Was eine ISO 27001 Zertifizierung wirklich kostet

Keine akkreditierte Zertifizierungsstelle veröffentlicht ihre Preise. DQS, TÜV, DNV, Bureau Veritas, BSI, Intertek, SGS, LRQA und Dekra bieten alle nur auf Anfrage an, Sie können also nicht budgetieren, bevor der Vertrieb anruft. Das Honorar bleibt trotzdem Audittage × Tagessatz, und die Tage ergeben sich aus der Tabelle für Auditzeiten in ISO/IEC 27006-1:2024 Anhang C, an die die Akkreditierungsstelle die Zertifizierungsstelle bindet. Ihre eigene Zahl können Sie also ausrechnen, bevor Ihnen jemand ein Angebot macht.

Jede Zahl oben ist Audittage × Tagessatz. Die Tage kommen aus ISO/IEC 27006, das sie nach Personenzahl festlegt; die Spanne von 1.200 € bis 2.000 € ist die Bandbreite über die veröffentlichten Fachquellen für akkreditierte Stellen in Europa, und ihren eigenen Satz veröffentlicht keine Zertifizierungsstelle. Die Rechnung steht genau deshalb auf dieser Seite, damit Sie sie mit einem Satz wiederholen können, der Ihnen angeboten wurde, statt mit unserem. Liegt ein Angebot weit außerhalb dieser Spannen, fragen Sie nach, wie viele Audittage angesetzt wurden und welche Ausgabe von ISO/IEC 27006 zugrunde liegt.

Vier bis sieben Monate sind für ein kleines Softwareunternehmen mit Werkzeugunterstützung realistisch. Die Untergrenze liegt bei etwa drei Monaten, und sie ist hart. Der Grund lohnt sich zu verstehen: Stufe 2 zieht Stichproben aus Ihren Aufzeichnungen. Kapitel 9.2 verlangt ein internes Audit, Kapitel 9.3 eine Managementbewertung, und ein Auditor kann keine Managementbewertung stichprobenartig prüfen, die nie stattgefunden hat. Das kann keine Software verkürzen. Was Software abnehmen kann, sind die zwei bis sechs Monate, in denen sonst Richtlinien, Risikoregister und die Erklärung zur Anwendbarkeit erst entstehen müssen.

Niemand hindert ein Unternehmen daran, sich Zertifizierungsstelle zu nennen und Zertifikate zu verkaufen. Ein nicht akkreditiertes Zertifikat sieht identisch aus, kostet etwa 40 bis 50 % weniger und wird im Einkauf großer Kunden regelmäßig abgelehnt. Dann zahlen Sie das volle akkreditierte Honorar noch einmal, denn ein nicht akkreditiertes Zertifikat lässt sich in aller Regel nicht übertragen. In Deutschland ist die nationale Akkreditierungsstelle die DAkkS, benannt nach Verordnung (EG) 765/2008. Prüfen Sie Ihre Zertifizierungsstelle in der DAkkS-Datenbank akkreditierter Stellen, international über die IAF, bevor Sie etwas unterschreiben.

So finden Sie eine akkreditierte Zertifizierungsstelle und prüfen sie selbst

• bis 10 Personen → 5 Audittage
• 16–25 Personen → 7 Audittage
• 46–65 Personen → 10 Audittage
• 86–125 Personen → 12 Audittage

Als Rechenbeispiele wiedergegeben und nicht als Tabelle selbst, weil ISO/IEC 27006 urheberrechtlich geschützt ist und wir die Norm nicht nachdrucken. Prüfen Sie die Beispiele an Ihrem eigenen Exemplar nach.