000 bis 60.000
Euro, einen Mittelständler (50–250 Mitarbeitende) etwa 50.000 bis 80.000
Euro und mehr. Das eigentliche Zertifizierungsaudit macht davon nur
10.000 bis 25.000 Euro aus – der größte Block ist die interne
Personenzeit für den ISMS-Aufbau, gefolgt von externer Beratung und
optionalem Tooling. Dazu kommen laufende Kosten: jährliche
Überwachungsaudits (rund ein Drittel des Erstaudits) und die Pflege des
Systems.
Die vier Kostenblöcke im
Detail
1. Interne Personenzeit – der unterschätzte
Löwenanteil. Ein ISMS entsteht nicht beim Auditor, sondern im
Unternehmen: Risikoanalyse, Richtlinien, Prozesse, Schulungen,
Nachweise. Je nach Ausgangslage bindet das über 9 bis 18 Monate
erhebliche Kapazität – häufig in der Größenordnung einer halben bis
ganzen Stelle. Diese Opportunitätskosten stehen auf keinem Angebot, sind
aber real.
2. Externe Beratung. Tagessätze bewegen sich grob
zwischen 800 und 2.000 Euro je nach Profil. Beratung ist optional, aber
meist wirtschaftlich: Sie verhindert die teuerste Kostenfalle überhaupt
– ein Audit, das an unvollständiger Dokumentation scheitert und
Nachprüfungen erzwingt.
3. Das Zertifizierungsaudit. Die Auditor-Tage sind
über Akkreditierungsregeln an die Unternehmensgröße gekoppelt und kaum
verhandelbar; für KMU landen die reinen Auditkosten meist zwischen
10.000 und 25.000 Euro (Stage 1 + Stage 2) bei einer akkreditierten
Stelle.
4. Tooling. Von Office-Bordmitteln (0 €) bis zur
ISMS-Plattform (grob 3.000–15.000 €/Jahr). Plattformen sparen interne
Zeit, sind aber kein Muss – ein schlankes, gelebtes ISMS in
Standardwerkzeugen schlägt jede ungenutzte Software.
Laufende Kosten nicht
vergessen
Das Zertifikat gilt drei Jahre. In den Folgejahren fallen
Überwachungsaudits an (typisch rund ein Drittel des Erstaudits), dazu
interne Audits, Managementbewertung und kontinuierliche Pflege.
Faustregel: 10 bis 15 Prozent der Erstinvestition pro Jahr einplanen.
Ein ISMS, das nach der Urkunde “eingefroren” wird, fällt spätestens bei
der Rezertifizierung durch – und war dann tatsächlich zu teuer.
Woran sich sparen lässt
– und woran nicht
Sparen lässt sich am Ausgangszustand (wer MFA, Patch-Prozesse und
Notfallkonzept schon hat, reduziert den Aufwand um 30 bis 50 Prozent),
am Scope (klein und ehrlich starten statt das ganze Unternehmen auf
einmal) und an Synergien: ISO 27001 überschneidet sich stark mit TISAX –
wer beide braucht, sollte sie auf einem ISMS aufbauen, wie unser
Vergleich TISAX
oder ISO 27001 zeigt. Nicht sparen sollte man an gelebten Prozessen:
„ISMS in drei Tagen”-Angebote produzieren Ordner voller Vorlagen, die im
Audit auffliegen – die Nachbesserung kostet dann mehr als der seriöse
Weg.
Häufige Fragen (FAQ)
Geht es auch günstiger als 25.000 Euro? Für sehr
kleine, IT-affine Organisationen mit engem Scope: ja, mit viel
Eigenleistung und Vorlagen. Die Auditkosten selbst bleiben aber, und
Eigenleistung ist nicht kostenlos – sie heißt nur anders.
Was kostet ein internes Audit? Es ist
Pflichtbestandteil vor der Zertifizierung und jährlich danach. Intern
durchgeführt kostet es Personenzeit und erfordert Unabhängigkeit vom
geprüften Bereich; extern vergeben schafft es Objektivität und entlastet
das Team – Details auf unserer Seite zum internen Audit.
Verkürzt eine Plattform wirklich die Zeit? Vorlagen
und Workflows sparen Recherche- und Dokumentationszeit, ja. Sie ersetzen
aber weder Risikoentscheidungen noch das Management-Commitment – die
beiden häufigsten echten Verzögerer.
Lohnt sich das überhaupt? Wenn Kunden,
Ausschreibungen oder Versicherer den Nachweis fordern, rechnet es sich
oft mit dem ersten gewonnenen Auftrag. Als reines Marketing ohne gelebte
Sicherheit lohnt es nie.
Fazit
ISO 27001 kostet für den Mittelstand realistisch eine mittlere
fünfstellige Summe im ersten Jahr – und der größte Posten steht auf
keiner Rechnung: die eigene Zeit. Wer den Ausgangszustand ehrlich
bewertet, den Scope klug schneidet und Doppelarbeit mit TISAX vermeidet,
holt aus jedem Euro das Maximum. Und wer die Rolle des
Sicherheitsverantwortlichen nicht intern besetzen kann, findet im externen ISB die
wirtschaftliche Alternative zur halben Stelle.
UBESAFE kalkuliert Ihr ISO-27001-Projekt auf Basis Ihrer
tatsächlichen Ausgangslage – ehrlich, mit allen vier Kostenblöcken. Kostenloses
Erstgespräch.