ISO 27001
Standarden dine kunder bliver ved med at spørge om.
Eksempeldata
Ingen lov kræver, at en softwarevirksomhed certificeres efter ISO 27001; det gør en kundes kontraktfornyelse, et udbud eller en bank under DORA, og det første tal at kende er, hvad auditten kræver for en virksomhed af jeres størrelse.
For 25 personer er certificeringsauditten 7 auditordage efter ISO/IEC 27006-1:2024 bilag C: 8.400 € til 14.000 € for den indledende audit og 14.000 € til 23.300 € for treårscyklussen, til de dagsatser, akkrediterede organer i Europa tager, kun auditgebyrer.
Åbn omkostningsberegneren med dette antal personerOverblik
Den treårige certifikatcyklus
- Audit, trin 1
- Audit, trin 27 auditordage, trin 1 og 2
- Certifikat
- Overvågning, år 1omkring 2,3 auditordage
- Overvågning, år 2omkring 2,3 auditordage
- Gencertificering, år 3
Auditordage for 25 personer i omfanget, ISO/IEC 27006-1:2024 Annex C; en overvågning er omkring en tredjedel af den første audit.
- BeregnerHvad certificering faktisk kosterCertificeringsorganer offentliggør ikke priser, men auditdagene er fastlagt i ISO/IEC 27006. Du kan altså selv regne dit tal ud.
- GuideISO 27001 for en virksomhed med 10 ansatteDet kan lade sig gøre i den størrelse. Standarden kræver det samme af 10 personer som af en større virksomhed; auditten er kortere.
- GuideHvad ISO 27001-software omfatter, og hvad du betaler auditoren separatSoftwareprisen køber ledelsessystemet. Certifikatet kommer fra et akkrediteret certificeringsorgan, som du selv vælger og betaler.
- GuideISO 27001-software uden årsaftaleStandardOS faktureres måned for måned. Der er ingen bindingsperiode og intet opsigelsesvarsel, og du opsiger i appen.
- GuideCompliance-software uden salgssamtalePrisen står på siden, prøveperioden kræver intet kort, og du køber og opsiger i appen. Ingen behøver at ringe til dig.
- DokumentgeneratorSkriv omfangetPunkt 4.3 ud fra tolv svar: den sætning, certifikatet vil bære, grænserne, grænsefladerne og afhængighederne, undtagelserne med deres begrundelse og de overvejede forhold.
- DokumentgeneratorSkriv informationssikkerhedspolitikkenPunkt 5.2 ud fra ti svar: formålet, hvorfor sikkerhed betyder noget for denne virksomhed, forpligtelserne, målene, hvem der er ansvarlig, emnepolitikkerne under den, og hvordan den kommunikeres og gennemgås.
- DokumentgeneratorSkriv risikoregistret og risikobehandlingsplanenFem svar vælger startrisiciene, hver scoret og behandlet med foranstaltningerne i anneks A; registret og planen skrevet, som auditoren læser dem, og erklæringen om anvendelighed følger.
- DokumentgeneratorSkriv det interne auditprogramPunkt 9.2 ud fra fem svar: kriterierne, hvor mange audits om året og hvad hver dækker, hvem der auditerer og hvordan uafhængigheden holdes, metoderne, årets plan over standardens afsnit og anneks A's temaer, og hvordan resultater rapporteres.
- DokumentgeneratorSkriv referatet af ledelsens evalueringPunkt 9.3 som dagsorden: de syv input i punktets rækkefølge med det, der blev sagt om hvert, de fire præstationstendenser med deres tal, beslutningerne, handlingerne med ejer og dato, og det referat, en auditor læser.
- DokumentgeneratorSkriv en registrering af korrigerende handlingPunkt 10.2 for én konstatering: afvigelsen, korrektionen og dens følger, årsagen, om den findes andre steder, handlingen med ejer og dato, effektivitetskontrollen og ændringen af systemet, som den registrering en auditor læser.
- DokumentgeneratorSkriv beredskabsplanen for hændelserForanstaltningerne i anneks A om hændelser ud fra få svar: hvem der leder, hvordan en begivenhed anmeldes, de tre alvorsniveauer, responstrinnene, de GDPR-, NIS2- og CRA-frister der gælder, de beviser der skal opbevares, gennemgangen bagefter, øvelserne.
