Het audittarief van de certificatie-instelling, niet onze prijs

Wat een ISO 27001-certificering werkelijk kost

Een bedrijf van 25 mensen: 7 auditdagen voor fase 1 en fase 2; € 8.400 tot € 14.000 voor de eerste certificatie; € 14.000 tot € 23.300 over de cyclus van drie jaar met twee toezichtaudits, alleen auditkosten.

Onze prijs:

StandardOS kost € 249/maand vast, bovenop wat de auditor rekent; de cijfers hieronder zijn die van de auditor.

Bronnen

ISO/IEC 27006-1:2024 Annex C
Dagtarieven gelezen op 24 september 2026
Totaalkosten gelezen op 24 september 2026

Personen die onder uw gezag werken, binnen het toepassingsgebied van het ISMS

Tel opdrachtnemers en zzp'ers mee, niet alleen medewerkers in loondienst. De editie van 2024 is hier uitdrukkelijk over, en het is de fout die een bedrijf het vaakst een schijf omhoog duwt.

Vestigingen binnen de scope

Complexiteit van de scope

EenvoudigGebruikelijkComplex

Auditdagen (fase 1 + fase 2): 7
Initiële certificering: € 8.400 – € 14.000
Toezichtaudit, jaar 2 en 3: € 2.800 – € 4.700 / jaar
Driejarentotaal, alleen audittarieven: € 14.000 – € 23.300

Elke dag van de cyclus klaar voor de auditor, niet alleen in de auditweek

Start uw compliancesysteem Wat er in zit(in het Engels)

Geen kaart nodig · altijd opzegbaar in de app

Of samen met u gedaan: ISO 27001-gap-analyse, € 1.200, 10 werkdagen

Uw drie jaar, alleen auditkosten

€ 8.400 – € 14.000Initiële certificering

€ 2.800 – € 4.700Toezichtaudit, jaar 2 en 3

€ 14.000 – € 23.300Driejarentotaal, alleen audittarieven

De driejarige certificaatcyclus

Audit fase 1
Audit fase 27 auditordagen, fase 1 en 2€ 8.400 – € 14.000
Certificaat
Toezicht, jaar 1ongeveer 2,3 auditordagen€ 2.800 – € 4.700
Toezicht, jaar 2ongeveer 2,3 auditordagen€ 2.800 – € 4.700
Hercertificering, jaar 3

Auditordagen voor 25 personen binnen de scope, ISO/IEC 27006-1:2024 Annex C; een toezichtsaudit is ongeveer een derde van de eerste audit.

Audit fase 1 + Audit fase 2Toezicht, jaar 1Toezicht, jaar 2

De auditdagen komen uit de tabel met audittijden in Bijlage C van ISO/IEC 27006-1:2024; de toezichtaudit beslaat ongeveer een derde van de initiële audit en hercertificering minstens twee derde, volgens dezelfde bijlage. Dagtarieven van € 1.200 tot € 2.000 vormen de bandbreedte over de gepubliceerde vakbronnen voor geaccrediteerde instellingen in Europa. Een officieel getal publiceert niemand, en juist daarom zou u drie offertes op een identieke uitvraag moeten opvragen. Reiskosten komen erbovenop. Bij een eenvoudig toepassingsgebied op één locatie dat volwassen is, mag de bandbreedte tot 30 % worden verlaagd, en niet verder: die ondergrens staat ook in de bijlage.

Of samen met u gedaan: ISO 27001-gap-analyse, € 1.200, 10 werkdagen

Bij elke stap aan uw zijde

Elke stap die u net hebt berekend, op één plek

1 De scope
De scopeverklaring, geschreven op basis van uw antwoorden.
2 Het beleid
Opgesteld op basis van uw antwoorden, goedgekeurd en actueel gehouden.
3 Het bewijs
Elke dag gelezen uit de tools die u al gebruikt.
4 De audit
De verklaring van toepasselijkheid en het auditpakket, klaar op de dag zelf.
5 De auditor
Uw auditor leest elk record en wijzigt er geen, van een begindatum tot een einddatum.

Wat het getal bepaalt

Mensen binnen de scope

Tel opdrachtnemers en zzp'ers mee, niet alleen medewerkers in loondienst. De editie van 2024 is hier uitdrukkelijk over, en het is de fout die een bedrijf het vaakst een schijf omhoog duwt.

Vestigingen binnen de scope · Complexiteit van de scope

De aanpassingen voor vestigingen en complexiteit zijn aannames van StandardOS, een halve dag per extra vestiging en een vijfde omhoog of omlaag voor complexiteit, niet de factoren van de bijlage; een certificatie-instelling past onder ISO/IEC 27006 haar eigen factoren toe, vraag dus elke offerte om haar dagen te noemen.

