[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:de:wie-viele-audittage-iso-27001":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"de","wie-viele-audittage-iso-27001","Wie viele Audittage eine ISO 27001 Zertifizierung kostet, nach Personenzahl","Zertifizierungsstellen veröffentlichen keine Preise, aber die Audittage sind in ISO\u002FIEC 27006 Anhang B festgelegt. Hier ist die Rechnung, die aus Ihrer Personenzahl eine Zahl macht, bevor Ihnen jemand ein Angebot macht.","2026-08-11",{"who":10,"when":11,"do":12},"Ein Unternehmen, das eine ISO 27001-Zertifizierung budgetiert, bevor eine Zertifizierungsstelle ein Angebot gemacht hat: Die Audittage sind durch ISO\u002FIEC 27006 Anhang B aus der Mitarbeiterzahl im Anwendungsbereich festgelegt, Auftragnehmer eingeschlossen, sodass der größte Posten der Gebühr am Schreibtisch berechnet werden kann.","Bevor Angebote eingeholt werden, damit ein Angebot gegen die veröffentlichte Tagezahl gelesen werden kann; erneut, wenn die Mitarbeiterzahl eine Stufe überschreitet, weil die nächste Stufe mehr Tage beim nächsten Audit bedeutet; und bevor mit einer Stelle unterschrieben wird, die weit unter der Stufe anbietet.","Zählen Sie alle, die unter Ihrer Kontrolle im Anwendungsbereich arbeiten, lesen Sie die Tage aus dem Anhang ab (etwa 5 für bis zu 10 Personen, 7 für 16 bis 25, 10 für 46 bis 65, 12 für 86 bis 125), multiplizieren Sie mit einem Tagessatz von rund 1.200 bis 1.800 EUR, rechnen Sie ein Drittel davon für jedes Überwachungsjahr und mindestens zwei Drittel für die Rezertifizierung hinzu, und holen Sie drei Angebote auf dieselbe Vorgabe nur von akkreditierten Stellen ein.","\nEine ISO-27001-Zertifizierung kostet etwa 5 Audittage für ein Unternehmen mit bis zu 10 Personen, 7 bei 16 bis 25, 10 bei 46 bis 65 und 12 bei 86 bis 125, Stufe 1 und Stufe 2 zusammen. Die Zahl stammt aus ISO\u002FIEC 27006 Anhang B, an den jede akkreditierte Zertifizierungsstelle gebunden ist, ein Angebot ist also Tage mal einem Tagessatz von grob 1.200 bis 1.800 EUR: 8.400 bis 12.600 EUR für ein Unternehmen mit 25 Personen. Überwachungsaudits in den Jahren zwei und drei brauchen jeweils etwa ein Drittel dieser Zeit und die Rezertifizierung mindestens zwei Drittel.\n\nKeine akkreditierte Zertifizierungsstelle veröffentlicht ihre Preise. Weder DNV noch Bureau Veritas, DQS, TÜV, BSI, Intertek, SGS, LRQA oder Dekra. Überall heißt es „Angebot anfordern\", und das bedeutet: Sie können nicht budgetieren, bevor Sie mit dem Vertrieb sprechen.\n\nDas ist ein echtes Problem, wenn Sie erst entscheiden wollen, ob Sie überhaupt anfangen. Es ist auch lösbar, denn der größte Posten des Honorars ist weder verhandelbar noch geheim.\n\n## Das Honorar ist Tage mal Satz\n\nEin Zertifizierungsangebot ist **Audittage × Tagessatz**. Der Tagessatz schwankt nach Land und Stelle. Die Zahl der Tage nicht: Sie ergibt sich aus der Tabelle für Auditzeiten in **ISO\u002FIEC 27006 Anhang B**, und die Akkreditierungsstelle, die Ihre Zertifizierungsstelle zulässt, hält sie daran.\n\nDie Hälfte der Formel, die sonst undurchsichtig wäre, ist also veröffentlicht, und sie hängt an einer Größe, die Sie bereits kennen: wie viele Personen unter Ihrer Aufsicht arbeiten, innerhalb des Anwendungsbereichs Ihres ISMS.