Hvad en ISO 27001-certificering faktisk koster

Intet akkrediteret certificeringsorgan offentliggør sine priser. DNV, Bureau Veritas, DQS, TÜV, BSI, Intertek, SGS, LRQA og Dekra giver alle kun tilbud på forespørgsel, så I kan ikke budgettere, før salgsopkaldene begynder. Honoraret er alligevel auditdage × dagstakst, og dagene følger af tabellen over audittid i Bilag B til ISO/IEC 27006, som akkrediteringsorganet holder certificeringsorganet op på; I kan altså regne jeres eget tal ud, før nogen giver jer et tilbud.

Hvert tal ovenfor er auditdage × dagstakst. Dagene kommer fra ISO/IEC 27006, der fastlægger dem efter antal personer; spændet fra 1.200 € til 2.000 € er spændet på tværs af de offentliggjorte fagkilder for akkrediterede organer i Europa, og sin egen takst offentliggør intet certificeringsorgan. Regnestykket står netop derfor på denne side, så I kan gentage det med en takst, I har fået tilbudt, i stedet for vores. Ligger et tilbud langt uden for disse spænd, så spørg, hvor mange auditdage der er afsat, og hvilken udgave af ISO/IEC 27006 der er anvendt.

Fire til syv måneder er realistisk for en lille softwarevirksomhed med værktøj. Bunden ligger omkring tre måneder, og det er en hård bund af en grund, der er værd at forstå: trin 2 tager stikprøver i jeres registreringer. Kapitel 9.2 kræver en intern audit og 9.3 en ledelsens evaluering, og en auditor kan ikke tage stikprøver i en ledelsesevaluering, der ikke har fundet sted. Ingen software kan komprimere det. Det software kan fjerne, er de to til seks måneder, hvor politikker, risikoregister og Erklæringen om anvendelighed ellers først skal bygges.

Intet forhindrer en virksomhed i at kalde sig certificeringsorgan og sælge certifikater. Et ikke-akkrediteret certifikat ser identisk ud, koster groft sagt 40 til 50 % mindre, og bliver rutinemæssigt afvist i store kunders indkøb. Så betaler I det fulde akkrediterede honorar en gang til, for et ikke-akkrediteret certifikat kan som regel ikke overføres. Hvert EU-land har ét nationalt akkrediteringsorgan, udpeget efter forordning (EF) 765/2008; i Danmark er det DANAK. Tjek jeres certificeringsorgan i det register, eller internationalt via IAF, før I skriver under på noget.

Sådan finder du et akkrediteret certificeringsorgan og tjekker det selv

• op til 10 personer → 5 auditdage
• 16–25 personer → 7 auditdage
• 46–65 personer → 10 auditdage
• 86–125 personer → 12 auditdage

Gengivet som regneeksempler og ikke som selve tabellen, fordi ISO/IEC 27006 er ophavsretligt beskyttet, og vi genudgiver den ikke. Tjek dem mod jeres eget eksemplar.