Die Kosten einer ISO-27001-Implementierung sind eine Dreijahreszahl, keine erste Rechnung: Für ein Unternehmen mit 46 bis 65 Personen liegt die Erstzertifizierung bei rund 10 Audittagen, also 12.000 bis 18.000 EUR bei 1.200 bis 1.800 EUR pro Tag, dann folgen Überwachungsaudits in den Jahren zwei und drei mit jeweils etwa einem Drittel davon und die Rezertifizierung mit etwa zwei Dritteln, dazu die interne Zeit für Aufbau und Betrieb des Systems, die meist der größere Posten ist. Die meisten Schätzungen nennen das erste Audit und hören dort auf.

Der Zyklus

Jahr 0, Erstzertifizierung. Stufe 1 und Stufe 2, bepreist in Audittagen aus der Tabelle in ISO/IEC 27006 Anhang B. Ein Unternehmen mit 46 bis 65 Personen liegt bei rund 10 Tagen; bei 1.200 bis 1.800 EUR pro Tag sind das 12.000 bis 18.000 EUR.

Jahre 1 und 2, Überwachung. Etwa ein Drittel der ursprünglichen Auditzeit pro Jahr. Wer sie auslässt, verliert das Zertifikat.

Jahr 3, Rezertifizierung. Etwa zwei Drittel der ursprünglichen Zeit, und der Zyklus beginnt von vorn.

Die Auditausgaben über drei Jahre liegen also deutlich über dem, was die erste Rechnung vermuten lässt. Die Kostenseite rechnet sie für Ihre Personenzahl zusammen.

Die internen Kosten, die meist größer sind

Die Audittage sind die sichtbare Zahl. Die unsichtbare ist die Zeit, die Ihre eigenen Leute aufwenden, und sie teilt sich in zwei Hälften.

Das System aufbauen. Kontext, Anwendungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit über 93 Controls in Anhang A, Richtlinien, ein internes Auditprogramm, eine Managementbewertung. Das ist vorgelagert und endlich.

Das System am Laufen halten. Das ist der Teil, der wiederkehrt, und der, an dem Implementierungen still und leise teuer werden. Nachweise müssen für den Zeitraum vorliegen, nach dem der Auditor fragt. Eine Organisation, die sie laufend sammelt, gibt fortlaufend wenig aus; eine, die das nicht tut, gibt vor jedem Audit einen konzentrierten Block aus, jedes Jahr, für immer.

Was die Kosten wirklich senkt

Grenzen Sie den Anwendungsbereich ehrlich ein. Seien Sie bei Stufe 1 bereit. Und führen Sie Aufzeichnungen, wenn die Dinge geschehen, statt sie nachträglich zusammenzustellen, denn das Zusammenstellen ist die teure Hälfte, und es wiederholt sich jährlich.

Software ist gegenüber all dem ein kleiner Posten. Entscheidend ist, ob sie Ihnen an dem Tag, an dem ein Auditor fragt, datierte, vollständige Aufzeichnungen hinterlässt. Unsere Abdeckung Abschnitt für Abschnitt legt offen, was wir vorhalten und was nicht.