En ISO 27001-certificering tager omkring 5 auditordage for en virksomhed med op til 10 personer, 7 ved 16 til 25, 10 ved 46 til 65 og 12 ved 86 til 125, trin 1 og trin 2 tilsammen. Antallet kommer fra ISO/IEC 27006 Bilag B, som hvert akkrediteret certificeringsorgan er bundet af, så et tilbud er dage gange en dagspris på groft sagt 1.200 til 1.800 EUR: 8.400 til 12.600 EUR for en virksomhed med 25 personer. Overvågningsaudits i år to og tre tager omkring en tredjedel af den tid hver, og recertificering mindst to tredjedele.
Intet akkrediteret certificeringsorgan offentliggør sine priser. Hverken DNV, Bureau Veritas, DQS, TÜV, BSI, Intertek, SGS, LRQA eller Dekra. Hvert eneste af dem er "anmod om et tilbud", hvilket betyder, at I ikke kan budgettere, før I begynder at tale med sælgere.
Det er et reelt problem, når I forsøger at beslutte, om I overhovedet skal begynde. Det kan også løses, for det største led i gebyret er hverken til forhandling eller hemmeligt.
Gebyret er dage gange sats
Et certificeringstilbud er auditordage × dagspris. Dagsprisen varierer efter land og organ. Antallet af dage gør ikke: det er fastlagt af tabellen over audittid i ISO/IEC 27006 Bilag B, og det akkrediteringsorgan, der godkender jeres certificeringsorgan, holder dem til den.
Så den halvdel af formlen, der ellers ville være uigennemsigtig, er offentliggjort, og den afhænger af ét input, I allerede kender: hvor mange mennesker der udfører arbejde under jeres kontrol, inden for jeres ISMS' anvendelsesområde.
Regneeksempler fra tabellen:
| Personer i anvendelsesområdet | Auditordage, trin 1 + trin 2 |
|---|---|
| op til 10 | 5 |
| 16–25 | 7 |
| 46–65 | 10 |
| 86–125 | 12 |
Det er regneeksempler med afsnittet angivet frem for en gengivelse af tabellen, for ISO/IEC 27006 er ophavsretligt beskyttet, og vi genudgiver den ikke. Kontrollér dem mod jeres eget eksemplar.
Fra dage til penge
På tværs af offentliggjorte fagkilder tager akkrediterede organer i Europa groft sagt 1.200 € til 1.800 € pr. auditordag. Ingen offentliggør et officielt tal, og det er præcis derfor, I bør indhente tre tilbud på identisk grundlag.
For en virksomhed med 25 personer: 7 dage, altså 8.400 € til 12.600 € for den indledende certificering.
Så den tilbagevendende del, fra samme bilag. En overvågningsaudit er omkring en tredjedel af den indledende audittid, og den finder sted i år to og tre. Recertificering er mindst to tredjedele. Så treårsomkostningen for certifikatet for samme virksomhed er groft sagt 14.000 € til 21.000 € alene i auditgebyrer.
De tre ting, der ændrer tallet
Forkert optalte medarbejdere. 2024-udgaven er udtrykkelig om, at kontraktansatte og freelancere tæller med, ikke kun ansatte. Det er den enkelte hyppigste grund til, at en virksomhed budgetterer med ét bånd og får tilbud på det næste op.
Reduktioner for anvendelsesområde. Bilaget tillader en reduktion på op til 30 % for et enkelt, modent anvendelsesområde på én lokation, og ikke mere. Den bund står også i bilaget, så et tilbud langt under spændet er et spørgsmål at stille snarere end et godt tilbud.
Rejseomkostninger. Faktureres altid oven i dagsprisen.
Hvad der ikke er i dette tal
Certifikatet er det gebyr, I lige har beregnet. Det betales til et certificeringsorgan, som er en separat virksomhed, I kontraherer med direkte.
Alt andet er jeres: en penetrationstest til typisk 2.500 € til 5.000 € for en SaaS-applikation, et eksemplar af standarden til omkring 130 €, og den største omkostning af alle, som ikke optræder i nogens tilbud: jeres egne folks tid til at bygge ledelsessystemet, før auditoren kommer.
Kontrollér certificeringsorganet, før I underskriver
Intet hindrer en virksomhed i at kalde sig certificeringsorgan og sælge certifikater. Et ikke-akkrediteret certifikat ser identisk ud, koster 40–50 % mindre og afvises rutinemæssigt i store virksomheders indkøb. På det tidspunkt betaler I det fulde akkrediterede gebyr igen, for et ikke-akkrediteret certifikat kan som regel ikke overføres.
Hvert EU-land har ét nationalt akkrediteringsorgan, udpeget efter forordning (EF) 765/2008: DAkkS i Tyskland, COFRAC i Frankrig, RvA i Nederlandene, ENAC i Spanien, DANAK i Danmark. Kontrollér jeres certificeringsorgan i det register, eller internationalt gennem IAF, før I underskriver noget.