De goedkoopste ISO 27001-certificering die de moeite waard is, is een offerte van een voor ISO/IEC 27001 geaccrediteerde instelling waarvan de auditordagen voor uw personeelsaantal overeenkomen met ISO/IEC 27006 bijlage B: ongeveer 5 dagen tot 10 mensen, 7 bij 16 tot 25, 10 bij 46 tot 65 en 12 bij 86 tot 125, bij ruwweg 1.200 tot 1.800 EUR per dag over Europese instellingen. Een offerte ver onder die band betekent minder dagen, een smallere reikwijdte dan u vroeg, of een instelling die niet voor deze norm is geaccrediteerd, en een niet-geaccrediteerd certificaat is er een dat inkoopteams afwijzen.
Vraag drie offertes, en vergelijk de dagen
Vraag elke instelling naar het aantal auditordagen achter het bedrag, gesplitst in fase 1 en fase 2. Dat is de eerlijke eenheid. Accreditatie bindt certificerende instellingen aan de audittijdtabel in ISO/IEC 27006 bijlage B, die ruwweg luidt:
| Mensen | Auditordagen |
|---|---|
| tot 10 | 5 |
| 16 tot 25 | 7 |
| 46 tot 65 | 10 |
| 86 tot 125 | 12 |
Bij 1.200 tot 1.800 EUR per dag over geaccrediteerde Europese instellingen zouden twee offertes voor hetzelfde personeelsaantal in dezelfde buurt moeten uitkomen. Een die dramatisch lager is, betekent meestal minder dagen, een smallere reikwijdte dan u vroeg, of een instelling waarvan de accreditatie niet dekt wat u nodig hebt.
De controle die zwaarder weegt dan de prijs
Accreditatie, en wel voor deze norm specifiek. Een instelling die voor ISO 9001 is geaccrediteerd, is daarmee niet geaccrediteerd voor ISO/IEC 27001. Accreditatie wordt per norm verleend, en een certificaat van een niet-geaccrediteerde instelling is een document dat het beveiligingsteam van uw klant simpelweg kan weigeren.
Controleer de scope zelf in het openbare register van de accreditatie-instantie in plaats van een verkoopclaim voor waar aan te nemen. Hoe u er een vindt en verifieert loopt de registers door.
Begroot de cyclus, niet de audit
Een certificaat geldt drie jaar en brengt elk jaar controleaudits mee van ruwweg een derde van de initiële audittijd, daarna een hercertificering van ongeveer twee derde. De goedkoopste eerste audit is niet de goedkoopste drie jaar als de instelling lastig is om mee te werken, en halverwege de cyclus van instelling wisselen betekent meestal betalen voor een overdrachtsaudit.
Waar u zich niet uit kunt kopen
De registraties. Certificering draait om de vraag of uw managementsysteem werkt en of u dat over een periode kunt tonen. Dat is het deel dat geen offerte dekt en geen korting verkleint, en daar zitten de interne kosten. Onze dekking clausule voor clausule zegt wat wij voor u bijhouden en, even belangrijk, wat niet.