Waar de cijfers vandaan komen

De dagen: de audittijdtabel in ISO/IEC 27006-1:2024 bijlage C, naar de mensen binnen de scope, waaraan de accreditatie-instanties de certificatie-instellingen houden. Het tarief: € 1.200 tot € 2.000 per dag, de bandbreedte van gepubliceerde Europese bronnen, gelezen op 24 september 2026, want geen geaccrediteerde instelling publiceert er een. Toezicht: ongeveer een derde van de eerste audit per jaar.

Wat u betaalt, en aan wie

Wat de auditkosten betalen

Fase 1, de beoordeling van uw gedocumenteerde systeem en zijn gereedheid.
Fase 2, de audit van het draaiende systeem tegen de norm, ter plaatse of op afstand.
Het auditrapport, het certificatiebesluit en het certificaat.
De toezichtaudits in jaar twee en drie, elk ongeveer een derde van de eerste dagen.

StandardOS certificeert niet; dat doet een geaccrediteerde instelling, en die betaalt u rechtstreeks.

Wat u verder uitgeeft

Een penetratietest, verwacht door auditors én door uw klanten, doorgaans € 2.500 tot € 5.000 voor een SaaS-applicatie.
De norm zelf, rond € 130 voor ISO 27001; ISO 27002 zult u ook willen hebben.
Reis- en verblijfkosten van de auditors, apart gefactureerd van het dagtarief.
De tijd van uw eigen mensen. Dat is de grootste kostenpost, en die staat in geen enkele offerte. Die verlagen is wat wij verkopen.

Wat er niet in zit. De penetratietest, de tekst van de norm zelf, de reiskosten van de auditor en de tijd van uw eigen mensen, de grootste post, die in geen enkele offerte staat. Een certificaat van een niet-geaccrediteerde instelling kost minder en is geen certificatie. De kaart hieronder zet er bedragen bij, behalve bij de reis.

Het audittarief is het grote getal. De software niet.

Wat u zojuist heeft uitgerekend betaalt u aan een certificatie-instelling, niet aan ons. StandardOS kost € 249/maand excl. btw, vast, en de opdracht is de grootste kostenpost op deze pagina te verlagen: de tijd van uw eigen mensen, die in geen enkele offerte staat.

Wat het alles bij elkaar kost

De auditkosten zijn één regel van de begroting. Dit zijn de andere, bij uw personeelsomvang.

Totale kosten per personeelsomvang, jaar één en een later jaar
Mensen binnen de scope	Jaar één	Jaar twee en drie, elk
tot 10	€ 19.600 – € 34.100	€ 5.000 – € 6.300
tot 25	€ 22.000 – € 38.100	€ 5.800 – € 7.700
tot 65	€ 25.600 – € 44.100	€ 7.000 – € 9.700
tot 125	€ 28.000 – € 48.100	€ 7.800 – € 11.000

De certificatieauditFase 1 en fase 2, de dagen uit de bijlage tegen het dagtarief. Een derde daarvan in elk controlejaar. Van ons, op deze pagina berekend.: € 8.400 – € 14.000
De tijd van uw eigen mensen300 tot 600 uur om het managementsysteem te bouwen, tegen € 34,90 per uur, de gemiddelde loonkosten per uur in de EU inclusief werkgeverslasten. heydata en Eurostat, gelezen op 24 september 2026.: € 10.500 – € 20.900
Een exemplaar van de normEén pdf van ISO/IEC 27001:2022 als eenpersoonslicentie, exclusief btw, tegen de prijzen van twee nationale normalisatie-instituten. Austrian Standards en DIN Media, gelezen op 24 september 2026.: € 138 – € 166
StandardOS voor een jaar€ 249/maand, het beleid, het bewijs en het auditpakket. Van ons, op deze pagina berekend.: € 2.988
Een penetratietestniet in het totaalEén kleine webapplicatie in één scope. Dezelfde prijslijsten lopen bij een grote door tot boven € 20.000. Sectricity, gelezen op 24 september 2026.: € 2.500 – € 3.500
Een opgeleide implementeerderniet in het totaalEén plaats op een vijfdaagse lead implementer-cursus, materiaal, examen en één herkansing. Cyber Academy, gelezen op 24 september 2026.: € 2.800 – € 3.200
Een consultantniet in het totaalTien tot twintig projectdagen tegen het tarief dat dezelfde bron noemt. heydata, gelezen op 24 september 2026.: € 15.000 – € 35.000

