[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:de:iso-27001-implementierungskosten":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"de","iso-27001-implementierungskosten","ISO 27001 Implementierungskosten: die Dreijahreszahl, nicht die erste Rechnung","Die Zertifizierung läuft in einem Dreijahreszyklus mit jährlichen Überwachungsaudits. Wer nur für das erste Audit budgetiert, wird von der Gesamtsumme am häufigsten überrascht.","2026-08-20",{"who":10,"when":11,"do":12},"Ein Unternehmen, das ISO 27001 für sein Budget kalkuliert: die Zertifizierung läuft in einem Dreijahreszyklus, Erstzertifizierung im ersten Jahr, Überwachungsaudits im zweiten und dritten Jahr und danach die Rezertifizierung, und die interne Zeit, das System aufzubauen und zu betreiben, ist meist ein größerer Posten als die Auditgebühr.","Wenn das Budget festgelegt wird, bevor das erste Audit gebucht ist, und wieder in jedem Jahr des Zyklus, denn ein Budget, das nur das erste Audit ansetzt, trifft ein Jahr später auf die Rechnung für die Überwachung.","Nehmen Sie die Audittage für Ihre Mitarbeiterzahl aus ISO\u002FIEC 27006 Anhang B, bewerten Sie sie mit etwa 1.200 bis 1.800 EUR pro Tag, rechnen Sie im zweiten und dritten Jahr ein Überwachungsaudit mit etwa einem Drittel davon und die Rezertifizierung mit etwa zwei Dritteln hinzu, und dann die Stunden Ihrer eigenen Leute, die Zahl, die die meisten Schätzungen weglassen.","\nDie Kosten einer ISO-27001-Implementierung sind eine Dreijahreszahl, keine erste Rechnung: Für ein Unternehmen mit 46 bis 65 Personen liegt die Erstzertifizierung bei rund 10 Audittagen, also 12.000 bis 18.000 EUR bei 1.200 bis 1.800 EUR pro Tag, dann folgen Überwachungsaudits in den Jahren zwei und drei mit jeweils etwa einem Drittel davon und die Rezertifizierung mit etwa zwei Dritteln, dazu die interne Zeit für Aufbau und Betrieb des Systems, die meist der größere Posten ist. Die meisten Schätzungen nennen das erste Audit und hören dort auf.\n\n## Der Zyklus\n\n**Jahr 0, Erstzertifizierung.** Stufe 1 und Stufe 2, bepreist in Audittagen aus der Tabelle in ISO\u002FIEC 27006 Anhang B. Ein Unternehmen mit 46 bis 65 Personen liegt bei rund 10 Tagen; bei 1.200 bis 1.800 EUR pro Tag sind das 12.000 bis 18.000 EUR.\n\n**Jahre 1 und 2, Überwachung.** Etwa ein Drittel der ursprünglichen Auditzeit pro Jahr. Wer sie auslässt, verliert das Zertifikat.\n\n**Jahr 3, Rezertifizierung.** Etwa zwei Drittel der ursprünglichen Zeit, und der Zyklus beginnt von vorn.\n\nDie Auditausgaben über drei Jahre liegen also deutlich über dem, was die erste Rechnung vermuten lässt. [Die Kostenseite](\u002Fiso-27001\u002Fcost) rechnet sie für Ihre Personenzahl zusammen.\n\n## Die internen Kosten, die meist größer sind\n\nDie Audittage sind die sichtbare Zahl. Die unsichtbare ist die Zeit, die Ihre eigenen Leute aufwenden, und sie teilt sich in zwei Hälften.\n\n**Das System aufbauen.** Kontext, Anwendungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit über 93 Controls in Anhang A, Richtlinien, ein internes Auditprogramm, eine Managementbewertung. Das ist vorgelagert und endlich.\n\n**Das System am Laufen halten.** Das ist der Teil, der wiederkehrt, und der, an dem Implementierungen still und leise teuer werden. Nachweise müssen für den Zeitraum vorliegen, nach dem der Auditor fragt. Eine Organisation, die sie laufend sammelt, gibt fortlaufend wenig aus; eine, die das nicht tut, gibt vor jedem Audit einen konzentrierten Block aus, jedes Jahr, für immer.\n\n## Was die Kosten wirklich senkt\n\nGrenzen Sie den Anwendungsbereich ehrlich ein. Seien Sie bei Stufe 1 bereit. Und führen Sie Aufzeichnungen, wenn die Dinge geschehen, statt sie nachträglich zusammenzustellen, denn das Zusammenstellen ist die teure Hälfte, und es wiederholt sich jährlich.\n\nSoftware ist gegenüber all dem ein kleiner Posten. Entscheidend ist, ob sie Ihnen an dem Tag, an dem ein Auditor fragt, datierte, vollständige Aufzeichnungen hinterlässt. [Unsere Abdeckung Abschnitt für Abschnitt](\u002Fiso-27001\u002Fcoverage) legt offen, was wir vorhalten und was nicht.\n",1789383981049]