- DokumentgeneratorSkriv politikken for acceptabel brugDe regler, alle underskriver, ud fra få svar: konti og adgangskoder, enheder og private enheder, fjernarbejde, håndtering af informationer, godkendte tjenester og AI-værktøjer, kommunikation, privat brug, overvågning, anmeldelse, fratrædelse, overtrædelser, bekræftelse.
- DokumentgeneratorSkriv adgangsstyringspolitikkenHvem der får adgang til hvad, og hvordan adgang gives, beskyttes, gennemgås og fjernes, ud fra få svar: én identitet pr. person, multifaktorautentifikation, roller, privilegerede konti, tredjeparter, adgangsgennemgangen, fratrådte, logning, undtagelser.
- DokumentgeneratorSkriv leverandørpolitikkenHvordan virksomheden vælger, kontraherer, følger og forlader sine leverandører og cloudtjenester, ud fra nogle få svar: de kritiske leverandører, hvad der tjekkes før underskriften, de seks kontraktklausuler, hvor data må ligge, gennemgangen, exit.
- DokumentgeneratorSkriv kontinuitetsplanenHvad virksomheden gør, når produktet, dataene, kontoret eller en leverandør falder væk, ud fra nogle få svar: de dækkede tjenester, timerne til genoprettelse, det accepterede datatab, hvem der erklærer en forstyrrelse, hvordan sikkerheden holder imens, genoprettelsen, øvelsen.
- DokumentgeneratorSkriv erklæringen om anvendelighedDe 93 foranstaltninger i anneks A med hver sin status, en begrundelse for hver udelukkelse, og erklæringen skrevet, som auditoren læser den, til at kopiere eller downloade.
- GuideAlle 93 foranstaltninger i Bilag AÉn klar linje pr. foranstaltning, grupperet efter de fire temaer i 2022-udgaven.
- GuideHvad vi dækker, kapitel for kapitelHvert kapitel fra 4 til 10, hvor registreringerne ligger i produktet, og hvor grænserne for enhver software går.
- ArtikelHvor mange auditdage, efter antal ansatteRegnestykket fra ISO/IEC 27006-1:2024 bilag C, der fastlægger auditprisen, før nogen giver jer et tilbud.
- ArtikelISO 27001 eller SOC 2 i Europa3.405 EU-udbud nævner ISO 27001, 104 nævner SOC 2. Forespørgslen er offentlig; kør den selv.
- ArtikelHvor offentlige indkøbere nævner ISO 27001, land for landOffentlige indkøbere i Danmark nævnte ISO 27001 i 11 udbud det seneste år, 0,13 % af alt, hvad de offentliggjorde. Tyskland og Polen står for syv ud af ti nævnelser i Europa.
- ArtikelOmfangserklæringen, den linje en køber læser førstHvorfor et certifikat, der nævner hovedkontoret, ikke dækker et SaaS-produkt, hvad afsnit 4.3 kræver, de otte betingelser, en finansiel kunde anvender under DORA, og tre omfangserklæringer for et softwarefirma, der består.
- ArtikelErklæringen om anvendelighed, læst for en softwarevirksomhedDe fire kolonner i punkt 6.1.3 d), de udelukkelser, en auditor accepterer, og dem, han aldrig gør, og hvordan erklæringen følger risikobehandlingsplanen.
- ArtikelRisikovurderingen, læst for en softwarevirksomhedHvad punkt 6.1.2 kræver, en fempunktsmetode med accepttærskel, de startrisici en softwarevirksomhed bærer, og hvorfor behandlingsplanen kommer før erklæringen.
- ArtikelInformationssikkerhedspolitikken, læst for en softwarevirksomhedHvad punkt 5.2 kræver og ikke kræver, de ni afsnit i en politik på to sider, mål en auditor kan måle, og de fejl den første audit påpeger.
- ArtikelLedelsens evaluering, læst som dagsordenDe syv input i punkt 9.3 i rækkefølge, de fire tendenser med tal, de to output, hvad referatet skal vise, og de fejl, der gør et møde til en afvigelse.
- ArtikelRegistreringen af korrigerende handling, læst som rækkefølgeHvad punkt 10.2 kræver efter en afvigelse, de syv afsnit i en registrering en auditor anerkender, hvorfor korrektion ikke er korrigerende handling, og de fejl der genåbner en lukket konstatering.