Twee regels zijn van ons: de auditkosten, dat zijn de dagen uit de bijlage tegen het dagtarief, en onze eigen prijs. De andere vijf komen uit de bronnen die ernaast staan en geen daarvan stellen wij vast. Het tarief op de tijdregel is op deze site in elke taal het EU-gemiddelde, want een taal is geen land: dezelfde publicatie zet de nationale tarieven tussen € 12,00 en € 56,80 per uur, reken die regel dus met het uwe. Er zit niet in: uw eigen tijd in jaar twee en drie, omdat geen bron die wij zouden aanhalen een onderhoudscijfer noemt, en de reistijd van de auditor, die een offerte vermeldt. De bron die de uren geeft, geeft ook haar eigen totaal voor het eerste jaar bij een klein bedrijf, € 15.000 tot € 60.000, gelezen op 24 september 2026. Alle bedragen in EUR, exclusief btw.

De auditkosten per bedrijfsgrootte

Elke band van de tabel, één vestiging, gebruikelijke complexiteit, tegen € 1.200 tot € 2.000 per dag: de eerste audit, elk toezichtjaar en het totaal over drie jaar.

Auditdagen en auditkosten per band van medewerkers
Mensen binnen de scope	Auditdagen	Eerste certificatie	Toezicht, per jaar	Totaal over drie jaar
tot 10	5	€ 6.000 – € 10.000	€ 2.000 – € 3.300	€ 10.000 – € 16.700
tot 15	6	€ 7.200 – € 12.000	€ 2.400 – € 4.000	€ 12.000 – € 20.000
tot 25	7	€ 8.400 – € 14.000	€ 2.800 – € 4.700	€ 14.000 – € 23.300
tot 45	8.5	€ 10.200 – € 17.000	€ 3.400 – € 5.700	€ 17.000 – € 28.300
tot 65	10	€ 12.000 – € 20.000	€ 4.000 – € 6.700	€ 20.000 – € 33.300
tot 85	11	€ 13.200 – € 22.000	€ 4.400 – € 7.300	€ 22.000 – € 36.700
tot 125	12	€ 14.400 – € 24.000	€ 4.800 – € 8.000	€ 24.000 – € 40.000
tot 175	13	€ 15.600 – € 26.000	€ 5.200 – € 8.700	€ 26.000 – € 43.300
tot 275	14	€ 16.800 – € 28.000	€ 5.600 – € 9.300	€ 28.000 – € 46.700
tot 425	15	€ 18.000 – € 30.000	€ 6.000 – € 10.000	€ 30.000 – € 50.000
tot 625	16.5	€ 19.800 – € 33.000	€ 6.600 – € 11.000	€ 33.000 – € 55.000
tot 875	17.5	€ 21.000 – € 35.000	€ 7.000 – € 11.700	€ 35.000 – € 58.300
tot 1175	18.5	€ 22.200 – € 37.000	€ 7.400 – € 12.300	€ 37.000 – € 61.700

Vijf fouten die de rekening veranderen

Alleen werknemers tellen: aannemers en freelancers binnen de scope tellen mee.
Een certificaat kopen bij een niet-geaccrediteerde instelling.
Offertes vergelijken zonder naar de auditdagen en de editie te vragen.
Minder dan drie maanden inplannen tot fase 2.
Accreditatie verwarren met certificering: u betaalt voor certificering.

Hoe dit wordt berekend

De kosten: auditdagen × dagtarief

Geen enkele geaccrediteerde certificatie-instelling publiceert haar prijzen. DNV, Bureau Veritas, DQS, TÜV, BSI, Intertek, SGS, LRQA en Dekra offreren allemaal op aanvraag, dus u kunt niet begroten voordat de verkoopgesprekken beginnen. Het tarief blijft toch auditdagen × dagtarief, en de dagen volgen uit de tabel met audittijden in Bijlage C van ISO/IEC 27006-1:2024, waaraan de accreditatie-instantie de certificeerder houdt; u kunt uw eigen getal dus uitrekenen voordat iemand u een offerte stuurt.

Elk getal hierboven is auditdagen × dagtarief. De dagen komen uit ISO/IEC 27006, dat ze vastlegt naar aantal personen; de bandbreedte van € 1.200 tot € 2.000 komt uit de gepubliceerde vakbronnen voor geaccrediteerde instellingen in Europa, en haar eigen tarief publiceert geen enkele certificatie-instelling. De rekensom staat juist daarom op deze pagina, zodat u hem kunt herhalen met een tarief dat u is aangeboden in plaats van het onze. Ligt een offerte ver buiten deze bandbreedtes, vraag dan hoeveel auditdagen zijn ingepland en welke editie van ISO/IEC 27006 is toegepast.

