De kosten van het implementeren van ISO 27001 zijn een getal over drie jaar, niet een eerste factuur: voor een bedrijf van 46 tot 65 mensen is de initiële certificering ongeveer 10 auditordagen, 12.000 tot 18.000 EUR bij 1.200 tot 1.800 EUR per dag, daarna controleaudits in jaar twee en drie van elk ongeveer een derde daarvan en een hercertificering van ongeveer twee derde, plus de interne tijd om het systeem te bouwen en te draaien, wat meestal de grootste post is. De meeste schattingen noemen de eerste audit en stoppen daar.

De cyclus

Jaar 0, initiële certificering. Fase 1 en fase 2, geprijsd in auditordagen uit de tabel in ISO/IEC 27006 bijlage B. Een bedrijf van 46 tot 65 mensen zit rond de 10 dagen; bij 1.200 tot 1.800 EUR per dag is dat 12.000 tot 18.000 EUR.

Jaar 1 en 2, controle. Ruwweg een derde van de initiële audittijd per jaar. Het certificaat wordt ingetrokken als u ze overslaat.

Jaar 3, hercertificering. Ruwweg twee derde van de initiële tijd, en de cyclus begint opnieuw.

De audituitgaven over drie jaar zijn dus wezenlijk hoger dan de eerste factuur doet vermoeden. De kostenpagina telt ze op voor uw personeelsaantal.

De interne kosten, die meestal hoger zijn

De auditordagen zijn het zichtbare getal. Het onzichtbare is de tijd die uw eigen mensen erin steken, en die valt in tweeën uiteen.

Het systeem bouwen. Context, reikwijdte, risicobeoordeling, verklaring van toepasselijkheid over 93 beheersmaatregelen van bijlage A, beleid, een intern auditprogramma, een directiebeoordeling. Dit zit vooraan en is eindig.

Het draaiend houden. Dit is het deel dat terugkeert, en het is waar implementaties stilletjes duur worden. Er moet bewijs bestaan voor de periode waarnaar de auditor vraagt. Een organisatie die het gaandeweg verzamelt, geeft doorlopend een beetje uit; een die dat niet doet, geeft voor elke audit een geconcentreerd blok uit, elk jaar, voor altijd.

Wat de kosten werkelijk verlaagt

Beperk de reikwijdte eerlijk. Wees klaar bij fase 1. En houd registraties bij terwijl de dingen gebeuren in plaats van ze achteraf samen te stellen, want het samenstellen is de dure helft en herhaalt zich jaarlijks.

Software is een kleine post tegenover het bovenstaande. Wat ertoe doet, is of ze u gedateerde, volledige registraties nalaat op de dag dat een auditor ernaar vraagt. Onze dekking clausule voor clausule zet uiteen wat wij bijhouden en wat niet.