\n\nRechenbeispiele aus der Tabelle:\n\n| Personen im Anwendungsbereich | Audittage, Stufe 1 + Stufe 2 |\n| --- | --- |\n| bis 10 | 5 |\n| 16–25 | 7 |\n| 46–65 | 10 |\n| 86–125 | 12 |\n\nDas sind Rechenbeispiele mit Angabe der Fundstelle und keine Wiedergabe der Tabelle, denn ISO\u002FIEC 27006 ist urheberrechtlich geschützt, und wir drucken sie nicht nach. Prüfen Sie die Werte an Ihrem eigenen Exemplar.\n\n## Aus Tagen wird Geld\n\nÜber die veröffentlichten Fachquellen hinweg berechnen akkreditierte Stellen in Europa etwa **1.200 € bis 1.800 € je Audittag**. Eine offizielle Zahl veröffentlicht niemand, und genau deshalb sollten Sie drei Angebote auf identischer Grundlage einholen.\n\nFür ein Unternehmen mit 25 Personen: 7 Tage, also 8.400 € bis 12.600 € für die Erstzertifizierung.\n\nDann der wiederkehrende Teil, aus demselben Anhang. Ein Überwachungsaudit ist etwa ein Drittel der ursprünglichen Auditzeit und findet in den Jahren zwei und drei statt. Die Rezertifizierung ist mindestens zwei Drittel. Die Dreijahreskosten des Zertifikats für dasselbe Unternehmen liegen also grob bei **14.000 € bis 21.000 € allein an Auditgebühren**.\n\n## Die drei Dinge, die die Zahl verändern\n\n**Falsch gezählte Personen.** Die Ausgabe 2024 stellt ausdrücklich klar, dass Auftragnehmer und Freiberufler mitzählen, nicht nur Angestellte. Das ist der häufigste Grund, aus dem ein Unternehmen für eine Stufe budgetiert und ein Angebot für die nächsthöhere bekommt.\n\n**Kürzungen für den Anwendungsbereich.** Der Anhang erlaubt eine Kürzung um bis zu 30 % für einen einfachen, ausgereiften Anwendungsbereich an einem Standort, und nicht mehr. Diese Untergrenze steht ebenfalls im Anhang, ein Angebot weit unter der Spanne ist also eine Rückfrage und kein Schnäppchen.\n\n**Reisekosten.** Immer zusätzlich zum Tagessatz berechnet.\n\n## Was nicht in dieser Zahl steckt\n\nDas Zertifikat ist die Gebühr, die Sie gerade berechnet haben. Sie geht an eine Zertifizierungsstelle, ein eigenes Unternehmen, das Sie direkt beauftragen.\n\nAlles andere ist Ihre Sache: ein Penetrationstest mit typischerweise 2.500 € bis 5.000 € für eine SaaS-Anwendung, ein Exemplar der Norm für rund 130 € und der größte Posten von allen, der in keinem Angebot auftaucht: die Zeit Ihrer eigenen Leute für den Aufbau des Managementsystems, bevor der Auditor kommt.\n\n## Prüfen Sie die Zertifizierungsstelle, bevor Sie unterschreiben\n\nNichts hindert ein Unternehmen daran, sich Zertifizierungsstelle zu nennen und Zertifikate zu verkaufen. Ein nicht akkreditiertes Zertifikat sieht identisch aus, kostet 40–50 % weniger und wird in der Beschaffung großer Unternehmen regelmäßig abgelehnt. Dann zahlen Sie die volle akkreditierte Gebühr noch einmal, denn ein nicht akkreditiertes Zertifikat lässt sich in der Regel nicht übertragen.\n\nJedes EU-Land hat eine nationale Akkreditierungsstelle, benannt nach der Verordnung (EG) 765\u002F2008: DAkkS in Deutschland, COFRAC in Frankreich, RvA in den Niederlanden, ENAC in Spanien, DANAK in Dänemark. Prüfen Sie Ihre Zertifizierungsstelle in diesem Register oder international über IAF, bevor Sie irgendetwas unterschreiben.\n",1789306940562]