Hoe lang het duurt

Vier tot zeven maanden is realistisch voor een klein softwarebedrijf met gereedschap. De ondergrens ligt rond drie maanden en dat is een harde ondergrens, om een reden die het begrijpen waard is: fase 2 neemt steekproeven uit uw registraties. Hoofdstuk 9.2 vereist een interne audit en 9.3 een directiebeoordeling, en een auditor kan geen steekproef nemen uit een directiebeoordeling die niet heeft plaatsgevonden. Geen software kan dat inkorten. Wat software wel kan wegnemen zijn de twee tot zes maanden waarin anders eerst beleid, risicoregister en de Verklaring van Toepasselijkheid moeten ontstaan.

De valkuil die genoemd moet worden

Niets weerhoudt een bedrijf ervan zichzelf certificatie-instelling te noemen en certificaten te verkopen. Een niet-geaccrediteerd certificaat ziet er identiek uit, kost ruwweg 40 tot 50 % minder, en wordt bij de inkoop van grote klanten regelmatig geweigerd. Dan betaalt u het volledige geaccrediteerde tarief nog een keer, want een niet-geaccrediteerd certificaat is doorgaans niet overdraagbaar. Elk EU-land heeft één nationale accreditatie-instantie, aangewezen op grond van Verordening (EG) 765/2008; in Nederland is dat de Raad voor Accreditatie en in België BELAC. Controleer uw certificeerder in dat register, of internationaal via de IAF, voordat u iets tekent.

Hoe u een geaccrediteerde certificatie-instelling vindt en zelf controleert

Rekenvoorbeelden

tot 10 personen → 5 auditdagen
16–25 personen → 7 auditdagen
46–65 personen → 10 auditdagen
86–125 personen → 12 auditdagen

Weergegeven als rekenvoorbeelden en niet als de tabel zelf, omdat ISO/IEC 27006 auteursrechtelijk beschermd is en wij de norm niet gaan herpubliceren. Controleer ze aan uw eigen exemplaar.

De vragen die mensen stellen

Wat kost een ISO 27001-certificatie?

Auditdagen maal een dagtarief, en de dagen worden bepaald door het aantal medewerkers: ongeveer 7 dagen voor een bedrijf van 20 mensen, € 8.400 tot € 14.000 voor de eerste certificatie, en ongeveer 12 dagen voor een bedrijf van 100 mensen, € 14.400 tot € 24.000. De toezichtaudits in jaar twee en drie kosten elk ongeveer een derde daarvan.

Wat kost een ISO 27001-audit per dag?

Geen enkele geaccrediteerde certificatie-instelling publiceert een dagtarief; volgens gepubliceerde Europese bronnen loopt de bandbreedte van € 1.200 tot € 2.000. De dagen zijn het vaste deel: de audittijdtabel in ISO/IEC 27006-1:2024 bijlage C bepaalt ze naar de mensen binnen de scope, zodat twee offertes voor hetzelfde bedrijf dezelfde dagen zouden moeten tonen en alleen in het tarief verschillen.

Wat kost ISO 27001-accreditatie?

Accreditatie is wat een certificatie-instelling aan haar nationale accreditatie-instantie betaalt om te mogen certificeren; een bedrijf betaalt voor certificatie, niet voor accreditatie. Wie naar accreditatiekosten zoekt, bedoelt de certificatiekosten hierboven, en de accreditatie die voor een bedrijf telt, is die van de instelling: controleer haar in het nationale register voordat u tekent.

Wat zijn de kosten van ISO 27001-certificatie per jaar?

Jaar één is de eerste audit, fase 1 en fase 2. Jaar twee en drie zijn toezichtaudits van elk ongeveer een derde van de eerste dagen. Jaar vier is hercertificatie van ongeveer twee derde, en de cyclus begint opnieuw. De software en de tijd van uw eigen mensen lopen elk jaar en zitten niet in de auditkosten.

Wat kost ISO 27001 voor een klein bedrijf?

Tot 10 mensen binnen de scope geeft de tabel 5 auditdagen, dus € 6.000 tot € 10.000 voor de eerste certificatie en ongeveer een derde daarvan in elk toezichtjaar. Contractanten en freelancers meetellen als mensen binnen de scope is de fout die een klein bedrijf het vaakst naar de volgende band verschuift.

Hangen de ISO 27001-kosten af van de sector?

Nauwelijks. Het aantal medewerkers bepaalt de dagen; de certificatie-instelling kan aanpassen voor de complexiteit van de scope, het aantal vestigingen en de mate van uitbesteding, en reiskosten komen erbovenop. De sector beweegt de prijs alleen via die factoren.

Verder lezen

Zie ook:Wat compliancesoftware kost Prijzen

Deze pagina in het:English Deutsch Français Español Dansk