Eine ISO-27001-Zertifizierung kostet etwa 5 Audittage für ein Unternehmen mit bis zu 10 Personen, 7 bei 16 bis 25, 10 bei 46 bis 65 und 12 bei 86 bis 125, Stufe 1 und Stufe 2 zusammen. Die Zahl stammt aus ISO/IEC 27006 Anhang B, an den jede akkreditierte Zertifizierungsstelle gebunden ist, ein Angebot ist also Tage mal einem Tagessatz von grob 1.200 bis 1.800 EUR: 8.400 bis 12.600 EUR für ein Unternehmen mit 25 Personen. Überwachungsaudits in den Jahren zwei und drei brauchen jeweils etwa ein Drittel dieser Zeit und die Rezertifizierung mindestens zwei Drittel.
Keine akkreditierte Zertifizierungsstelle veröffentlicht ihre Preise. Weder DNV noch Bureau Veritas, DQS, TÜV, BSI, Intertek, SGS, LRQA oder Dekra. Überall heißt es „Angebot anfordern", und das bedeutet: Sie können nicht budgetieren, bevor Sie mit dem Vertrieb sprechen.
Das ist ein echtes Problem, wenn Sie erst entscheiden wollen, ob Sie überhaupt anfangen. Es ist auch lösbar, denn der größte Posten des Honorars ist weder verhandelbar noch geheim.
Das Honorar ist Tage mal Satz
Ein Zertifizierungsangebot ist Audittage × Tagessatz. Der Tagessatz schwankt nach Land und Stelle. Die Zahl der Tage nicht: Sie ergibt sich aus der Tabelle für Auditzeiten in ISO/IEC 27006 Anhang B, und die Akkreditierungsstelle, die Ihre Zertifizierungsstelle zulässt, hält sie daran.
Die Hälfte der Formel, die sonst undurchsichtig wäre, ist also veröffentlicht, und sie hängt an einer Größe, die Sie bereits kennen: wie viele Personen unter Ihrer Aufsicht arbeiten, innerhalb des Anwendungsbereichs Ihres ISMS.
Rechenbeispiele aus der Tabelle:
| Personen im Anwendungsbereich | Audittage, Stufe 1 + Stufe 2 |
|---|---|
| bis 10 | 5 |
| 16–25 | 7 |
| 46–65 | 10 |
| 86–125 | 12 |
Das sind Rechenbeispiele mit Angabe der Fundstelle und keine Wiedergabe der Tabelle, denn ISO/IEC 27006 ist urheberrechtlich geschützt, und wir drucken sie nicht nach. Prüfen Sie die Werte an Ihrem eigenen Exemplar.
Aus Tagen wird Geld
Über die veröffentlichten Fachquellen hinweg berechnen akkreditierte Stellen in Europa etwa 1.200 € bis 1.800 € je Audittag. Eine offizielle Zahl veröffentlicht niemand, und genau deshalb sollten Sie drei Angebote auf identischer Grundlage einholen.
Für ein Unternehmen mit 25 Personen: 7 Tage, also 8.400 € bis 12.600 € für die Erstzertifizierung.
Dann der wiederkehrende Teil, aus demselben Anhang. Ein Überwachungsaudit ist etwa ein Drittel der ursprünglichen Auditzeit und findet in den Jahren zwei und drei statt. Die Rezertifizierung ist mindestens zwei Drittel. Die Dreijahreskosten des Zertifikats für dasselbe Unternehmen liegen also grob bei 14.000 € bis 21.000 € allein an Auditgebühren.
Die drei Dinge, die die Zahl verändern
Falsch gezählte Personen. Die Ausgabe 2024 stellt ausdrücklich klar, dass Auftragnehmer und Freiberufler mitzählen, nicht nur Angestellte. Das ist der häufigste Grund, aus dem ein Unternehmen für eine Stufe budgetiert und ein Angebot für die nächsthöhere bekommt.
Kürzungen für den Anwendungsbereich. Der Anhang erlaubt eine Kürzung um bis zu 30 % für einen einfachen, ausgereiften Anwendungsbereich an einem Standort, und nicht mehr. Diese Untergrenze steht ebenfalls im Anhang, ein Angebot weit unter der Spanne ist also eine Rückfrage und kein Schnäppchen.
Reisekosten. Immer zusätzlich zum Tagessatz berechnet.
Was nicht in dieser Zahl steckt
Das Zertifikat ist die Gebühr, die Sie gerade berechnet haben. Sie geht an eine Zertifizierungsstelle, ein eigenes Unternehmen, das Sie direkt beauftragen.
Alles andere ist Ihre Sache: ein Penetrationstest mit typischerweise 2.500 € bis 5.000 € für eine SaaS-Anwendung, ein Exemplar der Norm für rund 130 € und der größte Posten von allen, der in keinem Angebot auftaucht: die Zeit Ihrer eigenen Leute für den Aufbau des Managementsystems, bevor der Auditor kommt.
Prüfen Sie die Zertifizierungsstelle, bevor Sie unterschreiben
Nichts hindert ein Unternehmen daran, sich Zertifizierungsstelle zu nennen und Zertifikate zu verkaufen. Ein nicht akkreditiertes Zertifikat sieht identisch aus, kostet 40–50 % weniger und wird in der Beschaffung großer Unternehmen regelmäßig abgelehnt. Dann zahlen Sie die volle akkreditierte Gebühr noch einmal, denn ein nicht akkreditiertes Zertifikat lässt sich in der Regel nicht übertragen.
Jedes EU-Land hat eine nationale Akkreditierungsstelle, benannt nach der Verordnung (EG) 765/2008: DAkkS in Deutschland, COFRAC in Frankreich, RvA in den Niederlanden, ENAC in Spanien, DANAK in Dänemark. Prüfen Sie Ihre Zertifizierungsstelle in diesem Register oder international über IAF, bevor Sie irgendetwas unterschreiben.