- ArtikelISO/IEC 27701:2025, privatlivsstandarden oven på 27001Den selvstændige udgave læst række for række: de 70 krav, et kørende ISO 27001-system halvt dækker, de 33 rene privatlivskrav og de GDPR-artikler, hver foranstaltning dokumenterer.
- Gratis tjekDORA for en softwareleverandør: de kontraktklausuler, din bankkunde senderNi klausuler i enhver kontrakt om IKT-tjenester og seks mere for en kritisk eller vigtig funktion, læst fra artikel 30; det informationsregister, I står i; og for hvilke klausuler et ISO 27001-system allerede frembringer beviset.
Hver gratis skabelon på én side
Hvad det koster, og hvordan I kommer derhen
- ArtikelOmkostninger ved ISO 27001-certificering for en virksomhed, efter antal medarbejdereAuditordagene kommer fra tabellen i ISO/IEC 27006-1:2024 Bilag C, så certificeringsomkostningerne følger antallet af medarbejdere mere end branchen.
- ArtikelOmkostninger ved implementering af ISO 27001: tallet over tre år, ikke den første fakturaCertificering kører i en treårig cyklus med overvågningsaudits hvert år.
- ArtikelBilligste ISO 27001-certificering: sådan sammenligner I tilbud uden at købe et værdiløst certifikatTilbud fra certificeringsorganer varierer, men auditordagene bag dem er fastlagt af ISO/IEC 27006-1:2024 Bilag C.
- ArtikelDen billigste vej til ISO 27001, og den del, I ikke kan gøre billigereDet meste af et ISO 27001-budget er auditordage, og de fastlægges af en offentliggjort tabel frem for ved forhandling.
- ArtikelISO 27001-tjekliste, afsnit for afsnitEn tjekliste, der følger standardens egen struktur: afsnit 4 til 10 og hvad hvert af dem kræver, at I kan vise, plus det, Bilag A lægger til.
- ArtikelBedste ISO 27001 compliance-software: hvad I skal spørge om, før I sammenligner funktionerAntal integrationer er lette at sammenligne og afgør sjældent en audit.
- ArtikelISO 27001 uden konsulent: hvad I påtager jer, i den rækkefølge I påtager jer detVirksomheder certificerer sig uden konsulent hvert år.
- ArtikelSådan får en virksomhed ISO 27001-certificering, i den rækkefølge det faktisk skerVejen fra ingenting til et certifikat, hvad der sker ved trin 1 og trin 2, og de registreringer en auditor spørger efter på hvert punkt.
- ArtikelSådan besvarer I et sikkerhedsspørgeskema ud fra jeres ISO 27001 ISMS: 30 spørgsmålsemner kortlagt til de foranstaltninger i Bilag A, der besvarer demNæsten hvert sikkerhedsspørgeskema, en europæisk virksomhed modtager, spørger om de samme 30 emner.
ISO 27001-systemet og dets dokumentation, ét sted
Bilag A som anvendelseserklæring, med de politikker, risici og audits, der dokumenterer den, i ét arbejdsområde.
Eller få det gjort sammen med os: ISO 27001-gap-analyse, 1.200 €, 10 arbejdsdage
Hvad det kræver af jer
93 foranstaltninger i 4 temaer
Organisatorisk
37- A.5.1 Skriftlige sikkerhedspolitikker, godkendte og opdaterede
- A.5.2 Hvem der er ansvarlig for hvad i sikkerheden
- A.5.3 Del følsomme opgaver mellem flere mennesker
og 34 mere
Mennesker
8- A.6.1 Baggrundstjek før ansættelse
- A.6.2 Sikkerhedspligter skrevet ind i ansættelsesvilkårene
- A.6.3 Lær folk at arbejde sikkert
og 5 mere
Fysisk
14- A.7.1 Fastlæg den fysiske grænse, I beskytter
- A.7.2 Styr hvem der kommer ind ad døren
- A.7.3 Sikr selve lokalerne
og 11 mere
Teknologisk
34- A.8.1 Sikr bærbare, telefoner og stationære
- A.8.2 Begræns administratoradgang
- A.8.3 Begræns hvad den enkelte kan åbne
og 31 mere
Se også:Sådan finder I et akkrediteret certificeringsorganHvad compliance-software kosterFor konsulenter: hver kunde i én kontoArtiklerGratis værktøjer