Die günstigste ISO-27001-Zertifizierung, die etwas wert ist, ist ein Angebot einer für ISO/IEC 27001 akkreditierten Stelle, deren Audittage für Ihre Personenzahl zu ISO/IEC 27006 Anhang B passen: etwa 5 Tage bei bis zu 10 Personen, 7 bei 16 bis 25, 10 bei 46 bis 65 und 12 bei 86 bis 125, bei grob 1.200 bis 1.800 EUR pro Tag über europäische Stellen hinweg. Ein Angebot weit unter dieser Spanne bedeutet weniger Tage, einen engeren Anwendungsbereich als erbeten oder eine Stelle, die für diese Norm nicht akkreditiert ist, und ein nicht akkreditiertes Zertifikat ist eines, das Einkaufsabteilungen ablehnen.
Holen Sie drei Angebote ein und vergleichen Sie die Tage
Fragen Sie jede Stelle nach der Zahl der Audittage hinter dem Betrag, aufgeteilt in Stufe 1 und Stufe 2. Das ist die ehrliche Einheit. Die Akkreditierung bindet Zertifizierungsstellen an die Auditzeit-Tabelle in ISO/IEC 27006 Anhang B, die grob so lautet:
| Personen | Audittage |
|---|---|
| bis 10 | 5 |
| 16 bis 25 | 7 |
| 46 bis 65 | 10 |
| 86 bis 125 | 12 |
Bei 1.200 bis 1.800 EUR pro Tag über akkreditierte europäische Stellen hinweg sollten zwei Angebote für dieselbe Personenzahl in derselben Gegend landen. Eines, das drastisch niedriger liegt, bedeutet meist weniger Tage, einen engeren Anwendungsbereich als erbeten oder eine Stelle, deren Akkreditierung nicht abdeckt, was Sie brauchen.
Die Prüfung, die wichtiger ist als der Preis
Akkreditierung, und zwar für genau diese Norm. Eine für ISO 9001 akkreditierte Stelle ist damit nicht für ISO/IEC 27001 akkreditiert. Akkreditierung wird je Norm erteilt, und ein Zertifikat einer nicht akkreditierten Stelle ist ein Dokument, das das Sicherheitsteam Ihres Kunden schlicht ablehnen kann.
Prüfen Sie den Geltungsbereich selbst im öffentlichen Register der Akkreditierungsstelle, statt eine Vertriebsaussage dafür zu nehmen. Wie Sie eine finden und prüfen führt durch die Register.
Budgetieren Sie den Zyklus, nicht das Audit
Ein Zertifikat gilt drei Jahre und bringt jährliche Überwachungsaudits von etwa einem Drittel der ursprünglichen Auditzeit mit sich, dann eine Rezertifizierung von etwa zwei Dritteln. Das günstigste erste Audit sind nicht die günstigsten drei Jahre, wenn die Zusammenarbeit mit der Stelle schwierig ist, und ein Wechsel der Stelle mitten im Zyklus bedeutet meist, ein Transferaudit zu bezahlen.
Woraus Sie sich nicht freikaufen können
Die Aufzeichnungen. Zertifizierung hängt daran, ob Ihr Managementsystem in Betrieb ist und ob Sie das über einen Zeitraum zeigen können. Das ist der Teil, den kein Angebot abdeckt und kein Rabatt verkleinert, und dort sitzen die internen Kosten. Unsere Abdeckung Abschnitt für Abschnitt sagt, was wir für Sie vorhalten und, ebenso wichtig, was nicht.