Een ISO 27001-certificering kost ongeveer 5 auditordagen voor een bedrijf van maximaal 10 mensen, 7 bij 16 tot 25, 10 bij 46 tot 65 en 12 bij 86 tot 125, fase 1 en fase 2 samen. Het aantal komt uit ISO/IEC 27006 bijlage B, waaraan elke geaccrediteerde certificerende instelling is gebonden, dus een offerte is dagen maal een dagtarief van ruwweg 1.200 tot 1.800 EUR: 8.400 tot 12.600 EUR voor een bedrijf van 25 mensen. Controleaudits in jaar twee en drie nemen elk ongeveer een derde van die tijd, en hercertificering minstens twee derde.
Geen enkele geaccrediteerde certificerende instelling publiceert haar prijzen. DNV niet, Bureau Veritas niet, DQS, TÜV, BSI, Intertek, SGS, LRQA of Dekra niet. Bij elk ervan is het "vraag een offerte aan", wat betekent dat u niet kunt begroten voordat u met verkopers gaat praten.
Dat is een echt probleem wanneer u probeert te beslissen of u überhaupt begint. Het is ook oplosbaar, omdat de grootste term in het tarief niet onderhandelbaar en niet geheim is.
Het tarief is dagen maal een dagprijs
Een certificeringsofferte is auditordagen × dagtarief. Het dagtarief verschilt per land en per instelling. Het aantal dagen niet: dat is vastgelegd in de audittijdtabel in ISO/IEC 27006 bijlage B, en de accreditatie-instantie die uw certificeerder toelaat, houdt haar daaraan.
Dus de helft van de formule die anders ondoorzichtig zou zijn, is gepubliceerd, en ze hangt aan één gegeven dat u al kent: hoeveel mensen werk doen onder uw controle, binnen de reikwijdte van uw ISMS.
Rekenvoorbeelden, uit de tabel:
| Mensen in de reikwijdte | Auditordagen, fase 1 + fase 2 |
|---|---|
| tot 10 | 5 |
| 16–25 | 7 |
| 46–65 | 10 |
| 86–125 | 12 |
Dit zijn rekenvoorbeelden met de clausule als bron en geen weergave van de tabel, omdat ISO/IEC 27006 auteursrechtelijk beschermd is en wij ze niet gaan herpubliceren. Controleer ze in uw eigen exemplaar.
Van dagen naar geld
Over gepubliceerde vakbronnen heen rekenen geaccrediteerde instellingen in Europa ruwweg € 1.200 tot € 1.800 per auditordag. Niemand publiceert een officieel cijfer, en dat is precies waarom u drie offertes op een identieke opdracht moet vragen.
Voor een bedrijf van 25 mensen: 7 dagen, dus € 8.400 tot € 12.600 voor de initiële certificering.
Dan het terugkerende deel, uit dezelfde bijlage. Een controleaudit is ongeveer een derde van de initiële audittijd, en vindt plaats in jaar twee en drie. Hercertificering is minstens twee derde. De driejaarskosten van het certificaat voor datzelfde bedrijf zijn dus ruwweg € 14.000 tot € 21.000 aan auditkosten alleen.
De drie dingen die het getal veranderen
Verkeerd geteld personeel. De editie van 2024 is expliciet dat opdrachtnemers en freelancers meetellen, niet alleen werknemers. Dit is de meest voorkomende reden waarom een bedrijf voor de ene band begroot en een offerte voor de volgende krijgt.
Reikwijdtereducties. De bijlage staat een reductie toe van maximaal 30% voor een eenvoudige, volwassen reikwijdte op één locatie, en niet meer. Die ondergrens staat ook in de bijlage, dus een offerte ver onder de band is een vraag om te stellen en geen koopje.
Reiskosten. Altijd bovenop het dagtarief gefactureerd.
Wat niet in dit getal zit
Het certificaat is het tarief dat u net hebt berekend. Het wordt betaald aan een certificerende instelling, een apart bedrijf waarmee u rechtstreeks een contract sluit.
Alles anders is voor u: een penetratietest van doorgaans € 2.500 tot € 5.000 voor een SaaS-applicatie, een exemplaar van de norm van rond de € 130, en de grootste kostenpost van allemaal, die in niemands offerte voorkomt: de tijd van uw eigen mensen om het managementsysteem te bouwen voordat de auditor komt.
Controleer de certificeerder voordat u tekent
Niets houdt een bedrijf tegen om zich certificerende instelling te noemen en certificaten te verkopen. Een niet-geaccrediteerd certificaat ziet er identiek uit, kost 40–50% minder en wordt in de inkoop van grote ondernemingen routinematig afgewezen. Op dat moment betaalt u het volledige geaccrediteerde tarief opnieuw, omdat een niet-geaccrediteerd certificaat doorgaans niet kan worden overgedragen.
Elk EU-land heeft één nationale accreditatie-instantie, aangewezen onder Verordening (EG) 765/2008: DAkkS in Duitsland, COFRAC in Frankrijk, RvA in Nederland, ENAC in Spanje, DANAK in Denemarken. Controleer uw certificeerder in dat register, of internationaal via IAF, voordat u iets tekent.